Các Cuộc Tấn Công Blockchain: Tấn Công 51%, Chi Tiêu Kép, và Nhiều Hơn Nữa
Công nghệ blockchain nổi tiếng về tính bảo mật, nhưng không phải là bất khả xâm phạm. Hiểu các vector tấn công đe dọa mạng blockchain là điều tối quan trọng với bất kỳ ai nắm giữ hoặc giao dịch tiền mã hóa. Dù các giao thức blockchain tự thân đã chứng minh khả năng chống chịu đáng kinh ngạc — Bitcoin chưa từng bị tấn công thành công ở cấp độ giao thức — hệ sinh thái rộng hơn gồm ví, sàn giao dịch, cầu nối và smart contract luôn đối mặt với các mối đe dọa liên tục.
Hướng dẫn này tổng hợp các nhóm tấn công blockchain chính, giải thích cách chúng hoạt động, đưa ra ví dụ thực tế và cung cấp hướng dẫn thực tiễn để bảo vệ tài sản của bạn.
Tấn Công Ở Cấp Độ Giao Thức
Những cuộc tấn công này nhắm trực tiếp vào chính giao thức blockchain — cơ chế đồng thuận, cấu trúc mạng hoặc nền tảng mật mã học.
Tấn Công 51% (Tấn Công Đa Số)
Tấn công 51% xảy ra khi một thực thể đơn lẻ hoặc một nhóm phối hợp giành quyền kiểm soát hơn 50% hash power của mạng Proof of Work (hoặc hơn 33%/67% lượng stake trong mạng Proof of Stake, tùy loại tấn công).
Cách hoạt động:
- Kẻ tấn công tích lũy hash power đa số, bằng cách xây/mua phần cứng đào hoặc thuê hash power từ các dịch vụ như NiceHash.
- Kẻ tấn công bắt đầu đào một chuỗi riêng tư — một nhánh fork của blockchain mà chỉ họ biết.
- Trên chuỗi công khai, kẻ tấn công gửi tiền mã hóa vào sàn giao dịch và bán lấy tiền pháp định hoặc crypto khác.
- Khi sàn ghi nhận giao dịch bán, kẻ tấn công phát sóng chuỗi riêng tư của mình, chuỗi này dài hơn (tích lũy nhiều công hơn) chuỗi công khai.
- Mạng chấp nhận chuỗi dài hơn là chuỗi hợp lệ, và giao dịch ban đầu của kẻ tấn công biến mất — tiền quay lại ví của kẻ tấn công.
- Kẻ tấn công đã chi cùng số coin hai lần: một lần trên sàn (đã nhận thanh toán) và một lần trên chuỗi riêng tư (coin quay lại).
Chi phí của một cuộc tấn công 51%:
| Network | Estimated 1-Hour Attack Cost (2026) |
|---|---|
| Bitcoin | $10+ billion (practically impossible) |
| Ethereum (PoS) | $30+ billion (acquire 33% of staked ETH) |
| Litecoin | ~$500K-$1M |
| Bitcoin Cash | ~$100K-$300K |
| Ethereum Classic | ~$10K-$50K |
Ví dụ thực tế:
- Ethereum Classic (2019, 2020): Chịu nhiều cuộc tấn công 51% gây thiệt hại hàng triệu đô do chi tiêu kép.
- Bitcoin Gold (2018, 2020): Bị tấn công nhiều lần, trong đó có một cuộc tấn công gây chi tiêu kép hơn $70,000.
- Verge (2018): Bị tấn công nhiều lần do thiết kế PoW đa thuật toán.
Điểm mấu chốt: Tấn công 51% chủ yếu là mối đe dọa với các chuỗi PoW nhỏ. Hash rate của Bitcoin lớn đến mức tấn công 51% là không khả thi về kinh tế. Với các chuỗi PoS lớn như Ethereum, chi phí để có đủ stake (và chắc chắn mất qua slashing) khiến kiểu tấn công này cũng không thực tế.
