Về an ninh của chuỗi khối, gần đây thường được hỏi nhiều về cuộc tấn công 51%. Trong lý thuyết nghe có vẻ đáng sợ, nhưng thực tế ra sao, tôi đã đào sâu một chút.

Chuỗi khối là hệ thống xác thực giao dịch không dựa vào ngân hàng tập trung, mà dựa trên mạng lưới các thợ đào phân tán trên toàn thế giới. Nó hoạt động theo quy tắc dân chủ, nơi đa số quyết định sự thật. Nhưng, nếu phần lớn trong mạng lưới đó hợp tác với ý đồ xấu? Đó chính là cuộc tấn công 51%.

Cuộc tấn công 51% là tình huống một thực thể hoặc nhóm kiểm soát hơn một nửa tổng công suất tính toán (tỷ lệ băm) của mạng lưới chuỗi khối. Nếu kẻ tấn công vượt qua toàn bộ khả năng tính toán của phần còn lại của mạng, họ có thể chiếm ưu thế trong việc thêm các khối mới vào chuỗi. Nhờ đó, họ có thể ghi đè lên các đồng thuận, thay đổi lịch sử gần đây của chuỗi khối tạm thời.

Quá trình tấn công thực tế rất thú vị. Đầu tiên, kẻ tấn công sẽ khai thác các khối mới, nhưng không phát tán ra mạng mà giữ bí mật. Từ đó, một phiên bản chuỗi riêng biệt, gọi là chuỗi bóng tối, được tạo ra. Trong khi đó, kẻ tấn công sử dụng tiền điện tử trong chuỗi công khai, ví dụ gửi 100 token vào sàn giao dịch. Khi sàn xác nhận, kẻ tấn công sẽ giao dịch để rút hết số tiền đó ra, đổi lấy các tài sản khác. Sau đó, họ công bố chuỗi bóng tối dài hơn. Chuỗi khối sẽ tự động giải quyết các mâu thuẫn dựa trên quy tắc chuỗi dài nhất, và chuỗi bóng tối được coi là sổ cái chính thức. Điều quan trọng là, chuỗi bóng tối này không chứa các khoản gửi vào sàn, vì vậy trong thực tế, khoản gửi đó không tồn tại nữa, và 100 token sẽ trở về ví của kẻ tấn công. Nói cách khác, đó là thành công của việc sử dụng đồng coin hai lần, hay gọi là tấn công double-spending.

Tuy nhiên, kẻ tấn công cũng có giới hạn. Họ không thể làm tăng lượng cung cấp hoặc tạo ra coin mới một cách tùy ý. Tổng cung của mạng lưới đã được quy định cứng trong giao thức, nên các khối chứa coin bất hợp pháp đều bị các nút tự động từ chối. Điều quan trọng nhất là, nếu bạn giữ khoá riêng tư an toàn, tài sản của bạn sẽ được bảo vệ. Cuộc tấn công 51% chỉ là thao tác thay đổi lịch sử giao dịch, không xâm phạm an ninh mật mã. Kẻ tấn công không thể truy cập vào ví của bạn hoặc ký các giao dịch thay bạn.

Thực tế, các cuộc tấn công 51% đã từng xảy ra. Đầu năm 2019, Ethereum Classic bị hacker tấn công, khoảng 1,1 triệu đô la token bị tấn công double-spending. Tháng 8 năm 2020, trong vòng một tháng, mạng này đã bị tấn công 3 lần. Tháng 8 năm 2021, Bitcoin SV (nhánh của Bitcoin Cash) cũng chịu một cuộc tấn công 51% quy mô lớn, khiến nhiều sàn giao dịch tạm thời ngừng giao dịch để bảo vệ người dùng. Các altcoin nhỏ như Vertcoin hay Verge cũng đã nhiều lần bị tấn công. Điểm chung của các cuộc tấn công này là mục tiêu đều là các mạng nhỏ hoặc trung bình.

Tại sao các mạng lớn như Bitcoin lại được bảo vệ khỏi các cuộc tấn công 51%? Đó là sự kết hợp giữa logistics, kinh tế và toán học. Để tấn công Bitcoin, kẻ tấn công cần phải sở hữu hơn tổng số các thợ đào trung thực dùng ASIC. Để vận hành hàng triệu ASIC mới, cần lượng điện năng tương đương với một quốc gia trung bình, điều này về mặt vật lý là không thể. Thêm vào đó, chuỗi cung ứng toàn cầu không thể sản xuất các chip này với tốc độ đủ nhanh.

Về mặt kinh tế, cuộc tấn công còn tự hủy hoại chính nó. Khi mạng phát hiện ra cuộc tấn công 51%, niềm tin toàn cầu vào bảo mật của Bitcoin sẽ sụp đổ. Giá sẽ giảm mạnh, và phần thưởng của kẻ tấn công cùng với các khoản đầu tư khổng lồ đều gắn liền với giá trị của mạng lưới, khiến kẻ tấn công tự phá hủy tài sản của chính mình.

Trong quản lý rủi ro cá nhân, việc tập trung vào các tài sản mã hóa có độ hash cao, uy tín như Bitcoin là biện pháp phòng vệ cuối cùng. Nếu sở hữu các altcoin nhỏ, cần quản lý khoá riêng tư hoàn toàn tự do, tự quản lý. Và vì các kẻ tấn công luôn nghĩ ra các thủ đoạn mới, việc liên tục học hỏi về bảo mật mạng lưới là điều thiết yếu.

Nguy cơ từ cuộc tấn công 51% làm nổi bật sự cân bằng tinh tế giữa phân quyền và an ninh trong công nghệ chuỗi khối. Các mạng nhỏ, có tỷ lệ băm thấp dễ bị tổn thương, còn các hệ sinh thái lớn như Bitcoin lại được bảo vệ bởi các rào cản về logistics và kinh tế không thể vượt qua. Điều quan trọng là, cuộc tấn công 51% không phải là trộm khoá riêng, mà là sự tái cấu trúc tạm thời của sổ cái dựa trên toán học. Chìa khoá để sử dụng Web3 an toàn không phải là sợ hãi, mà là quản lý rủi ro dựa trên thông tin.