Lựa chọn mới cho quản lý tài sản on-chain: Giải pháp đa chữ ký an toàn và đáng tin cậy

Lời mở đầu

Khi thị trường tiền điện tử bước vào mùa đông, các cuộc tấn công của hacker dần chuyển từ các giao thức on-chain sang ví cá nhân. Đồng thời, chu kỳ tăng lãi suất mạnh mẽ dẫn đến việc thanh khoản bị rút mạnh, gây ra sự sụp đổ của nhiều tổ chức tập trung, nghiêm trọng ảnh hưởng đến tài sản của người dùng. Gần đây, các vụ tai nạn an ninh xảy ra thường xuyên, các sự kiện tài sản bị đánh cắp liên tục, việc bảo vệ an toàn tài sản trở nên đặc biệt quan trọng, cũng khiến cho các loại giải pháp quản lý tài sản an toàn phi tập trung được chú ý nhiều hơn.

Tầm quan trọng của việc kiểm soát tài sản của chính mình

Trong một thời gian dài, nhiều người dùng đã chọn sử dụng dịch vụ của các tổ chức tập trung để gia nhập ngành công nghiệp tiền điện tử, vì những tổ chức này cung cấp trải nghiệm hoạt động tương tự như Web 2.0 truyền thống. Tuy nhiên, trong thế giới blockchain có một câu nói nổi tiếng: "Not your keys, not your coins" (chỉ khi nắm giữ khóa riêng, bạn mới thực sự kiểm soát tài sản). Người dùng vì sự tiện lợi đã chọn các tổ chức tập trung, nhưng cũng hy sinh một phần an toàn. Một khi các tổ chức tập trung gặp vấn đề, tài sản của người dùng sẽ đối mặt với rủi ro lớn.

Lấy một sự kiện gần đây từ một sàn giao dịch làm ví dụ, nền tảng này đã chiếm dụng tài sản của người dùng, dẫn đến khoảng thiếu hụt gần 60 tỷ USD. Khi rủi ro lan rộng, các tổ chức trung tâm liên quan khác cũng lần lượt gặp vấn đề. Theo ước tính, số người dùng bị ảnh hưởng trên toàn cầu có thể lên đến hàng triệu. Nếu người dùng ngay từ đầu biết cách sử dụng khóa riêng của mình để quản lý tài sản, và lưu trữ phần lớn tài sản của họ trong các cơ sở phi tập trung (như ví cứng, hợp đồng đa chữ ký, v.v.), thì họ có thể tránh được những tổn thất như vậy đến mức đáng kể.

Tuy nhiên, việc quản lý khóa riêng không phải là dễ dàng, liên quan đến nhiều khía cạnh của việc sinh, lưu trữ, quản lý, sử dụng khóa riêng và các biện pháp an ninh cũng như thực tiễn tốt nhất.

Tháng 9 năm 2022, một tổ chức tạo lập thị trường nổi tiếng đã gặp phải sự cố do sử dụng công cụ tạo khóa riêng không an toàn, dẫn đến việc lộ khóa riêng của owner hợp đồng liên quan, gây ra thiệt hại gần 160 triệu USD.

Cùng năm tháng 11, ví của một nhà đầu tư nổi tiếng cũng bị đánh cắp, số tiền liên quan lên đến 42 triệu USD. Qua phân tích, vấn đề nằm ở việc cụm từ khôi phục ví mà người dùng sử dụng bị rò rỉ.

Những sự kiện này cho thấy rằng việc quản lý khóa riêng là một vấn đề phức tạp. Trong môi trường hiện tại, việc sử dụng dịch vụ của các tổ chức tập trung lại tồn tại một cuộc khủng hoảng niềm tin lớn. Vậy có tồn tại một phương pháp nào đó, vừa có thể quản lý tài sản của mình một cách an toàn, vừa không phải lo lắng về việc rò rỉ khóa riêng sẽ dẫn đến mất mát toàn bộ tài sản không?

Giải pháp đa chữ ký trưởng thành

Do cấu trúc tài khoản của Ethereum không hỗ trợ chế độ ký đa chữ ký, người dùng Ethereum không thể trực tiếp xây dựng địa chỉ ký đa như người dùng Bitcoin. Tuy nhiên, Ethereum hỗ trợ thực hiện logic phức tạp thông qua hợp đồng thông minh, vì vậy có thể xây dựng ví ký đa trên chuỗi bằng cách viết hợp đồng thông minh. Cần lưu ý rằng mã hợp đồng thông minh cũng có thể tồn tại rủi ro an ninh, trong lịch sử đã xảy ra nhiều cuộc tấn công vào lỗ hổng hợp đồng. Do đó, khi chọn ví ký đa, cần sử dụng các giải pháp đã được kiểm toán nhiều lần và được xác thực lâu dài. Một giải pháp ký đa nổi tiếng chắc chắn là lựa chọn tốt hơn.

Thông qua giải pháp đa chữ ký này, người dùng có thể ủy thác tài sản vào hợp đồng đa chữ ký và chọn quy tắc chữ ký phù hợp theo nhu cầu. Tài sản trong ví đa chữ ký không còn được quản lý bởi khóa riêng của một địa chỉ duy nhất, mà được quản lý phối hợp bởi nhiều địa chỉ. Mỗi giao dịch đều cần chữ ký của nhiều địa chỉ, và yêu cầu tổng số chữ ký hợp lệ đạt đến ngưỡng đã định. Cách này có thể loại bỏ hiệu quả rủi ro mất mát toàn bộ tài sản do rò rỉ khóa riêng của một cá nhân.

