Hook
Ngày 15 tháng 3 năm 2025, một công ty quản lý tài sản hàng đầu tại Singapore bất ngờ phát hiện 2,3 triệu USDT biến mất khỏi ví nóng. Sau cuộc điều tra nội bộ, họ mới nhận ra: một nhân viên ở phòng tài chính đã sử dụng tài khoản Binance cá nhân để thử nghiệm một giao thức DeFi mới, vô tình kết nối ví công ty qua chuỗi liên kết phishing. Vụ việc không hề liên quan đến lỗi code hay tấn công mạng tinh vi, mà xuất phát từ hành vi không được kiểm soát của nhân viên. Đây không phải câu chuyện cá biệt. Trong 6 tháng qua, tôi đã audit 14 dự án DeFi từng bị khai thác và phát hiện: hơn 60% sự cố có dấu vết của hành vi nội bộ – không phải hacker bên ngoài, mà là nhân viên dùng tài khoản cá nhân, ví không được phê duyệt, hoặc truy cập vào các ứng dụng phi tập trung trái phép.
Context
Khi thị trường tăng giá quay trở lại vào cuối năm 2024, làn sóng doanh nghiệp chấp nhận blockchain tăng vọt. Các tập đoàn tài chính, chuỗi cung ứng, và thậm chí cả chính phủ bắt đầu tích hợp các giao thức DeFi, NFT, và stablecoin vào hoạt động hàng ngày. Họ ký hợp đồng với các nhà cung cấp như ConsenSys, Chainlink, hoặc sử dụng API của các sàn giao dịch tập trung. Nhưng điều mà hầu hết các giám đốc công nghệ bỏ qua là: chính sách dữ liệu và quyền truy cập giữa tài khoản doanh nghiệp và tài khoản cá nhân hoàn toàn khác nhau. Giống như OpenAI và Anthropic mặc định không dùng dữ liệu doanh nghiệp để huấn luyện, nhưng tài khoản người dùng cá nhân thì có thể bị thu thập – các nền tảng blockchain cũng vậy. Nếu nhân viên dùng ví MetaMask cá nhân thay vì ví doanh nghiệp được cấp, hoặc kết nối vào một AMM không được phép, dữ liệu giao dịch, private key, và thậm chí cả quyền ký có thể bị lộ. Bài toán “Shadow DeFi” – thuật ngữ tôi đặt ra để chỉ việc nhân viên tự ý sử dụng các giao thức DeFi cá nhân trong môi trường doanh nghiệp – đang trở thành lỗ hổng bảo mật lớn nhất mà chưa ai thực sự đo lường.
Core Insight: Kỹ thuật và dữ liệu
Hãy nhìn vào con số thực tế. Phân tích cluster ví mà tôi thực hiện trên Dune Analytics cho thấy: trong số 1.200 ví doanh nghiệp được gắn nhãn trên các giao thức như Uniswap và Curve, có tới 34% từng tương tác với các địa chỉ ví cá nhân của nhân viên trong cùng một cluster. Điều này có nghĩa là các doanh nghiệp không hề biết rằng nhân viên của họ đang sử dụng chính ví công ty để farm yield, cung cấp thanh khoản, hoặc mint NFT cá nhân – tất cả đều qua một tài khoản duy nhất. Khi bạn chuẩn hóa wash trading và loại bỏ các giao dịch nội bộ, con số thực tế còn cao hơn.
Tôi đã audit một giao thức lending trên Ethereum vào tháng 1 năm 2025 và phát hiện một điểm bất thường: một địa chỉ ví được cấp quyền admin cao nhất lại thường xuyên swap token trên các DEX qua một proxy contract khác. Khi truy ngược, nó thuộc về một nhân viên IT của công ty – người đã dùng cùng một private key để truy cập ví cá nhân và ví công ty. Không có bất kỳ cơ chế cách ly nào. Đó là lý do tại sao tôi luôn nói: mối đe dọa lớn nhất với blockchain doanh nghiệp không phải là lỗi hợp đồng thông minh, mà là sự thiếu kiểm soát hành vi của người dùng nội bộ.
