Hiểu về “crypto hack” qua vụ hack sàn Mt.Gox chấn động thế giới crypto

*Đây là series "WordStory" giải thích các thuật ngữ trong crypto qua những câu chuyện nổi bật.

Mới đây, sàn giao dịch tiền điện tử Nhật Bản Mt. Gox thông báo trả 142,000 Bitcoin cho các chủ nợ trong thời gian tới. Những chủ nợ này đã khóa các khoản đầu tư của mình trên sàn khi Mt. Gox bị phá sản vào năm 2014 sau một vụ hack, dẫn đến việc khoảng 850,000 Bitcoin bị đánh cắp. 

Vụ hack đã làm rúng động thế giới tiền điện tử vào giai đoạn non trẻ của nó khi Mt. Gox từng được xem là sàn giao dịch Bitcoin lớn nhất thế giới trong thời kì hoàng kim.

Exploit vs. Hack trong crypto

Trong crypto, về cơ bản, mọi người thường xem exploit và hack tương tự nhau, nhưng có một sự khác biệt tinh tế giữa hai hình thức tấn công này. 

Khi ai đó sử dụng code không đúng với mục đích ban đầu nó được viết ra, các nhà công nghệ sẽ coi đó là một cuộc “exploit” (khai thác). Trường hợp này liên quan đến code nhiều hơn là hành động của con người, vì thế những lỗi do con người tạo ra - như sai sót trong một giao dịch hay bỏ qua một lỗ hổng bảo mật - được giải thích là quá trình tự nhiên của code.

Vụ tấn công Wormhole vào tháng Hai làm thất thoát 120,000 wETH (trị giá khoảng 321 triệu USD vào thời điểm đó) là một ví dụ về exploit. Kẻ tấn công đã tiến hành một loạt giao dịch để hợp đồng thông minh của Wormhole nhầm lẫn các wETH giả mạo là đồ thật. Đây là một lỗ hổng bảo mật mà những người sở hữu kiến thức sâu rộng và có nhiều thời gian mới có thể khai thác được.

Trong khi đó, một cuộc tấn công chỉ được nâng lên mức “hack” khi code được viết lại hoặc bị phá hỏng. Đây là sự khác biệt tinh tế về mặt công nghệ, dù cả hai thuật ngữ này đều xuất phát từ ngành công nghiệp gaming, trong đó “hack” một trò chơi để chiếm được lợi thế thường bị xem là không công bằng, nhưng “exploit” hoặc tìm ra sơ hở trong trò chơi lại là điều đáng tự hào.

Và vụ tấn công vào sàn Mt. Gox chính là một vụ hack tiêu biểu.

Từ tay chơi lớn đến kẻ thảm hại trong crypto

Vụ hack ma không biết, quỷ không hay

Công ty được thành lập bởi lập trình viên người Mỹ Jed McCaleb vào năm 2010 và vào năm 2011 được bán cho nhà phát triển người Pháp Mark Karpelés.

Mt. Gox không chỉ đơn thuần là một tay chơi lớn trong thế giới tiền điện tử. Vào thời kỳ đỉnh cao năm 2013, sàn giao dịch đã xử lý 70% tổng số giao dịch Bitcoin trên toàn thế giới. Đầu năm 2014, con số này giảm xuống một chút nhưng công ty vẫn đang phát triển mạnh mẽ, cho đến khi tai hoạ ập đến.

Mt. Gox đã bị giáng một đòn chí tử trong một trong những vụ hack Bitcoin lớn nhất lịch sử. Hacker đã truy cập và đánh cắp khoảng 750,000 Bitcoin từ khách hàng của Mt. Gox và 100,000 Bitcoin từ chính công ty (tương đương 460 triệu USD vào thời điểm đó).

Mọi thứ nhanh chóng vượt khỏi tầm kiểm soát và cuối tháng 2/2014, công ty phá sản. Tuy mọi thứ bùng nổ vào thời gian này nhưng người ta nghi ngờ hoạt động hack đã diễn ra từ tận đầu năm 2011.

