Được viết bởi: Bing Ventures

Giới thiệu: EIP-4337 chuẩn hóa ví hợp đồng thông minh và cơ sở hạ tầng liên quan, tạo ra một tiêu chuẩn công cộng. Về mặt cải thiện trải nghiệm người dùng, ví trừu tượng tài khoản cung cấp các chức năng linh hoạt và có thể lập trình hơn bằng cách giới thiệu các giao dịch giả nâng cao và xử lý từng bước. Nó cho phép nâng cấp ví mà không cần cập nhật giao thức Ethereum cốt lõi và cung cấp nhiều tùy chọn tùy chỉnh hơn. Nhìn chung, giải pháp ví trừu tượng hóa tài khoản của Ethereum có tiềm năng lớn hơn về trải nghiệm người dùng và mở rộng chức năng, nhưng nó vẫn cần cải tiến liên tục về mặt bảo mật.

Việc trừu tượng hóa tài khoản vẫn đang ở giai đoạn đầu, tỷ lệ chấp nhận thấp. Nhiều Lớp 2 chưa hỗ trợ việc trừu tượng hóa tài khoản. Những hạn chế này làm tăng chi phí học tập và sử dụng của người dùng.

Bằng cách giới thiệu một lớp cơ chế đại lý, ví trừu tượng tài khoản nhằm mục đích làm suy yếu ngưỡng đầu vào của ví cá nhân đồng thời cung cấp hệ thống tài khoản đơn giản và dễ sử dụng hơn. Nó sử dụng hợp đồng thông minh làm vật mang ví và thêm một tác nhân giữa người dùng và hợp đồng thông minh, tác nhân này giúp người dùng hoàn tất quá trình tương tác với blockchain. Bằng cách này, người dùng có thể sử dụng các hệ thống tài khoản truyền thống (như email, điện thoại di động, v.v.) để hoạt động mà không cần tiếp xúc trực tiếp với các khái niệm phức tạp như ghi nhớ khóa riêng.

Tác giả tin rằng bảo mật là rất quan trọng trong việc trừu tượng hóa tài khoản. Do tính chất không thể đảo ngược và không thể giả mạo của các giao dịch blockchain, một khi tài khoản của người dùng bị tấn công, những tổn thất không thể khắc phục có thể xảy ra. Do đó, khi thiết kế ví trừu tượng tài khoản, tất cả các khía cạnh bảo mật phải được xem xét, bao gồm quản lý và sử dụng tài khoản, lưu trữ và bảo vệ khóa riêng, xác nhận và ủy quyền giao dịch, v.v.

Vấn đề nghiên cứu này của Bing Ventures nhằm mục đích phân tích logic bảo mật và các lỗ hổng bảo mật của dự án ví trừu tượng hóa tài khoản, khám phá cách cân bằng giữa trải nghiệm người dùng và bảo mật, đồng thời suy nghĩ về hướng phát triển trong tương lai của giải pháp trừu tượng hóa ví.

Logic bảo mật của ví trừu tượng tài khoản

Có nhiều sáng kiến ​​tiêu chuẩn hóa và cải tiến kỹ thuật trong lĩnh vực trừu tượng hóa tài khoản của Ethereum, chẳng hạn như EIP-4337. Những đề xuất này thúc đẩy sự phát triển và thống nhất của dự án ví trừu tượng tài khoản, cung cấp cho người dùng trải nghiệm nhất quán và đáng tin cậy hơn. Hướng phát triển chính của việc trừu tượng hóa tài khoản là cung cấp một phương thức thông qua ERC-4337 không yêu cầu thay đổi giao thức lớp đồng thuận để triển khai chức năng cho phép các giao dịch Ethereum cấp cao nhất được bắt đầu bằng hợp đồng thay vì tài khoản thuộc sở hữu bên ngoài (EOA). ). Nó thực hiện việc xác minh và đóng gói các hoạt động của người dùng bằng cách sao chép chức năng của bộ nhớ giao dịch trong các hệ thống cấp cao hơn và được đưa vào khối Ethereum dưới dạng "giao dịch gói".

Mục tiêu của ERC-4337 là đạt được tính linh hoạt và khả năng nâng cấp của ví, bao gồm các tính năng như đa chữ ký và phục hồi xã hội, cũng như các thuật toán chữ ký đơn giản và hiệu quả hơn cũng như thuật toán chữ ký bảo mật sau lượng tử. Dòng phát triển chính của ví trừu tượng tài khoản cũng bao gồm tính linh hoạt của logic xác minh ví, có thể thêm chữ ký tùy ý và logic xác minh nonce, đồng thời hỗ trợ nâng cấp ví.

