Khi các biểu đồ chuyển từ đỏ sang xanh, hoạt động cho vay crypto đã thu hút sự quan tâm trở lại sau một quý 2 đặc biệt ảm đạm.
Số liệu từ Galaxy cho thấy 11,33 tỷ USD đã rời khỏi lĩnh vực này trong quý 2 — một phần do cuộc khủng hoảng niềm tin đối với các bên cho vay do vụ tấn công Kelp DAO hồi tháng 4 gây ra, khiến người dùng của giao thức được tin cậy nhất, Aave, không thể truy cập số ETH của họ.
Tuy nhiên, kể từ đầu tháng 7, tổng giá trị bị khóa trong hoạt động cho vay đã tăng hơn 55%, lên khoảng 56 tỷ USD hiện nay.
Nhưng điều đó cũng có nghĩa là “hũ mật” đã lớn hơn. Liệu người dùng có thể tin tưởng các giao thức cho vay DeFi liên kết với nhau trong thời đại các vụ tấn công có sự hỗ trợ của AI, khi một lỗ hổng khai thác từ bất kỳ giao thức nào cũng có thể gây ra hàng loạt tác động nghiêm trọng đối với các giao thức khác kết nối với nó？
Stani Kulechov, nhà sáng lập kiêm giám đốc điều hành Aave Labs, nói với Magazine rằng vấn đề này hiện được đặc biệt quan tâm.
“Khi một giao thức chấp nhận một token làm tài sản thế chấp, giao thức đó cũng chấp nhận cầu nối của token, cấu hình trình xác minh, oracle và an ninh vận hành của tổ chức phát hành token đó.”
Và chính điều đó đã khiến Aave gặp rắc rối.
Bề mặt tấn công mở rộng
Khi tin tặc khai thác một tuyến xuyên chuỗi của Kelp DAO vào tháng 4, chúng đã tạo ra 116.500 rsETH không có tài sản bảo chứng (khi đó trị giá khoảng 290 triệu USD), và nhiều token trong số đó đã được dùng làm tài sản thế chấp để vay các tài sản khác trên các thị trường Aave.
Mặc dù các hợp đồng của chính Aave không bị xâm phạm, giao thức này vẫn chứng kiến lượng tiền gửi giảm khoảng 15 tỷ USD trong những ngày sau vụ khai thác, đồng thời buộc phải đóng băng các thị trường rsETH và wrsETH.
Thị trường cho vay thu hẹp 16,78% trong quý 2. Nguồn: Galaxy
Kulechov cho biết Aave hiện áp dụng cách tiếp cận toàn diện hơn đối với vấn đề an ninh.
“Chúng tôi đã xây dựng lại cách tiếp cận của mình dựa trên góc nhìn rộng hơn đó,” ông nói. “Điểm khởi đầu của chúng tôi là an ninh không thể chỉ dừng lại ở hợp đồng thông minh.” Ông nói thêm rằng các cuộc rà soát truyền thống “đã bỏ sót rủi ro nằm ở các cầu nối, mạng lưới trình xác minh và cơ sở hạ tầng khác mà tài sản phụ thuộc vào.”
Liên quan: MiCA đang nhắm tới các vault DeFi, nhưng việc quản lý sẽ khó khăn
Tương tự, người dùng các giao thức cho vay sẽ cần đánh giá mức độ một giao thức chịu tác động của các rủi ro bên ngoài và bên trong.
“Mỗi wrapper, cầu nối và oracle nằm giữa bên cho vay và tài sản cơ sở là một điểm khác có thể khiến khoản vay gặp vấn đề,” Thomas Wu, giám đốc tài chính của bên cho vay được Bitcoin bảo chứng Ledn, nói.
Sid Powell, đồng sáng lập kiêm giám đốc điều hành nền tảng tín dụng crypto Maple, nói với Magazine rằng các “bên cho vay nghiêm túc” nên giả định người vay có thể vỡ nợ bất cứ lúc nào và lập kế hoạch dựa trên giả định đó.
“Tôi đang nắm giữ gì, nó ở đâu, tôi có thể nhìn thấy nó theo thời gian thực không, và nếu có sự cố thì tôi có thể tiếp cận nó nhanh đến mức nào？”Khi an ninh thất bại, việc khoanh vùng là quan trọng
Sam MacPherson, giám đốc điều hành bên cho vay DeFi Spark, cho biết ngoài các hợp đồng thông minh, đội ngũ còn rà soát thiết kế quản trị, an ninh vận hành, chất lượng tài sản thế chấp, quản lý thanh khoản và các yếu tố phụ thuộc trong hệ sinh thái rộng lớn hơn.
Spark bắt đầu loại bỏ dần rsETH khỏi SparkLend vào tháng 1, trước vụ khai thác Kelp vào tháng 4, sau khi đánh giá rằng “mức sử dụng và doanh thu thấp” của tài sản này không biện minh cho “rủi ro bổ sung” do việc hỗ trợ nó tạo ra.
Kulechov cho biết Aave đã triển khai các cơ chế tương tự, và mọi tài sản đều được rà soát lại hàng quý và “một lần nữa sau bất kỳ thay đổi trọng yếu nào.” Ông nói giao thức đã bắt đầu “quá trình thu hẹp có trật tự” trên sáu mạng lưới không đáp ứng các tiêu chuẩn ở cấp độ chuỗi.
