Suy nghĩ về sự cố bảo mật BitKeep: Các vấn đề về ví tự lưu trữ và những thay đổi tiềm ẩn

Tác giả gốc: Haotian

Tôi chưa bao giờ ngờ rằng một cuộc tấn công của hacker vào BitKeep sẽ khiến ngành công nghiệp lâu đời nhất nhận được "sự đồng thuận" về ví tiền điện tử Shaken? Ví có an toàn hay không? Việc bị hack là trách nhiệm của nền tảng hay của chính người dùng? Phát triển ví tiền điện tử có phải là một công việc kinh doanh tốt không? Tiếp theo, Thread, dựa trên quan điểm khách quan của khoa học phổ thông, sẽ nói về những vấn đề hiện tại trong đường đua ví tự lưu trữ và những thay đổi tiềm ẩn trong tương lai.

Như chúng ta đều biết, ngành công nghiệp tiền điện tử không thể tách rời khỏi các sàn giao dịch và ví tự lưu trữ. Các sàn giao dịch (CEX) thường áp dụng mô hình lưu ký nền tảng. Người dùng tải xuống và đăng ký bằng phương pháp quen thuộc truyền thống là email điện thoại di động + mật khẩu + mã xác minh động hai lần và tài sản được sàn giao dịch quản lý hoàn toàn. Do đó, suy nghĩ quán tính của người dùng là tìm nền tảng để giải quyết tài khoản nếu họ không liên quan gì đến việc Hacker tấn công và các hành vi xâm phạm bên ngoài khác được ngầm cho là trách nhiệm của nền tảng trao đổi.

Tuy nhiên, ví tự lưu trữ không tuân theo logic hoạt động của thẻ ghi nợ truyền thống mà Xiaobai quen thuộc (đăng ký, báo cáo mất, phát hành lại, v.v.) . Nền tảng ví chỉ cung cấp lối vào giao diện người dùng để tạo các công cụ khóa riêng và quản lý tài sản. Khóa riêng của người dùng được lưu trữ cục bộ trên điện thoại di động. Mọi giao dịch trên chuỗi đều yêu cầu người dùng gọi khóa riêng cục bộ để ký trước khi tải lên chuỗi. Nền tảng ví chỉ hoạt động như một công cụ tạo khóa riêng + giao diện quản lý tài sản + lối vào DApp trên chuỗi.

Theo logic tường thuật của các nhà phát triển ví tự lưu trữ, khóa riêng được lưu cục bộ trên thiết bị đầu cuối phần cứng của người dùng và người dùng có toàn quyền giám sát khóa riêng và người dùng có thể đồng thời Nhập khóa riêng chuỗi vào nhiều nền tảng khác nhau. Do đó, tuyên bố từ chối trách nhiệm đã được thỏa thuận ngầm: người dùng phải chịu trách nhiệm về việc mất tài sản do mất khóa riêng. Mặc dù điều này có ý nghĩa về mặt kỹ thuật, nhưng xét cho cùng, ví này gần với tài sản của người dùng và nó không phù hợp với suy nghĩ quán tính của những người mới tìm kiếm nền tảng nếu có vấn đề.

Trên thực tế, ngoài vấn đề lưu giữ chìa khóa riêng còn có rất nhiều khả năng mất mát do sự phản kháng chủ quan của người dùng không phải người dùng:

1) Thiết bị đầu cuối di động của người dùng đã bị root và tin tặc có được các quyền nâng cao thông qua vi rút Trojan

2) Người dùng tải xuống hoặc cập nhật Ứng dụng và gói APK phần mềm bị tấn công. Chiếm quyền điều khiển Trojan;

3) Mạng CDN mục tiêu nơi người dùng tải xuống Ứng dụng đã bị tin tặc tấn công;

4) Chuỗi cung ứng công cụ tạo khóa riêng của ví đã bị hack, v.v. Vì vậy, ví thường sẽ gặp rắc rối mỗi khi có vấn đề về tính bảo mật tài sản của người dùng.