Tấn Công Chi Tiêu Kép
Chi tiêu kép — dùng cùng một khoản tiền cho hai giao dịch khác nhau — là vấn đề cốt lõi mà blockchain được thiết kế để giải quyết. Dù tấn công 51% là một phương pháp chi tiêu kép, vẫn có các kỹ thuật khác cho khoản tiền nhỏ hơn:
Tấn công race (zero-confirmation):
- Kẻ tấn công gửi một giao dịch đến người bán với phí thấp.
- Đồng thời, kẻ tấn công gửi một giao dịch xung đột (chi cùng số coin) cho chính họ với phí cao hơn.
- Nếu người bán chấp nhận thanh toán trước khi giao dịch được xác nhận, giao dịch phí cao có khả năng được xác nhận trước và khoản thanh toán của người bán biến mất.
Tấn công Finney:
- Một thợ đào đào trước một block chứa giao dịch gửi coin cho chính họ.
- Sau đó thợ đào gửi một giao dịch xung đột đến người bán.
- Sau khi nhận hàng/dịch vụ, thợ đào phát hành block đã đào trước, làm vô hiệu thanh toán của người bán.
Bảo vệ: Luôn chờ đủ xác nhận block trước khi xem giao dịch là hoàn tất. Với khoản tiền lớn, 6 xác nhận Bitcoin hoặc trạng thái finalization của Ethereum (~15 phút) mang lại bảo vệ mạnh.
Selfish Mining
Selfish mining là chiến lược mà thợ đào có hash power đáng kể (nhưng chưa chiếm đa số) giữ lại các block đã tìm thấy và phát hành chúng một cách chiến lược để làm lãng phí công của thợ đào trung thực.
Cách hoạt động:
- Một thợ đào selfish tìm được block nhưng không phát sóng ngay.
- Trong khi thợ đào trung thực lãng phí công trên đầu chuỗi cũ, thợ đào selfish tiếp tục mở rộng chuỗi riêng tư.
- Thợ đào selfish phát hành block có chiến lược để khiến công của thợ đào trung thực bị orphan, qua đó chiếm phần thưởng block lớn hơn tỷ lệ bình thường.
Tác động: Nghiên cứu cho thấy selfish mining có thể có lãi với thợ đào chỉ sở hữu 25-33% tổng hash power (ngưỡng chính xác phụ thuộc vào mức độ kết nối mạng của thợ đào). Tuy nhiên trên thực tế, selfish mining chưa phải vấn đề lớn trên các mạng lớn vì chiến lược này có thể bị phát hiện, rủi ro cao (chuỗi riêng tư có thể bị orphan), và động lực kinh tế thường ủng hộ đào trung thực.
Tấn Công Sybil
Tấn công Sybil là việc tạo ra nhiều danh tính giả (node) để giành ảnh hưởng không tương xứng lên mạng.
Cách hoạt động:
- Kẻ tấn công tạo hàng nghìn node giả trên mạng blockchain.
- Các node này bao vây node trung thực, kiểm soát góc nhìn mạng của nạn nhân.
- Kẻ tấn công có thể kiểm duyệt giao dịch, cung cấp thông tin sai hoặc phá vỡ liên lạc peer-to-peer của mạng.
Bảo vệ: Cơ chế đồng thuận blockchain được thiết kế riêng để chống tấn công Sybil. Trong PoW, tạo node giả là vô dụng nếu không có hash power — mỗi node phải chứng minh công việc để tham gia đồng thuận. Trong PoS, mỗi validator phải stake vốn thực. Chi phí thực hiện tấn công Sybil trên blockchain thiết kế tốt chính là chi phí mua tài nguyên (hash power hoặc stake) cần cho việc tham gia đồng thuận.
Tấn Công Eclipse
Tấn công eclipse nhắm vào một node cụ thể thay vì toàn mạng, cô lập nó khỏi các peer trung thực.
Cách hoạt động:
- Kẻ tấn công xác định các kết nối peer của node mục tiêu.
- Kẻ tấn công làm ngập mục tiêu bằng yêu cầu kết nối từ các node do mình kiểm soát.
- Các kết nối peer của mục tiêu dần bị thay bằng node của kẻ tấn công.
- Khi bị eclipse, mục tiêu chỉ nhìn thấy phiên bản blockchain do kẻ tấn công cung cấp.
