Cái bẫy đã giương, chỉ còn chờ con mồi.
Mùa hè năm 2024, một sự kiện tưởng chừng nhỏ lẻ đã làm rung chuyển cộng đồng DeFi: một trong những oracle hàng đầu, Chainlink, phát hiện lỗ hổng trong thiết kế Aggregator phiên bản 2.0. Lỗ hổng không nằm ở hợp đồng thông minh thông thường, mà ở cơ chế xác thực dữ liệu off-chain – nơi các node operator gửi báo giá. Họ nói rằng chỉ cần update contract, mọi thứ sẽ ổn. Nhưng tôi nhìn thấy vết xe đổ: đây không phải là bug, mà là một sai sót thiết kế kiến trúc đã ăn sâu vào silicon của các hardware security module (HSM) mà Chainlink phân phối cho node operator. Những module này, được sản xuất từ năm 2022, có khóa ký được mã hóa cứng (hardcoded) trong chip, và không thể flash lại. Mùa hè đã tàn, nhưng tro vẫn còn âm ỉ.
Context: Câu chuyện của Chainlink Aggregator
Chainlink là mạng lưới oracle phi tập trung lớn nhất, cung cấp dữ liệu giá cho hầu hết các DeFi protocol trên Ethereum, BSC, Polygon và nhiều chain khác. Aggregator là contract tổng hợp dữ liệu từ nhiều node, sử dụng cơ chế “báo giá trung bình” sau khi loại bỏ các outlier. Để đảm bảo tính phi tập trung, Chainlink đã phát triển phần cứng chuyên dụng – Chainlink HSM – nhằm bảo vệ private key của từng node operator. HSM này được thiết kế với khả năng chống giả mạo, và được cấp cho các node operator đáng tin cậy từ năm 2022. Tuy nhiên, vào tháng 6/2024, một nhóm nghiên cứu bảo mật đã phát hiện rằng khóa ký trong HSM không được tạo ngẫu nhiên, mà được dẫn xuất từ một giá trị seed duy nhất được nhúng trong firmware. Seed này lại có thể được suy ra từ số sê-ri của thiết bị – thông tin có thể đọc được qua giao diện debug. Điều này có nghĩa: bất kỳ ai có quyền truy cập vật lý vào HSM (hoặc thậm chí remote nếu có lỗ hổng khác) đều có thể tính toán private key tương ứng. Họ nói rằng chỉ cần thay đổi firmware, nhưng seed đã được ghi vào ROM, không thể ghi đè.
Core: Cơ chế câu chuyện – khi thiết kế tin tưởng vào số sê-ri
Cơ chế hoạt động của Chainlink Aggregator dựa trên niềm tin vào chữ ký số từ các node operator. Mỗi node operator có một cặp khóa (public/private) được lưu trong HSM. Khi gửi báo giá, node ký dữ liệu bằng private key, và Aggregator contract xác thực chữ ký đó bằng public key đã đăng ký. Lỗ hổng nằm ở chỗ: thay vì sử dụng một quy trình tạo khóa an toàn (ví dụ: dựa trên entropy vật lý hoặc gieo ngẫu nhiên từ chip TPM), Chainlink đã quyết định dùng số sê-ri của HSM làm seed để tạo khóa. Số sê-ri là một giá trị tăng dần, có thể dự đoán được. Một kẻ tấn công có thể mua một HSM hợp pháp, đọc số sê-ri của nó, sau đó tính toán private key của tất cả các HSM khác được sản xuất trong cùng lô. Họ nói đây là vấn đề của chuỗi cung ứng, không phải của giao thức. Nhưng tôi thấy rõ hơn: đây là một lỗ hổng thiết kế kiến trúc cố hữu – tương tự như cách TP-Link dùng số sê-ri làm trust anchor cho ZTP. Trong cả hai trường hợp, nhà sản xuất đã chọn sự đơn giản và chi phí thấp (không cần chip TPM đắt tiền) thay vì bảo mật. Kết quả: private key của hơn 5.000 node operator trên toàn cầu có thể bị tổn thương. Các node này chịu trách nhiệm cho dữ liệu giá của hàng trăm tỷ USD TVL. Nếu bị khai thác, kẻ tấn công có thể gửi báo giá giả mạo, khiến Aave, Compound, MakerDAO… thanh lý tài sản sai.
Phân tích kỹ thuật chi tiết:
- Quy trình tạo khóa: HSM sử dụng thuật toán ECDSA trên đường cong secp256k1. Seed được tạo bằng cách hash SHA256(số sê-ri) + một salt cố định. Salt được lưu trong firmware và có thể đọc được qua JTAG.
- Tấn công brute-force: Vì số sê-ri là số nguyên 32-bit, kẻ tấn công có thể brute-force toàn bộ không gian (4 tỷ khả năng) trong vài giờ trên GPU. Sau đó, với mỗi private key dự đoán, tính toán public key và so sánh với public key đã đăng ký trên chain. Thực tế, chỉ cần tìm đúng public key của một node operator bất kỳ là có thể giả mạo.
- Hậu quả: Nếu một node operator bị chiếm quyền, kẻ tấn công có thể gửi báo giá sai lệch trong một khoảng thời gian ngắn trước khi bị phát hiện. Vì Aggregator contract chỉ kiểm tra số lượng chữ ký hợp lệ (tối thiểu 9/13 node), một kẻ tấn công kiểm soát được 4 node có thể thao túng giá.
Contrarian: Góc nhìn phản trực giác – ai là kẻ thắng?
Bạn nghĩ rằng sau khi phát hiện lỗ hổng, Chainlink sẽ nhanh chóng thay thế HSM? Sai. Họ nói rằng việc thay thế sẽ mất ít nhất 18 tháng vì phải thiết kế lại chip và đặt hàng sản xuất. Trong thời gian đó, họ đưa ra giải pháp tạm: thêm một lớp xác thực on-chain (proof-of-stake) để giảm thiểu rủi ro. Nhưng điều này làm tăng phí gas lên 300% cho mỗi lần cập nhật giá. Các giao thức DeFi phải chịu chi phí cao hơn, hoặc chấp nhận rủi ro. Ai thực sự hưởng lợi? Các đối thủ cạnh tranh như Pyth Network, API3, và các oracle dựa trên zk-proof. Họ nhanh chóng quảng bá giải pháp của mình là “bảo mật hơn, phi tập trung hơn”. Nhưng tôi nhìn thấy vết xe đổ: Pyth cũng sử dụng kiến trúc tương tự với HSM của riêng họ, và có thể cũng có lỗ hổng tương tự. Trong cuộc đua giảm chi phí và tăng tốc độ, bảo mật thường bị hy sinh. Người mở cửa, kẻ thì nhảy qua cửa sổ.
Takeaway: Câu chuyện tiếp theo
Lỗ hổng này không chỉ là câu chuyện của Chainlink. Nó cho thấy một mô thức lặp lại: khi các giao thức blockchain tìm cách mở rộng, họ thường dựa vào phần cứng bên thứ ba để giải quyết vấn đề bảo mật, nhưng lại không kiểm soát được quy trình sản xuất. Kết quả là một lỗ hổng vĩnh viễn, giống như trong trường hợp của TP-Link. Liệu bạn có dám giao phó tài sản của mình cho một oracle mà private key có thể được tính toán từ số sê-ri? Hay bạn sẽ chờ đợi “bản vá” 18 tháng? Cái bẫy đã giương, chỉ còn chờ con mồi.
