Lưu ý của biên tập viên: Các bản nâng cấp của Taproot và Segwit đã giới thiệu các tính năng mới cho mạng BTC và cũng cho phép mở rộng gián tiếp dữ liệu khối, góp phần vào sự bùng nổ của hệ sinh thái BTC kể từ năm 2023. Tuy nhiên, việc giới thiệu các tài sản và tính năng mới cũng đi kèm với những thách thức bảo mật mới. Làm cách nào để tối đa hóa bảo mật tài sản trong hệ sinh thái BTC với cơ sở hạ tầng bảo mật hạn chế? OneKey Chinese đã chuẩn bị một hướng dẫn chống lừa đảo cho người chơi trong hệ sinh thái Bitcoin. Chúng tôi đã biên soạn nó như sau:
Cuối năm 2021, việc nâng cấp Taproot có hiệu lực tại khối 709, 632. Khi đó, mọi người đang đắm chìm trong cơn sốt Ethereum NFT và không ai biết rằng đây sẽ là đợt nâng cấp “làm giàu” nhất của BTC.
Các bản nâng cấp Taproot và Segwit đã giới thiệu các tính năng mới cho mạng BTC, đồng thời cho phép mở rộng gián tiếp dữ liệu khối (tương đương 1 MB đến 4 MB), điều này đã trở thành tác nhân dẫn đến sự bùng nổ của hệ sinh thái BTC từ năm 2023 đến nay. Sự xuất hiện của các tài sản mới như Taproot Assets, Ordinals BRC-20, ARC-20, Runes, v.v. cũng đã giữ tỷ lệ chấp nhận chuyển nhượng của Taproot ở mức một nửa hoặc hơn.
Tuy nhiên, việc giới thiệu các tài sản và tính năng mới cũng đi kèm với những thách thức bảo mật mới .
Hệ sinh thái Bitcoin có mô hình cơ bản khác với hệ sinh thái Ethereum. Tình hình hiện tại trong hệ sinh thái tài sản mới BTC, nơi “nhiều thứ cần được xây dựng” và “ngưỡng hiểu biết tương đối cao” được cho là khiến nhiều người dùng phấn khích – xét cho cùng, điều này thường đồng nghĩa với cơ hội “làm giàu”.
Nhưng điều này cũng sẽ đưa ra những yêu cầu mới về nhận thức của người dùng về hoạt động an toàn, nếu không sẽ dễ bị mất xu mà không hề hay biết. Thậm chí đã xảy ra những sự cố như vụ tai nạn trước đó trong đó thị trường Atomic sử dụng sai loại chữ ký, dẫn đến các cuộc tấn công của hacker.
Dưới đây, OneKey giải thích một cách đơn giản cách bảo vệ an ninh tài sản ở mức độ lớn nhất và ngăn chặn lừa đảo trong hệ sinh thái BTC với cơ sở hạ tầng bảo mật hạn chế.
Phân tích ngắn gọn về tác động cụ thể của việc nâng cấp Taproot
Trước khi mô tả các biện pháp chống lừa đảo cụ thể, chúng ta cần trình bày tác động của việc nâng cấp Taproot.
Ngoài việc thúc đẩy gián tiếp đã đề cập trước đó về sự thịnh vượng của hệ sinh thái đa tài sản BTC, những thay đổi lớn đã thực sự diễn ra ở cuối các giao dịch BTC, chủ yếu là hai: chữ ký Schnorr và công nghệ MAST. Sự kết hợp của cả hai điều này với PSBT (Giao dịch chữ ký một phần) giúp tin tặc có nhiều cơ hội hơn để lừa đảo.
Một là chữ ký Schnorr. Đúng vậy, bản nâng cấp này đã thay thế chữ ký ECDSA trong sách trắng. Đặc tính kỹ thuật của chữ ký này là nhiều chữ ký hoặc khóa chung được tổng hợp thành một. Trước đây, công việc cần nhiều chữ ký để xác nhận giờ đây chỉ cần xác minh một lần, điều này trực tiếp làm giảm không gian bị chữ ký chiếm giữ.
Một là công nghệ MAST. Nếu trước đây là chữ ký tổng hợp thì MAST được dùng để “tổng hợp” nhiều tập lệnh (đối với tập lệnh, bạn có thể hiểu chúng là những “hợp đồng thông minh” có giới hạn của Bitcoin). Đồng thời, khi gửi xác minh mở khóa chi tiêu, bạn chỉ cần xác minh một trong các điều kiện chi tiêu. Không gian bị chiếm giữ bởi các tập lệnh phức tạp với nhiều điều kiện có thể được giảm đi đáng kể.