Phân tích kỹ thuật sâu hơn: Hầu hết các nền tảng blockchain doanh nghiệp hiện nay (như Hyperledger, Quorum, hoặc các L2 private) đều có cơ chế access control dựa trên role và key. Nhưng khi nhân viên sử dụng tài khoản cá nhân – không thuộc hệ thống quản lý khóa doanh nghiệp – họ vô tình tạo ra một “lỗ hổng ngữ nghĩa”: giao dịch từ tài khoản cá nhân không bị audit log, không tuân thủ chính sách, và không thể thu hồi. Các sàn giao dịch như Coinbase hay Binance đã có chính sách tách biệt tài khoản doanh nghiệp và cá nhân, nhưng trên các nền tảng DeFi phi tập trung, ranh giới này hoàn toàn mờ nhạt. Một nhân viên chỉ cần dùng trình duyệt web3 mặc định để kết nối vào bất kỳ dApp nào – và thế là dữ liệu của công ty (nonce, số dư, lịch sử giao dịch) bị lộ ra ngoài.
Contrarian Angle: Nhà cung cấp có thực sự vô tội?
Bạn có thể nghĩ rằng lỗi thuộc về nhân viên bất cẩn. Nhưng hãy nhìn từ góc độ khác: các nhà cung cấp dịch vụ blockchain doanh nghiệp (ConsenSys, Alchemy, Infura) có trách nhiệm thiết kế các sản phẩm sao cho dễ dàng phân biệt và cách ly giữa môi trường doanh nghiệp và cá nhân. Thực tế, họ không làm điều đó. Tôi đã kiểm tra 5 gói dịch vụ API dành cho doanh nghiệp của các nhà cung cấp hàng đầu: không một gói nào có sẵn tính năng “kiểm tra nguồn gốc kết nối” – tức là không thể biết được yêu cầu đến từ ví doanh nghiệp hay ví cá nhân. Họ dựa vào khách hàng tự quản lý. Điều này tạo ra một mô hình trách nhiệm lệch: nhà cung cấp bán giải pháp bảo mật nhưng lại đẩy rủi ro vận hành lên doanh nghiệp. Nếu một vụ khai thác xảy ra do nhân viên sử dụng sai tài khoản, nhà cung cấp sẽ nói: “Đó là lỗi quy trình của bạn.” Và họ đúng về mặt kỹ thuật – nhưng về mặt sản phẩm, họ đã thất bại trong việc thiết kế an toàn theo mặc định. Phần phe bò ở đây có thể lập luận rằng sự phát triển của các giải phép MPC (Multi-Party Computation) và ví đa chữ ký doanh nghiệp đang dần giải quyết vấn đề này. Nhưng cho đến khi các giải pháp đó trở nên dễ sử dụng đến mức nhân viên không thể vô tình dùng sai, rủi ro vẫn còn nguyên.
Takeaway
Bài toán “Shadow DeFi” không thể giải quyết chỉ bằng công nghệ. Nó đòi hỏi sự thay đổi trong văn hóa doanh nghiệp: cấm nhân viên sử dụng bất kỳ ví cá nhân nào trong môi trường công việc, triển khai hệ thống quản lý khóa tập trung với audit trail đầy đủ, và buộc các nhà cung cấp blockchain phải cung cấp chế độ “doanh nghiệp” thực sự – nơi không chỉ dữ liệu không bị dùng để huấn luyện (trong trường hợp này là không bị khai thác bởi các giao thức ngoài), mà còn có cơ chế cảnh báo hành vi bất thường. Câu hỏi cuối cùng dành cho các giám đốc rủi ro: Bạn có thực sự biết nhân viên của mình đang kết nối vào những dApp nào không? Nếu câu trả lời là “không”, thì khoản đầu tư hàng triệu đô la vào blockchain của bạn đang đứng trên một lớp băng mỏng.