Logic bảo mật cụ thể bao gồm:

Sự nhấn mạnh của Ví Trừu tượng Tài khoản vào tính bảo mật và phân cấp là rất đáng được công nhận. Bằng cách sử dụng các phương tiện kỹ thuật như đa chữ ký, lưu trữ và bảo vệ khóa riêng, các ứng dụng ví này cam kết đảm bảo tính bảo mật cho tài sản của người dùng và độ tin cậy của giao dịch. Tuy nhiên, các biện pháp bảo mật này không hoàn toàn tránh khỏi các cuộc tấn công và lỗ hổng, do đó cần phải tiếp tục nghiên cứu và cải tiến. Thị trường hiện tại vẫn tập trung vào mô hình công nghệ hơn là nhu cầu thực sự về trải nghiệm người dùng.

Sự nhấn mạnh của Ví trừu tượng tài khoản về bảo mật và phân cấp là rất đáng được công nhận. Bằng cách sử dụng các phương tiện kỹ thuật như đa chữ ký, lưu trữ và bảo vệ khóa riêng, các ứng dụng ví này cam kết đảm bảo tính bảo mật cho tài sản của người dùng và độ tin cậy của giao dịch. Tuy nhiên, các biện pháp bảo mật này không hoàn toàn tránh khỏi các cuộc tấn công và lỗ hổng, do đó cần phải tiếp tục nghiên cứu và cải tiến. Thị trường hiện tại vẫn tập trung vào mô hình công nghệ hơn là nhu cầu thực sự về trải nghiệm người dùng.

Mối nguy hiểm bảo mật của ví trừu tượng

Lưu trữ khóa riêng là một trong những lỗ hổng bảo mật phổ biến nhất. Ví trừu tượng tài khoản cần đảm bảo rằng khóa riêng của người dùng được lưu trữ ở nơi an toàn và thực hiện các biện pháp thích hợp để bảo vệ khóa riêng khỏi bị truy cập trái phép. Đồng thời, các cuộc tấn công mạng cũng là một vấn đề quan trọng khác trong việc trừu tượng hóa ví. Những kẻ tấn công có thể sử dụng lừa đảo, phần mềm độc hại hoặc các phương tiện khác để lấy khóa riêng của người dùng và đánh cắp tài sản kỹ thuật số của người dùng.

Ví xử lý các giao dịch thông qua nhóm bộ nhớ sao chép hợp đồng và người dùng không còn thực hiện giao dịch trực tiếp nữa. Người dùng gửi UserOperations tới các mempool cấp cao hơn thông qua ví của họ và người khai thác hoặc người đóng gói chịu trách nhiệm đóng gói và gửi các hợp đồng tới Entry Point, đồng thời điều phối việc thực thi CA ví để đảm bảo bù phí giao dịch phù hợp. Giải pháp này đảm bảo tính bảo mật của ví bằng cách hạn chế sự tin cậy đối với các giao dịch được khởi tạo bởi một cổng cụ thể (Điểm vào) và hoàn thành các hoạt động của ví bằng cách thực hiện các hướng dẫn trong hợp đồng, thanh toán Gas và tăng Nonce. Được khởi tạo thông qua Điểm vào đáng tin cậy, ví hợp đồng có thể thực hiện nhiều hành động lệnh và hoạt động thanh toán Gas khác nhau, do đó cung cấp chức năng có khả năng lập trình cao hơn.

Cách tiếp cận này chia quy trình giao dịch thành nhiều bước, gây ra sự phức tạp và chi phí cao hơn so với các giao dịch trực tiếp truyền thống. So với các đề xuất thay đổi giao thức lớp đồng thuận (chẳng hạn như EIP-2938, EIP-3074), EIP-4337 đạt được mức độ trừu tượng hóa tài khoản cao hơn mà không cần sửa đổi các giao thức và loại giao dịch cơ bản. Tuy nhiên, điều này cũng dẫn đến việc tiêu thụ nhiều gas hơn và có thể có các lỗ hổng bảo mật. Ngoài ra, sự không tương thích với quy trình làm việc của giao thức ví hiện tại sẽ hạn chế việc áp dụng.

Để giải quyết các vấn đề bảo mật nêu trên, giải pháp trừu tượng hóa ví có thể thực hiện nhiều biện pháp khác nhau để cải thiện bảo mật trong khi vẫn duy trì trải nghiệm tốt cho người dùng. Ví dụ: một số chương trình sử dụng nhiều chữ ký để đảm bảo tính bảo mật của giao dịch. Đa chữ ký có nghĩa là cần phải có xác nhận từ nhiều người dùng để hoàn tất giao dịch, điều này làm giảm đáng kể khả năng kẻ tấn công thành công. Ngoài ra, một số giải pháp còn sử dụng ví phần cứng để lưu trữ khóa riêng của người dùng nhằm nâng cao tính bảo mật. Ví phần cứng thường sử dụng cách ly vật lý để bảo vệ khóa riêng nhằm ngăn chặn chúng bị đánh cắp.

