Cơ chế thoát khẩn cấp (Escape Hatch)

Escape hatch trong crypto là gì?

Escape hatch là cơ chế dự phòng cho phép người dùng crypto, quản trị viên hoặc hệ thống tự động khôi phục tài sản hay rời khỏi giao thức khi quy trình vận hành thông thường không khả dụng hoặc không an toàn.

Cơ chế này được thiết kế cho các tình huống bất thường như ứng dụng bị đóng băng, đơn vị vận hành không khả dụng, sequencer kiểm duyệt giao dịch, lỗ hổng hợp đồng thông minh nghiêm trọng, quản trị thất bại hoặc dịch vụ ngừng hoạt động kéo dài.

Trong hợp đồng thông minh, escape hatch có thể cho phép người dùng rút tài sản đã nạp sau khi kích hoạt trạng thái khẩn cấp hoặc hết thời hạn.

Trong hệ thống Layer 2, escape hatch có thể cho phép người dùng chứng minh quyền sở hữu và rút tài sản thông qua hợp đồng Layer 1 mà không phụ thuộc vào đơn vị vận hành Layer 2 thông thường.

Trong ví hoặc thỏa thuận lưu ký, thuật ngữ này có thể chỉ phương án khôi phục bằng khóa dự phòng, nhiều chữ ký, giao dịch có độ trễ hoặc địa chỉ khôi phục được chỉ định.

Tài liệu Layer 2 của Ethereum dùng thuật ngữ escape hatch để mô tả khả năng khôi phục cho phép người dùng rút tài sản thông qua hợp đồng Layer 1 ngay cả khi hệ thống Layer 2 gặp sự cố.

Thuật ngữ này không chỉ một tiêu chuẩn hợp đồng thông minh phổ quát.

Ý nghĩa cụ thể tùy thuộc vào giao thức, tài sản, mô hình ủy quyền, blockchain và tình huống sự cố liên quan.

Vì sao giao thức crypto cần escape hatch?

Ứng dụng crypto có thể giữ tài sản trong hợp đồng thông minh trong thời gian dài.

Người dùng có thể không khôi phục được tài sản nếu chức năng rút tiền thông thường phụ thuộc vào máy chủ gặp sự cố, người ký không khả dụng, oracle bị lỗi, quản trị viên bị xâm phạm hoặc sequencer ngừng hoạt động.

Mã bất biến cũng có thể khiến việc sửa lỗi sau khi triển khai trở nên khó khăn.

Escape hatch tạo ra một lộ trình khôi phục được hoạch định trước khi khẩn cấp xảy ra.

Cơ chế này có thể bảo vệ tính hoạt động liên tục bằng cách đảm bảo người dùng vẫn có cách rời khỏi hệ thống.

Cơ chế này cũng có thể bảo vệ tiền bằng cách dừng các hoạt động dễ bị tấn công trong khi vẫn cho phép rút tiền theo một lộ trình an toàn hơn.

Thiết kế tốt giúp giảm sự phụ thuộc vào lời hứa rằng đội ngũ sẽ luôn sẵn sàng.

Thiết kế kém có thể tạo ra cửa hậu mạnh, cho phép tài khoản đặc quyền chiếm đoạt hoặc chuyển hướng tài sản người dùng.

Do đó, giá trị bảo mật của escape hatch phụ thuộc vào ai có thể kích hoạt, cơ chế có thể làm gì và liệu người dùng có thể xác minh các quy tắc on-chain hay không.

Các ý nghĩa phổ biến của escape hatch

Escape hatch có thể mô tả một số cơ chế crypto liên quan nhưng khác nhau.

Chức năng rút tiền khẩn cấp cho phép người dùng rút tài sản của chính họ khi hoạt động thông thường của giao thức bị tạm dừng.

Lệnh thoát bắt buộc cho phép người dùng Layer 2 rút qua cầu nối Layer 1 khi đơn vị vận hành Layer 2 từ chối hoặc không xử lý yêu cầu.

Hoàn tiền theo thời hạn trả lại tiền bị khóa sau khi một bên không hoàn thành hành động trước thời hạn.

Khóa khôi phục cho phép chủ ví lấy lại quyền kiểm soát sau khi mất khóa ký thường dùng.

Nâng cấp khẩn cấp cho phép quản trị có thẩm quyền thay thế logic hợp đồng dễ bị tấn công.

Quy trình đóng hệ thống sẽ kết thúc hoạt động giao thức theo trật tự và phân phối tài sản còn lại theo các quy tắc xác định trước.

