Bên dưới lớp sơn hoàn hảo: 'Red Team' của Binance không giải quyết gốc rễ

Không có thứ gọi là một giao thức an toàn chỉ nhờ vào nhân viên cảnh giác. Trong thị trường đi ngang hiện tại, các sàn giao dịch thường tung ra những câu chuyện 'bảo mật' như một cách để xây dựng lòng tin. Nhưng câu chuyện của Binance – về đội Red Team hàng tháng gửi email lừa đảo cho nhân viên và sa thải những ai không qua được bài kiểm tra – thực chất là một lớp sơn bóng trên một bức tường nứt. Tôi đã dành bốn tháng năm 2017 để kiểm tra mã nguồn EOS.IO, phát hiện ra 12 lỗ hổng DPOS; từ đó, tôi biết r: không có biện pháp đơn lẻ nào có thể thay thế cho kiến trúc an toàn. Vậy, Binance đang làm gì đây? Một mặt, họ thể hiện sự cứng rắn: 'Đội Red Team của chúng tôi mô phỏng các cuộc tấn công lừa đảo xã hội – kẻ thù số một của ngành – và sa thải bất kỳ ai không đạt yêu cầu'. Mặt khác, đây là một biện pháp 'phòng thủ con người', không phải 'phòng thủ hệ thống'. Cần xét lại giả định rằng một nhân viên cẩn thận có thể hóa giải 35% các cuộc tấn công dựa trên lừa đảo xã hội – nguyên nhân gây ra 65% sự cố bảo mật theo bài báo. Một cuộc kiểm tra hàng tháng có thể ngăn chặn một kẻ tấn công tinh vi, nhưng liệu nó có thay đổi cấu trúc lỗi khiến các giao thức phi tập trung trở nên mong manh? Sau khi mổ xẻ số liệu, tôi thấy: đây là biện pháp quản trị nội bộ, không phải nâng cấp kỹ thuật. Trong một thị trường sideway khi mà 'bảo mật' trở thành hàng hóa xa xỉ, Binance muốn nói rằng họ đang chiến đấu ở tuyến đầu. Nhưng thực tế, họ đang đốt tiền vào một chương trình huấn luyện mà kết quả có thể bị xói mòn bởi sự mệt mỏi của nhân viên. Không có thứ gọi là sự an toàn tuyệt đối khi bạn chỉ dựa vào con người. Trong quá trình kiểm toán các hợp đồng thông minh ICO năm 2017, tôi đã chứng kiến những dự án có tài liệu bảo mật dày cộp nhưng vẫn sụp đổ vì một dòng code sai. Tương tự, một Red Team có thể tạo ra văn hóa sợ hãi, nhưng không thể ngăn chặn một cuộc tấn công API nếu API đó vốn đã yếu. Cụ thể: bài báo cho biết nhân viên nào thất bại nhiều lần sẽ bị sa thải. Điều này tạo ra động lực mạnh, nhưng cũng gia tăng rủi ro rằng nhân viên sẽ báo cáo các email giả mạo nhưng thực tế lại bỏ qua các dấu hiệu của một cuộc tấn công thực thụ. Từ kinh nghiệm kiểm toán các dự án Yield Farming năm 2020, tôi biết rằng khi một hệ thống phòng thủ trở nên quá cứng nhắc, những lỗ hổng mới sẽ xuất hiện ở những nơi không ai ngờ tới. Một mặt, điều này củng cố câu chuyện 'Binance là sàn an toàn nhất'. Nhưng mặt khác, nó bỏ qua bức tranh lớn: liệu có bao nhiêu lỗ hổng thực sự nằm ở code, ở cấu trúc thanh khoản, hay ở chính mô hình tập trung? Không có thứ gọi là 'bảo mật' có thể đạt được chỉ bằng cách đe dọa sa thải. Tuy nhiên, ở góc nhìn ngược chiều, tôi phải thừa nhận: một sàn giao dịch có đội Red Team nội bộ và áp dụng kỷ luật thép như vậy là trên mức trung bình của ngành. Trong bối cảnh sideway, khi TVL chảy khỏi DeFi và quay lại sàn tập trung, các biện pháp như thế này có thể làm giảm rủi ro vận hành – một tín hiệu tích cực cho các nhà đầu tư đang tìm kiếm nơi trú ẩn. Nhưng hãy nhớ: đây là kiểm soát chương trình, không phải kiểm soát kỹ thuật. Năm 2021, tôi đã chỉ ra rằng 30% NFT 'hiếm' trên OpenSea thực chất là lỗi metadata. Tương tự, một Red Team không thể vá một lỗ hổng trong mã nguồn của giao thức gốc. Cuối cùng, câu hỏi không phải là 'Binance có đang bảo vệ nhân viên của mình không?', mà là 'Liệu họ có đang bảo vệ người dùng khỏi những rủi ro hệ thống thực sự hay không?'. Bài học: không có thứ gọi là bảo mật đến từ một bài kiểm tra hàng tháng.