Sự cân bằng giữa trải nghiệm người dùng và bảo mật

Bảo mật nên được coi là yếu tố chính cần cân nhắc trong thiết kế ví trừu tượng tài khoản. Mặc dù điều quan trọng là phải cung cấp trải nghiệm tốt cho người dùng nhưng nếu bảo mật không tốt thì tài sản của người dùng có thể gặp rủi ro. Do đó, các nhà phát triển ví nên chú trọng đến bảo mật và áp dụng các biện pháp xác thực và mã hóa nghiêm ngặt để đảm bảo rằng khóa và tài sản riêng của người dùng không dễ bị tấn công. Vậy làm thế nào để đạt được sự cân bằng giữa bảo mật và trải nghiệm người dùng? Tác giả cho rằng ít nhất phải cân nhắc những điểm sau:

Tương lai của các giải pháp trừu tượng hóa tài khoản

Khi tính đến trải nghiệm người dùng và các yếu tố bảo mật, giải pháp ví trừu tượng tài khoản của Ethereum có nhiều tiềm năng hơn trong xu hướng và phát triển hiện nay. Các giải pháp trừu tượng hóa tài khoản trong hệ sinh thái Ethereum, chẳng hạn như zkSync, Fuse Network và zkSafe, cung cấp trải nghiệm người dùng tốt hơn thông qua thiết kế và triển khai linh hoạt, an toàn và dễ sử dụng. Tuy nhiên, cũng có những thách thức về bảo mật và các vấn đề về khả năng mở rộng đối với giải pháp ví trừu tượng tài khoản Ethereum, bao gồm rủi ro bảo mật của hợp đồng thông minh và thách thức về khả năng mở rộng khi phải đối mặt với lượng giao dịch cao. Điều quan trọng cần lưu ý là thị trường trừu tượng hóa tài khoản vẫn đang ở giai đoạn đầu với tỷ lệ chấp nhận thấp, vì vậy cần có sự đổi mới và phát triển để thúc đẩy sự trưởng thành và áp dụng của thị trường.

Trong ngắn hạn và trung hạn, Ví trừu tượng tài khoản thiết lập một thị trường mở bằng cách giới thiệu các điểm cuối công khai không cần cấp phép của Bundler, Paymaster và Signature Aggregator, cho phép người dùng nhận được các dịch vụ chất lượng cao với chi phí thấp nhất. Liệu Bundler, Paymaster và Signature Aggregator có thể được triển khai nhanh chóng và tùy chỉnh hay không sẽ kiểm tra khả năng của các nhà cung cấp dịch vụ cơ sở hạ tầng ví. Những cuộc thi này sẽ thúc đẩy sự đổi mới và cải thiện tính bảo mật và trải nghiệm người dùng.

Đồng thời, các nhà cung cấp cơ sở hạ tầng bên thứ ba (chẳng hạn như Stackup) sẽ phát triển Bundler và Paymaster mô-đun và dần dần trở nên không cần cấp phép. Ngoài ra, việc phát triển các công cụ giàn giáo để triển khai front-end nhanh chóng là rất cấp thiết, cho phép các nhà phát triển tập trung vào phát triển logic nghiệp vụ, chẳng hạn như tạo thư viện chuẩn phát triển dApp tương tự như ether.js hỗ trợ các chức năng trừu tượng hóa tài khoản, đóng gói những thứ như như tài khoản mạng xã hội Web2 và e-mail. Ví tạo email, tạo UserOperations, ký, gửi và giám sát sự kiện, triển khai nhanh chóng Paymaster và Signature Aggregator cũng như các chức năng khác. Những công cụ này đơn giản hóa quá trình tích hợp cho các nhà phát triển với các loại ví khác nhau.

Trong trung và dài hạn, các tiêu chuẩn tài khoản mới chắc chắn sẽ xuất hiện và thậm chí người ta còn dự kiến ​​sẽ tách các tài khoản khỏi ví hợp đồng thông minh. Điều này cũng có nghĩa là trong tương lai, sự cạnh tranh trên thị trường ví trừu tượng tài khoản sẽ gay gắt hơn, tính đồng nhất về chức năng sẽ ngày càng nghiêm trọng và các rào cản kỹ thuật sẽ ngày càng thấp hơn. Ví trừu tượng hóa tài khoản trong tương lai sẽ yêu cầu những đổi mới căn bản hơn, bao gồm cơ sở hạ tầng mô-đun không cần cấp phép, tích hợp với các dịch vụ hiện có, SDK dApp và các lớp tài khoản độc lập, mang lại sự linh hoạt và thuận tiện hơn cho người dùng.