Circuit breaker giới hạn hoặc tạm dừng hoạt động khi giá, số dư hoặc khối lượng giao dịch vượt ngoài điều kiện dự kiến.

Tất cả các cơ chế này có thể được gọi là escape hatch, nhưng mỗi cơ chế tạo ra giả định về niềm tin và hệ quả bảo mật khác nhau.

Escape hatch trong hợp đồng thông minh

Escape hatch trong hợp đồng thông minh là một hàm hoặc nhóm hàm được kích hoạt khi giao thức ở trạng thái bất thường.

Hợp đồng có thể chuyển từ trạng thái hoạt động bình thường sang trạng thái khẩn cấp, tạm dừng, quyết toán hoặc chỉ cho phép rút tiền.

Các hoạt động rủi ro như nạp tiền mới, vay, giao dịch, mint hoặc tăng đòn bẩy có thể bị vô hiệu hóa.

Người dùng vẫn có thể được phép rút tài sản mà hợp đồng ghi nhận là thuộc về họ.

Hợp đồng cần xác định số dư nào có thể rút và cách tính số dư đó.

Lộ trình khẩn cấp không nên phụ thuộc vào chính thành phần gây ra sự cố.

Ví dụ, lỗi oracle không nên ngăn người dùng rút tài sản nếu có thể xác định số tiền rút mà không cần oracle.

Escape hatch trong hợp đồng thông minh không thể khắc phục mọi tình huống vì kế toán sai lệch hoặc tài sản bị đánh cắp có thể khiến số tiền còn lại không đủ để hoàn trả đầy đủ.

Escape hatch của Layer 2

Escape hatch Layer 2 là phương thức khôi phục tài sản thông qua lớp thanh toán nền tảng khi quy trình xử lý Layer 2 thông thường gặp sự cố.

Hệ thống Layer 2 thường sử dụng đơn vị vận hành hoặc sequencer để sắp xếp giao dịch và cung cấp xác nhận nhanh.

Nếu đơn vị vận hành không khả dụng hoặc kiểm duyệt người dùng, yêu cầu rút tiền thông thường có thể không được xử lý.

Escape hatch mạnh cung cấp cho người dùng lộ trình thay thế thông qua cầu nối Layer 1 hoặc hợp đồng thanh toán.

Người dùng có thể gửi giao dịch, bằng chứng trạng thái, bằng chứng rút tiền hoặc yêu cầu đưa giao dịch vào block trực tiếp lên Layer 1.

Hướng dẫn về khả năng khôi phục của rollup từ Ethereum giải thích rằng việc công bố dữ liệu giao dịch lên Layer 1 có thể giúp khôi phục tài sản ngay cả khi đơn vị vận hành Layer 2 biến mất.

Escape hatch đặc biệt quan trọng khi một đơn vị vận hành có thể tạm thời kiểm soát thứ tự giao dịch.

Nếu không có lộ trình thoát bắt buộc, số dư người dùng có thể bị mắc kẹt dù tài sản nền tảng vẫn tồn tại trong hợp đồng cầu nối.

Lệnh thoát bắt buộc của Layer 2 hoạt động như thế nào?

Lệnh thoát bắt buộc thường bắt đầu khi người dùng không thể hoàn tất quy trình rút Layer 2 thông thường.

Người dùng lấy thông tin trạng thái cần thiết để chứng minh số dư hoặc quyền sở hữu tài khoản.

Sau đó, người dùng gửi yêu cầu hoặc bằng chứng bắt buộc đến hợp đồng Layer 1.

Hợp đồng xác minh bằng chứng dựa trên cam kết trạng thái Layer 2 được chấp nhận.

Nếu bằng chứng và điều kiện rút tiền hợp lệ, hợp đồng cho phép giải ngân tài sản Layer 1 tương ứng.

Một số hệ thống yêu cầu thời gian chờ hoặc thời gian thách thức trước khi khoản rút được hoàn tất.

Các hệ thống khác sử dụng bằng chứng hợp lệ cho phép hợp đồng xác minh mật mã một chuyển đổi trạng thái được chấp nhận.

Quy trình cụ thể tùy thuộc vào thiết kế Layer 2 và có thể cần phần mềm chuyên dụng mà giao diện ví thông thường không cung cấp.

Escape hatch trên lý thuyết sẽ kém hữu ích nếu người dùng không thể lấy dữ liệu cần thiết hoặc tạo bằng chứng bắt buộc trong tình huống khẩn cấp.

Tính khả dụng của dữ liệu và escape hatch

Tính khả dụng của dữ liệu rất quan trọng vì người dùng cần đủ thông tin để tái tạo số dư và chứng minh quyền rút tiền hợp lệ.

