Mỗi bản nâng cấp là một cánh cửa cho lỗ hổng mới. Nhưng có một thứ còn nguy hiểm hơn: một thiết kế 'danh tính' tưởng chừng hoàn hảo lại đang mở ra cánh cửa cho một cuộc tấn công silencio.
Trong làn sóng AI Agent và 'DePin' gần đây, câu chuyện về 'danh tính trên chain' (on-chain identity / reputation) đang được thổi phồng trở lại. Các dự án hứa hẹn về một tương lai nơi danh tính của bạn là tài sản, có thể mang đi khắp nơi, không bị kiểm soát bởi Big Tech.
Tất cả nghe có vẻ rất 'decentralized'. Nhưng hãy để tôi chỉ ra điểm mù kỹ thuật mà hầu như không ai trong số những người 'Fomo' này nhìn thấy: Việc xây dựng một lớp danh tính trên nền tảng blockchain không thể xóa (immutable ledger) đang tạo ra một 'hồ sơ tội phạm' vĩnh viễn cho người dùng, mà chính họ không hề hay biết.
Hãy bắt đầu với một case study thực tế. Hồi đầu năm, tôi có tham gia vào một đợt audit cho một giao thức 'Decentralized Identity (DID)' mới nổi. Họ tự hào khoe kiến trúc 'off-chain storage, on-chain verification' của mình. Về mặt kỹ thuật, họ sử dụng IPFS để lưu trữ dữ liệu hồ sơ (profile data, credentials) và chỉ lưu hash (CID) trên Ethereum. Nghe có vẻ an toàn? Sai lầm chết người.
Phân tích kỹ thuật. Điểm mù trong thiết kế 'Danh tính Bất biến'.
Vấn đề nằm ở chính 'tính bất biến' mà blockchain mang lại. Khi một người dùng tạo một danh tính (một smart contract proxy hoặc một NFT đại diện cho 'tôi'), mọi hành động, mọi credential, mọi 'endorsement' từ người khác đều được ghi lại vĩnh viễn trên chain. Hãy tưởng tượng bạn tham gia một DAO và vote 'sai' trong một cuộc bầu cử gây tranh cãi, hoặc bạn vô tình tương tác với một contract bị blacklist. Trong một hệ thống danh tính tập trung (như Google), bạn có thể xóa lịch sử đó. Trên blockchain? Nó ở đó mãi mãi.
Chữ ký mù: kẻ thù vô hình trong giao dịch NFT. Nhưng vấn đề không chỉ dừng lại ở lịch sử. Nó còn nằm ở cơ chế 'ghép nối' danh tính. Hầu hết các giao thức DID mới đều cho phép 'link' các địa chỉ ví khác nhau vào một danh tính duy nhất để xây dựng 'reputation score'. Logic này nghe có vẻ hay: bạn càng nhiều hoạt động, điểm càng cao. Nhưng họ quên mất một điều: Một địa chỉ ví A có thể hoàn toàn trong sạch, nhưng một địa chỉ B được 'link' vào nó có thể đã từng tham gia rửa tiền hoặc tương tác với một mixer.
Khi đó, toàn bộ 'danh tính' của bạn sẽ bị nhiễm bẩn. Không có cách nào để gỡ bỏ mối liên hệ đó, bởi vì 'link' là một giao dịch on-chain. Điều này tạo ra một cơ chế 'guilt by association' (kết tội vì có liên quan) vĩnh viễn. Một kẻ tấn công có thể cố tình 'tặng' cho bạn một NFT từ một địa chỉ đen, và lập tức reputation score của bạn sẽ giảm xuống 0.
Góc nhìn phản trực giác. Điểm mù về bảo mật của 'Privacy'.
Đây là điều mà tôi cho là trớ trêu nhất. Những người ủng hộ 'on-chain identity' thường viện dẫn lý do 'privacy-preserving' để bảo vệ thiết kế của họ. Họ nói: 'Chúng tôi chỉ lưu hash, không lưu dữ liệu gốc'. Họ quên mất rằng một 'hash' của một bức ảnh hoặc một tài liệu là một định danh duy nhất. Nếu bạn đã từng upload một bức ảnh chân dung của mình lên một nền tảng Web2 phi tập trung nào đó (ví dụ IPFS qua một gateway công cộng), kẻ tấn công hoàn toàn có thể brute-force tìm ra nội dung gốc từ hash được lưu trong contract. Điều này biến một hệ thống 'danh tính ẩn danh' thành một hệ thống 'danh tính tập trung' dễ dàng bị vũ khí hóa hơn.
Không chỉ có vậy. Còn một vấn đề cấp độ giao thức nữa: Gas cost của việc cập nhật 'danh tính'. Bất kỳ thay đổi nào trong hồ sơ của bạn (thay ảnh đại diện, thêm credential) đều tốn gas. Điều này tạo ra một rào cản kinh tế cho người dùng. Những người giàu có thể liên tục cập nhật và 'tẩy rửa' danh tính của họ (bằng cách tạo một danh tính mới và chuyển tiền), trong khi người dùng nghèo hơn sẽ bị mắc kẹt với một danh tính 'xấu' vì không đủ tiền để thoát ra.
Đây là một dạng 'ngăn cách giai cấp' mới trong thế giới crypto, được thiết lập bởi chính thiết kế giao thức. Nó mâu thuẫn hoàn toàn với tinh thần 'công bằng' mà những người theo chủ nghĩa tối đa hóa blockchain luôn hô hào.
Dự báo rủi ro. Và chúng ta sẽ đi về đâu?
Tôi không nói rằng on-chain identity là vô dụng. Nó có một ứng dụng rất thực tế: nó giúp giảm thiểu sybil attacks trong các cơ chế bỏ phiếu hoặc airdrop. Nhưng nếu chúng ta không giải quyết triệt để vấn đề 'bất biến' và 'liên kết vĩnh viễn', thì đây sẽ là một vũ khí hủy diệt hàng loạt mới trong tay các kẻ tấn công. Những người 'quét địa chỉ' để tìm ra các cá voi đang ngủ quên, và làn sóng tấn công 'social engineering' dựa trên dữ liệu on-chain đã bắt đầu.
Từng là kẻ thù trong giao dịch, giờ đây 'chữ ký mù' đang trở thành một phần của danh tính. Và tôi có một dự đoán mạnh mẽ: Trong vòng 12 tháng tới, sẽ có ít nhất một vụ hack 'Identity-Based' trị giá trên 10 triệu đô la, nơi kẻ tấn công khai thác chính cơ chế 'guilt by association' của các giao thức DID để thao túng giá token hoặc đánh cắp tài sản.
Liệu các nhà phát triển vẫn có thể nhắm mắt làm ngơ khi cơn sốt 'danh tính' này đi qua?