Hai công nghệ này có tác động lớn nhất đến quyền riêng tư và cũng tiềm ẩn những rủi ro về bảo mật.
Đối với hồ sơ chuyển khoản, tất cả các lần chuyển UTXO sẽ trông giống nhau sau khi nâng cấp. Trong Mempool, loại truyền được hiển thị là P2TR và các địa chỉ đều là địa chỉ có cùng độ dài bắt đầu bằng bc1p .
Trước đây, bạn có thể dễ dàng phân biệt sự khác biệt giữa việc chuyển sang địa chỉ thông thường ( P2PKH/P2WPKH ) và chuyển sang địa chỉ tập lệnh ( P2SH/P2WSH ).
Bây giờ, trước khi xem người khác sử dụng UTXO, bạn không thể phân biệt được sự khác biệt giữa việc chuyển sang địa chỉ thông thường và chuyển sang địa chỉ tập lệnh.
Đối với các tập lệnh, việc xác minh của người khai thác chỉ cần hiển thị một điều kiện chi tiêu của tập lệnh và các tập lệnh nhánh khác không được thế giới bên ngoài biết đến.
5 mẹo ngăn chặn lừa đảo tài sản mới trong hệ sinh thái Bitcoin
Rõ ràng, cơ sở hạ tầng bảo mật của hệ sinh thái tài sản lớp BTC hiện tại kém mạnh mẽ hơn nhiều so với Ethereum và có nhiều điều mà người dùng cần phải hiểu và tìm hiểu trước tiên.
Đồng thời, nguyên tắc lừa đảo khác với Ethereum, nhiều cuộc tấn công lừa đảo có thể không được toàn bộ thị trường hiểu rõ trước khi chúng bị phát hiện. Ví dụ: sự cố bảo mật chữ ký *SIGNHASH_NONE trên thị trường Atomic và ví Unisat/Xverse cũng đã thêm lời nhắc bảo mật sau này.
(1) Bí quyết đầu tiên: những kỹ năng cơ bản thông thường về bảo mật mã hóa
Tức là, hãy chú ý đến tính bảo mật của việc lưu trữ khóa riêng ngoại tuyến, chú ý xem đó có phải là trang web đáng tin cậy hay không, chú ý đến việc bảo vệ máy tính khỏi bị nhiễm vi-rút Trojan, v.v.
Tuy nhiên, trong thị trường FOMO, người dùng có thể muốn “gấp rút” vào một dự án mới trước khi hình thành sự đồng thuận tin cậy, lúc này, một số thủ thuật tiếp theo đặc biệt quan trọng.
(2) Bí quyết thứ hai: làm rõ đầu vào và đầu ra
Ethereum có “chữ ký mù”. Nghĩa là, khi ký, nếu ví không phân tích cú pháp, bạn chỉ có thể thấy một mớ ký tự lộn xộn và bạn không thể đoán trước được điều gì sẽ xảy ra với tài sản sau khi ký. Điều này cũng tạo ra nguy cơ mất tiền.
Trong Bitcoin, đầu vào và đầu ra của giao dịch phải được xác định rõ ràng, cũng như địa chỉ chuyển tương ứng của đầu vào và đầu ra. (Đó là: “Từ đâu đến, bao nhiêu đồng tiền đến” và “Đã đi đâu, bao nhiêu đồng tiền đã đi về”.)
Khi ký, bất kể có sử dụng PSBT hay không, những thay đổi xảy ra trước và sau giao dịch sẽ được hiển thị rõ ràng trong ví. Vì vậy, việc kiểm tra xem đầu vào và đầu ra có đáp ứng mong đợi của bạn hay không là rất quan trọng.
Ví dụ: nếu tin tặc muốn đánh cắp tất cả NFT Ordinals của bạn cùng một lúc, thì đầu vào giao dịch (INPUT) chắc chắn sẽ hiển thị rằng tất cả NFT Ordinals của bạn đã được đưa vào. Đồng thời, kết quả đầu ra (OUTPUT) sẽ hiển thị họ đã đi đến những địa chỉ lạ.