Chỉ có cam kết trạng thái có thể cho thấy một trạng thái nào đó tồn tại nhưng không tiết lộ dữ liệu cần thiết để xác định vị thế của một người dùng cụ thể.

Khi dữ liệu giao dịch và trạng thái cần thiết luôn khả dụng trên Layer 1, phần mềm độc lập có thể tái tạo trạng thái Layer 2.

Điều này cho phép tiếp tục khôi phục mà không cần sự hợp tác của đơn vị vận hành ban đầu.

Hướng dẫn thoát bắt buộc của Ethereum cảnh báo rằng người dùng có thể bị mắc kẹt nếu sequencer tập trung có thể chặn giao dịch và không có lộ trình rút tiền bắt buộc Layer 1.

Hệ thống lưu trữ dữ liệu thiết yếu ở nơi khác có thể tạo ra một điểm phụ thuộc riêng về tính khả dụng.

Nếu nguồn dữ liệu bên ngoài đó biến mất, hợp đồng cầu nối vẫn có thể còn tiền trong khi người dùng không thể tạo bằng chứng thoát hợp lệ.

Escape hatch và rút tiền thông thường

Rút tiền thông thường là một phần trong hoạt động hằng ngày dự kiến của giao thức.

Quy trình này thường dựa vào hợp đồng, giao diện, đơn vị vận hành, quy trình kế toán và hệ thống nhắn tin tiêu chuẩn của ứng dụng.

Escape hatch là lộ trình dự phòng dành cho tình huống bất thường.

Cơ chế này có thể yêu cầu thời gian chờ dài hơn, bằng chứng bổ sung, phí gas cao hơn hoặc giao diện khác.

Lộ trình thông thường có thể giúp quyết toán nhanh hơn và mang lại trải nghiệm đơn giản hơn.

Lộ trình khẩn cấp ưu tiên khả năng khôi phục khi các dịch vụ thông thường không khả dụng.

Giao thức nên ghi rõ cả hai lộ trình để người dùng hiểu rằng tốc độ rút thông thường không nhất thiết phản ánh thời gian khôi phục khẩn cấp.

Escape hatch và chức năng tạm dừng

Chức năng tạm dừng ngăn một số hoạt động của hợp đồng, còn escape hatch cung cấp lộ trình rời khỏi hệ thống.

Tạm dừng có thể ngăn lỗ hổng đang bị khai thác gây thêm tổn thất.

Việc tạm dừng chặn mọi hoạt động rút tiền cũng có thể khiến người dùng mắc kẹt và phụ thuộc vào quản trị viên kiểm soát chức năng tạm dừng.

Thiết kế an toàn hơn có thể tạm dừng nạp tiền mới và các hành động rủi ro cao trong khi vẫn duy trì khả năng rút tiền có giới hạn.

Cần xác định rõ quyền tạm dừng và bảo vệ quyền đó bằng cơ chế kiểm soát truy cập mạnh.

Giao thức cũng cần xác định cách kết thúc trạng thái tạm dừng và điều gì xảy ra nếu tài khoản được cấp quyền không khả dụng.

Nút tạm dừng mà không có lộ trình khôi phục không phải là escape hatch hoàn chỉnh.

Escape hatch và circuit breaker

Circuit breaker tự động hoặc thủ công hạn chế hoạt động sau khi xuất hiện một điều kiện rủi ro cụ thể.

Cơ chế này có thể giới hạn rút tiền, dừng vay, đặt mức trần quy mô giao dịch hoặc vô hiệu hóa một số thị trường.

Escape hatch tập trung trực tiếp hơn vào việc cho phép người dùng hoặc giao thức khôi phục sau sự cố.

Hai cơ chế có thể hoạt động cùng nhau.

Circuit breaker có thể dừng hoạt động không an toàn trước, sau đó quy trình rút tiền khẩn cấp cho phép người dùng rời khỏi hệ thống.

Ngưỡng sai có thể khiến circuit breaker kích hoạt trong giai đoạn biến động thị trường bình thường hoặc không kích hoạt khi xảy ra tình huống khẩn cấp thực sự.

Vì vậy, cần kiểm thử điều kiện tự động với cả sự cố thực tế lẫn tình huống mô phỏng cực đoan.

Escape hatch và nâng cấp hợp đồng

Nâng cấp hợp đồng thay đổi mã mà ứng dụng sử dụng, còn escape hatch có thể cho phép người dùng rút tiền mà không cần sửa ứng dụng.

