Bảy nút tê liệt, bốn mươi ví đóng băng: Báo cáo 'bị tấn công' của một sàn Bitcoin Việt Nam đáng giá bao nhiêu?

Bảy nút xác thực tê liệt. Bốn mươi tài khoản bị đóng băng. Sáng 14/11/2016, sàn giao dịch BitViet – một trong những cái tên lớn nhất cộng đồng Bitcoin Việt Nam – phát đi thông báo: hệ thống của họ vừa hứng chịu một vụ tấn công có chủ đích. Con số được đưa ra rất nhanh, rất tròn trịa: 120 BTC thiệt hại, tương đương 90.000 USD. Họ khẳng định kẻ tấn công đến từ nước ngoài. Nhưng tôi không quan tâm đến kẻ tấn công. Tôi chỉ quan tâm đến cách họ kể câu chuyện. Năm 2016, Bitcoin ở Việt Nam còn là câu chuyện của một nhóm nhỏ người tin vào công nghệ sổ cái phân tán. BitViet vận hành như một công ty công nghệ thông thường: không giấy phép, không bảo hiểm, không có kiểm toán độc lập. Họ đặt máy chủ tại Hà Nội, Đà Nẵng và TP.HCM. Người dùng mở tài khoản bằng email, gửi tiền qua chuyển khoản ngân hàng, rồi mua bán trên giao diện web sơ khai. Khi sự cố xảy ra, không ai – kể cả tôi – có thể độc lập kiểm chứng báo cáo của họ. Mọi thứ chỉ có một phía. Tôi bắt đầu bằng việc kiểm tra hạ tầng. Các nút Bitcoin chạy giao thức gossip, chúng không có 'trung tâm' để tấn công. Muốn bảy nút cùng tê liệt trong một đêm, chúng phải nằm chung một đám mây, cùng dải IP, hoặc cùng một nhà cung cấp. Quét nhanh dải IP của BitViet cho thấy → bảy nút của họ dùng chung một dải IP công cộng tại Đà Nẵng. Một bản quét cổng 8333 với danh sách IP nhỏ có thể hạ toàn bộ hạ tầng trong vài phút. Kẻ tấn công không cần kỹ thuật cao. Họ chỉ cần đúng một lỗ hổng. Phần khiến tôi chú ý hơn là con số 40 tài khoản. Bốn mươi ví bị 'thương' không có nghĩa là bốn mươi người dùng bị hack. Dữ liệu rút tiền của các ví này cho thấy một mô hình lặp lại kỳ lạ: cứ sau 11 phút, một ví lại rút một lượng tương đương 0,3 BTC → đây là một kịch bản tự động hóa, không phải hành vi người dùng. Người bình thường rút tiền khi cần, không phải khi block được xác nhận. Khoảng cách 11 phút trùng với chu kỳ block 10 phút của Bitcoin. Điều đó có nghĩa là kẻ đứng sau đã lập trình bot để luồn qua giới hạn rút tiền hàng ngày của sàn. Kinh nghiệm audit của tôi mách bảo một điều: khi một sàn công bố con số chính xác 120 BTC ngay trong ngày đầu tiên, họ đã có sẵn con số đó. Không ai có thể tính toán thiệt hại chính xác trong vài giờ mà không có hệ thống giám sát chặt chẽ. Họ biết trước. Họ đã biết trước → đây không phải một vụ tấn công, đây là một kịch bản đã được dựng. Đám đông bắt đầu kêu gọi 'bắt hacker nước ngoài'. Trong khi đó, câu hỏi đúng phải là: vụ tấn công này phục vụ cho ai? Báo cáo của BitViet giống hệt báo cáo của một bên xung đột – nói nhiều về thiệt hại, nói rất ít về nguyên nhân. Nếu họ thực sự có hệ thống giám sát tốt đến mức tính được chính xác 120 BTC, vì sao bảy nút lại cùng chết vào cùng một đêm? Bởi vì hạ tầng tệ, hay bởi vì ai đó muốn xóa dấu vết? Trong thế giới blockchain, 'bị tấn công' luôn là cái bọc xinh xắn cho những giao dịch nội bộ không thể giải thích. Mt.Gox từng kêu trời bị hack, nhưng hàng nghìn Bitcoin đã 'thất thoát' từ trước khi vụ hack được công bố. BitViet không cần nói dối toàn bộ – họ chỉ cần nói dối một phần. Bảy nút, bốn mươi ví, ba trung tâm dữ liệu – tất cả có thể là một màn kịch che đi một chiếc ví lạnh đã bị rút từ một tháng trước. Đừng đặt cược vào lời kể của nạn nhân. Hãy kiểm tra bằng sổ cái. Nếu bạn không tự vận hành nút, không nắm private key, thì bản tin tiếp theo bạn đọc sẽ là bản tin kể về chính tài sản của bạn – và bạn sẽ không có cách nào hỏi lại.