Theo Cointelegraph, sau một quý 2 đầy ảm đạm, thị trường cho vay tiền điện tử đang chứng kiến sự hồi sinh mạnh mẽ khi các biểu đồ giao dịch chuyển mình từ sắc đỏ sang xanh tươi. Sự quan tâm tăng vọt đã đẩy hoạt động cho vay lên một tầm cao mới, nhưng câu hỏi đặt ra là liệu những rủi ro cố hữu đã được giải quyết?
Các số liệu từ Galaxy cho thấy 11,33 tỷ USD đã rút khỏi lĩnh vực này trong quý 2 – một phần lớn là do cuộc khủng hoảng niềm tin vào các nền tảng cho vay sau vụ hack Kelp DAO vào tháng 4, khiến người dùng của giao thức được tin cậy nhất, Aave, không thể truy cập ETH của họ.
Tuy nhiên, kể từ đầu tháng 7, tổng giá trị tài sản bị khóa (TVL) trong lĩnh vực cho vay đã tăng hơn 55%, đạt khoảng 56 tỷ USD ở thời điểm hiện tại.
Sự tăng trưởng này đồng nghĩa với việc “mục tiêu” của tin tặc cũng ngày càng lớn hơn. Liệu người dùng có thể thực sự tin tưởng vào các giao thức cho vay DeFi liên kết chặt chẽ trong kỷ nguyên của những cuộc tấn công được hỗ trợ bởi AI, khi một lỗ hổng từ bất kỳ giao thức nào cũng có thể gây ra chuỗi tác động tàn khốc cho các giao thức khác có kết nối?
Stani Kulechov, người sáng lập và CEO của Aave Labs, chia sẻ với Cointelegraph rằng vấn đề này hiện đang được đặt lên hàng đầu.
“Khi một giao thức chấp nhận một token làm tài sản thế chấp, nó cũng đồng thời chấp nhận cầu nối, cấu hình xác minh, oracle và an ninh vận hành của đơn vị phát hành token đó.”
Và đó chính xác là điều đã đẩy Aave vào rắc rối.
Bề mặt tấn công ngày càng mở rộng
Khi tin tặc khai thác một lộ trình chuỗi chéo của Kelp DAO vào tháng 4, chúng đã tạo ra 116.500 rsETH không có tài sản đảm bảo (trị giá khoảng 290 triệu USD vào thời điểm đó). Nhiều token trong số này sau đó đã được sử dụng làm tài sản thế chấp để vay các tài sản khác trên thị trường Aave.
Mặc dù các hợp đồng của Aave không bị vi phạm trực tiếp, giao thức này vẫn chứng kiến lượng tiền gửi giảm khoảng 15 tỷ USD trong những ngày sau vụ khai thác. Aave buộc phải đóng băng thị trường rsETH và wrsETH của mình.
Thị trường cho vay đã co lại 16,78% trong quý 2. Nguồn: Galaxy
Kulechov cho biết, Aave hiện đang áp dụng một phương pháp tiếp cận an ninh toàn diện hơn. “Chúng tôi đã xây dựng lại cách tiếp cận dựa trên cái nhìn rộng hơn đó,” ông nói. “Điểm khởi đầu của chúng tôi là an ninh không thể chỉ dừng lại ở hợp đồng thông minh.” Ông nhấn mạnh rằng các đánh giá truyền thống “đã bỏ qua rủi ro nằm trong các cầu nối, mạng lưới xác minh và các cơ sở hạ tầng khác mà tài sản phụ thuộc vào.”
Liên quan: MiCA đang hướng tới các kho tiền DeFi, nhưng việc điều chỉnh sẽ khó khăn
Người dùng các giao thức cho vay cũng sẽ cần đánh giá mức độ rủi ro bên ngoài và bên trong mà một giao thức phải đối mặt.
“Mỗi lớp bọc (wrapper), cầu nối (bridge) và oracle giữa người cho vay và tài sản cơ sở là một điểm tiềm ẩn rủi ro,” Thomas Wu, Giám đốc tài chính của Ledn, một nền tảng cho vay được hỗ trợ bởi Bitcoin, chia sẻ.
