Cảnh báo bảo mật lượng tử và AI: Đề xuất giới hạn chi tiêu trên blockchain

Các cơ quan quản lý tài chính Liên minh châu Âu (EU) đã cảnh báo điện toán lượng tử và trí tuệ nhân tạo (AI) có thể trở thành rủi ro bảo mật dài hạn đối với hệ thống tài chính, qua đó đặt ra yêu cầu chuyển đổi hệ thống mật mã và kiểm soát dòng tiền on-chain trong ngành blockchain.

Cơ quan Ngân hàng châu Âu (EBA), Cơ quan Bảo hiểm và Hưu trí châu Âu (EIOPA) cùng Cơ quan Chứng khoán và Thị trường châu Âu (ESMA) cho biết trong bản cập nhật rủi ro chung ngày 23 rằng ngành tài chính cần tăng cường khả năng chống chịu trước tốc độ phát triển nhanh của AI và điện toán lượng tử. Tài liệu này không yêu cầu bắt buộc các giao thức blockchain áp dụng giới hạn chi tiêu hoặc công tắc ngắt mạch.

Trong tài liệu về điện toán lượng tử trên thị trường tài chính công bố hồi tháng 6, ESMA cho rằng máy tính lượng tử có thể giải mã các hệ thống mật mã hiện được sử dụng trong dịch vụ tài chính, blockchain và cơ sở dữ liệu. Cơ quan này cũng cảnh báo về phương thức 'thu thập ngay, giải mã sau', trong đó kẻ tấn công thu thập dữ liệu đang được mã hóa trước rồi giải mã khi công nghệ phát triển đủ xa.

Khi đạt đủ quy mô và năng lực, máy tính lượng tử có thể ảnh hưởng đến hệ thống mật mã dùng trong giao dịch tài chính, liên lạc và bảo vệ dữ liệu. Tuy nhiên, thời điểm rủi ro này trở thành hiện thực vẫn phụ thuộc vào nhiều yếu tố, gồm đột phá công nghệ, chính sách của các chính phủ và mức độ quan tâm thương mại.

Các quốc gia thành viên EU và Ủy ban châu Âu đã xây dựng lộ trình chuyển đổi sang mật mã hậu lượng tử (PQC). Mục tiêu là chuyển các trường hợp sử dụng rủi ro cao sang hệ thống hậu lượng tử muộn nhất vào năm 2030. Ủy ban châu Âu cho biết mọi quốc gia thành viên phải bắt đầu quá trình chuyển đổi trước cuối năm 2026.

ESMA cho biết quá trình chuyển đổi hệ thống mật mã có thể kéo dài hơn 5 năm, vì vậy các tổ chức tài chính cần xác định tài sản mã hóa, các yếu tố phụ thuộc bên ngoài và đánh giá rủi ro. Đạo luật về khả năng chống chịu hoạt động kỹ thuật số (DORA) áp dụng cho các tổ chức tài chính cũng yêu cầu quản lý rủi ro công nghệ thông tin và truyền thông có tính đến các mối đe dọa mật mã luôn thay đổi.

DORA là khuôn khổ của EU nhằm quản lý rủi ro công nghệ thông tin và truyền thông trong các tổ chức tài chính. Tài liệu của ESMA nêu rõ các tổ chức tài chính cần linh hoạt áp dụng công nghệ mật mã mới nhất để ứng phó với các mối đe dọa, trong đó có sự phát triển của công nghệ lượng tử.

Ở cấp độ hạ tầng bảo mật blockchain, Lê Ô Phan (Leo Fan) nhà sáng lập Cysic cho rằng Bitcoin(BTC), Ethereum(ETH) và Solana(SOL) cần nâng cấp hệ thống chữ ký. Ông nói việc chuyển toàn bộ mạng lưới sang cấu trúc hậu lượng tử không thể hoàn tất trong thời gian ngắn mà là 'một dự án kéo dài nhiều năm'.

Ông Phan cũng cho biết bằng chứng zero-knowledge không mặc nhiên bảo đảm khả năng chống lượng tử. Các bằng chứng dựa trên đường cong elliptic có thể dễ bị tổn thương, trong khi STARK dựa trên hàm băm có thể là một ứng viên để xây dựng bằng chứng zero-knowledge hậu lượng tử.

Các biện pháp ứng phó với cuộc tấn công dựa trên AI được đề xuất gồm khóa dựa trên phần cứng, các bên tham gia đa chữ ký độc lập và quy trình xác minh giao dịch riêng biệt. Ông Phan cho rằng quyền hạn của tác nhân AI cần được giới hạn về thời hạn và phạm vi, đồng thời hợp đồng thông minh cần có giới hạn chi tiêu tích lũy và cơ chế hạn chế dòng tiền thất thoát ở cấp giao thức.

Một công tắc ngắt mạch on-chain có thể tự động từ chối các giao dịch vượt giới hạn cũng được đề xuất. Đây không phải là hướng dẫn chính thức của cơ quan quản lý mà là thiết kế bảo mật do Cysic đưa ra.

Vấn đề kiểm soát tiền của tác nhân AI từng được đề cập trong cuộc thảo luận về quyền giao dịch và giới hạn chi tiêu của tác nhân AI. Khi đó, trọng tâm là dù quyền truy cập ví và quy trình phê duyệt giao dịch được tách biệt, trách nhiệm ngăn giao dịch vượt ngân sách vẫn thuộc về nhà phát triển ứng dụng.

Một số tiêu chuẩn công nghệ mật mã đã được hoàn thiện. Viện Tiêu chuẩn và Công nghệ quốc gia Mỹ (NIST) đã phê duyệt FIPS 203, FIPS 204 và FIPS 205 vào tháng 8 năm 2024. FIPS 203 tập trung vào thiết lập khóa, còn FIPS 204 và FIPS 205 tập trung vào chữ ký điện tử hậu lượng tử.

Mật mã hậu lượng tử là công nghệ mật mã được thiết kế để chống lại các cuộc tấn công từ máy tính lượng tử. STARK là phương thức chứng minh zero-knowledge dựa trên hàm băm. Ông Phan đánh giá đây có thể là ứng viên cho bằng chứng hậu lượng tử, nhưng cách triển khai và hệ thống quản lý khóa vẫn cần được kiểm chứng riêng.

Chưa có thời điểm xác định khi máy tính lượng tử có thể thực sự giải mã hệ thống mật mã của blockchain hiện nay. Các cuộc thảo luận hiện tập trung vào biện pháp chuẩn bị dài hạn, gồm bảo vệ dữ liệu, quản lý khóa, chuyển đổi hệ thống chữ ký và thiết kế cơ chế kiểm soát dòng tiền tự động, thay vì một cuộc tấn công mạng tức thời.