Một Nhóm làm việc Ethereum bao gồm các nhà phát triển ví, các công ty bảo mật và Sáng kiến Bảo mật Nghìn tỷ Đô la của Tổ chức Ethereum hôm nay đã ra mắt một tiêu chuẩn mở được thiết kế để chấm dứt việc ký mù (blind signing) — một lỗ hổng cấu trúc đã góp phần gây ra thiệt hại hàng tỷ đô la cho người dùng, bao gồm cả vụ hack Bybit. Sáng kiến Bảo mật Nghìn tỷ Đô la của Tổ chức Ethereum đang đóng vai trò tích cực như một người quản lý trung lập đáng tin cậy của sổ đăng ký Clear Signing.
Trong các vụ khai thác lớn đối với các ứng dụng tiền mã hóa và chuỗi khối, bước cuối cùng thường không phải là một lỗi trong mã nguồn, mà là do người dùng phê duyệt một giao dịch. Ngay cả khi các cuộc tấn công giả mạo (phishing) hoặc sự xâm phạm cơ sở hạ tầng khởi xướng vụ vi phạm, bước cuối cùng thường là một xác nhận mà người dùng không thể hiểu được ý nghĩa thực sự. Việc phê duyệt một giao dịch được xem là tuyến phòng thủ cuối cùng khi thực hiện quyền kiểm soát đối với những gì xảy ra với tài sản của bạn trên chuỗi khối. Khi điều đó được thực hiện một cách mù quáng, tuyến phòng thủ đó sẽ không thể trụ vững.
Để người dùng và các tổ chức cảm thấy thoải mái khi lưu trữ và tương tác với các tài sản trị giá hàng nghìn tỷ đô la trên Ethereum, "Những gì bạn thấy là những gì bạn ký" (What You See Is What You Sign - WYSIWYS) phải là mục tiêu của chúng ta, và Clear Signing phải là mặc định.
Ngày nay, việc phê duyệt một giao dịch thường đồng nghĩa với việc cố gắng hiểu những gì bạn sắp làm dựa trên các thông tin không được thiết kế để con người đọc. Trong các tình huống rủi ro cao, người dùng có thể dựa vào một thiết bị riêng biệt để kiểm tra lại các chi tiết, đặc biệt là nếu ứng dụng họ đang sử dụng có thể đã bị xâm phạm. Trên thực tế, thông tin này thường được hiển thị ở các định dạng cấp thấp, máy có thể đọc được, tuy chính xác nhưng lại khó diễn giải nếu không có chuyên môn kỹ thuật.
Điều cần thiết là một cách thức để cả các ứng dụng hiện có và ứng dụng mới trên Ethereum cung cấp các mô tả rõ ràng, có cấu trúc và con người có thể đọc được về những gì một giao dịch sẽ thực hiện, để các ví có thể trình bày thông tin này một cách nhất quán và đáng tin cậy cho người dùng. Để đạt được điều này đòi hỏi một định dạng chung cho các mô tả này (ERC-7730), một sổ đăng ký để lưu trữ và phân phối chúng, một cách để xác minh rằng chúng chính xác, và các công cụ giúp các ví và nhà phát triển dễ dàng áp dụng phương pháp này, cùng với một bên trung lập đáng tin cậy để hỗ trợ cơ sở hạ tầng.
Bất kỳ ai cũng có thể đóng góp các bộ mô tả cho hệ thống này. Độ chính xác của chúng được xác minh thông qua các đánh giá và chứng thực độc lập, và các ví sẽ quyết định nguồn nào họ tin tưởng. Mặc dù các bộ mô tả này được cung cấp cùng với giao dịch, thay vì được nhúng trực tiếp vào đó, phương pháp này giúp hỗ trợ cả các ứng dụng hiện có và ứng dụng mới, trong khi vẫn cho phép độ chính xác của chúng được xác minh một cách độc lập.
Sáng kiến Bảo mật Một Nghìn tỷ Đô la của Tổ chức Ethereum cam kết lưu trữ cơ sở hạ tầng này và hỗ trợ sự phát triển của nó, với các công cụ được xây dựng và duy trì bởi những người đóng góp trên toàn hệ sinh thái, và việc áp dụng được khuyến khích thông qua clearsigning.org, nhằm giúp biến Clear Signing trở thành mặc định trên Ethereum.
Chúng tôi khuyến khích các nhà phát triển ví áp dụng phương pháp này và tích hợp hỗ trợ cho các xác nhận giao dịch rõ ràng, con người có thể đọc được. Các nhà phát triển xây dựng ứng dụng được khuyến khích cung cấp các mô tả chính xác về những gì giao dịch của họ thực hiện, và các chuyên gia bảo mật được khuyến khích xem xét và chứng thực tính đúng đắn của chúng. Thông tin về các công cụ hiện có, bao gồm các thư viện Rust và TypeScript được tài trợ thông qua 1TS, có thể được tìm thấy trên clearsigning.org.
Bằng cách chuyển sang Clear Signing, chúng ta đang củng cố tuyến phòng thủ cuối cùng và làm cho hệ sinh thái Ethereum trở nên an toàn hơn, dễ tiếp cận hơn và chuẩn bị tốt hơn cho làn sóng người dùng và sự chấp nhận của các tổ chức tiếp theo.
Chúng tôi muốn ghi nhận và cảm ơn Ledger vì đã khởi xướng ERC-7730 cùng các nỗ lực ban đầu về công cụ, cơ sở hạ tầng và giáo dục. Đây là một nỗ lực đa bên có chủ đích với những đóng góp trong nghiên cứu, phát triển thư viện, kiểm toán và điều phối, liên quan đến các nhóm như ZKnox, Sourcify, Cyfrin, Zama, WalletConnect, Fireblocks, Trezor, Keycard, MetaMask, Argot, và các cá nhân đóng góp độc lập trên toàn hệ sinh thái.