Sid Powell, đồng sáng lập và CEO của nền tảng tín dụng crypto Maple, chia sẻ với Cointelegraph rằng “những người cho vay nghiêm túc” nên giả định rằng người vay có thể vỡ nợ bất cứ lúc nào và xây dựng chiến lược từ đó.
“Tôi đang giữ cái gì, nó ở đâu, tôi có thể thấy nó theo thời gian thực không, và tôi có thể tiếp cận nó nhanh chóng như thế nào nếu có sự cố?”
Khi an ninh thất bại, khả năng ngăn chặn là then chốt
Sam MacPherson, CEO của Spark, một nền tảng cho vay DeFi, cho biết ngoài hợp đồng thông minh, đội ngũ của ông còn xem xét thiết kế quản trị, an ninh vận hành, chất lượng tài sản thế chấp, quản lý thanh khoản và các mối phụ thuộc trên toàn hệ sinh thái.
Spark đã bắt đầu loại bỏ dần rsETH khỏi SparkLend từ tháng 1, trước vụ khai thác Kelp vào tháng 4, sau khi đánh giá rằng “mức độ sử dụng và doanh thu thấp” của nó không đủ để biện minh cho “rủi ro bổ sung” mà nó tạo ra.
Kulechov cho biết Aave đã giới thiệu các cơ chế tương tự, và mọi tài sản đều được xem xét lại hàng quý và “một lần nữa sau bất kỳ thay đổi quan trọng nào.” Ông nói rằng giao thức đã bắt đầu “một quá trình dừng hoạt động có trật tự” trên sáu mạng lưới không đáp ứng các tiêu chuẩn cấp chuỗi.
Giá trị khóa (TVL) trong lĩnh vực cho vay tăng hơn 55% so với cuối quý 2. Nguồn: DeFiLlama
“Không giao thức nào có thể kiểm soát toàn bộ hệ sinh thái, nhưng nó có thể kiểm soát mức độ rủi ro mà nó chấp nhận và tốc độ phản ứng của nó,” Kulechov nói.
MacPherson cho biết, dù mục tiêu là ngăn chặn thất bại, các giao thức cũng cần có quy trình để ứng phó nếu có sự cố xảy ra.
“Ngăn chặn thiệt hại chỉ là một phần của thách thức. Các giao thức cũng cần chứng minh cách một tổn thất sẽ được ngăn chặn nếu có điều gì đó không ổn xảy ra.”
Giới hạn của lỗi do con người
Shawn Owen, người sáng lập và CEO của SALT Lending, nhận định rằng lỗi do con người vẫn là một trong những lỗ hổng lớn nhất — và cũng là điều dễ bị bỏ qua nhất.
“Nhiều khoản lỗ lớn nhất bắt nguồn từ việc quản lý khóa, kiểm soát truy cập hoặc ai đó bị tấn công phi kỹ thuật (socially engineered), và một cuộc kiểm toán hợp đồng thông minh sẽ không phát hiện ra bất kỳ điều nào trong số đó,” Owen nói.
Các rủi ro bổ sung xuất hiện khi tài sản được triển khai ở nơi khác để tạo ra lợi nhuận. Các nền tảng cho vay crypto đã học được bài học khó khăn đó trong cuộc khủng hoảng thị trường tàn khốc năm 2022, khi các công ty như Celsius, Voyager và BlockFi đều sụp đổ sau khi chấp nhận những rủi ro mà khách hàng không hiểu hoặc không mong đợi.
Để giảm thiểu bề mặt tấn công, Ledn giữ Bitcoin của khách hàng tại các tổ chức lưu ký đủ điều kiện thay vì cho vay để tạo thêm lợi suất.
Liên quan: S&P Global ra mắt đánh giá rủi ro cho thị trường cho vay crypto trị giá 10 tỷ USD
Wu cho biết, mỗi giao dịch là một điểm bổ sung mà tại đó có thể xảy ra sai sót, “vì vậy càng ít giao dịch, rủi ro vi phạm càng thấp.”