Lấy việc sử dụng Unisat để đặt hàng Ordinals NFT trên MagicEden làm ví dụ. Khi bạn đặt hàng một hoặc nhiều NFT dòng chữ trong thị trường MagiEden, yêu cầu chữ ký PSBT bật lên sẽ hiển thị rằng đầu vào (INPUT) của giao dịch là một trong những dòng chữ hoặc nhiều dòng chữ của bạn và đầu ra sẽ được hiển thị. Sau khi giao dịch thành công, bạn sẽ nhận được bao nhiêu Bitcoin.
(3) Bí quyết thứ ba: cẩn thận với kiểu chữ ký
Bạn có thể xem kiến thức khoa học phổ biến về các loại chữ ký hiện tại của Bitcoin tại đây ( https://btcstudy.org/2021/11/09/bitcoin-signature-types-sighash/… ).
Các loại chữ ký duy nhất cần chú ý ở đây là SIGHASH_NONE ( 0x02 ) và SIGHASH_NONE | SIGHASH_ANYONECANPAY ( 0x82 ). Cả hai điều này đều có nghĩa là bạn “chỉ ký vào đầu vào của giao dịch, bất kể đầu ra của giao dịch”.
Đối với nội dung ghi giao dịch, loại chữ ký an toàn phải là SIGHASH_SINGLE | SIGHASH_ANYONECANPAY ( 0x83 ), có thể xây dựng một giao dịch hoàn chỉnh mà không cần tin cậy thông qua PSBT. Đây cũng là loại chữ ký được sử dụng bởi các thị trường giao dịch chữ khắc chính thống như MagicEden và OKX.
Lấy lỗi trước đây của thị trường Atomic khi sử dụng chữ ký SIGHASH_NONE | SIGHASH_ANYONECANPAY (0x 82) làm ví dụ.
Khi bạn đặt hàng cho nội dung dòng chữ Atom, bạn sẽ thấy đầu vào và đầu ra chính xác khi bạn ký, nghĩa là “nó chỉ định rằng nội dung tôi đã đặt hàng nằm trong đầu vào và đầu ra cũng chứa số tiền tôi có thể nhận được.”
Tuy nhiên, tin tặc hoàn toàn có thể lấy được đầu ra sửa đổi PSBT và các giao dịch đã gửi cũng sẽ được các thợ mỏ đóng gói, cuối cùng khiến bạn không thể nhận được tiền cho lệnh đang chờ xử lý. Nói tóm lại, đó là do loại chữ ký được sử dụng chỉ ký vào phần đầu vào, cuối cùng dẫn đến “mua hàng bằng 0 đô la”.
May mắn thay, các ví sinh thái BTC chính thống hiện tại, chẳng hạn như Unisat và Xverse, đã hỗ trợ đánh dấu lời nhắc hoặc cấm các loại chữ ký như SIGHASH_NONE. Nếu bạn thấy lời nhắc về loại chữ ký liên quan, đừng sử dụng chữ ký này trừ khi nó dành cho mục đích đặc biệt.
(4) Lời khuyên thứ tư: hãy cẩn thận khi sử dụng script
Nếu một dự án hoặc nền tảng yêu cầu bạn chuyển nội dung sang địa chỉ tập lệnh, bạn phải hết sức cẩn thận. Khi ký, bạn sẽ thấy tài sản của mình chuyển đến một địa chỉ lạ ở đầu ra.
Theo nội dung trước, bạn sẽ biết rằng sau khi Taproot được nâng cấp, địa chỉ tập lệnh và địa chỉ khóa riêng của người dùng giống nhau.
Nếu kẻ trộm cố gắng sử dụng địa chỉ khóa riêng để giả mạo, tài sản nhận được có thể được chuyển trực tiếp. Nếu đó là một địa chỉ script thực sự. Điều đó phụ thuộc vào việc họ có tiết lộ toàn bộ nội dung của địa chỉ tập lệnh hay không. Nếu nội dung không đầy đủ được xuất bản, mặc dù người dùng thường có thể ký và chuyển giao tài sản trong quá trình sử dụng, nhưng một hoặc nhiều điều kiện mở khóa UTXO độc hại có thể bị ẩn. Có thể một ngày nào đó trong tương lai, toàn bộ tài sản UTXO sẽ đột ngột bị “đóng cửa” và chuyển đi.
Ngay cả khi họ mở toàn bộ tập lệnh, hiện tại các ví trên thị trường không có chức năng xác minh tính toàn vẹn của tập lệnh MAST và sự tương ứng của địa chỉ đầu ra, người dùng am hiểu về kỹ thuật cần sử dụng thuật toán của Taproot để xác nhận. Hoặc rất tin tưởng vào dự án và đội ngũ.
