Từ các sự kiện Kelp DAO đến Giao diện người dùng có thể xác minh: Tại sao "giao diện có thể xác minh" là điểm mấu chốt của bảo mật phi tập trung mới?

Trong thế giới DeFi on-chain, một sự cố bảo mật khác liên quan đến hàng trăm triệu đô la đã xảy ra.

Vào ngày 18 tháng 4, kẻ tấn công đã lợi dụng cấu hình 1/1 DVN trong định tuyến LayerZero của Kelp DAO mà không có trình xác minh tùy chọn để giả mạo các thông báo chuỗi chéo khiến hợp đồng phát hành nhầm 116.500 rsETH. Điều này dẫn đến việc Aave phải đối mặt với khoản nợ xấu tiềm ẩn khoảng 123,7 triệu USD đến 230,1 triệu USD theo các kịch bản chia sẻ tổn thất khác nhau.

Nói một cách khách quan, đây không chỉ là sự cố bảo mật DeFi lớn nhất kể từ năm 2026, mà quan trọng hơn, nó phá vỡ một giả định về mặt kiến ​​trúc mà toàn bộ ngành đã mặc định chấp nhận trước đó: Vì mục đích hiệu quả, tính thanh khoản và doanh thu, ngày càng có nhiều bảo mật được âm thầm đặt cược vào một số lớp trung gian được tin cậy theo mặc định.

1. Đằng sau sự cố Kelp DAO, việc đánh mất cơ chế phân cấp

Giá như Kelp DAO Sự cố này được hiểu là một cuộc khủng hoảng an ninh trên chuỗi thông thường và rất dễ đánh giá thấp tầm quan trọng của nó trong việc nhắc nhở những rủi ro mang tính cấu trúc của toàn bộ DeFi.

Tảo bẹ DAO là một giao thức Đặt lại chất lỏng trong hệ sinh thái Ethereum. Về lý thuyết, người dùng có thể nhận rsETH dưới dạng voucher miễn là họ gửi ETH. Voucher này không chỉ có thể được lưu hành trên mạng chính mà còn được gói gọn theo tiêu chuẩn OFT của LayerZero và được triển khai trên hơn 20 chuỗi như Base, Arbitrum, Linea, Blast, Mantle và Scroll.

Nói cách khác, hợp đồng xuyên chuỗi trên mạng chính Ethereum giữ lại tất cả dự trữ ETH, trong khi rsETH trên các chuỗi khác về cơ bản chỉ là "vận đơn cho các khoản dự trữ mạng chính". Điều này cũng có nghĩa là tiền đề cho việc thiết lập hệ thống này là mối quan hệ neo của "số lượng khóa mạng chính luôn lớn hơn hoặc bằng số lượng truyền trên chuỗi L2" không thể bị phá hủy.

Những gì kẻ tấn công đã xâm nhập chính là hạn chế cơ bản có vẻ đơn giản nhưng cực kỳ quan trọng này - hắn trực tiếp giả mạo một thông báo chuỗi chéo LayerZero "hợp pháp", khiến hợp đồng cầu nối mạng chính tin rằng đó là hướng dẫn đổi quà tuân thủ từ các chuỗi khác và sau đó phát hành 116.500 rsETH.

Mấu chốt của vấn đề nằm ở cấu hình xác minh của LayerZero. Kelp DAO sử dụng cấu hình 1/1 DVN (Mạng xác minh phi tập trung), do đó chữ ký của nút xác minh đủ để phát hành thông báo xuyên chuỗi! Các quan chức của LayerZero thực sự khuyến nghị nên dự phòng 2/2 hoặc thậm chí nhiều trình xác thực và rủi ro 1/1 này đã được các nhà nghiên cứu bảo mật cảnh báo công khai ngay từ tháng 1 năm 2025 nhưng chưa được sửa đổi trong vòng 15 tháng!