“Cách duy nhất để loại bỏ những rủi ro đó là giữ Bitcoin của khách hàng trong kho lưu ký tách biệt, với các biện pháp kiểm soát chặt chẽ và càng ít di chuyển càng tốt.”
Powell cảnh báo rằng khi tiền gửi đổ vào nhanh hơn khả năng người quản lý tìm được nơi tốt để cho vay, áp lực duy trì lợi suất có thể dẫn đến những lựa chọn tồi.
“Vì vậy, họ chấp nhận rủi ro nhiều hơn một chút để đạt được mục tiêu đó. Có thể các tiêu chuẩn thế chấp trở nên lỏng lẻo hơn, hoặc họ cho vay cho một người vay mà họ đã từ chối một năm trước. […] Các nhà quản lý trụ vững trong thời kỳ suy thoái thường là những người sẵn sàng từ chối vốn khi họ không có nơi tốt để đặt nó.”
Liệu AI có thể giúp cho vay an toàn hơn?
Bất chấp tất cả những tiêu đề gần đây về các vụ hack và khai thác của AI cũng như các tác nhân thoát khỏi sự kiểm soát của con người, AI thực sự có thể hỗ trợ làm cho hoạt động cho vay tiền điện tử trở nên an toàn hơn.
Aave đã sử dụng thử nghiệm có hỗ trợ AI cùng với các quy trình bảo mật thông thường của mình. Họ đã sử dụng thử nghiệm đột biến (mutation testing) để cố ý đưa lỗi vào các hợp đồng V4 và bộ thử nghiệm của họ đã phát hiện 271 trong số 304 lỗ hổng được tiêm vào.
Trong một đánh giá gần đây về cơ sở mã V3 và V4 của mình, ba công cụ bảo mật AI đã tạo ra 71 phát hiện. Sau khi xem xét thủ công, 20 phát hiện được coi là hợp lệ. 51 phát hiện còn lại cho thấy lý do tại sao các chuyên gia bảo mật con người có thể sẽ vẫn có việc làm trong một thời gian nữa.
Đánh giá an ninh có hỗ trợ AI của Aave V3 & V4. Nguồn: Aave
“AI rất tốt trong việc kiểm tra rộng và nhanh,” Kulechov nói, “nhưng khoảng 70% các phát hiện thô là dương tính giả, vì vậy phán đoán của chuyên gia vẫn là thiết yếu.”
AI là một con dao hai lưỡi khi các quyền hạn, kiến thức giao thức và quy trình ra quyết định của nó trở thành một bề mặt tấn công tiềm năng khác.
“Khi các tác nhân AI bắt đầu quản lý vốn trên chuỗi,” Kulechov nói, “các quyền hạn, đầu vào và logic quyết định của chúng trở thành những thứ cần được bảo mật giống như một hợp đồng.”
Vì vậy, khi hoạt động cho vay tiền điện tử tăng trưởng trở lại, thách thức không chỉ là giữ cho mã nguồn an toàn mà còn đảm bảo mọi phần mới của hệ thống được hiểu rõ, được giám sát và được ngăn chặn khi có sự cố xảy ra.
Magazine: Stablecoin có thể rút tiền khỏi ngân hàng và các quốc gia với tốc độ cực nhanh
Nguồn: Cointelegraph – Crypto lending rises again… but have they solved the risks?
Bài viết do tienso.org biên dịch và biên soạn lại từ nguồn dẫn phía trên nhằm phục vụ độc giả Việt Nam; nội dung có thể được rút gọn hoặc diễn giải lại so với bản gốc. Bản quyền nội dung gốc thuộc về tác giả và đơn vị xuất bản ban đầu. Bài viết chỉ mang tính thông tin tham khảo, không phải lời khuyên đầu tư — độc giả nên đối chiếu bản gốc và tự xác minh trước khi ra quyết định. Nếu bạn là chủ sở hữu nội dung và muốn chúng tôi hiệu chỉnh hoặc gỡ bài, vui lòng gửi yêu cầu tại trang Liên hệ của tienso.org.
