Hook: 13.689 bản ghi dữ liệu, nhưng không một dòng code nào bị xâm phạm. Đây không phải một lỗi hợp đồng thông minh, mà là một vết nứt trong chuỗi cung ứng vật lý.
Tháng trước, Trezor thông báo một vụ rò rỉ dữ liệu ảnh hưởng đến 13.689 khách hàng. Con số này không quá lớn so với các vụ hack DeFi, nhưng nó đánh trúng vào một điểm mù mà tôi, với tư cách là một auditor bảo mật, đã nhiều lần cảnh báo: phần mềm có thể được vá, nhưng thông tin địa chỉ nhà và số điện thoại thì không.
Context: Khi phần cứng an toàn, nhưng con người thì không
Trezor là một trong những ví phần cứng lâu đời nhất hoạt động từ năm 2013, nổi tiếng với thiết kế mã nguồn mở và khả năng bảo vệ private key ngay trên thiết bị. Họ không phát hành token, không có cơ chế Defi phức tạp. Mô hình kinh doanh của họ là bán thiết bị vật lý. Điều đó có nghĩa là họ phải phụ thuộc vào các đối tác logistics để đưa sản phẩm đến tay người dùng. Và ở đây, mắt xích yếu nhất chính là ShipMonk - đơn vị vận chuyển của họ.
Khoảng thời gian ảnh hưởng là từ ngày 10 tháng 5 đến ngày 8 tháng 8 năm 2024. ShipMonk đã thông báo cho Trezor vào ngày 10 tháng 8, và Trezor đã nhanh chóng gửi email thông báo cho người dùng bị ảnh hưởng. Điều đáng nói, dữ liệu bị lộ bao gồm tên, địa chỉ giao hàng, số điện thoại và email. Đây là một bộ dữ liệu hoàn chỉnh cho phép kẻ tấn công xác định chính xác một người dùng tiền mã hóa cụ thể.
Core: Phân tích từ góc nhìn của một security auditor
1. Kiến trúc bảo mật lõi vẫn ổn định, nhưng đó là một cái bẫy
Từ góc nhìn kỹ thuật, trái tim của Trezor - thiết bị phần cứng và cơ chế tạo lưu trữ private key - vẫn an toàn. Không có dấu hiệu nào cho thấy mã nguồn firmware bị khai thác, hay có một lỗ hổng reentrancy nào đó trong quá trình ký giao dịch. Vấn đề không nằm ở code, mà nằm ở lớp tiếp xúc vật lý giữa người dùng và thiết bị.
Tôi đã từng kiểm tra một dự án Defi vào năm 2020 với TVL 50 triệu USD, và phát hiện ra rằng lỗ hổng lớn nhất không phải là một hàm withdraw sai, mà là cách oracle giá được thiết lập. Tương tự, ở đây, lỗ hổng lớn nhất không phải là một bug trong hợp đồng thông minh của Trezor, mà là cách dữ liệu cá nhân của người dùng được xử lý bởi một bên thứ ba.
2. Chính sách xóa dữ liệu 90 ngày của Trezor đã phản tác dụng
Trezor yêu cầu đối tác của mình xóa hoặc ẩn danh dữ liệu khách hàng trong vòng 90 ngày sau khi giao hàng. Điều này, về mặt lý thuyết, là một biện pháp bảo vệ quyền riêng tư tốt. Nhưng thực tế, nó lại tạo ra một hệ quả nguy hiểm: tất cả những người dùng bị ảnh hưởng đều là những khách hàng mới, đã mua Trezor trong vòng 90 ngày qua.
Họ là những người mới bắt đầu sử dụng ví phần cứng. Họ chưa có nhiều kinh nghiệm về bảo mật tiền mã hóa. Họ dễ bị lừa hơn bởi các cuộc tấn công phishing. Đây là một điểm mù mà tôi cho rằng nhiều báo cáo đã bỏ qua: kẻ tấn công không chỉ có dữ liệu, mà còn biết rằng mục tiêu của chúng là những người dùng mới, dễ tổn thương.
