Cetus bị tấn công: Tầm quan trọng và giới hạn của kiểm toán an ninh mã

Gần đây, DEX Cetus trong hệ sinh thái SUI đã bị tấn công, gây ra cuộc thảo luận trong ngành về tính hiệu quả của việc kiểm toán an ninh mã. Mặc dù Cetus đã trải qua nhiều cuộc kiểm toán an ninh từ các tổ chức khác nhau, nhưng vẫn không thể ngăn chặn hoàn toàn cuộc tấn công này. Sự kiện này làm nổi bật tầm quan trọng của việc kiểm toán an ninh mã, đồng thời cũng phơi bày những hạn chế tiềm ẩn của nó.

Tình hình kiểm toán an ninh của Cetus

Cetus đã công bố 5 báo cáo kiểm toán mã trên Github, đến từ các tổ chức chuyên nghiệp như MoveBit, OtterSec và Zellic. Những báo cáo này chủ yếu tập trung vào việc kiểm toán mã của Cetus trên chuỗi SUI.

Báo cáo kiểm toán của MoveBit đã phát hiện 18 vấn đề rủi ro, bao gồm 1 rủi ro nghiêm trọng, 2 rủi ro chính, 3 rủi ro vừa và 12 rủi ro nhẹ. Theo báo cáo, tất cả các vấn đề này đã được giải quyết.

Báo cáo kiểm toán của OtterSec chỉ ra 1 vấn đề rủi ro cao, 1 vấn đề rủi ro trung bình và 7 vấn đề rủi ro thông tin. Trong đó, vấn đề rủi ro cao và trung bình đã được giải quyết, một số vấn đề rủi ro thông tin vẫn đang trong quá trình xử lý.

Báo cáo kiểm toán của Zellic phát hiện 3 rủi ro thông tin, chủ yếu liên quan đến các vấn đề về quy chuẩn mã, rủi ro tương đối thấp.

Cần lưu ý rằng cả ba cơ quan kiểm toán này đều chuyên kiểm toán mã ngôn ngữ Move, điều này đặc biệt quan trọng đối với các dự án chuỗi công khai mới nổi như Cetus.

Tầm quan trọng và những hạn chế của kiểm toán mã

Kiểm toán mã chắc chắn là một bảo đảm quan trọng cho an toàn của dự án. Các dự án không được kiểm toán thường có rủi ro cao hơn. Tuy nhiên, ngay cả những dự án đã được nhiều tổ chức kiểm toán, như Cetus, vẫn có thể bị tấn công. Điều này cho thấy kiểm toán mã là cần thiết, nhưng không phải là hoàn hảo.

Một số dự án DeFi hàng đầu đã áp dụng chiến lược bảo mật toàn diện hơn:

1. GMX V2 đã được 5 công ty thực hiện kiểm toán mã và đã triển khai chương trình thưởng lỗ hổng cao.
2. DeGate được tham gia kiểm toán bởi nhiều đến 35 công ty, đồng thời thiết lập một quỹ thưởng lỗ hổng lên đến hàng triệu đô la.
3. DYDX V4 và Hyperliquid cũng đã triển khai các chương trình thưởng lỗi quy mô lớn để bổ sung cho những thiếu sót của các cuộc kiểm toán thông thường.

Các trường hợp này cho thấy việc áp dụng các biện pháp an toàn đa dạng và nhiều tầng lớp là rất quan trọng để nâng cao sự an toàn của dự án.

Đề xuất nâng cao tính an toàn

1. Kiểm toán đa chủ thể: Thuê nhiều tổ chức chuyên nghiệp để thực hiện kiểm toán mã, nhằm có được đánh giá an toàn toàn diện hơn.
2. Chương trình thưởng lỗi: Thiết lập chương trình thưởng lỗi liên tục, khuyến khích hacker mũ trắng phát hiện rủi ro tiềm ẩn.
3. Cuộc thi kiểm toán: Tổ chức cuộc thi kiểm toán mã, thu thập ý kiến từ nhiều người, phát hiện nhiều lỗ hổng tiềm ẩn hơn.
4. Cập nhật liên tục: Thực hiện kiểm tra mã và đánh giá an ninh định kỳ, kịp thời khắc phục các vấn đề mới phát hiện.
5. Chú ý đến công nghệ mới nổi: Đối với các dự án sử dụng công nghệ mới (như ngôn ngữ Move), cần đặc biệt chú ý đến các cơ quan kiểm toán chuyên nghiệp trong lĩnh vực liên quan.

Kết luận

Sự kiện Cetus bị tấn công một lần nữa nhắc nhở chúng ta rằng, mặc dù việc kiểm tra an toàn mã nguồn là quan trọng, nhưng nó không thể đảm bảo an toàn tuyệt đối cho dự án. Các dự án DeFi cần thực hiện các biện pháp an toàn toàn diện và liên tục hơn, bao gồm nhưng không giới hạn ở việc kiểm tra từ nhiều bên, chương trình thưởng cho lỗ hổng và đánh giá an toàn định kỳ. Đồng thời, các nhà đầu tư khi tham gia vào các dự án DeFi mới nổi cũng nên hiểu rõ các biện pháp an toàn của dự án, cẩn thận đánh giá các rủi ro tiềm ẩn.