Nâng cấp khẩn cấp có thể loại bỏ lỗ hổng và khôi phục hoạt động bình thường.

Việc này cũng trao quyền lực đáng kể cho người kiểm soát cơ chế nâng cấp.

Quyền nâng cấp độc hại hoặc bị xâm phạm có thể cài mã chuyển hướng tiền hoặc thay đổi quy tắc rút tiền.

Escape hatch có thể cung cấp phương án thay thế cho người dùng không muốn tin tưởng vào một bản nâng cấp được đề xuất.

Nâng cấp có độ trễ có thể giúp người dùng có thời gian xem xét thay đổi và rút tài sản trước khi thay đổi có hiệu lực.

Hướng dẫn kiểm soát quyền truy cập hợp đồng thông minh hiện hành giải thích rằng các thao tác bị trì hoãn có thể cho người dùng thời gian xem xét hoạt động bảo trì và rời hệ thống trước khi thao tác được thực thi.

Escape hatch do người dùng kiểm soát

Escape hatch do người dùng kiểm soát cho phép từng người dùng khôi phục tài sản đủ điều kiện của mình mà không cần quản trị viên phê duyệt.

Thiết kế này giảm sự phụ thuộc vào việc đội ngũ, công ty hoặc nhóm quản trị luôn sẵn sàng.

Hợp đồng phải xác minh người gọi có quyền nhận tài sản được yêu cầu hay không.

Bằng chứng có thể dựa trên số dư được lưu, cam kết mật mã, chữ ký, bằng chứng Merkle hoặc dữ liệu trạng thái đã hoàn tất.

Người dùng không được phép rút số dư của tài khoản khác hoặc sử dụng lại cùng một bằng chứng hai lần.

Nonce, nullifier, hồ sơ rút tiền hoặc cập nhật trạng thái có thể ngăn yêu cầu nhận tài sản lặp lại.

Khả năng khôi phục do người dùng kiểm soát thường mạnh hơn khi bất kỳ ai cũng có thể gửi giao dịch và kết quả chỉ phụ thuộc vào quy tắc giao thức công khai.

Escape hatch do quản trị viên kiểm soát

Escape hatch do quản trị viên kiểm soát cho phép tài khoản đặc quyền kích hoạt chức năng khẩn cấp hoặc di chuyển tài sản.

Cách tiếp cận này có thể phản ứng nhanh khi sự cố phức tạp cần được đánh giá.

Cách này cũng tạo ra rủi ro tập trung liên quan đến chiếm đoạt tài sản hoặc kiểm duyệt.

Hợp đồng nên giới hạn quyền của quản trị viên ở mức tối thiểu cần thiết cho tình huống khẩn cấp.

Ví dụ, quản trị viên có thể được phép tạm dừng nạp tiền nhưng không được chuyển số dư người dùng đến một địa chỉ tùy ý.

Có thể phân quyền riêng cho việc tạm dừng, nâng cấp, rút tài sản thuộc giao thức và xử lý yêu cầu của người dùng.

Các thay đổi vai trò và hành động khẩn cấp nên phát ra nhật ký sự kiện để hệ thống giám sát có thể phát hiện.

Người dùng nên xem xét quyền thực tế trên-chain thay vì chỉ dựa vào tuyên bố rằng quản trị viên không thể truy cập tiền.

Kiểm soát khẩn cấp đa chữ ký

Thỏa thuận đa chữ ký yêu cầu một số khóa được cấp quyền phê duyệt trước khi thực hiện hành động khẩn cấp.

Cơ chế này giảm rủi ro một khóa bị đánh cắp có thể kích hoạt escape hatch hoặc chuyển hướng tài sản.

Lợi ích bảo mật phụ thuộc vào việc những người ký có thực sự độc lập hay không.

Nhiều khóa do một người nắm giữ, lưu tại cùng một địa điểm hoặc quản lý qua cùng một dịch vụ có thể cùng gặp sự cố.

Ngưỡng chữ ký cần cân bằng tốc độ phản ứng khẩn cấp với khả năng chống thông đồng hoặc bị xâm phạm.

Hệ thống cần xác định cách xử lý nếu quá nhiều người ký mất quyền truy cập khóa.

Thiết kế đa chữ ký vẫn có thể dễ bị tấn công nếu người ký phê duyệt giao dịch độc hại mà không hiểu đầy đủ tác động.

Khóa thời gian và khoảng thời gian thoát

Khóa thời gian trì hoãn một hành động nhạy cảm sau khi hành động đó được công bố on-chain.