< /p>

Đây là lý do tại sao khó có thể phân loại sự cố này một cách đơn giản là "cây cầu đã bị hack" hoặc "một giao thức nhất định không đủ khả năng kiểm soát rủi ro". Những gì nó bộc lộ thực ra là một điểm rủi ro duy nhất được xếp chồng lên hai lớp:

• Lớp đầu tiên là một điểm xác minh duy nhất: DVN Về mặt lý thuyết, nó được thiết kế như một mô hình bảo mật X-of-Y-of-N có thể tổng hợp, hỗ trợ việc sử dụng nhiều xác minh độc lập để đáp ứng các yêu cầu bảo mật khác nhau. Tuy nhiên, ở KelpDAO, tính hợp pháp của toàn bộ thông báo được gói gọn trong giả định rằng "một nút xác minh sẽ không gặp vấn đề";
• Lớp thứ hai là điểm dự trữ duy nhất: một khi nhóm dự trữ mạng chính bị xâm nhập, rsETH trên các chuỗi khác sẽ ngay lập tức không còn là tài sản xuyên chuỗi nữa mà sẽ được hiển thị dưới dạng IOU được xây dựng trên một điểm neo mạng chính duy nhất. Bản chất;

Khiđiểm xác minh duy nhất và điểm dự trữ duy nhất được xếp chồng lên nhau, rủi ro sẽ không còn tồn tại trong một giao thức duy nhất nữa mà sẽ lan ra theo khả năng kết hợp của DeFi.

Đây là lý do tại sao Aave khẩn trương đóng băng thị trường rsETH/wrsETH trên nhiều chuỗi sau vụ tai nạn, điều chỉnh mô hình lãi suất WETH và đóng băng hơn nữa nhiều thị trường WETH để ngăn áp lực lan sang nhiều tài sản hơn. Mặc dù bản thân Aave không bị hack nhưng tài sản thế chấp bị bóp méo, việc thanh lý bị chặn và sức khỏe của người đi vay bị tổn hại, cuối cùng khiến giao thức có rủi ro nợ xấu đáng kể.

Nếu nâng tầm nhìn của mình lên cao hơn một chút, bạn sẽ thấy rằng logic "thuê ngoài bảo mật đến một điểm" này không chỉ tồn tại ở những cầu nối và trình xác minh, mà còn ẩn nấp ở một nơi mà người dùng phải đối mặt hàng ngày nhưng hiếm khi được thảo luận trực tiếp - giao diện.

2. Từ "Tự quản lý tài sản" đến "Xác minh tương tác": Điểm tin cậy dễ bị bỏ qua nhất

Luôn có một câu nói cổ trong cộng đồng Web3: Đừng tin tưởng, hãy xác minh.

Khi quan chức Ethereum giới thiệu nút, lời giải thích cho câu này thực sự rất đơn giản: chạy nút của riêng bạn có nghĩa là bạn không cần phải tin vào kết quả mà người khác cho bạn biết, bởi vì bạn có thể tự mình xác minh dữ liệu thay vì thuê một nhà cung cấp dữ liệu tập trung đưa ra phán quyết về tính xác thực của mạng.

Nguyên tắc này cũng đúng khi nói đến sự tương tác giữa ví và DeFi.

Ví không giám sát như imToken về cơ bản là một công cụ để người dùng truy cập vào tài khoản của họ. Đây là cửa sổ để bạn "xem tài sản, gửi giao dịch và đăng nhập vào ứng dụng". Bản thân ví không lưu trữ tiền của bạn và khóa riêng không nằm trong tay nền tảng. Trong vài năm qua, ngành đã dần dần chấp nhận tầm quan trọng của việc "tự quản lý tài sản" và ngày càng nhiều người bắt đầu hiểu về phân cấp thực sự, không chỉ là đặt tiền vào chuỗi mà còn trả lại quyền kiểm soát tài sản cho chính người dùng.