- Kẻ tấn công có thể đưa giao dịch giả cho mục tiêu, trì hoãn hoặc kiểm duyệt thông tin, hoặc hỗ trợ tấn công chi tiêu kép lên node bị eclipse.
Tác động thực tế: Tấn công eclipse đã được chứng minh trong các bài nghiên cứu trên node Bitcoin và Ethereum. Chúng nguy hiểm nhất với client nhẹ chỉ kết nối với ít peer.
Bảo vệ: Chạy full node với kết nối peer đa dạng, dùng nhiều nguồn dữ liệu để xác minh trạng thái chain, và duy trì kết nối peer tĩnh đến các node tin cậy.
Tấn Công Long-Range (đặc thù PoS)
Trong hệ Proof of Stake, tấn công long-range khai thác thực tế là khóa validator cũ có thể bị lộ (qua rò rỉ khóa, social engineering, hoặc mua từ validator đã rời mạng).
Cách hoạt động:
- Kẻ tấn công lấy được private key của các validator từng hoạt động ở giai đoạn trước trong lịch sử chain.
- Kẻ tấn công tạo lịch sử chain thay thế bắt đầu từ một block trong quá khứ.
- Vì không có chi phí vật lý để "stake lại" trong quá khứ (khác PoW, nơi đào lại cần điện), kẻ tấn công có thể tạo chain cạnh tranh với chi phí thấp.
Bảo vệ: Các hệ PoS hiện đại giảm thiểu tấn công long-range thông qua:
- Weak subjectivity checkpoints: Node định kỳ ghi nhận trạng thái chain, và mọi fork cũ hơn giai đoạn checkpoint sẽ tự động bị từ chối.
- Đồng thuận xã hội: Node mới lấy trạng thái chain hiện tại từ các nguồn cộng đồng đáng tin.
- Xóa khóa: Validator được khuyến nghị xóa khóa ký cũ sau khi rời mạng.
Tấn Công Ở Cấp Độ Mạng
BGP Hijacking
Border Gateway Protocol (BGP) điều khiển cách lưu lượng internet được định tuyến giữa các mạng. BGP hijack chuyển hướng lưu lượng internet qua một mạng do kẻ tấn công kiểm soát.
Tác động lên blockchain: Kẻ tấn công chiếm quyền lưu lượng giữa các node blockchain có thể trì hoãn lan truyền block, phân vùng mạng, hoặc chặn và sửa đổi liên lạc giữa các node.
Ví dụ thực tế: Nghiên cứu của ETH Zurich (2017) cho thấy chỉ cần hijack một vài nhà cung cấp dịch vụ internet đã có thể phân vùng mạng Bitcoin. Năm 2018, các sự kiện BGP đáng ngờ đã chuyển hướng lưu lượng hướng đến dịch vụ DNS Route 53 của Amazon, tạo điều kiện đánh cắp khoảng $150,000 bằng Ethereum.
Time-Jacking
Bằng cách thao túng nhận thức thời gian của node, kẻ tấn công có thể khiến node chấp nhận block có timestamp sai, có khả năng cô lập node khỏi mạng trung thực.
Bảo vệ: Hầu hết client blockchain áp dụng quy tắc xác thực timestamp nghiêm ngặt và không chỉ dựa vào timestamp do peer báo cáo.
Từ Chối Dịch Vụ (DoS)
Làm ngập node hoặc mạng bằng yêu cầu để quá tải năng lực xử lý. Dù mạng blockchain vốn có khả năng chống DoS (phí giao dịch khiến spam tốn kém), các node hoặc dịch vụ riêng lẻ (sàn giao dịch, block explorer, nhà cung cấp RPC) vẫn có thể bị nhắm mục tiêu.
Solana đã trải qua nhiều lần gián đoạn mạng, một phần do lũ giao dịch từ bot, cho thấy các chain thông lượng cao có thể dễ bị tấn công spam theo cách không phổ biến trên các chain bị ràng buộc bởi phí như Bitcoin.
Tấn Công Smart Contract
Lỗ hổng smart contract là nguồn gây thiệt hại tài chính lớn nhất trong hệ sinh thái tiền mã hóa. Xem Hướng dẫn Smart Contracts để tìm hiểu chi tiết.