Khoảng trì hoãn giúp người dùng, nhà phát triển, kiểm toán viên và dịch vụ giám sát có thời gian kiểm tra thay đổi được đề xuất.

Người dùng không đồng ý với thay đổi có thể rút tiền trước khi thay đổi có hiệu lực.

Khoảng thời gian thoát chỉ hữu ích khi vẫn có thể rút tiền và có đủ thời gian để hoàn tất việc rút.

Khoảng trì hoãn ngắn có thể mất tác dụng khi mạng tắc nghẽn hoặc khi nhiều người dùng cùng cố thoát.

Khoảng trì hoãn quá dài có thể ngăn sửa lỗ hổng khẩn cấp kịp thời.

Một số hệ thống sử dụng quy trình riêng cho nâng cấp thông thường và hành động khẩn cấp.

Khả năng bỏ qua khóa thời gian trong trường hợp khẩn cấp cần được xem là đặc quyền lớn và công bố rõ ràng.

Escape hatch tự động

Escape hatch tự động kích hoạt khi một điều kiện được xác định trước được đáp ứng.

Điều kiện kích hoạt có thể gồm quá hạn cập nhật, đơn vị vận hành không khả dụng, hết thời gian thách thức, nguồn giá lỗi hoặc mất cân bằng kế toán.

Kích hoạt tự động có thể giảm sự phụ thuộc vào việc quản trị viên nhận ra và xử lý vấn đề.

Điều kiện kích hoạt phải có thể được đo lường bằng dữ liệu mà hợp đồng xác minh được.

Oracle không đáng tin cậy có thể kích hoạt sai hoặc ngăn cơ chế hoạt động.

Kẻ tấn công cũng có thể tìm cách thao túng điều kiện kích hoạt nếu việc kích hoạt mang lại lợi ích tài chính.

Logic khôi phục tự động cần quy định cách hệ thống trở lại hoạt động bình thường sau khi sự cố kết thúc.

Chế độ chỉ rút tiền

Chế độ chỉ rút tiền vô hiệu hóa các hoạt động tạo rủi ro mới nhưng vẫn cho phép người dùng rút tài sản được hỗ trợ.

Hệ thống có thể từ chối nạp tiền mới, khoản vay, giao dịch, phát hành token hoặc tăng vị thế.

Người dùng hiện tại có thể giảm mức độ rủi ro hoặc rút tiền theo các quy tắc kế toán còn hiệu lực.

Chế độ này có thể hỗ trợ việc đóng hệ thống theo trật tự hoặc tạo thời gian điều tra lỗ hổng.

Giao thức phải quyết định cách xử lý khoản vay đang mở, vị thế đòn bẩy, giao dịch đang chờ, phí chưa quyết toán và tài sản không thể chuyển theo cách thông thường.

Trạng thái chỉ rút tiền không đảm bảo khôi phục đầy đủ nếu giao thức đã thiếu tài sản bảo đảm.

Người dùng cần hiểu việc rút tiền được xử lý theo tỷ lệ, theo thứ tự yêu cầu hay theo quy tắc phân bổ khác.

Rút tiền khẩn cấp theo yêu cầu

Thiết kế rút tiền theo yêu cầu ghi nhận số tiền mỗi người dùng có thể nhận và yêu cầu họ gửi giao dịch rút riêng.

Cách này tránh phải gửi tài sản cho mọi người dùng trong một giao dịch lớn.

Cách này cũng ngăn giao dịch chuyển đến một người nhận thất bại làm đình trệ khoản thanh toán cho mọi người khác.

Hướng dẫn về mẫu rút tiền của Solidity khuyến nghị cập nhật số dư đang chờ của người dùng trước khi chuyển tiền ra ngoài.

Hợp đồng nên đánh dấu số tiền đã được nhận trước khi gọi người nhận để giảm rủi ro reentrancy.

Người dùng cần có đủ đồng tiền gốc của blockchain để trả phí giao dịch cần thiết nhằm nhận tài sản.

Giao thức có thể cần cung cấp phương thức được hỗ trợ cho người dùng không thể truy cập giao diện ứng dụng thông thường.

Rủi ro xử lý token

Escape hatch phải xử lý đúng hành vi thực tế của từng token được hỗ trợ.

Một số token tính phí chuyển, tự động thay đổi số dư, chặn một số địa chỉ, tạm dừng giao dịch hoặc trả về giá trị bất thường khi gọi hợp đồng.

Đơn vị phát hành token có thể đóng băng hợp đồng escrow hoặc hợp đồng khôi phục ngay cả khi logic escape hatch chính xác.