Nhưng vấn đề là mặc dù chúng tôi ngày càng nhấn mạnh đến "tự lưu trữ" ở cấp độ nội dung, nhưng phần lớn chúng tôi vẫn mặc định sử dụng gia công phần mềm ẩn hơn ở cấp độ tương tác, nghĩa là, sự hiểu biết về ý nghĩa của giao dịch, phán đoán về kết quả cuộc gọi và niềm tin vào tính xác thực của giao diện được giao cho lớp giao diện người dùng trước mặt chúng tôi để giải thích.

Đây chính xác là lớp rủi ro bị bỏ qua nhiều nhất trong DeFi hiện nay: Giao dịch do người dùng ký có thực sự là giao dịch mà anh ta nghĩ mình đã ký không?

Có thể nói rằng trong các tương tác trên chuỗi hàng ngày, người dùng hầu như không bao giờ phải đối mặt với chính chuỗi đó mà với các lớp giao diện được đóng gói, chẳng hạn như giao diện người dùng web của DApp, cửa sổ bật lên ví và hướng dẫn đường dẫn do trình tổng hợp cung cấp. Trong tương lai, nó cũng sẽ bao gồm các cuộc gọi và xác nhận kết quả do Đại lý tự động tạo ra. Họ sẽ cho bạn biết: “Bạn đang gửi 100 ETH vào một chiến lược nhất định”, “Bạn sẽ nhận được một số loại thu nhập hàng năm” và “Bạn chỉ đang thực hiện ủy quyền bình thường”.

Nhưng cuối cùng, calldata thực sự được ký, phát và thực thi trên chuỗi là gì? Liệu mô tả giao diện người dùng có hoàn toàn nhất quán với quá trình thực thi cơ bản hay không, hầu hết người dùng không có khả năng kiểm tra độc lập.

Đây là lý do tại sao các vụ chiếm quyền điều khiển giao diện người dùng, thay thế địa chỉ và ngụy trang ủy quyền độc hại tái diễn trong lịch sử có thể xuất hiện dưới nhiều loại sự cố bảo mật khác nhau. Lớp dưới cùng thực sự đang chỉ ra cùng một vấn đề, đó là giao dịch được người dùng ký không phải lúc nào cũng là giao dịch mà anh ta nghĩ mình đã ký.

Từ góc độ này, sự cố Kelp DAO không chỉ bộc lộ vấn đề xác minh một điểm trên đường dẫn cầu nối mà còn nhắc nhở toàn bộ ngành về một thực tế khác đã bị đánh giá thấp từ lâu, đó là, trong nhiều tương tác trên chuỗi, bản thân giao diện là một điểm duy nhất được tin cậy theo mặc định nhưng hiếm khi được xác minh. Thời điểm bạn nhấp vào "Xác nhận", bạn thực sự đang đặt cược vào tính chính xác của lệnh gọi trên thực tế là "giao diện không nói dối".

Điều này cũng dẫn đến khái niệm "Giao diện người dùng có thể xác minh".

Cái gọi là "Giao diện người dùng có thể xác minh", dịch theo nghĩa đen là "giao diện có thể xác minh". Cốt lõi của nó không phải là làm cho giao diện người dùng đẹp hơn hay viết cửa sổ bật lên chữ ký phổ biến hơn mà là cố gắng thiết lập kết nối giữa nội dung được trình bày trên giao diện và các lệnh gọi thực tế được thực hiện trên chuỗi mà người dùng có thể kiểm tra, xác minh bằng ví và truy tìm sau đó.

