Một chuỗi công cộng tại sao lại dừng lại? Từ Cosmos dừng hoạt động 25 giờ, thực sự hiểu về sự đồng thuận của blockchain

Tác giả: imToken

Vào tối ngày 22 tháng 9, một người dùng đã thực hiện một giao dịch chuyển ATOM.

Một đêm trôi qua, giao dịch vẫn ở trạng thái "đang chờ xác nhận".

Khóa riêng không bị mất, ví cũng không xuất hiện bất thường trong chữ ký, ngày hôm sau kiểm tra lại, nhiều RPC công khai đều hiển thị rằng Cosmos Hub đã dừng lại ở độ cao khối 33,086,740.

Không có khối mới được tạo ra, tự nhiên cũng không có nơi nào có thể đóng gói giao dịch này.

Cho đến khoảng một ngày sau, Cosmos Hub phục hồi việc tạo khối, giao dịch ATOM trước đó vẫn ở trạng thái chờ mới thành công.

Đối với người dùng bình thường, đây có thể là bài học trực quan nhất để hiểu về sự đồng thuận của blockchain.

Chúng ta thường nói "không có tổ chức trung tâm nào có thể tắt một chuỗi công khai", nhưng thực tế rõ ràng phức tạp hơn nhiều, một chuỗi blockchain đủ phi tập trung, thực sự thường không có "nút tắt" trong phòng máy chủ, nhưng nó vẫn có thể dừng lại.

Lần tạm dừng này của Cosmos Hub đã hoàn toàn phơi bày cơ chế thường ẩn sâu bên dưới trước mắt người dùng bình thường.

I. Tại sao Cosmos đột nhiên "dừng tạo khối"?

Trước tiên cần làm rõ một vấn đề dễ gây nhầm lẫn, lần này không phải Cosmos Hub bị tấn công trực tiếp.

Sự kiện bắt đầu xảy ra tại Neutron.

Vào ngày 22 tháng 9, một đề xuất quản trị Neutron mang tên "AIATO: AI Agent Takeover" đã được thông qua, kẻ tấn công đã lợi dụng lỗ hổng trong quyền quản trị cấp chuỗi, sử dụng các lệnh đặc quyền do khung wasmd cung cấp, thay đổi quản trị viên hợp đồng của các ứng dụng như Astroport, Drop thành địa chỉ do kẻ tấn công kiểm soát.

Đây không phải là loại "lỗ hổng mã" hay "thiếu sót giao thức" mà chúng ta thường hiểu.

Có thể hiểu đơn giản rằng, ứng dụng bản thân có "khóa cửa" riêng, nhưng quản trị cấp chuỗi của Neutron lại nắm giữ một "chìa khóa tổng" với quyền hạn cao hơn, và khi kẻ tấn công kiểm soát kết quả quản trị, cũng có nghĩa là đã có được chìa khóa này, có thể chỉ định lại quản trị viên, di chuyển hợp đồng, và chuyển nhượng tài sản bên trong.

Điều thực sự khiến Cosmos Hub bị cuốn vào là sự chuyển tiền liên chuỗi xảy ra sau đó.

Phân tích của Cosmos Labs cho thấy, trước khi Neutron ngừng hoạt động, kẻ tấn công đã chuyển một phần tài sản sang nhiều mạng khác, trong đó khoảng 1,7 triệu ATOM đã được chuyển vào Cosmos Hub và bắt đầu được trao đổi thông qua tính thanh khoản liên chuỗi.

Nói cách khác, Cosmos Hub bản thân không bị tấn công trực tiếp, tài sản của người dùng Hub bình thường cũng không bị đánh cắp do lỗ hổng của Neutron.

Nhưng ATOM mà kẻ tấn công thu được đã vào Hub, để ngăn chặn phần ATOM còn lại tiếp tục chảy ra, một số người xác thực của Cosmos Hub đã bắt đầu ngừng hoạt động nút.

Đến khoảng 19:18 ngày 22 tháng 9 (SGT), những người xác thực ngừng hoạt động đã đại diện cho hơn một phần ba tổng quyền biểu quyết, do đó Cosmos Hub không thể tiếp tục tạo khối mới, cuối cùng dừng lại ở 33,086,740.

Bước này rất quan trọng.

Nó có nghĩa là Cosmos Hub không có một công ty nào có thể trực tiếp nhấn nút "Tạm dừng", cũng không có một cuộc bỏ phiếu quản trị trên chuỗi trước đó, điều thực sự khiến mạng dừng lại là một số lượng đủ lớn các người xác thực không còn tham gia vào việc hình thành sự đồng thuận.

