Tron(TRX): Đề xuất kháng lượng tử TIP-899 có thể khiến ví mất quyền đổi khóa sau thanh toán

Nếu đề xuất chuyển đổi chữ ký kháng lượng tử của Tron(TRX) được áp dụng, một số ví có thể vẫn chuyển được tài sản nhưng lại không thể thay đổi quyền tài khoản và khóa. Đây không phải là sự cố khóa ví đã xảy ra trên mainnet hiện tại, mà là rủi ro kỹ thuật được rút ra khi áp dụng cấu trúc quyền hạn được đề xuất vào một số điều kiện cụ thể.

Đề xuất chữ ký kháng lượng tử TIP-899 của Tron đang ở trạng thái Draft tính đến ngày 15/9/2026. TIP-899 trình bày phương án áp dụng FN-DSA-512 và ML-DSA-44 cho giao dịch, tạo khối, bắt tay giữa các node và TVM, đồng thời cho biết định dạng địa chỉ và cấu trúc tài khoản vẫn được giữ nguyên.

Hai phương thức chữ ký này được kích hoạt hoặc vô hiệu hóa thông qua các đề xuất quản trị on-chain riêng biệt. Do đó, việc đề xuất đã được soạn thảo không đồng nghĩa với việc cả hai phương thức đã được kích hoạt trên mainnet Tron.

Vấn đề cốt lõi nằm ở chỗ quyền tài khoản của Tron được chia theo vai trò. Quyền owner có thể thay đổi chính quyền tài khoản, trong khi quyền active chỉ xử lý các giao dịch được cho phép — nghĩa là quyền gửi tài sản và quyền thay khóa không giống nhau.

Theo tài liệu dành cho nhà phát triển của Tron, AccountPermissionUpdateContract là thao tác cần được phê duyệt bằng quyền owner hiện có. Điều này có nghĩa là ngay cả khi quyền active vẫn có thể thực hiện chuyển tiền, nếu quyền owner bị vô hiệu hóa riêng thì quy trình thay đổi quyền tài khoản có thể không thực hiện được.

Giả định một tài khoản mang tính giả lập cấu hình quyền owner chỉ bằng khóa FN-DSA sẽ cho thấy rủi ro. Sau khi phương thức chữ ký này bị vô hiệu hóa, dù tài khoản vẫn có thể chuyển tài sản bằng quyền active riêng, không có gì đảm bảo quyền thay khóa vẫn còn.

Ngược lại, nếu chỉ một khóa ML-DSA được cấu hình để tự đáp ứng ngưỡng owner, tài khoản vẫn có thể thay khóa đã bị vô hiệu hóa. Với tài khoản mà tổng trọng số của khóa ECDSA và khóa FN-DSA-512 được thiết lập vừa đủ ngưỡng, khi một trong hai phương thức bị tắt, các khóa còn lại có thể không đủ đáp ứng tiêu chuẩn phê duyệt.

Trường hợp này không phải sự cố áp dụng cho mọi ví Tron, mà là ví dụ phân tích tùy theo cách cấu hình quyền hạn. CryptoSlate đưa ra tình huống dựa trên quy tắc quyền hạn của TIP-899, trong đó quyền thanh toán vẫn còn nhưng quyền thay khóa có thể biến mất.

TIP-899 tận dụng cấu trúc trọng số và ngưỡng hiện có của Permission. Một giao dịch có thể chứa đồng thời chữ ký ECDSA và chữ ký kháng lượng tử, nên việc kết hợp song song khóa cũ và khóa mới cũng khả thi.

Tuy nhiên, chữ ký kháng lượng tử không thể khôi phục khóa công khai từ chữ ký như ECDSA, nên khóa công khai phải được đưa trực tiếp vào giao dịch. TIP-899 cho biết ở giai đoạn 1 sẽ áp dụng cách đưa khóa công khai này vào từng giao dịch.

Kích thước khóa công khai có thể trở thành gánh nặng xử lý giao dịch. Khóa công khai FN-DSA-512 có kích thước 896 byte, khóa công khai ML-DSA-44 là 1312 byte — lớn hơn nhiều so với khóa công khai ECDSA hiện tại chỉ 33 byte.

Tại cuộc họp của các nhà phát triển cốt lõi Tron, việc đưa khóa công khai vào từng giao dịch khiến kích thước giao dịch và chi phí mạng tăng lên cũng là chủ đề được thảo luận chính. Không chỉ tính bảo mật của phương thức chữ ký, mà cả khối lượng dữ liệu mà ví và node phải xử lý cũng là vấn đề cần xem xét trong quá trình chuyển đổi.

Giai đoạn chuẩn hóa của các thuật toán cũng khác nhau. ML-DSA đã được Viện Tiêu chuẩn và Công nghệ Quốc gia Mỹ (NIST) chính thức hóa thành FIPS 204 vào ngày 13/8/2024, và FIPS 204 của NIST giới thiệu đây là tiêu chuẩn chữ ký số được đánh giá là an toàn trước các cuộc tấn công từ máy tính lượng tử.

Trong khi đó, FN-DSA được tài liệu TIP-899 mô tả đang ở giai đoạn Draft của FIPS 206. Do hai phương thức khác nhau về trạng thái chuẩn hóa và kích thước khóa công khai, nếu Tron thực sự thúc đẩy quá trình chuyển đổi thì cần xem xét riêng gánh nặng triển khai và vận hành cho từng thuật toán.

Tron cho biết cần thêm các công việc như tạo và phái sinh khóa, tạo chữ ký cho ví, SDK, ví cứng, cũng như xác nhận chức năng của node. Lịch trình hỗ trợ ví cứng và việc có triển khai di chuyển toàn diện cho ví dành cho người dùng phổ thông hay không vẫn chưa được xác định.

Cấu trúc tài khoản và cách thay khóa trong quá trình chuyển đổi kháng lượng tử có sự khác biệt giữa các blockchain. So với trường hợp NEAR Protocol(NEAR) tách riêng khóa truy cập có thể thay thế và ID tài khoản, tại Tron thì cấu hình khóa và thiết lập ngưỡng theo từng quyền owner, active mới là đối tượng kiểm tra cốt lõi.

Nội dung hiện được xác nhận là bản Draft của TIP-899 và phân tích kỹ thuật dựa trên đó. Việc FN-DSA-512 và ML-DSA-44 có được kích hoạt trên mainnet hay không còn phải trải qua thủ tục quản trị on-chain riêng.