Tuy nhiên, giải pháp ký nhiều này có một số thiếu sót về tính tiện lợi trong khi nâng cao tính an toàn cho tài sản:

1. Mỗi giao dịch đều cần được xác nhận bởi nhiều bên trước khi thực hiện, hiệu suất khá thấp.
2. Không hỗ trợ xử lý phân quyền cụ thể, quyền lực của các thành viên ví hoàn toàn nhất quán.
3. Không hỗ trợ cấu hình chiến lược kiểm soát rủi ro cụ thể cho hợp đồng tương tác.

Vậy, có tồn tại sản phẩm đa ký tốt hơn, trong khi vẫn giữ nguyên tính an toàn ban đầu và giải quyết những vấn đề này không?

Giải pháp phân quyền và kiểm soát rủi ro linh hoạt trên chuỗi

Giải pháp mới được phát triển dựa trên kế hoạch đa chữ ký trưởng thành, sử dụng các chức năng mở rộng của module hiện có, đã thực hiện được việc tùy chỉnh linh hoạt trong việc tương tác giữa ví đa chữ ký và hợp đồng dự án. Cụ thể, giải pháp mới này có thể cung cấp các dịch vụ sau:

quyền riêng lẻ

Hỗ trợ quản lý phân quyền ở cấp độ hàm, có thể cấu hình quyền tương tác hàm khác nhau cho các vai trò người dùng cụ thể. Chỉ cần cấu hình đơn giản trên giao diện web, có thể cấp quyền gọi cho các vai trò người dùng đối với hợp đồng cụ thể, hàm cụ thể.

Ví dụ, có thể cấu hình vai trò harvester chỉ được gọi hàm collect của hợp đồng NonfungiblePositionManager của một DEX nào đó, tức là chỉ có thể thực hiện thao tác rút phần thưởng phí giao dịch LP.

Khi thêm thành viên, có thể chỉ định vai trò người dùng bị hạn chế. Địa chỉ được gán một vai trò nào đó sẽ cho phép ví đa chữ ký thực hiện các giao dịch gọi hợp đồng cụ thể. Như vậy, người dùng cụ thể có thể tương tác với DApp qua WalletConnect, thực hiện các thao tác như thu phí LP mà không cần tất cả các thành viên đa chữ ký phải ký xác nhận từng người.

Cơ chế phân quyền này vừa nâng cao hiệu suất hoạt động, vừa không gây ra mối đe dọa cho sự an toàn của ví hiện có. Ngay cả khi một tài khoản bị tấn công hoặc khóa riêng bị rò rỉ, cũng sẽ không trực tiếp đe dọa tài sản gốc của ví đa chữ ký.

ACL rủi ro

Ngoài cơ chế phân quyền theo độ granularity hàm, còn cung cấp cơ chế kiểm soát rủi ro hợp đồng ACL(Access Control List) với độ granularity cao hơn. Người dùng có thể tùy chỉnh các quy tắc phân quyền và kiểm soát rủi ro theo các kịch bản kinh doanh của mình, ví dụ như:

• Hạn chế phạm vi tham số của quá trình gọi hợp đồng của người dùng (ví dụ như khi chỉ định swap, chỉ cho phép thao tác với một số loại token tài sản nhất định)
• Giới hạn số lần gọi hàm của một hợp đồng nào đó
• Thực hiện kiểm tra rủi ro cho các tương tác hợp đồng (ví dụ: kiểm tra xem tổn thất trượt giá swap không vượt quá một tỷ lệ phần trăm nhất định)

Đáng chú ý là, giải pháp mới này là một phần quan trọng của giải pháp lưu trữ phi tập trung, mã nguồn hợp đồng trên chuỗi của nó đã được mã nguồn mở. Người dùng hoặc bên thứ ba có thể kiểm toán mã nguồn hợp đồng liên quan để đảm bảo chức năng lưu trữ không có rủi ro xấu từ sự tập trung.

Tóm tắt

Các sự kiện an ninh gần đây đã cảnh báo chúng ta rằng, bất kể là lưu trữ tài sản tại các tổ chức tập trung hay tự quản lý khóa riêng và cụm từ ghi nhớ, đều tồn tại một số rủi ro an toàn tài sản nhất định. Những rủi ro này đã thúc đẩy các bên tìm kiếm các giải pháp lưu trữ tài sản tốt hơn. Các tổ chức lưu trữ tập trung lớn đã lần lượt giới thiệu các giải pháp chứng minh dự trữ dựa trên MerkleTree, và các chuyên gia trong ngành cũng đã thảo luận về những hạn chế và cải tiến của các giải pháp hiện tại.

Giải pháp lưu ký phi tập trung mới đã mở rộng các giải pháp ký đa chữ ký trưởng thành trong ngành, cung cấp các chức năng tùy chỉnh linh hoạt hơn như phân quyền và kiểm soát rủi ro ACL, cân bằng tốt hơn giữa tính bảo mật của tài sản và tính dễ sử dụng của ví. Giải pháp này cung cấp cho các tổ chức và cá nhân một lựa chọn mới, giúp quản lý quỹ tốt hơn trong mùa đông vốn, chuẩn bị cho vòng thịnh vượng tiếp theo của thị trường.