Cụ thể, vào tháng 6/2011, công ty “dính đòn” hack đầu tiên, hacker chiếm được máy tính của kiểm toán viên Mt. Gox và thay đổi giá Bitcoin thành 0.01 USD. Sau đó, họ bắt đầu mua Bitcoin với giá “dỏm” này bằng cách sử dụng private key từ các ví nóng của khách hàng Mt. Gox và thu được khoảng 2,000 Bitcoin. Các khách hàng khác mua được khoảng 650 Bitcoin ở giá rẻ như cho này và chưa từng có ai trả lại đồng nào cho sàn.

Sau đó, Mt. Gox đã thắt chặt an ninh, nhưng mọi thứ không đủ để bảo vệ sàn giao dịch trước cú hack năm 2014. Các cuộc điều tra về vụ tấn công này cho thấy các private key của Mt. Gox không được mã hóa và đã bị đánh cắp từ năm 2011. Không rõ liệu hacker có được thông tin này qua một vụ hack khác hay nhờ sự trợ giúp của “tay trong”.

Từ đó, trong vài năm tới, các hacker bắt đầu ăn cắp Bitcoin từ tài khoản của khách hàng. Hệ thống Mt. Gox diễn giải các vụ trộm này là việc chuyển Bitcoin đến các địa chỉ khác an toàn hơn, khiến công ty dường như không hay biết gì.

Mt. Gox - “trái bí thối ruột”?

Đáng kinh ngạc là dường như công ty đã bị “phá sản” về mặt kỹ thuật trong gần hai năm trước khi vụ hack được công khai và tiễn Mt. Gox về cõi chết. Vào giữa năm 2013, năm mà công ty dường như đang gặt hái thành công rực rỡ, họ đã mất gần như toàn bộ số Bitcoin của mình. Thậm chí có khả năng sàn đã bị mất khoảng 80,000 Bitcoin khi Mark Karpelés mua sàn giao dịch vào năm 2011.

Làm thế nào mà không ai hay biết chuyện gì đang xảy ra?

Nhiều nhân viên cũ cho rằng việc này đến từ sự quản lý yếu kém và vô tổ chức trong công ty. Một nhà phát triển ẩn danh tiết lộ Mt. Gox thậm chí còn không sử dụng phần mềm quản lý phiên bản (version control software). Đây là công cụ tiêu chuẩn giúp ngăn các nhân viên vô tình ghi đè lên công việc của người khác nếu họ tình cờ làm việc trên cùng một tệp.

Một vấn đề khác nằm ở việc Mark Karpelés là người duy nhất có thể phê duyệt các thay đổi đối với mã nguồn của trang web. Điều này đồng nghĩa với việc ngay cả các bản cập nhật bảo mật quan trọng và các bản sửa lỗi cũng có thể phải đợi hàng tuần mới được phê duyệt.

Ngay sau vụ hack vào năm 2014, Mt. Gox báo cáo tìm thấy 200,000 Bitcoin trong các ví kỹ thuật số định dạng cũ mà công ty đã sử dụng trước tháng 6/2011. Họ hứa dùng số Bitcoin này đền bù cho các nạn nhân của vụ hack.

Hơn một thập kỉ sau lời hứa có vẻ mới trở thành sự thật. Vào tháng Bảy, Nobuaki Kobayashi - người được uỷ thác của Mt. Gox tiết lộ tài sản còn lại của sàn, đồng thời vạch ra kế hoạch thanh toán cho các chủ nợ. Cụ thể, họ phải nộp đơn và gửi yêu cầu claim Bitcoin, sau đó sàn sẽ xem xét và hoàn trả Bitcoin cho họ.

Theo thông báo mới nhất, tài sản hiện tại của Mt. Gox bao gồm: 141,686 Bitcoin, 142,846 Bitcoin Cash và 69.7 tỷ Yên tiền mặt.