Token rebase có thể khiến số dư hợp đồng thay đổi mà không cần giao dịch chuyển trực tiếp.

Token có callback chuyển có thể thực thi mã bên ngoài trong lúc rút tiền.

Hợp đồng cần đo lường tài sản cẩn thận và tránh giả định mọi token đều tuân theo mô hình số dư cố định đơn giản.

Kiểm thử khẩn cấp cần bao gồm hành vi token bất thường và giao dịch chuyển thất bại.

Reentrancy và lời gọi bên ngoài

Hàm rút tiền khẩn cấp có thể bị tấn công reentrancy nếu chuyển tài sản trước khi cập nhật khoản nhận được ghi nhận của người dùng.

Hợp đồng nhận độc hại có thể gọi lại hàm rút tiền trong lúc giao dịch chuyển đầu tiên đang diễn ra.

Giao thức cần cập nhật kế toán nội bộ trước khi gọi ra bên ngoài.

Giao thức cũng có thể dùng cơ chế bảo vệ reentrancy và các hàm rút tiền giới hạn phạm vi.

Tài liệu bảo mật Solidity giải thích rằng lời gọi bên ngoài có thể chuyển quyền điều khiển cho hợp đồng khác và cần được xử lý cẩn thận.

Escape hatch không nên tạo ra lỗ hổng mới trong khi cố xử lý lỗ hổng hiện có.

Oracle giá và quyết toán khẩn cấp

Giao thức cho vay hoặc phái sinh có thể cần giá tài sản để xác định khoản nhận cuối cùng của từng người dùng.

Nếu oracle giá là thành phần bị lỗi, sử dụng mức giá được báo gần nhất có thể dẫn đến quyết toán không công bằng hoặc không an toàn.

Escape hatch có thể sử dụng giá có độ trễ, quy trình tham chiếu riêng, giá quyết toán được quản trị phê duyệt hoặc quy tắc dự phòng xác định trước.

Mỗi phương án thay thế đều có đánh đổi về khả năng bị thao túng, độ trễ và quyền tùy nghi.

Giao thức nên xác định phương pháp định giá khẩn cấp trước khi xảy ra sự cố.

Thay đổi quy tắc sau khi tổn thất đã lộ rõ có thể mang lại lợi ích cho một nhóm người dùng và gây bất lợi cho nhóm khác.

Mất khả năng thanh toán và khôi phục theo tỷ lệ

Escape hatch không thể phân phối nhiều tài sản hơn số tài sản hệ thống đang kiểm soát.

Nếu tài sản bị đánh cắp, thất lạc, đóng băng hoặc dùng để bù đắp nợ xấu, giao thức có thể mất khả năng thanh toán.

Xử lý rút tiền theo nguyên tắc ai đến trước được phục vụ trước có thể khiến người dùng rút sớm nhận đủ giá trị trong khi người dùng đến sau không nhận được gì.

Quyết toán theo tỷ lệ có thể phân phối tài sản còn lại dựa trên các yêu cầu đã ghi nhận.

Cách tiếp cận này có thể yêu cầu dừng rút tiền thông thường trong khi tính toán số dư.

Yêu cầu đang tranh chấp và giá trị tài sản thay đổi có thể khiến việc tính toán trở nên khó khăn.

Người dùng nên phân biệt escape hatch đảm bảo quyền truy cập kỹ thuật với cơ chế đảm bảo hoàn trả đầy đủ về tài chính.

Quản trị và escape hatch

Quản trị có thể kiểm soát thời điểm bắt đầu chế độ khẩn cấp, cách lựa chọn quy tắc quyết toán và thời điểm hoạt động bình thường được khôi phục.

Bỏ phiếu bằng token có thể mở rộng sự tham gia nhưng chậm trong lúc một vụ khai thác đang diễn ra.

Ủy ban được ủy quyền hoặc nhóm đa chữ ký có thể phản ứng nhanh hơn nhưng tạo ra giả định về niềm tin lớn hơn.

Kẻ tấn công quản trị có thể tìm cách kích hoạt escape hatch vì lợi ích cá nhân.

Quyền biểu quyết được vay hoặc mua tạm thời cũng có thể tác động đến đề xuất khẩn cấp được thiết kế kém.

Thay đổi quản trị quan trọng có thể cần quy tắc về tỷ lệ tham gia tối thiểu, thời gian bỏ phiếu, khóa thời gian thực thi và quyền hạn được giới hạn rõ ràng.

Cần kiểm thử quản trị khẩn cấp cẩn thận như các chức năng hợp đồng thông minh thông thường.