Tấn Công Reentrancy
Cách hoạt động: Một contract độc hại gọi ngược vào contract có lỗ hổng trong lúc đang thực thi, trước khi contract nạn nhân cập nhật trạng thái.
Ví dụ nổi bật: Vụ hack The DAO (2016) — $60M bị rút khỏi quỹ phi tập trung lớn nhất của Ethereum.
Tấn Công Flash Loan
Flash loan là khoản vay không cần thế chấp, phải vay và hoàn trả trong cùng một giao dịch. Kẻ tấn công dùng chúng để tạm thời kiểm soát lượng vốn cực lớn nhằm thao túng giao thức DeFi.
Mẫu phổ biến:
- Vay hàng triệu crypto qua flash loan (không cần tài sản thế chấp).
- Dùng vốn vay để thao túng price oracle hoặc liquidity pool.
- Khai thác mức giá đã bị thao túng để rút giá trị từ giao thức có lỗ hổng.
- Hoàn trả flash loan.
- Giữ phần lợi nhuận.
Quy mô thiệt hại: Tấn công flash loan đã gây thiệt hại hàng trăm triệu trên DeFi. Ví dụ nổi bật gồm Euler Finance ($197M, 2023), Cream Finance ($130M, 2021), và Pancake Bunny ($45M, 2021).
Thao Túng Oracle
Smart contract phụ thuộc nguồn dữ liệu bên ngoài (oracle) sẽ dễ bị tấn công nếu oracle có thể bị thao túng. Kẻ tấn công khai thác token thanh khoản mỏng hoặc pool thanh khoản thấp để tạo biến động giá giả, kích hoạt điều kiện có lợi trong giao thức cho vay, nền tảng tài sản tổng hợp hoặc thị trường phái sinh.
Tấn Công Governance
Một số giao thức DeFi cho phép người nắm token bỏ phiếu thay đổi giao thức. Kẻ tấn công tích lũy đủ governance token (có thể qua flash loan) có thể thông qua đề xuất độc hại để rút kho quỹ giao thức hoặc thay đổi tham số theo hướng có lợi cho mình.
Ví dụ: Beanstalk Farms (2022) — kẻ tấn công dùng flash loan để mua đủ governance token nhằm thông qua đề xuất chuyển $182M khỏi kho quỹ giao thức.
Tấn Công Hạ Tầng
Khai Thác Cầu Nối
Cầu nối cross-chain — smart contract cho phép chuyển tài sản giữa các blockchain — là nguồn gây trộm cắp tiền mã hóa lớn nhất.
Vì sao cầu nối dễ bị tấn công:
- Chúng giữ lượng tài sản khóa khổng lồ (phần "bảo chứng" cho wrapped token).
- Chúng có logic đa chuỗi phức tạp, khó kiểm toán.
- Nhiều cầu dùng ví đa chữ ký, nơi chiếm được đủ ngưỡng khóa là có toàn quyền truy cập.
Các vụ khai thác cầu nối lớn:
| Bridge | Year | Amount | Attack Vector |
|---|---|---|---|
| Ronin (Axie Infinity) | 2022 | $625M | Compromised validator keys |
| Wormhole | 2022 | $320M | Signature verification bypass |
| Nomad | 2022 | $190M | Message verification flaw |
| Harmony Horizon | 2022 | $100M | Compromised multi-sig keys |
Bảo vệ: Giảm thiểu số tiền giữ trong contract cầu nối. Khi có thể, dùng cơ chế cầu nối native (như cầu rollup kế thừa bảo mật L1) thay vì cầu bên thứ ba. Cần biết rằng tài sản wrapped trên chain khác luôn mang rủi ro cầu nối.