Nhưng điều đáng chú ý hơn, thực sự là quá trình phục hồi sau đó.

Sau khoảng 4 giờ dừng chuỗi, các người xác thực đã nhận được một kế hoạch phục hồi hoàn chỉnh: thực hiện một lần sửa đổi trạng thái tạm thời tại độ cao dừng chuỗi, chuyển phần ATOM còn lại từ địa chỉ của kẻ tấn công vào địa chỉ đa chữ ký do các người xác thực cộng đồng cùng quản lý.

Sau đó, Cosmos Labs đã tạo ra bản vá Gaia v28.3.0 dựa trên kế hoạch đã đạt được của các người xác thực, tiến hành thử nghiệm và phân phối cho các người xác thực.

Phiên bản Gaia này sẽ thực hiện một thay đổi trạng thái tạm thời tại độ cao phục hồi chỉ định, chuyển 1,227,121 ATOM từ địa chỉ của kẻ tấn công vào địa chỉ đa chữ ký 4-of-6 do Nansen, Keplr, Enigma, Silknodes, Kiln và Polkachu tạo thành.

Đến rạng sáng ngày 23 tháng 9, số lượng người xác thực xác nhận cài đặt v28.3.0 đã vượt quá 67% tổng quyền biểu quyết, do đó vào lúc 12:00 UTC cùng ngày, Cosmos Hub đã phối hợp khởi động lại, khoảng 6 phút sau, lần sửa đổi trạng thái tạm thời này đã được thực hiện tại độ cao khối 33,086,741, mạng lưới phục hồi hoạt động tạo khối bình thường.

Nói cho cùng, toàn bộ quá trình từ khi Cosmos dừng tạo khối đến khi phục hồi hoạt động là các người xác thực đã khiến mạng mất đi tính khả dụng, sau đó hơn hai phần ba quyền biểu quyết đã chấp nhận một bộ quy tắc chuyển đổi trạng thái mới, cuối cùng khiến bộ quy tắc này trở thành trạng thái chuẩn sau phục hồi.

Tại đây, một câu hỏi có vẻ đơn giản đã xuất hiện: Vì sao một chuỗi công khai phi tập trung, lại có thể dừng lại chỉ với hơn một phần ba quyền xác thực, trong khi việc phục hồi mạng lại cần đủ nhiều người xác thực cùng chấp nhận và vận hành cùng một phần mềm?

Câu trả lời thực sự nằm trong hai từ "sự đồng thuận".

II. Sự đồng thuận không phải là "không bao giờ dừng lại"

Một trong những điều dễ bị hiểu lầm nhất về blockchain là coi "phi tập trung" và "không bao giờ ngừng hoạt động" là một.

Thực tế, cơ chế đồng thuận thực sự giải quyết vấn đề là nhiều nút làm thế nào để đạt được sự đồng thuận về thứ tự giao dịch và trạng thái sổ cái mà không có một người ghi sổ trung tâm.

Chỉ có điều, các chuỗi công khai khác nhau thực hiện điều này theo những cách khác nhau.

Như Bitcoin, cách cổ điển nhất là PoW, tức là bằng chứng công việc - thợ mỏ dựa vào sức mạnh tính toán để cạnh tranh tạo khối, khi mạng xuất hiện hai nhánh hợp lệ trong thời gian ngắn, các nút sẽ chọn một trong hai nhánh dựa trên tổng sức mạnh công việc.

Vì vậy, Bitcoin không có một thời điểm rõ ràng "sau 67% phiếu bầu, khối này sẽ luôn được xác nhận", nó gần giống với một sự chắc chắn xác suất, số khối tiếp theo càng nhiều, việc tổ chức lại các giao dịch trước đó sẽ cần phải trả một chi phí sức mạnh tính toán ngày càng cao.

Đó cũng là lý do tại sao mọi người thường nói, một giao dịch Bitcoin tốt nhất nên chờ xác nhận 6 khối, dù sao thì ngay cả khi sức mạnh tính toán cao đến đâu, cũng không thể đơn giản vượt qua các quy tắc đồng thuận mà các nút đang thực hiện.

Tất nhiên, điều này không có nghĩa là trạng thái của Bitcoin trong bất kỳ trường hợp nào cũng "hoàn toàn không thể sửa đổi". Về lý thuyết, nếu toàn bộ hệ sinh thái chấp nhận một bộ khách hàng mới và quy tắc đồng thuận mới, thông qua Hard Fork, cũng có thể khiến các thay đổi trạng thái không hợp lệ dưới quy tắc trước đó trở thành hợp lệ.

