Những điểm cần ghi nhớ

• Các dự án GameFi kết hợp công nghệ blockchain với game theo cơ chế của GameFi, nhưng họ phải đối mặt với rủi ro bảo mật nghiêm trọng ở cả lớp on-chain và off-chain.

• Các rủi ro trên chuỗi bao gồm lỗ hổng trong hợp đồng thông minh, logic đúc NFT, các hợp đồng cầu nối xuyên chuỗi và hệ thống quản trị DAO.

• Các rủi ro ngoài chuỗi bao gồm việc bị chiếm quyền máy chủ, tấn công lừa đảo (phishing), sửa đổi metadata và thao túng giao diện người dùng.

• Vụ khai thác cầu nối Axie Infinity năm 2022 dẫn đến khoản lỗ xấp xỉ 625 triệu USD, là một trong những sự cố bảo mật lớn nhất trong lịch sử blockchain.

• Các dự án có thể giảm rủi ro thông qua kiểm toán hợp đồng thông minh, xác minh chính thức, kiểm thử thâm nhập và các kế hoạch ứng phó khẩn cấp được thiết kế rõ ràng, đầy đủ.

Giới thiệu

GameFi kết hợp công nghệ blockchain với trò chơi trực tuyến, thường cung cấp mô hình “play-to-earn” (P2E) (chơi để kiếm tiền) nơi người chơi có thể kiếm phần thưởng bằng crypto. Người chơi GameFi thường sở hữu tài sản trong game dưới dạng NFT, nghĩa là một sự cố vi phạm bảo mật không chỉ làm gián đoạn gameplay mà còn có thể dẫn đến những khoản lỗ tài chính thực sự.

Bảo mật là một trong những thách thức lớn nhất mà các dự án GameFi phải đối mặt. Một số dự án ưu tiên tốc độ ra mắt thị trường hơn là việc rà soát bảo mật kỹ lưỡng, khiến họ dễ bị tổn thương trước các vụ khai thác. Hiểu được các lỗ hổng phổ biến nhất có thể giúp người chơi và nhà phát triển đưa ra quyết định tốt hơn.

Tại sao bảo mật GameFi lại quan trọng?

GameFi phát triển nhanh chóng từ năm 2021 đến 2022, với mảng game trên blockchain thu hút một phần lớn nguồn vốn đầu tư mạo hiểm tiền mã hóa. Khác với game truyền thống, tài sản trong game trong GameFi có giá trị thị trường ngoài đời thực. Một cuộc tấn công thành công có thể rút cạn tiền của cả người chơi lẫn chính dự án.

Tầm ảnh hưởng rất lớn. Năm 2022, kẻ tấn công đã khai thác backdoor của một node Remote Procedure Call (RPC) để lấy chữ ký validator gian lận trên Axie Infinity Ronin Bridge. Điều này cho phép rút tiền trái phép khoảng 625 triệu USD bằng ETH và USDC, khiến đây trở thành một trong những sự cố bảo mật lớn nhất trong lịch sử blockchain. Các dự án GameFi bỏ qua kiểm thử bảo mật nghiêm ngặt sẽ khiến toàn bộ cộng đồng của họ gặp rủi ro.

Các thách thức bảo mật trên chuỗi

Lỗ hổng token ERC-20

Token ERC-20 thường được dùng trong GameFi như tiền tệ trong game để mua sắm, nhận thưởng và giao dịch. Nếu logic mint (đúc) trong hợp đồng thông minh có lỗ hổng, kẻ tấn công có thể khai thác để tạo token trái phép.

Một kiểu tấn công phổ biến là reentrancy, xảy ra khi một hợp đồng độc hại liên tục gọi lại vào một hàm dễ bị tổn thương trước khi quá trình thực thi đầu tiên hoàn tất. Điều này có thể cho phép đúc token vô hạn. Năm 2022, dự án play-to-earn DeFi Kingdoms đã gặp một cuộc tấn công thuộc loại này: người chơi khai thác lỗi logic để đúc các native tokens bị khóa, khiến giá token sau đó giảm mạnh.

Việc kiểm soát tổng nguồn cung token là yếu tố then chốt đối với bất kỳ nền kinh tế GameFi nào. Các dự án nên áp đặt giới hạn cung chặt chẽ trong mã và tiến hành kiểm toán kỹ lưỡng toàn bộ logic mint trước khi ra mắt.

Các lỗ hổng của NFT

NFT trong GameFi đại diện cho các vật phẩm trong game như trang bị, nhân vật và sưu phẩm. Giá trị của chúng thường phụ thuộc vào độ hiếm, khiến quy trình mint trở thành mục tiêu “màu mỡ” cho thao túng.

Một rủi ro là việc sử dụng các nguồn ngẫu nhiên yếu trong quá trình tạo NFT. Dấu thời gian của khối (block timestamps) có thể bị ảnh hưởng một phần bởi các thợ đào (miners) và không phù hợp làm nguồn tạo ngẫu nhiên cho việc cấp phát NFT theo hạng độ hiếm. 

Ngay cả các công cụ tạo ngẫu nhiên mạnh hơn vẫn còn rủi ro tồn dư: người dùng có thể theo dõi giao dịch mint NFT, từ chối token nhận được nếu có mức độ hiếm không mong muốn, rồi thử lại cho đến khi nhận được NFT hiếm.

Các hàm chuyển (transfer) cho chuẩn ERC-721 và ERC-1155 cũng có thể tạo ra rủi ro reentrancy. Hàm safeTransferFrom() kích hoạt một callback trên hợp đồng nhận, và kẻ tấn công có thể dùng cơ chế này để “tái nhập” (re-enter) logic chuyển và thao túng kết quả.

Các lỗ hổng bảo mật của cầu nối xuyên chuỗi

Cầu nối xuyên chuỗi cho phép người chơi chuyển tài sản giữa các mạng blockchain khác nhau. Các bridge này đã trở thành mục tiêu lớn của kẻ tấn công trong lĩnh vực tài chính phi tập trung (DeFi) nói chung, và các dự án GameFi dựa vào chúng cũng bị phơi bày tương tự.

Rủi ro cốt lõi là sự không nhất quán trong kế toán tài sản giữa hai phía của một cây cầu (bridge). Nếu các hợp đồng dùng để xác minh và ghi nhận tài sản đầu vào/đầu ra có lỗ hổng, kẻ tấn công có thể “đúc” (mint) tài sản mới trên chuỗi đích mà không cần đốt (burn) các tài sản tương ứng trên chuỗi nguồn. Điều này về thực chất tạo ra giá trị từ hư không.

Kể từ năm 2022, các vụ khai thác lỗ hổng cầu nối xuyên chuỗi vẫn nằm trong số các kênh tấn công gây tổn thất nặng nề nhất đối với bảo mật blockchain. Các dự án nên coi các hợp đồng cầu nối là mục tiêu kiểm toán ưu tiên hàng đầu và cân nhắc giới hạn thanh khoản của bridge cho đến khi các hợp đồng được kiểm thử kỹ lưỡng.

Các lỗ hổng bảo mật trong quản trị DAO

Nhiều dự án GameFi sử dụng mô hình tổ chức tự trị phi tập trung (DAO) để cho phép người nắm giữ token bỏ phiếu về hướng phát triển trò chơi, chi tiêu quỹ dự phòng (treasury) và thay đổi quy tắc. Điều này tạo ra hai nhóm rủi ro.

Thứ nhất, quyền quản trị có thể bị tập trung cao độ. Nếu một số ít ví kiểm soát phần lớn token quản trị, họ có thể tự ý phê duyệt các quyết định mang lại lợi ích cho chính họ, thay vì vì lợi ích của cộng đồng. 

Thứ hai, các hợp đồng thông minh thực thi các quyết định quản trị có thể chứa logic có thể bị khai thác. Trước đây, kẻ tấn công đã dùng flash loan để tạm thời giành quyền biểu quyết lớn, thông qua một đề xuất độc hại, rút cạn quỹ DAO, rồi hoàn trả flash loan—tất cả trong một giao dịch duy nhất.