Sàn Giao Dịch Bị Hack
Sàn giao dịch tập trung giữ lượng tiền mã hóa lớn trong hot wallet, khiến chúng thành mục tiêu hàng đầu. Các vụ hack sàn lớn gồm:
| Exchange | Year | Amount |
|---|---|---|
| Mt. Gox | 2014 | 850,000 BTC (~$450M at the time) |
| Coincheck | 2018 | $530M (NEM) |
| FTX | 2022 | $477M (post-bankruptcy drain) |
| DMM Bitcoin | 2024 | $305M |
Bảo vệ: Không để lượng tiền lớn trên sàn. Dùng ví tự lưu ký cho lưu trữ dài hạn, và bảo vệ seed phrase bằng phương pháp cold storage phù hợp.
MEV và Front-Running
MEV Là Gì?
Maximal Extractable Value (MEV) là lợi nhuận mà nhà sản xuất block có thể khai thác bằng cách sắp xếp, đưa vào hoặc loại bỏ giao dịch trong block một cách chiến lược. Dù không hẳn là một "cuộc tấn công" theo nghĩa truyền thống, việc trích xuất MEV thường diễn ra bằng chi phí của người dùng phổ thông.
Các Loại MEV
Front-running: Kẻ tấn công thấy giao dịch đang chờ trong mempool và gửi giao dịch cạnh tranh với phí cao hơn để được thực thi trước.
Sandwich attack: Dạng khai thác MEV phổ biến nhất nhắm vào giao dịch DEX:
- Người dùng gửi một lệnh swap token lớn trên DEX (ví dụ mua lượng Token X trị giá 100 ETH).
- Bot MEV thấy giao dịch đang chờ và gửi lệnh mua Token X ngay trước giao dịch của người dùng.
- Lệnh mua lớn của người dùng đẩy giá lên.
- Bot MEV bán Token X ngay sau đó, chốt phần tăng giá.
- Người dùng nhận ít token hơn kỳ vọng do giá bị thổi phồng.
Back-running: Kẻ tấn công gửi giao dịch ngay sau một giao dịch mục tiêu để chớp cơ hội arbitrage do tác động giá từ giao dịch đó tạo ra.
Quy Mô MEV
Trích xuất MEV trên Ethereum đạt hàng trăm triệu đô mỗi năm. Trong khi một số dạng MEV (arbitrage, thanh lý) được xem là có lợi cho hiệu quả thị trường, các dạng khác (sandwich attack, front-running) gây hại trực tiếp cho người dùng.
Bảo Vệ Trước MEV
- Gửi giao dịch riêng tư: Các dịch vụ như Flashbots Protect, MEV Blocker, và một số ví (Cowswap, 1inch Fusion) gửi giao dịch trực tiếp đến block builder, bỏ qua mempool công khai.
- Lệnh giới hạn: Dùng lệnh giới hạn thay vì swap theo giá thị trường giúp ngăn sandwich attack.
- Cài đặt slippage: Đặt ngưỡng slippage chặt để giới hạn mức tác động giá tối đa bạn chấp nhận.
- Batch auctions: Các giao thức như CoW Protocol gom nhiều lệnh và tìm mức giá thực thi tối ưu, loại bỏ front-running.
Mối Đe Dọa Mật Mã Học
Điện Toán Lượng Tử
Máy tính lượng tử về lý thuyết có thể phá hệ mật mã đường cong elliptic (ECDSA) mà Bitcoin và Ethereum dùng để tạo chữ ký. Một máy lượng tử đủ mạnh có thể suy ra private key từ public key.
Trạng thái hiện tại (2026): Máy tính lượng tử chưa đạt quy mô cần thiết để đe dọa mật mã blockchain. Máy lượng tử hiện tại có từ hàng trăm đến vài nghìn qubit; để phá ECDSA cần hàng triệu qubit có sửa lỗi. Đa số chuyên gia ước tính còn cách 15-30+ năm.
Giảm thiểu: Thuật toán mật mã hậu lượng tử đang được phát triển và tiêu chuẩn hóa (NIST hoàn tất bộ tiêu chuẩn hậu lượng tử vào năm 2024). Bitcoin và Ethereum có thể nâng cấp cơ chế chữ ký qua soft fork trước khi điện toán lượng tử trở thành mối đe dọa thực tế. Địa chỉ Bitcoin chưa từng lộ public key (địa chỉ nhận chưa dùng) có khả năng chống tấn công lượng tử tốt hơn vì on-chain chỉ có hash của public key.