Hoạt động cho vay (TVL) tăng hơn 55% so với cuối quý 2. Nguồn: DeFiLlama
“Không giao thức nào có thể kiểm soát toàn bộ hệ sinh thái, nhưng giao thức có thể kiểm soát mức độ rủi ro mà mình tiếp nhận và tốc độ phản ứng,” Kulechov nói.
MacPherson cho biết mục tiêu là ngăn ngừa sự cố, nhưng các giao thức cũng cần có quy trình để ứng phó nếu có sự việc xảy ra.
“Ngăn ngừa tổn thất chỉ là một phần của thách thức. Các giao thức cũng cần chứng minh tổn thất sẽ được khoanh vùng như thế nào nếu thực sự xảy ra sự cố.”Biên độ sai sót của con người
Shawn Owen, nhà sáng lập kiêm giám đốc điều hành SALT Lending, cho biết sai sót của con người vẫn là một trong những điểm yếu lớn nhất — và cũng là điểm dễ bị bỏ qua nhất.
“Nhiều tổn thất lớn nhất bắt nguồn từ việc quản lý khóa, kiểm soát quyền truy cập hoặc việc ai đó bị thao túng xã hội, và một cuộc kiểm toán hợp đồng thông minh sẽ không phát hiện được bất kỳ điều nào trong số đó,” Owen nói.
Các rủi ro bổ sung xuất hiện khi tài sản được triển khai ở nơi khác để tạo lãi. Các bên cho vay crypto đã rút ra bài học đó một cách cay đắng trong đợt thị trường sụt giảm dữ dội năm 2022, khi những bên cho vay như Celsius, Voyager và BlockFi đều sụp đổ sau khi gánh chịu các rủi ro mà khách hàng hoặc không hiểu hoặc không lường trước.
Để giảm bề mặt tấn công, Ledn giữ Bitcoin của khách hàng tại các bên lưu ký đủ tiêu chuẩn thay vì đem cho vay để tạo thêm lợi suất.
Liên quan: S&P Global đưa đánh giá rủi ro vào lĩnh vực vault cho vay crypto đang phát triển
Wu cho biết mỗi giao dịch là một điểm phát sinh sự cố tiềm ẩn, “vì vậy càng ít giao dịch thì rủi ro bị xâm phạm càng thấp.”
“Cách duy nhất để loại bỏ những rủi ro đó là lưu giữ Bitcoin của khách hàng trong hệ thống lưu ký tách biệt, với các biện pháp kiểm soát chặt chẽ và số lần di chuyển ít nhất có thể.”
Powell cảnh báo rằng khi tiền gửi bắt đầu đổ vào nhanh hơn khả năng nhà quản lý tìm được nơi phù hợp để cho vay, áp lực duy trì lợi suất có thể dẫn đến những lựa chọn sai lầm.
“Vì vậy, họ chấp nhận rủi ro cao hơn một chút để đạt được mục tiêu đó. Có thể tiêu chuẩn tài sản thế chấp trở nên lỏng lẻo hơn, hoặc họ cho một người vay mà một năm trước họ đã từ chối. [...] Những nhà quản lý trụ vững trong thời kỳ suy thoái thường là những người sẵn sàng nói không với nguồn vốn khi không có nơi phù hợp để triển khai vốn.”AI có thể giúp hoạt động cho vay an toàn hơn không？
Bất chấp những tiêu đề gần đây về các vụ tấn công và khai thác lỗ hổng AI cũng như các tác nhân thoát khỏi sự kiểm soát của con người, AI thực sự có thể hỗ trợ tăng độ an toàn cho hoạt động cho vay crypto.
Aave hiện sử dụng hoạt động kiểm thử có AI hỗ trợ song song với các quy trình bảo mật thông thường. Dự án đã dùng kiểm thử đột biến để cố ý đưa lỗi vào các hợp đồng V4, và các bộ kiểm thử đã phát hiện 271 trong số 304 lỗ hổng được cài vào.
Trong một đợt rà soát gần đây đối với các cơ sở mã V3 và V4, ba công cụ bảo mật AI đã tạo ra 71 phát hiện, trong đó sau khi rà soát thủ công, 20 phát hiện được xem là hợp lệ. 51 phát hiện còn lại cho thấy các chuyên gia bảo mật con người có lẽ vẫn sẽ còn việc làm trong một thời gian nữa.
Đánh giá bảo mật có AI hỗ trợ đối với Aave V3 và V4. Nguồn: Aave
“AI rất giỏi về độ bao quát và tốc độ,” Kulechov nói, “nhưng khoảng 70% số phát hiện ban đầu là dương tính giả, vì vậy phán đoán của chuyên gia vẫn là yếu tố thiết yếu.”
AI giống như một con dao hai lưỡi, khi quyền hạn, kiến thức về giao thức và các quy trình ra quyết định của nó trở thành một bề mặt tấn công tiềm tàng khác.
“Khi các tác nhân AI bắt đầu quản lý vốn onchain,” Kulechov nói, “quyền hạn, dữ liệu đầu vào và logic ra quyết định của chúng trở thành những yếu tố cần được bảo mật như một hợp đồng.”
Vì vậy, khi hoạt động cho vay crypto phát triển trở lại, thách thức không chỉ là giữ cho mã nguồn an toàn mà còn là bảo đảm mọi mảnh ghép mới đều được hiểu rõ, giám sát và kiểm soát khi xảy ra sự cố.
Tạp chí: Stablecoin có thể rút vốn khỏi các ngân hàng và quốc gia với tốc độ nhanh như chớp