Nhưng vấn đề nằm ở đây, ai có khả năng khiến đủ nhiều thợ mỏ, Full Node, nền tảng giao dịch, ví và người dùng cùng chấp nhận một bộ quy tắc mới như vậy?

Gần như không có ai.

Nhóm phát triển không thể quyết định quy tắc đồng thuận cho toàn bộ mạng Bitcoin, thợ mỏ và nền tảng giao dịch cũng rất khó, vì nó cần vượt qua ngưỡng đồng thuận rất cao, khi Binance bị đánh cắp 7000 BTC, đã có người đề nghị CZ liên hệ với các thợ mỏ lớn để thực hiện, cuối cùng không thành công.

Ethereum thì cung cấp một mẫu rất cổ điển khác.

Sau khi chuyển sang PoS, Ethereum hiện tại sử dụng Casper FFG và LMD-GHOST để tạo thành sự đồng thuận Gasper. Hiểu đơn giản, một phần cơ chế chịu trách nhiệm xác định "nên theo chuỗi nào", phần còn lại chịu trách nhiệm khiến khối đạt được sự xác nhận thực sự.

Khi các người xác thực đại diện cho ít nhất hai phần ba ETH được đặt cọc đạt được sự đồng thuận về checkpoint tương ứng, khối mới có thể tiến tới xác nhận cuối cùng; ngược lại, nếu hơn một phần ba số đặt cọc không tham gia bỏ phiếu đúng trong thời gian dài, mạng có thể tạm thời không thể hình thành sự xác nhận cuối cùng, tuy nhiên Ethereum cũng đã thiết kế một cơ chế rò rỉ không hoạt động, trong thời gian dài không thể xác nhận, dần dần giảm trọng số hiệu lực của các người xác thực ngoại tuyến, cho phép mạng cuối cùng có cơ hội phục hồi sự xác nhận cuối cùng.

Để thực sự thay đổi kết quả này, cũng cần phải thay đổi quy tắc giao thức và khách hàng.

Giống như sự kiện The DAO năm 2016, cộng đồng Ethereum cuối cùng đã thông qua Hard Fork, thực hiện một thay đổi trạng thái đặc biệt mà Ethereum Foundation khi đó gọi là "thay đổi trạng thái bất thường" tại khối 1,920,000, chuyển ETH liên quan vào hợp đồng phục hồi.

Chỉ là, một phần thợ mỏ và cộng đồng từ chối nâng cấp, tiếp tục duy trì trạng thái ban đầu cuối cùng đã hình thành Ethereum Classic (ETC), dẫn đến sự phân nhánh nổi tiếng giữa ETH và ETC, cho thấy không phải ai cũng chấp nhận bộ quy tắc này.

Cosmos Hub lại khác, nó sử dụng CometBFT, gần gũi hơn với sự đồng thuận BFT điển hình.

Có thể hiểu nó như một sự đồng thuận BFT điển hình hơn, tức là một khối muốn thực sự được xác nhận, cần phải nhận được hơn hai phần ba quyền biểu quyết để cam kết.

Lợi ích của nó là sự xác nhận rất rõ ràng, một khi khối đã được bỏ phiếu và cam kết bởi đủ quyền biểu quyết, không cần phải như PoW tiếp tục chờ đợi ngày càng nhiều khối, để đổi lấy cảm giác an toàn.

Nhưng mặt khác của nó cũng rất trực tiếp, đó là nếu một phần ba hoặc hơn quyền biểu quyết không còn cung cấp phiếu bầu cần thiết để hình thành cam kết, các người xác thực còn lại dù có cố gắng cũng không thể đạt được hơn hai phần ba.

Lúc này, lựa chọn an toàn nhất cho mạng, chính là như lần "tạm dừng tạo khối" này, vì vậy từ góc độ hệ thống phân tán, lần tạm dừng ngắn của Cosmos Hub thực sự không có gì bí ẩn.

Nói tóm lại, một nhóm người xác thực nắm giữ đủ quyền biểu quyết ngừng tham gia, khiến giao thức đồng thuận theo quy tắc của nó, thà mất khả dụng cũng không tiếp tục xác nhận khối mới trong tình trạng thiếu sự đồng thuận đủ.

Điều này thực sự tương ứng với hai khái niệm thường bị người dùng bình thường nhầm lẫn trong hệ thống phân tán:

• An toàn: không thể để các nút khác nhau xác nhận hai trạng thái cuối cùng mâu thuẫn với nhau cùng một lúc;
• Khả năng hoạt động: mạng có thể tiếp tục hoạt động, xử lý giao dịch mới hay không;

Đối với hệ thống BFT, khi số lượng nút tham gia đồng thuận không đủ, việc tạm dừng đôi khi chính là cái giá phải trả để duy trì an toàn, nói thẳng ra, sổ cái phi tập trung này thà tạm dừng ở đó, cũng không để cho những người còn lại ghi nhớ theo cách riêng của họ.