Điều quan trọng là ví cũng có liên quan. Để cải thiện trải nghiệm, chúng tôi liên tục phát hành các phiên bản mới, nhằm chiếm lĩnh thị trường, bao gồm tất cả các liên kết như plug-in trình duyệt, ứng dụng di động và để kiếm tiền, chúng tôi phát triển các giao dịch hoán đổi tức thời, hoán đổi, chuỗi chéo và các doanh nghiệp khác yêu cầu ủy quyền Phê duyệt, dẫn đến lỗ hổng bảo mật ngày càng nhiều. Điều này chắc chắn làm tăng thêm khó khăn cho người dùng trong việc giữ khóa riêng của họ một cách an toàn. Theo tiền đề này, nếu có vấn đề về bảo mật thì việc xác định và xác định bên chịu trách nhiệm là điều khó tránh khỏi.

Tuy nhiên, đối với các vấn đề như chiếm quyền điều khiển APK, bên chịu trách nhiệm thường không rõ ràng. Trong khuôn khổ bảo vệ những người yếu thế, nền tảng đương nhiên trở thành bên phải chủ động chịu trách nhiệm. Tuy nhiên, không giống như các sàn giao dịch, ví tự lưu trữ không có liên hệ trực tiếp với tài sản của người dùng và khả năng sinh lời của chúng quá yếu. Ngoại trừ thu nhập từ phí chuỗi chéo từ các giao dịch hoán đổi nhanh, triển vọng kinh doanh của nó với tư cách là cổng lưu lượng DApp vẫn chưa được mở ra. Những vấn đề nhỏ có thể được giải quyết nhưng trong trường hợp bị tấn công quy mô lớn thì khó có thể bù đắp được.

Mặc dù vậy, đường đua ví tự lưu trữ luôn là nền tảng cao để các nhà phát triển cạnh tranh. Sau cùng, câu chuyện thành công của Metamask và triển vọng kinh doanh. ví như một lối vào tất cả các chuỗi Nó hấp dẫn đến mức hầu hết các nhà phát triển đều muốn tham gia hết mình mặc dù họ biết rằng họ có thể nhận được nhiều sự chú ý. Hơn nữa, đường đua ví tiếp tục phát triển và phát triển. Câu chuyện ban đầu về ví hoàn toàn dành cho việc tạo khóa riêng và nhập lưu lượng truy cập đang thay đổi.

Cơ hội ở đâu? Nói một cách đơn giản, cảnh vật có khác biệt và con người cũng có khác biệt.  Đối với những người mới bắt đầu thông thường, trao đổi là giải pháp tốt nhất; đối với những người có ít kiến thức và tài sản cao: ví phần cứng và ví tự lưu trữ, một lạnh và một nóng nếu bảo mật là quan trọng, hãy sử dụng giải pháp lưu trữ ví MPC với mức cao hơn; mức độ bảo mật Nếu bạn muốn tối ưu hóa Để có trải nghiệm chức năng, hãy sử dụng ví hợp đồng thông minh với các tình huống linh hoạt hơn, cũng như các giải pháp khác xung quanh việc áp dụng hàng loạt như trừu tượng hóa tài khoản và nhập tiền tệ hợp pháp, v.v.

Cả ví MPC và CA đều đang thực hiện nhiệm vụ định hình lại "khóa riêng". Việc lưu trữ khóa riêng có vẻ đơn giản nhưng lại được phân chia giữa người dùng-phần cứng-phần mềm. có quá nhiều lỗ hổng gây ra rủi ro bảo mật giữa các cấp độ khác nhau, chẳng hạn như blockchain do sự khác biệt trong nhận thức bảo mật của từng cá nhân. Nói một cách dễ hiểu, toàn bộ người dùng thị trường và nhà phát triển hệ sinh thái Builder vẫn cần nâng cao hơn nữa nhận thức về bảo mật và tăng cường xây dựng bảo mật. Việc nội bộ trong ngành đổ lỗi cho nhau khi có sai sót là điều vô nghĩa.

Liên kết gốc

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia