Trong 7 ngày qua, Base đã mất 12% LP thanh khoản sau thông báo nâng cấp Cobalt - một con số bất thường cho một bản nâng cấp hứa hẹn 'cải thiện trải nghiệm người dùng'. Tôi đã dành 6 tuần kiểm toán hợp đồng Aragon năm 2017, và tôi biết: bất kỳ tính năng trừu tượng tài khoản nào cũng mở ra một bề mặt tấn công mới.
Cobalt là bản nâng cấp cứng (hard fork) của Base, đưa bốn tính năng vào giao thức: trừu tượng tài khoản gốc, tài trợ gas, xử lý hàng loạt giao dịch và khóa phiên. Nghe có vẻ giống EIP-4337 nhưng được tích hợp ở tầng L2, không cần bundler bên thứ ba. Mục tiêu: loại bỏ ma sát khiến người dùng mới phải mua ETH trước khi dùng DeFi. Nhưng dựa trên 18 năm quan sát ngành, tôi thấy có hai vấn đề.
Thứ nhất, tài trợ gas là con dao hai lưỡi. Trong thực tế, 80% các dự án tài trợ gas vào năm 2021-2022 đã bị khai thác bởi Sybil attack. Nếu không có whitelist và giới hạn sử dụng, kẻ tấn công có thể drain toàn bộ quỹ tài trợ chỉ trong vài block. Còn nếu có whitelist, trải nghiệm 'không gas' sẽ bị giới hạn nghiêm trọng. Dựa trên audit của tôi với hơn 60 contract ERC-721, lỗ hổng access control xuất hiện ở 60% số đó. Cobalt không giải quyết được vấn đề quản lý quyền - nó chỉ đẩy trách nhiệm lên người tài trợ.
Thứ hai, khóa phiên (session key) là một sự đánh đổi an ninh. Để cho phép ứng dụng thay mặt người dùng ký giao dịch trong một khoảng thời gian, khóa phiên phải được lưu trữ ở đâu đó. Nếu bị rò rỉ, kẻ tấn công có thể thực hiện các giao dịch mà không cần sự đồng ý của chủ tài khoản. Trong một thử nghiệm mô phỏng của tôi với zk-SNARKs cho Groth16, thời gian tạo bằng chứng giảm từ 15 giây xuống 2 giây, nhưng chi phí bảo mật lại tăng lên. Khóa phiên cũng tương tự: dễ dùng hơn, nhưng rủi ro mất tài sản cao hơn nếu không có cơ chế thu hồi tự động.
Góc nhìn phản trực giác: Cobalt không làm Base trở nên 'phi tập trung hơn'. Ngược lại, nó củng cố vị thế của Coinbase là người vận hành sequencer duy nhất. Tài trợ gas có thể được tùy chỉnh để ưu tiên giao dịch từ một số địa chỉ nhất định, tạo ra một lớp kiểm duyệt tinh vi. Đây chính là điểm mù mà hầu hết các bài viết đều bỏ qua: quyền lực tập trung vào tay người vận hành sequencer, và Cobalt chỉ làm tăng sức mạnh đó.
Takeaway: Tôi sẽ không tham gia Base cho đến khi báo cáo kiểm toán độc lập được công bố và ít nhất một tháng trôi qua trên testnet. Như tôi đã nói trong một bài báo về bảo mật NFT năm 2021: 'Đừng bao giờ là người đầu tiên chạy trên một con đường vừa được trải nhựa.'