Nói cách khác, điều nó muốn giải quyết không phải là "liệu thông tin có được hiển thị hay không" mà là "liệu những gì được hiển thị có thực sự tương ứng với những gì sắp xảy ra trên chuỗi hay không". Điều này có nghĩa là:

• Trước khi ký, ví không chỉ phải hiển thị cho người dùng một chuỗi dữ liệu thập lục phân, cũng như không nên chỉ chuyển tiếp một đoạn văn bản giải thích do giao diện người dùng đơn phương tạo ra mà còn phải cố gắng đưa dữ liệu cuộc gọi càng nhiều càng tốt.
• Mỗi bước được mô tả trong giao diện phải được ánh xạ tới bằng chứng có thể xác minh được trên chuỗi, thay vì dựa trên một tập hợp logic giải thích mà "người dùng tin rằng điều đó là đúng";
• Chỉ bằng cách này, “điều bạn nghĩ mình đang làm” và “điều gì là đúng trên dây chuyền” “Điều gì đang xảy ra”, sẽ không còn khoảng cách nhận thức không thể vượt qua;

Khi điều này được thiết lập, giao diện không còn là một lớp kính mà người dùng chỉ có thể tin tưởng theo mặc định mà không thể xác minh một cách độc lập mà giống như một hướng dẫn thực thi mà người dùng có thể tự mình xác nhận và theo dõi lại.

Nếu bạn chỉ nhìn vào DeFi ngày nay, khả năng xác minh giao diện vẫn là một chủ đề bị đánh giá thấp; nhưng nếu kéo dài thời gian ra một chút, nó sẽ sớm thay đổi từ “tối ưu hóa bảo mật đáng bàn” thành “khả năng cơ bản không thể trì hoãn được nữa”. Do con đường tương tác của Ethereum, một quá trình di chuyển yên tĩnh nhưng sâu rộng đang diễn ra.

3. Tại sao giao diện người dùng có thể xác minh sẽ trở thành ranh giới bảo mật mới

Nếu sự cố Kelp DAO bộc lộ một điểm tin cậy đã tồn tại trong kiến ​​trúc DeFi thế hệ cũ trong nhiều năm, thì "Giao diện người dùng có thể xác minh" tương ứng với một giai đoạn mới đã bắt đầu xuất hiện.

ETHUX Bản đồ Ethereum UX này thực sự đã phân loại rất rõ ràng mấu chốt cốt lõi của các tương tác trên chuỗi ngày nay: Sự rõ ràng trong giao dịch, Lưu lượng chuỗi chéo, An toàn & Bảo mật luôn là những điểm yếu cốt lõi. Các vấn đề như ký mù, ký mệt mỏi, bắc cầu đau đớn và phân mảnh tài sản đều quen thuộc với hầu hết mọi người dùng cũ.

Lời giải thích đằng sau điều này không phải là "giáo dục người dùng là chưa đủ" mà là một thực tế quan trọng hơn. Trong thế giới on-chain, UX và bảo mật không bao giờ là hai thứ khác nhau.

Nói cách khác, trong nhiều trường hợp, việc không hiểu được bản thân nó chính là rủi ro bảo mật lớn nhất.

Khi mô hình tương tác thay đổi từ "người dùng trong DApp Từng bước ở giao diện người dùng, nhấp chuột" chuyển thành "người dùng thể hiện ý định của mình và hệ thống tự động hoàn tất quá trình thực thi". Vấn đề này sẽ chỉ được khuếch đại hơn nữa chứ không bị suy yếu.

Xét cho cùng, trong kỷ nguyên giao diện người dùng DApp truyền thống, người dùng ít nhất có thể nhìn thấy các nút, trang và cửa sổ bật lên ủy quyền. Ngay cả khi sự hiểu biết của họ chưa đầy đủ, ít nhất họ cũng có thể nhận thức một cách mơ hồ “Tôi đang thực hiện một số bước hoạt động”, “Đây là ủy quyền hay chuyển khoản” và “Tôi có phải là chuỗi chéo hay đang gửi tiền không”.

Nhưng một khi bạn bước vào kỷ nguyên Đặc vụ, cảm giác rõ ràng về quá trình này sẽ bị nén lại rất nhiều. Người dùng không còn nhấp vào Router, Bridge, Vault và Lending Market lần lượt để xác nhận từng bước của cuộc gọi mà nhiều khả năng chỉ nói với ví AI: “Thay đổi ETH của tôi sang chiến lược thu nhập ổn định hơn”, “Cross to Base, kiểm soát mức trượt giá tối đa”, “Chỉ cho phép Đại lý này chi 100 USDT trong vòng 24 giờ”, rồi chờ kết quả “hoàn thành”.