Lỗ Hổng Hàm Băm
Nếu SHA-256 (Bitcoin) hoặc Keccak-256 (Ethereum) bị phát hiện có điểm yếu nền tảng cho phép tấn công collision hoặc pre-image, tính toàn vẹn blockchain sẽ bị đe dọa. Tuy nhiên chưa có điểm yếu nào như vậy được tìm thấy dù đã có nhiều thập kỷ phân tích mật mã, và cộng đồng blockchain sẽ chuyển sang hàm băm mới từ lâu trước khi xảy ra sự phá vỡ hoàn toàn.
Tự Bảo Vệ Bản Thân
Dành Cho Người Dùng Cá Nhân
- Bảo vệ seed phrase: Dùng phương pháp tạo an toàn và lưu bản sao ở nhiều vị trí an toàn bằng phương pháp cold storage.
- Chờ xác nhận: Không xem giao dịch là hoàn tất khi chưa có đủ xác nhận (6+ với Bitcoin, finalization với Ethereum).
- Dùng giao thức đã được chứng minh: Tương tác với smart contract đã kiểm toán, vận hành lâu dài thay vì contract mới chưa kiểm toán.
- Giảm số dư trên sàn: Chuyển tài sản sang ví tự lưu ký cho lưu trữ dài hạn.
- Bật bảo vệ MEV: Dùng ví và giao diện DEX định tuyến giao dịch qua kênh riêng tư.
- Xác minh địa chỉ: Luôn kiểm tra kỹ địa chỉ nhận. Tấn công đầu độc địa chỉ — khi kẻ tấn công gửi số tiền nhỏ từ địa chỉ trông giống để bạn sao chép cho giao dịch sau — ngày càng phổ biến.
Dành Cho Nhà Phát Triển
- Kiểm toán bảo mật: Để nhiều đơn vị độc lập kiểm toán smart contract trước khi triển khai.
- Bug bounty: Cung cấp thưởng tài chính cho việc tiết lộ lỗ hổng có trách nhiệm.
- Xác minh hình thức: Dùng chứng minh toán học để xác minh logic contract quan trọng.
- Thư viện đã được kiểm chứng: Dùng OpenZeppelin và các thư viện đã kiểm toán cho chức năng tiêu chuẩn.
- Cơ chế nâng cấp: Triển khai mẫu nâng cấp có time-lock để người dùng có thời gian phản ứng.
- Đa dạng oracle: Dùng nhiều nguồn oracle và triển khai circuit breaker cho biến động giá cực đoan.
Cách phổ biến nhất khiến cá nhân mất tiền mã hóa không phải là các cuộc tấn công blockchain tinh vi — mà là quản lý khóa kém. Seed phrase bị lộ, tấn công phishing và mất bản sao lưu gây thiệt hại nhiều hơn tổng mọi cuộc tấn công ở cấp giao thức cộng lại. Hãy dùng SafeSeed Seed Phrase Generator để tạo seed phrase an toàn về mặt mật mã, và làm theo hướng dẫn bảo mật của chúng tôi để lưu trữ an toàn. Chìa khóa của bạn, coin của bạn — nhưng chỉ khi chìa khóa của bạn được bảo vệ.
FAQ
Bitcoin đã từng bị hack chưa?
Bản thân giao thức Bitcoin chưa từng bị tấn công thành công. Bitcoin đã vận hành liên tục từ ngày January 3, 2009 mà không có một trường hợp chi tiêu kép hay hỏng chuỗi nào trên mạng chính. Tuy nhiên, các ứng dụng xây trên Bitcoin — sàn giao dịch (Mt. Gox), ví và cầu nối — đã bị hack nhiều lần. Sự khác biệt này rất quan trọng: blockchain của Bitcoin an toàn; các dịch vụ và phần mềm tương tác với nó có thể không an toàn.
Tấn công 51% có thể phá hủy Bitcoin không?