May mắn thay, đối với các ứng dụng hiện tại, các giao dịch của nhiều tài sản ghi khác nhau không yêu cầu sử dụng các tập lệnh phức tạp. PSBT (Giao dịch chữ ký một phần) có thể được sử dụng để chỉ định đầu vào và đầu ra.
Tuy nhiên, trong các hoạt động BTC L2 trong tương lai, có khả năng cao sẽ có các tập lệnh Bitcoin phức tạp và đa điều kiện. Ví dụ: script stake Bitcoin của Babylon ( @babylon_chain ) có logic chặt chém và logic mở khóa tương đối phức tạp.
Nếu bạn muốn sử dụng phương thức đặt cược gốc của tập lệnh Bitcoin này, điều đặc biệt quan trọng là phải mở tập lệnh nguồn và xác minh tính bảo mật cũng như tính toàn vẹn của tập lệnh đó. Nếu không, người dùng cần phải tuyệt đối tin tưởng vào phía dự án.
(5) Lời khuyên thứ năm: Chú ý đến những diễn biến an toàn và đề phòng trước khi chúng xảy ra.
Hãy chú ý đến các tài khoản hàng đầu trong lĩnh vực bảo mật để đảm bảo bạn có thể cập nhật các kỹ thuật lừa đảo mới nhất và nhận được cảnh báo sớm nhất. Chẳng hạn như cosine @evilcos của SlowMist, @GoPlusSecurity chính thức của Go Plus Security , Scam Sniffer @realScamSniffer , tài khoản chính thức OneKey của chúng tôi @OneKeyCN .
Về việc ngăn chặn sự cố trước khi chúng xảy ra, chúng ta có thể chuyển giao kinh nghiệm bảo mật từ nơi khác. Ví dụ, trong Ethereum có một phương thức lừa đảo như vậy – tức là xây dựng các địa chỉ có đầu và đuôi giống nhau, khiến người dùng sao chép nhầm vào lịch sử và mất tài sản. Khi xây dựng giao dịch chữ ký BTC cũng có thể rơi vào bẫy vì địa chỉ đầu ra không được kiểm tra rõ ràng.
Trong các ví sinh thái BTC chính thống như Unisat/Xverse, địa chỉ Taproot được hiển thị dưới dạng bc1px…e9wh0 (ví dụ) và bc1p là phần đầu cố định của địa chỉ Taproot.
Số tiền này chỉ hiển thị 6 chữ cái để xác nhận. Nó có chức năng sổ địa chỉ chung và về cơ bản hiển thị hơn 10 chữ số theo tiêu chuẩn cho ví Ethereum, điều này rõ ràng là không đủ.
Điều này có nghĩa là tin tặc hoàn toàn có thể thực hiện hành vi lừa đảo tùy chỉnh bằng cách tạo các địa chỉ trùng khớp (mặc dù chưa có nhiều trên Bitcoin).
Vì vậy, nếu bạn làm điều gì đó cực đoan và làm hỏng nó từ trong trứng nước, bạn nên kiểm tra địa chỉ một cách đầy đủ nhất có thể.
Dù sao…
Nghiên cứu Bitcoin.
Nghiên cứu bảo mật Bitcoin.
Khi Taproot giới thiệu các tài sản mới và các kịch bản mới cho Bitcoin, chúng ta cũng phải tìm hiểu về các dạng mối đe dọa bảo mật mới, đặc biệt là các kỹ thuật lừa đảo đang phát triển.
Đặc biệt là hiện nay cơ sở hạ tầng sinh thái không hoàn hảo, thậm chí những hoạt động sai trái như mất tiền và đốt tiền xu thỉnh thoảng vẫn xảy ra chứ chưa nói đến việc đánh bắt cá có kế hoạch tốt.
Cuối cùng: OneKey luôn đặt vấn đề bảo mật lên hàng đầu, theo kịp sự phát triển của công nghệ và cập nhật các chính sách bảo mật chung. Hệ sinh thái BTC là một trong những nhân vật chính của thị trường tăng trưởng này. Chúng tôi sẽ tiếp tục chú ý đến những thách thức bảo mật của hệ sinh thái BTC và cùng nhau thúc đẩy và xây dựng một môi trường tài sản tiền điện tử an toàn hơn.