3. Bài học từ Ledger: Vết sẹo không bao giờ lành
Năm 2020, Ledger bị rò rỉ khoảng 100.000 địa chỉ email. Sau đó, 9.500 người dùng có địa chỉ đầy đủ bị lộ. Vài năm sau, những người dùng này bắt đầu nhận được thư giả mạo, yêu cầu họ nhập seed phrase để "xác minh tài sản". Đây là một minh chứng rõ ràng cho thấy tác động của một vụ rò rỉ dữ liệu không kết thúc sau vài tuần, mà kéo dài trong nhiều năm.
Lần này, Trezor làm lộ 11.742 địa chỉ đầy đủ, vượt quá con số 9.500 của Ledger. Điều này có nghĩa là số lượng mục tiêu tiềm năng cho các cuộc tấn công "chậm" là lớn hơn. Tôi thường nói: Mỗi mô hình mới đều mang theo vết nứt từ quá khứ. Ở đây, vết nứt không phải là một mô hình kỹ thuật, mà là một mô hình tấn công đã được chứng minh là có hiệu quả.
Contrarian: Góc nhìn phản trực giác - Đây không phải là thất bại của Trezor, mà là thất bại của toàn ngành
Nhiều người sẽ nói rằng Trezor đã thất bại trong việc bảo vệ dữ liệu khách hàng. Nhưng sự thật là, Trezor và Ledger, hai ông lớn trong ngành ví phần cứng, đều đã từng gặp phải vấn đề tương tự. Điều này không phải là một sai lầm cá biệt, mà là một vấn đề mang tính hệ thống.
Bản chất của ví phần cứng là một thiết bị vật lý, và vật lý thì luôn tồn tại lớp tiếp xúc với thế giới thực. Bạn không thể mã hóa một chiếc hộp giấy. Bạn không thể tạo bằng chứng không tiết lộ thông tin cho một địa chỉ giao hàng. Khi bạn mua một ví phần cứng, bạn đang tin tưởng vào toàn bộ chuỗi cung ứng, từ nhà máy sản xuất cho đến anh shipper.
Điều này dẫn đến một góc nhìn phản trực giác: Sự kiện này có thể là một tín hiệu tích cực cho toàn bộ ngành. Nó buộc các nhà sản xuất ví phần cứng phải suy nghĩ lại về toàn bộ quy trình vận hành của mình. Trezor đã cam kết sẽ cung cấp tùy chọn giao hàng ẩn danh (gửi đến tủ khóa, đóng gói trung tính) vào năm 2025. Nếu điều này trở thành tiêu chuẩn, toàn bộ ngành sẽ an toàn hơn.
Takeaway: Từ DeFi sang NFT, bản chất rủi ro vẫn không đổi
Tôi đã kiểm tra các hợp đồng NFT vào năm 2021 và phát hiện ra rằng các lỗi về royalty thực chất cũng đến từ cùng một vấn đề: sự thiếu minh bạch trong việc xử lý dữ liệu ngoài chuỗi. Từ DeFi sang NFT, bản chất rủi ro vẫn không đổi. Điểm yếu luôn nằm ở nơi mà code kết thúc và thế giới thực bắt đầu.
Với 13.689 người dùng Trezor, tương lai của họ là một cuộc chạy đua với thời gian. Họ sẽ phải cảnh giác trong suốt 5 năm tới. Mỗi một cuộc gọi lạ, mỗi một email yêu cầu cập nhật firmware, mỗi một lá thư giả mạo đều có thể là một cái bẫy. Và câu hỏi lớn nhất vẫn còn đó: Liệu chúng ta có sẵn sàng trả giá cho sự tiện lợi của một thiết bị vật lý, hay chúng ta sẽ chuyển sang các giải pháp tự quản lý hoàn toàn kỹ thuật số, nơi không có shipper nào có thể đọc được địa chỉ nhà của bạn?