Thách thức bảo mật từ phía ngoài chuỗi (Off-Chain)

Các dự án GameFi thường phụ thuộc vào máy chủ back-end tập trung để quản lý trạng thái game, tài khoản người dùng và gameplay thời gian thực. Những máy chủ này dễ bị tấn công bằng các phương thức tương tự như các ứng dụng web truyền thống, bao gồm tấn công thâm nhập (penetration) và cài mã độc (malware).

Metadata NFT thường được lưu dưới dạng các tệp JSON mô tả thuộc tính và các thông tin hiển thị của một tài sản. Nhiều dự án lưu metadata này trên máy chủ của chính họ thay vì trên kho lưu trữ phi tập trung như IPFS. Nếu kẻ tấn công—hoặc thậm chí chính đội ngũ dự án—chỉnh sửa metadata, token trên chuỗi vẫn còn hiệu lực nhưng các thuộc tính được hiển thị của tài sản có thể thay đổi, có khả năng gây hại cho những người chơi đã mua dựa trên các thuộc tính đó.

Các cầu nối xuyên chuỗi cũng có một thành phần ngoài chuỗi. Các trình xác thực (validators) phải ký các thông điệp để cho phép việc chuyển tài sản. Kẻ tấn công có thể nhắm vào khóa của validator thông qua các chiến dịch lừa đảo (phishing) hoặc việc xâm nhập/chiếm quyền máy chủ để giành khả năng ủy quyền cho các giao dịch chuyển trái phép. Đây chính là điều đã xảy ra trong sự cố Axie Infinity được nhắc ở trên.

Các rủi ro ngoài chuỗi bổ sung bao gồm tấn công chèn gói tin mạng (network packet injection)—trong đó kẻ tấn công sửa dữ liệu đang được truyền để làm giả các giao dịch mua trong game—và rò rỉ giao diện người dùng (front-end interface leaks), nơi dữ liệu người chơi bị lộ có thể được dùng để trích xuất thêm thông tin nhạy cảm từ các máy chủ game.

Các cách cải thiện bảo mật

Cách hiệu quả nhất để bảo vệ một dự án GameFi là coi bảo mật như một quy trình liên tục, thay vì một nhiệm vụ làm một lần. Mã hợp đồng thông minh nên được viết theo các phương pháp bảo mật tốt nhất ngay từ đầu, được kiểm toán độc lập trước khi ra mắt và, nếu có thể, được xác minh chính thức (formal verification). Xác minh chính thức sử dụng các chứng minh toán học để xác nhận mã hoạt động đúng như dự kiến với mọi khả năng đầu vào.

Kiểm thử thâm nhập (penetration testing) cần bao phủ cả hạ tầng web truyền thống lẫn các bề mặt tấn công riêng của Web3 như kết nối ví và các giao thức phi tập trung. Các dự án nên chạy các chương trình quét lỗ hổng và cân nhắc trao thưởng bug bounty để khuyến khích việc công bố có trách nhiệm.

Bảo mật vận hành (operational security) cũng quan trọng. Việc truy cập vào khóa validator và các hàm quản trị cần được kiểm soát chặt chẽ, và nếu có thể hãy dùng cơ chế đa chữ ký (multi-signature). Các dự án nên duy trì hệ thống giám sát chủ động cho các hành vi hợp đồng bất thường hoặc mẫu giao dịch lạ.

Cuối cùng, mọi dự án đều nên có một kế hoạch ứng phó sự cố khẩn cấp rõ ràng, bao gồm cơ chế dừng lỗ (stop-loss) (như tạm dừng các hàm của hợp đồng), kế hoạch truyền thông tới người dùng bị ảnh hưởng, và quy trình theo dõi cuộc tấn công cũng như phân tích sau sự cố.

Câu hỏi thường gặp (FAQ)

Những rủi ro bảo mật phổ biến nhất trong GameFi là gì?

Các rủi ro phổ biến nhất bao gồm lỗ hổng hợp đồng thông minh như tấn công reentrancy, tính ngẫu nhiên yếu trong quá trình đúc NFT, các vụ khai thác lỗ hổng cầu nối xuyên chuỗi, việc bị chiếm quyền máy chủ tập trung và các cuộc tấn công lừa đảo nhắm vào người nắm giữ khóa validator. Các dự án bỏ qua kiểm toán bảo mật kỹ lưỡng trước khi ra mắt đặc biệt dễ bị tổn thương.