Tấn công 51% có thể làm gián đoạn tạm thời Bitcoin bằng cách cho phép chi tiêu kép và kiểm duyệt giao dịch, nhưng không thể phá hủy Bitcoin. Kẻ tấn công không thể lấy coin từ ví người dùng (vẫn cần private key để ký giao dịch), không thể tạo coin mới ngoài quy tắc giao thức, và không thể thay đổi mã của giao thức. Cộng đồng cũng có thể phản ứng bằng cách thay đổi thuật toán đào (lựa chọn cực đoan làm vô hiệu phần cứng của kẻ tấn công). Chi phí cực lớn của tấn công 51% trên Bitcoin (~$10+ billion tiền phần cứng cộng chi phí điện liên tục) khiến đây là một trong những kịch bản tấn công khó xảy ra nhất trong không gian crypto.
Loại tấn công blockchain phổ biến nhất là gì?
Khai thác smart contract và hack cầu nối là các vector tấn công phổ biến nhất và gây thiệt hại tài chính lớn nhất trong hệ sinh thái blockchain. Chỉ riêng năm 2022, hơn $3 billion đã mất do khai thác cầu nối. Với người dùng cá nhân, tấn công phishing, trộm seed phrase và đầu độc địa chỉ là mối đe dọa thường gặp nhất. Tấn công cấp giao thức (tấn công 51%, chi tiêu kép) hiếm hơn và chủ yếu ảnh hưởng các chain nhỏ, bảo mật yếu.
Blockchain Proof of Stake dễ bị tấn công hơn hay ít hơn?
Blockchain PoS đối mặt vector tấn công khác so với chain PoW. Chúng miễn nhiễm với tấn công 51% theo nghĩa truyền thống (không có hash power để tích lũy) nhưng đối mặt mối đe dọa tương đương nếu kẻ tấn công mua đủ stake. PoS có thêm cơ chế bảo vệ (slashing) khiến tấn công gây thiệt hại trực tiếp cho kẻ tấn công. Tuy vậy, PoS cũng đưa vào rủi ro riêng như tấn công long-range và tập trung stake. Không cơ chế đồng thuận nào an toàn hơn một cách tuyệt đối — chúng có mô hình đe dọa khác nhau.
Làm sao biết một giao thức DeFi có an toàn để dùng không?
Không giao thức DeFi nào hoàn toàn không rủi ro, nhưng một số dấu hiệu cho thấy mức an toàn cao hơn: nhiều báo cáo kiểm toán độc lập từ đơn vị uy tín, chương trình bug bounty lớn, nâng cấp có time-lock hoặc bị ràng buộc bởi governance, tổng giá trị khóa lớn duy trì lâu mà không có sự cố, mã nguồn mở được tài liệu hóa tốt và đội ngũ phát triển đa dạng, hoạt động tích cực. Dù có đủ các yếu tố này, rủi ro smart contract không bao giờ bằng 0. Chỉ gửi số tiền bạn có thể chấp nhận mất.
Nếu blockchain bị tấn công thì tiền của tôi sẽ ra sao?
Điều này phụ thuộc loại tấn công. Trong tấn công 51%, chỉ các giao dịch diễn ra trong cửa sổ tấn công mới có rủi ro — số dư ví hiện có không bị ảnh hưởng. Trong khai thác smart contract, chỉ tiền đã nạp vào contract bị xâm phạm mới gặp rủi ro — tiền trong ví cá nhân của bạn vẫn an toàn. Trong hack sàn giao dịch, chỉ tiền giữ trên sàn mới gặp rủi ro. Vì vậy, tự lưu ký và quản lý khóa đúng cách là lớp phòng thủ hiệu quả nhất trước phần lớn loại tấn công.
Tôi có nên lo về điện toán lượng tử không?
Không phải trong ngắn hạn. Máy tính lượng tử thực tiễn có thể phá mật mã blockchain được ước tính còn cách 15-30+ năm. Cộng đồng blockchain có đủ thời gian để áp dụng tiêu chuẩn mật mã hậu lượng tử. Địa chỉ Bitcoin chưa từng phát đi giao dịch (chỉ nhận) còn chống chịu tốt hơn vì public key của chúng không bị lộ. Theo dõi các tiến triển của điện toán lượng tử là thận trọng, nhưng đây không nên là mối lo bảo mật chính với người nắm giữ tiền mã hóa hiện tại.