Điều này chắc chắn có nghĩa là sự cải thiện đáng kể về hiệu quả, nhưng nó cũng có nghĩa là các đường dẫn trung gian, tham số, ủy quyền và trình tự thực thi ngày càng dễ dàng bị loại khỏi tầm nhìn của người dùng. Ngược lại với nền tảng đó, imToken đã đề xuất hai hướng song song. Một là tiếp tục khám phá các đường dẫn tương tác dựa trên mục đích, cho phép người dùng chỉ thể hiện "những gì tôi muốn" và hệ thống chịu trách nhiệm tìm đường dẫn và hoàn thành quá trình thực thi; cách còn lại là quảng cáo "Giao diện người dùng hợp nhất và có thể xác minh" và nâng cao rõ ràng thực tế rằng "bản thân giao diện cũng có thể trở thành bề mặt tấn công" thành một đề xuất dài hạn ở cấp độ sản phẩm.

Điều này thực sự nêu bật sự thay đổi quan trọng nhất về trách nhiệm của ví thế hệ tiếp theo.

Trước đây, ví giống như một công cụ chữ ký, chịu trách nhiệm gửi hành động xác nhận của người dùng tới chuỗi; nhưng ở giai đoạn Tác nhân can thiệp dần dần vào quá trình tương tác, ví không thể chỉ là một kênh mà phải trở thành điểm kiểm tra xác định cuối cùng trước khi thực thi. AI có thể chịu trách nhiệm hiểu các yêu cầu, tạo ra giải pháp và lập kế hoạch, nhưng ví phải chịu trách nhiệm chuyển các kết quả tạo xác suất này thành nội dung thực thi xác định có thể được người dùng xác minh, hệ thống xác minh và bị ràng buộc bởi các quy tắc.

Theo nghĩa này, "Giao diện người dùng có thể xác minh" không thực sự tương ứng với khái niệm thiết kế giao diện nâng cao hơn mà là một mô hình bảo mật tương tác mới. Thậm chí có thể nói rằng nó giống như một mảnh ghép cơ bản mà ví tự lưu trữ gần như chắc chắn sẽ cần phải hoàn thành sau khi bước vào giai đoạn tiếp theo.

Trước đây, ngành luôn nhấn mạnh "Không phải chìa khóa của bạn, không phải tiền của bạn"; nhưng trong thời đại mà việc thực thi Tác nhân và hướng theo ý định đang dần trở thành xu hướng chủ đạo thì phải thêm một câu nữa: Giao diện của bạn cũng phải là giao diện mà bạn có thể xác minh.

Được viết ở phần cuối

Sau sự cố Kelp DAO, rất nhiều cuộc thảo luận về cấu hình DVN, kiểm soát rủi ro LRT, các đường dẫn bắc cầu và sàng lọc rủi ro một điểm nhanh chóng xuất hiện trong ngành.

Những cuộc thảo luận này có giá trị của chúng.

Nhưng nếu một vụ tai nạn gây thiệt hại hàng trăm triệu đô la cuối cùng lại được tóm tắt là “lần này ai phân bổ ngày càng ít” thì điều đó vẫn chưa thực sự được hiểu rõ. Nói một cách thẳng thắn, hiệu quả, tính thanh khoản và thu nhập của nhiều sản phẩm trên chuỗi ngày nay vẫn dựa trên các giả định một điểm mà người dùng không thể nhìn thấy hoặc xác minh.

Đây là lý do tại sao phân quyền không bao giờ đối lập với hiệu quả mà là điểm mấu chốt của an ninh.

Thời đại bảo mật dựa trên các giả định một điểm thực sự cần phải chấm dứt.