Từ góc độ này nhìn lại, sẽ phát hiện ra nhiều sự cố có vẻ hoàn toàn khác nhau trong lịch sử của chuỗi công khai, thực ra đều xoay quanh một vấn đề:

Khi các nút phân tán không thể tiếp tục đạt được sự đồng thuận về "trạng thái đúng", mạng lưới nên làm gì?

Ba, từ Bitcoin đến Solana, ranh giới rủi ro thực sự của chuỗi công khai ở đâu?

Đây không phải là lần đầu tiên Cosmos đưa vấn đề này ra ánh sáng.

Ngay từ năm 2013, Bitcoin đã xảy ra một sự cố phân nhánh chuỗi rất kinh điển.

Khi đó, Bitcoin 0.8 đã chuyển cơ sở dữ liệu từ Berkeley DB sang LevelDB, sau đó một khối chứa nhiều đầu vào giao dịch xuất hiện, nút phiên bản mới có thể xử lý bình thường, nhưng một số nút phiên bản cũ do giới hạn số lượng khóa của Berkeley DB đã xác định khối này là không hợp lệ.

Vì vậy, một cảnh tượng rất khó xử đã xảy ra, mọi người đều chạy Bitcoin, nhưng các khách hàng cũ và mới bắt đầu đưa ra những câu trả lời khác nhau về "khối này có hợp pháp hay không".

Mạng lưới vì thế đã bị chia thành hai chuỗi, và một bên phiên bản mới 0.8 đã từng sở hữu khoảng 60% sức mạnh tính toán, không thể dựa vào cạnh tranh sức mạnh tính toán bình thường để tự thu hẹp nhanh chóng.

Cuối cùng, các mỏ lớn đã phối hợp quay lại phiên bản cũ, tái chiếm thêm sức mạnh tính toán ở phía quy tắc cũ, mạng lưới mới thu hẹp lại, Bitcoin sau đó cũng đã đặc biệt xem xét sự cố này qua BIP 50.

Đến năm 2016, sự kiện The DAO của Ethereum lại đẩy vấn đề lên một bước nữa.

Như đã đề cập ở trên, sự kiện The DAO, cộng đồng Ethereum cuối cùng đã thực hiện một Hard Fork, tại khối 1,920,000 thực hiện một thay đổi trạng thái đặc biệt được Ethereum Foundation gọi là thay đổi trạng thái không hợp lệ, chuyển ETH liên quan vào hợp đồng phục hồi.

Nhưng không phải ai cũng đồng ý với cách xử lý này, một số thợ mỏ và cộng đồng từ chối chấp nhận thay đổi trạng thái đã tiếp tục duy trì quy tắc ban đầu, và từ đó đã có Ethereum Classic (ETC) tồn tại lâu dài.

Lần Fork DAO này cũng là một sự kiện kinh điển, tương đương với việc thông báo cho mọi người rằng, khi sự kiện cực đoan xảy ra, ngoài sự đồng thuận mã, còn có sự đồng thuận xã hội, nếu không thể hình thành ý kiến đủ nhất quán, một chuỗi thực sự có thể bị chia thành hai.

Năm 2021, Solana đã trình bày một con đường lỗi hoàn toàn khác.

Vào tháng 9 năm đó, một lượng lớn giao dịch robot đã tràn vào mạng lưới, dẫn đến việc các nút xác thực cạn kiệt bộ nhớ, nhiều nút bị sập, cuối cùng toàn bộ mạng không thể đạt được sự đồng thuận về trạng thái hiện tại, ngừng xác nhận khối mới khoảng 17 giờ, sau đó các xác thực viên đã phối hợp khôi phục mạng.

