Not All Digital Assets Use Blockchain

AI Can Recommend. But Who Should Be Allowed to Execute?

Hiện nay các hệ thống AI có thể sinh ra các đề xuất hành động trong nhiều lĩnh vực như tài chính, logistics và bảo mật. Tuy nhiên, bài báo SkyDog Nexus Whitepaper Series 14/48 – AI Trust and Execution Layer chỉ ra rằng rủi ro thực sự xuất hiện khi lớp tin cậy và thực thi của AI không có cơ chế xác thực nguồn gốc và kiểm soát chính sách giữa mô hình đề xuất và lớp thực thi. Khi thực thi được cho phép mà không có sự cho phép rõ ràng, các lỗi có thể lan rộng nhanh chóng, gây ra gián đoạn hoạt động, tổn thất tài chính hoặc nguy cơ an toàn. Tác giả đề xuất kiến trúc tách biệt: API đề xuất phải được cô lập khỏi điểm cuối thực thi, kèm bằng chứng thời gian chạy, kiểm soát truy cập dựa trên vai trò và nhật ký bất biến trước khi bất kỳ hành động nào do AI thực hiện được chấp nhận.

Bài này giải quyết câu hỏi cấp thiết về quyền thực thi quyết định của AI trong các hệ thống công nghệ hiện đại.

A Beginner's Guide To Distributed Systems

Learn the basics of distributed systems

What S&P Global’s OpenZeppelin Deal Says About Onchain Finance

S&P Global đã thâu tóm OpenZeppelin vào ngày 17 tháng 9, một động thái cho thấy tài chính trên blockchain ngày càng quan trọng trong đánh giá rủi ro. Việc sáp nhập này phản ánh nhu cầu ngày càng tăng về các tiêu chuẩn bảo mật cho các smart contract trong hệ sinh thái DeFi và tài sản kỹ thuật số. OpenZeppelin nổi tiếng với các tiêu chuẩn smart contract được sử dụng rộng rãi và công cụ audit code, sẽ giúp S&P Global mở rộng năng lực phân tích rủi ro trong lĩnh vực tài sản kỹ thuật số. Hợp tác này minh chứng cho xu hướng các tổ chức tài chính truyền thống tích hợp sâu hơn vào hệ sinh thái blockchain để cung cấp dịch vụ đánh giá rủi ro toàn diện.

Thỏa thuận mua lại OpenZeppelin của S&P Global cho thấy tài chính blockchain ngày càng được chú trọng đến quản lý rủi ro.

How $50M Vanished on Three Signatures — And Why You Should Care

Radiant Capital mất gần 50 triệu USD vào ngày 16 / 10 / 2024 khi ba nhà phát triển mở Safe Wallet (Gnosis Safe) trên cùng một màn hình để ký một giao dịch quan trọng. Giao dịch yêu cầu ba chữ ký nhưng trong vòng 17 giây sau khi giao dịch được khởi tạo, chỉ có hai chữ ký được thu thập, để lại khoảng trống cho kẻ tấn công chèn vào một giao dịch giả mạo đạt ngưỡng xác nhận. Kết quả là tài sản của quỹ được rút hết trong ít phút, gây ra tổn thất lớn cho nhà đầu tư và làm giảm niềm tin vào hệ thống quản lý tài sản đa chữ ký. Sự việc cho thấy việc dựa vào thời gian phản hồi nhanh của con người trong quy trình multisig là nguy hiểm và cần bổ sung cơ chế tự động như time‑lock hoặc cảnh báo real‑time để ngăn chặn việc chờ đợi quá lâu. Đọc bài gốc sẽ giúp bạn hiểu chi tiết về cách khai thác lỗ hổng này và các biện pháp phòng ngừa cụ thể mà các dự án DeFi có thể áp dụng.

Bài bài viết này giúp lập trình viên rút ra bài học quý giá về tầm quan trọng của cơ chế kiểm soát và xác thực trong các hệ thống tài chính kỹ thuật số.

StarkWare Researcher Demonstrates Quantum-Resistant Bitcoin Transaction

Với sự phát triển của máy tính lượng tử, cộng đồng Bitcoin lo ngại về khả năng phá vỡ mã hoá ECDSA hiện tại. Nghiên cứu viên của StarkWare đã triển khai một giao dịch Bitcoin trên mainnet sử dụng chứng minh STARK (Scalable Transparent Argument of Knowledge) để thay thế chữ ký ECDSA, tạo ra một giao dịch chịu được tấn công lượng tử. Giao dịch này đã được xác nhận thành công trên mạng Bitcoin thực tế mà không cần thay đổi consensus hoặc thực hiện hard fork, chứng minh khả năng áp dụng lớp hai để nâng cao bảo mật. Thay vì đợi cập nhật protocol cấp một, các dự án có thể tận dụng các giải pháp chứng minh không tương tác như STARK trên các lớp hai để thử nghiệm và triển khai các tính năng chống lượng tử một cách nhanh chóng và ít rủi ro.

Bài viết này cho thấy cách bảo mật Bitcoin khỏi mối đe dọa lượng tử mà không cần thay đổi giao thức, giải pháp thiết thực cho lập trình viên quan tâm đến an ninh blockchain.

Glamsterdam Repricing Impact for Smart Contract Developers

The upcoming Glamsterdam upgrade includes gas repricings that could affect a small number of smart contracts.

The One Thing Every Smart Contract Auditor Misses

Khi kiểm tra smart contract, hầu hết auditor tập trung vào việc phân tích mã nguồn và sử dụng công cụ tĩnh như Slither, MythX, nhưng thường bỏ qua yếu tố con người trong quá trình đánh giá. Các auditor thường dựa vào giả định rằng tài liệu specification là đầy đủ và chính xác, dẫn đến việc bỏ qua các trường hợp edge case do hiểu lầm về ý định kinh tế hoặc quy trình off‑chain, đồng thời bị ảnh hưởng bởi sự mệt mỏi khi đọc hàng trăm báo cáo và kiểm tra hàng chục hợp đồng mỗi tuần. Hệ quả là những lỗi liên quan đến lógica kinh tế, quyền truy cập admin hoặc các tương tác với oracle không được phát hiện, khiến các lỗ hổng như reentrancy, price manipulation hoặc privilege escalation tồn tại và có thể được khai thác gây thiệt hại lên tới hàng triệu đô la. Điều đáng học là cần bổ sung quy trình kiểm tra nhân bản như phỏng vấn đội phát triển, kiểm tra lại spec bằng cách chạy các kịch bản mô phỏng kinh tế và áp dụng danh sách kiểm tra tập trung vào giả định con người, đồng thời luân phiên auditor và giới hạn số lượng hợp đồng mỗi tuần để giảm bias và mệt mỏi. Khi áp dụng những biện pháp này, khả năng phát hiện lỗi do con người gây ra sẽ tăng đáng kể, giúp bảo vệ tài sản của người dùng tốt hơn.

Bài viết tiết lộ yếu tố con người thường bị bỏ sót trong quá trình kiểm hợp đồng thông minh, điều mà nhiều người chỉ tập trung vào mã code mà quên mất.