An toàn và tính hoạt động liên tục

An toàn là ngăn việc di chuyển tài sản không hợp lệ hoặc trái phép.

Tính hoạt động liên tục là đảm bảo người dùng hợp lệ có thể hoàn thành các hành động như rút tiền.

Escape hatch quá hạn chế có thể bảo vệ khỏi trộm cắp nhưng khiến tiền bị khóa vô thời hạn.

Escape hatch quá dễ dãi có thể duy trì tốc độ rút nhanh nhưng cho phép yêu cầu gian lận.

Thiết kế mạnh cần cân bằng các mục tiêu này bằng bằng chứng, độ trễ, quyền hạn giới hạn, giám sát và quy trình dự phòng.

Mức cân bằng phù hợp phụ thuộc vào giá trị tài sản đang nắm giữ, độ phức tạp của giao thức, các dạng sự cố dự kiến và khả năng người dùng tự tạo bằng chứng.

Kiểm thử escape hatch

Cần kiểm thử escape hatch trước khi người dùng dựa vào cơ chế này để bảo vệ tiền.

Nhà phát triển nên mô phỏng sự cố của đơn vị vận hành, oracle, người ký; hợp đồng bị tạm dừng; mạng tắc nghẽn; giao dịch chuyển token thất bại và thiếu khả năng thanh toán một phần.

Kiểm thử cần xác nhận tài khoản trái phép không thể kích hoạt cơ chế hoặc rút tài sản của người dùng khác.

Kiểm thử cần xác minh người dùng hợp lệ có thể khôi phục tài sản mà không cần phê duyệt off-chain ẩn.

Hệ thống lớn có thể tổ chức diễn tập công khai trên mạng thử nghiệm hoặc triển khai với giá trị giới hạn.

Phần mềm khôi phục cần được duy trì ngay cả khi hiếm khi sử dụng.

Tài liệu, công cụ tạo bằng chứng, địa chỉ hợp đồng và hướng dẫn giao dịch cần được lưu ở nhiều hơn một nơi.

Cơ chế khẩn cấp chưa được kiểm thử có thể thất bại đúng vào lúc hệ thống phát triển và hỗ trợ thông thường không khả dụng.

Cách người dùng đánh giá escape hatch

Bước đầu tiên là xác định chính xác những tình huống sự cố mà cơ chế được thiết kế để xử lý.

Bước thứ hai là xác định người dùng có thể tự kích hoạt hay cần quản trị viên phê duyệt.

Bước thứ ba là kiểm tra tài sản nào có thể rút và cách tính số tiền có thể nhận.

Bước thứ tư là xem cơ chế có phụ thuộc vào sequencer, oracle, trang web, máy chủ, nhóm người ký hay nhà cung cấp dữ liệu bên ngoài hay không.

Bước thứ năm là xem xét khóa thời gian, thời gian chờ, yêu cầu bằng chứng, phí giao dịch và giới hạn rút tiền.

Bước thứ sáu là xác minh quyền quản trị viên, tạm dừng, nâng cấp và chuyển tài sản trên-chain.

Bước thứ bảy là xác định liệu có đủ dữ liệu và phần mềm nguồn mở để khôi phục độc lập hay không.

Bước thứ tám là kiểm tra cơ chế đã được kiểm toán và thử nghiệm trong các tình huống sự cố thực tế hay chưa.

Bước thứ chín là tìm hiểu điều gì xảy ra khi mất khả năng thanh toán hoặc khi hợp đồng không có đủ tài sản.

Bước thứ mười là lưu địa chỉ hợp đồng chính thức và hướng dẫn khôi phục trước khi tình huống khẩn cấp khiến giao diện thông thường không khả dụng.

Ví dụ về escape hatch

Giả sử người dùng nạp token vào hợp đồng cầu nối Layer 2 và nhận số dư tương ứng trên mạng thực thi nhanh hơn.

Sequencer thông thường xử lý giao dịch chuyển và yêu cầu rút tiền.

Sau đó, sequencer ngừng xử lý giao dịch trong thời gian dài.

Người dùng không thể gửi lệnh rút qua giao diện thông thường, nhưng dữ liệu giao dịch và cam kết trạng thái được chấp nhận vẫn có trên Layer 1.

Người dùng chạy phần mềm khôi phục độc lập và tạo bằng chứng về số dư hợp lệ gần nhất của mình.

Người dùng gửi bằng chứng đến hợp đồng cầu nối Layer 1.

Hợp đồng xác minh bằng chứng và ghi nhận yêu cầu thoát.

Sau thời gian chờ hoặc xác minh bắt buộc, người dùng nhận token Layer 1 tương ứng.

