Đôi dòng chia sẻ về vấn đề bảo mật trong giới crypto.

 Đôi dòng chia sẻ về vấn đề bảo mật trong giới crypto.

1. Thực trạng

• Bị hack rất nhiều và hàng ngày, nhưng chỉ những vụ hack gây thiệt hại lớn hoặc của những project nổi tiếng mới gây sự chú ý
• 2021 và năm nay cũng là năm khủng hoảng về security trên toàn thế giới, không chỉ là blockchain. Điển hình là 2 vụ log4j và polkit, ảnh hưởng nghiêm trọng đến hầu hết các dịch vụ chạy trên internet. Ở VN cũng có ONUS bị hack vì 0day trên log4j.
• Có 2 điểm tấn công/khai thác chính: Smartcontract & Centralized point
• Đặc trưng của các dự án crypto là hầu hết đều open, nên dễ bị khai thác nếu có lỗ hổng.

2. Lý do

• Không cẩn thận, cẩu thả trong việc lập trình hoặc trong khâu QA, QC
• Chủ quan, không chú trọng security
• Kiến thức chưa đủ sâu
• Chưa bố trí nguồn lực đủ cho security
• Đen vâu

3. Lưu ý/giải pháp

• Trang bị kiến thức thật sâu, để hiểu cặn kẽ, tránh hiểu lơ mơ.
• Cẩn thận hơn trong mọi khâu
• Thường xuyên theo dõi tin tức và các công bố, nghiên cứu trên cộng đồng hacker & security trên thế giới để cập nhật tin tức mới nhất và update hệ thống kịp thời và rút kinh nghiệm từ những sai lầm của các dự án khác.
• Hợp tác với các đối tác uy tín về bảo mật để giảm thiểu rủi ro, nhiều bên thì càng tốt để kiểm tra chéo và hạn chế các vấn đề chưa lường trước được.
• Tăng cường giám sát hệ thống. Như Ronin chain bị hack 5 ngày mới biết do hết quỹ và user không rút được tiền, chứng tỏ giám sát lỏng lẻo hoặc thiếu hệ thống giám sát.
• Trong CNTT, không ai có thể nói mạnh rằng hệ thống của tôi không thể bị hack, nên cần chuẩn bị trước mọi thứ cho kịch bản bị hack để giảm thiểu rủi ro.

-----
Trên đây là góc nhìn cá nhân để tự bản thân mình rút kinh nghiệm. Bản thân mình triển khai hệ thống cũng khó tránh khỏi những thiếu sót và cũng chưa chắc đã làm tốt bằng Sky Mavis hay ONUS.
Mình xin được chia sẻ những mất mát từ những anh em làm project bị khai thác, tấn công, cũng như cộng đồng user chịu thiệt hại về tài sản mã hóa từ những vụ tấn công đó.