Vụ hack Axie Infinity là gì?

Tháng 3 năm 2022, kẻ tấn công đã khai thác một backdoor trong node validator hỗ trợ Axie Infinity Ronin Bridge, cho phép chúng giả mạo các chữ ký ủy quyền cho các lần rút tiền (withdrawals). Chúng đã rút gần khoảng 625 triệu USD (tương đương bằng ETH và USDC), khiến đây trở thành một trong những sự cố bảo mật blockchain lớn nhất từng được ghi nhận. Cuộc tấn công này cho thấy rủi ro của việc phi tập trung hóa validator không đủ mức.

Người chơi có thể tự bảo vệ mình như thế nào trong GameFi?

Người chơi có thể giảm mức độ phơi nhiễm bằng cách chỉ tương tác với các dự án GameFi đã công bố các báo cáo kiểm toán bảo mật từ bên thứ ba, sử dụng ví không lưu ký (non-custodial) và thu hồi các phê duyệt hợp đồng thông minh khi không còn dùng, tránh kết nối ví với các giao diện front-end chưa được xác thực, và không lưu lượng lớn tài sản trong game trên các dự án có hồ sơ bảo mật chưa được chứng minh.

Cầu nối xuyên chuỗi có an toàn trong GameFi không?

Cầu nối xuyên chuỗi mang rủi ro cố hữu và liên tục trở thành mục tiêu của các vụ khai thác quy mô lớn trên toàn hệ sinh thái blockchain. Các dự án nên sử dụng các bridge có hồ sơ bảo mật đã được chứng minh và được kiểm toán độc lập. Người dùng cần hiểu rằng các tài sản được giữ trong hợp đồng bridge chỉ an toàn ở mức mà chính bridge đó an toàn.

Những suy nghĩ kết lại

Những thách thức bảo mật của GameFi trải dài cả ở mã nguồn trên chuỗi và hạ tầng ngoài chuỗi. Khi ngành tiếp tục phát triển, những dự án có khả năng cao nhất giữ được niềm tin của người chơi là những dự án coi bảo mật là một yêu cầu cốt lõi của sản phẩm, chứ không phải một suy nghĩ sau cùng. Việc kiểm toán định kỳ, kiểm thử thâm nhập và quy trình ứng phó khẩn cấp rõ ràng có thể giúp giảm rủi ro các vụ khai thác tốn kém.

Đọc thêm

• GameFi là gì và hoạt động như thế nào?

• Game NFT là gì và hoạt động như thế nào?

• Kiểm toán bảo mật hợp đồng thông minh là gì?

• DeFi là gì?

• Tổ chức tự trị phi tập trung (DAO) là gì?

Tuyên bố từ chối trách nhiệm: Nội dung này chỉ được cung cấp cho bạn ở định dạng “nguyên trạng” (as is) nhằm mục đích thông tin chung và học tập/giáo dục mà thôi, không có bất kỳ tuyên bố hoặc bảo đảm nào. Nội dung này không nên được hiểu là lời khuyên tài chính, pháp lý hay tư vấn chuyên nghiệp khác, và cũng không nhằm mục đích khuyến nghị mua bất kỳ sản phẩm hoặc dịch vụ cụ thể nào. Bạn nên tự tìm kiếm ý kiến từ các cố vấn chuyên nghiệp phù hợp. Nếu nội dung do một bên thứ ba đóng góp, vui lòng lưu ý rằng các quan điểm được nêu thuộc về bên đóng góp thứ ba đó và không nhất thiết phản ánh quan điểm của Binance Academy. Giá tài sản kỹ thuật số có thể biến động. Giá trị khoản đầu tư của bạn có thể tăng hoặc giảm và bạn có thể không nhận lại được số tiền đã đầu tư. Bạn hoàn toàn chịu trách nhiệm cho các quyết định đầu tư của mình và Binance Academy không chịu trách nhiệm đối với bất kỳ khoản lỗ nào bạn có thể phải gánh chịu. Để biết thêm thông tin, vui lòng xem Điều khoản Sử dụng, Cảnh báo Rủi ro và Điều khoản của Binance Academy.