Khi đặt những sự cố này lại với nhau, sẽ thấy chúng không phải là cùng một vấn đề:

• Vấn đề của Bitcoin năm 2013 là các khách hàng khác nhau bắt đầu thực hiện các quy tắc hiệu lực khác nhau;
• Vấn đề của Solana năm 2021 là một lượng lớn nút xác thực không thể tiếp tục tham gia đồng thuận bình thường, mạng lưới mất Liveness;
• Vấn đề mà Ethereum DAO phải đối mặt thì gần hơn với việc một cộng đồng có nên chủ động thay đổi trạng thái thông qua quy tắc giao thức mới hay không;
• Và lần này Cosmos Hub lại mang một lớp đặc thù khác, mạng lưới đã chủ động mất Liveness thông qua sự phối hợp của các xác thực viên, ngăn chặn tài sản bị tấn công tiếp tục di chuyển; sau đó lại được một tỷ lệ đủ cao của quyền xác thực đồng ý với phần mềm mới và khôi phục trạng thái, để mạng lưới tái hình thành sự đồng thuận;

Vì vậy, thay vì đơn giản quy kết những sự kiện này thành "chuỗi blockchain cũng có thể tắt máy" "phi tập trung đều là giả", tốt hơn là thừa nhận một thực tế chân thực hơn:

Cơ chế đồng thuận chưa bao giờ là một cỗ máy không bao giờ hỏng, điều nó thực sự cung cấp là một bộ quy tắc phi tập trung, chẳng hạn như khi xảy ra bất đồng, ai sẽ quyết định chuỗi đúng; bao nhiêu người tham gia mới có thể làm cho một trạng thái đạt được tính cuối cùng; khi xảy ra sự cố, mạng lưới chọn tiếp tục hoạt động hay dừng lại; và trong các trường hợp cực đoan, hành động tập thể nào có thể thay đổi quy tắc hoạt động tiếp theo.

Điều này cũng khiến sự kiện Cosmos lần này, để lại một câu hỏi đáng suy nghĩ hơn cho người dùng bình thường so với "có nên dừng chuỗi hay không".

Viết ở cuối

Chúng ta thường nói, không có chìa khóa của bạn, không có đồng tiền của bạn.

Câu nói này dĩ nhiên vẫn đúng, chỉ là nó nhấn mạnh quyền kiểm soát tài sản ------ chỉ cần khóa riêng nằm trong tay bạn, ví, nền tảng giao dịch hoặc bên thứ ba khác không thể thay bạn ký một giao dịch chuyển khoản bình thường.

Điều kiện tiên quyết là, chuỗi blockchain mà bạn đang ở phải có khả năng xử lý chữ ký này vào bất kỳ thời điểm nào.

Ngày mà Cosmos Hub ngừng tạo khối, người dùng vẫn giữ khóa riêng của mình, tài sản cũng không vì vậy mà biến mất, chỉ là ngay cả khi bạn ký một giao dịch đúng, cũng không có khối mới nào có thể chấp nhận nó.

Quá trình phục hồi lại càng chứng minh rằng, nếu đủ nhiều người tham gia đồng thuận chấp nhận một bộ quy tắc trạng thái mới, trạng thái chuỗi trên tài khoản cụ thể, cũng có thể thay đổi mà không cần chữ ký của khóa riêng địa chỉ gốc.

Điều này sẽ không làm cho "Không có chìa khóa của bạn, không có đồng tiền của bạn" mất hiệu lực, nhưng nhắc nhở chúng ta, quyền tự chủ của khóa riêng và quyền đồng thuận cơ sở chưa bao giờ là một chuyện.

Còn đối với ví cũng vậy.

Ví có thể đảm bảo khóa riêng và quyền ký nằm trong tay người dùng, có thể nhanh chóng nhận diện bất thường ở cấp chuỗi, hiển thị chính xác trạng thái giao dịch, thiết lập RPC và thừa số nút, và sau khi mạng phục hồi lại xác nhận kết quả giao dịch cuối cùng.

Nhưng ví không thể thay một chuỗi công khai khôi phục sự đồng thuận, cũng không thể đảm bảo mạng lưới cơ sở sẽ không bao giờ bị gián đoạn, càng không thể đảm bảo quy tắc và trạng thái trên chuỗi sẽ không bao giờ xảy ra thay đổi ở cấp độ đồng thuận.

Vì vậy, một hệ thống phi tập trung trưởng thành thực sự cần theo đuổi, có thể chưa bao giờ là "bất cứ điều gì cũng không thể thay đổi"; ngược lại, nên cố gắng làm rõ những ranh giới không hoàn hảo này: Ai có thể tạm dừng sự đồng thuận? Cần trọng số lớn đến mức nào? Trong trường hợp nào cho phép can thiệp khẩn cấp?

Bởi vì sự phi tập trung thực sự, không thể khiến hệ thống không bao giờ gặp sự cố, điều quan trọng là, ngay cả khi sự cố thực sự xảy ra, chúng ta vẫn có thể biết ai, dựa trên quy tắc gì, với mức độ đồng thuận bao nhiêu, đã quyết định rằng sổ sách này sẽ được ghi chép như thế nào tiếp theo.