Không cần sự hợp tác của đơn vị vận hành để giải ngân tài sản cuối cùng.

Lộ trình khôi phục này là escape hatch vì cho phép người dùng rời hệ thống khi lộ trình Layer 2 thông thường gặp sự cố.

Các lỗi thường gặp khi sử dụng escape hatch

Một lỗi thường gặp là cho rằng mọi chức năng tạm dừng đều cho phép người dùng rút tiền.

Lỗi khác là gọi chức năng chuyển tiền do quản trị viên kiểm soát là escape hatch không cần cấp phép.

Lỗi thứ ba là cho rằng có thể thoát khỏi Layer 2 mà không cần dữ liệu trạng thái và phần mềm tạo bằng chứng.

Lỗi thứ tư là trao quyền khẩn cấp không giới hạn cho một ví nóng.

Lỗi thứ năm là cho phép quản trị viên bỏ qua khóa thời gian mà không công bố rõ quyền đó.

Lỗi thứ sáu là không kiểm thử escape hatch với token không theo chuẩn và hợp đồng nhận độc hại.

Lỗi thứ bảy là dùng quy trình rút tiền ai đến trước được phục vụ trước khi giao thức mất khả năng thanh toán mà không giải thích hệ quả.

Lỗi thứ tám là cho rằng việc kiểm toán đảm bảo cơ chế khẩn cấp sẽ hoạt động trong mọi tình huống sự cố.

Lỗi thứ chín là chờ đến khi xảy ra sự cố mới tìm địa chỉ hợp đồng và hướng dẫn chính xác.

Lỗi thứ mười là tin rằng quyền rút tiền về mặt kỹ thuật đảm bảo khôi phục đầy đủ sau khi tài sản đã bị mất.

Câu hỏi thường gặp

Escape hatch trong crypto có nghĩa là gì?

Escape hatch là cơ chế dự phòng cho phép khôi phục hoặc rút tài sản khi lộ trình hoạt động thông thường của hệ thống crypto gặp sự cố.

Escape hatch có giống rút tiền khẩn cấp không?

Rút tiền khẩn cấp là một loại escape hatch, nhưng thuật ngữ này cũng có thể chỉ lệnh thoát bắt buộc Layer 2, hoàn tiền theo thời hạn, khóa khôi phục hoặc hệ thống quyết toán khẩn cấp.

Escape hatch Layer 2 là gì?

Đây là lộ trình khôi phục cho phép người dùng rút tiền qua hợp đồng Layer 1 khi đơn vị vận hành hoặc sequencer Layer 2 thông thường không khả dụng hay kiểm duyệt giao dịch.

Vì sao tính khả dụng của dữ liệu lại quan trọng?

Người dùng cần đủ dữ liệu trạng thái và giao dịch để chứng minh số dư và tạo yêu cầu rút tiền khôi phục hợp lệ.

Chức năng tạm dừng có phải là escape hatch không?

Chức năng tạm dừng chỉ trở thành escape hatch khi kết hợp với phương thức đáng tin cậy cho phép người dùng khôi phục hoặc rút tài sản đủ điều kiện.

Escape hatch có thể ngăn mọi tổn thất không?

Không. Cơ chế này không thể hoàn trả đầy đủ cho người dùng nếu tài sản đã bị đánh cắp, đóng băng, hủy hoại hoặc mất do mất khả năng thanh toán.

Ai có thể kích hoạt escape hatch?

Việc kích hoạt có thể do từng người dùng, điều kiện hợp đồng thông minh, quản trị, nhóm đa chữ ký, quản trị viên hoặc kết hợp các phương thức này kiểm soát.

Escape hatch có thể trở thành cửa hậu không?

Có. Cơ chế quá mạnh hoặc được bảo vệ kém có thể cho phép tài khoản đặc quyền chiếm đoạt tiền, thay đổi quy tắc hoặc bỏ qua biện pháp kiểm soát bảo mật thông thường.

Rút tiền bắt buộc là gì?

Rút tiền bắt buộc cho phép người dùng gửi yêu cầu khôi phục qua hợp đồng ở lớp nền tảng mà không cần đơn vị vận hành thông thường đưa giao dịch vào block.

Escape hatch có cần khóa thời gian không?

Không phải lúc nào cũng cần, nhưng khóa thời gian có thể giúp người dùng kiểm tra các thay đổi nhạy cảm và thoát trước khi thay đổi có hiệu lực.

Người dùng có thể kích hoạt escape hatch Layer 2 từ ví thông thường không?

Một số hệ thống hỗ trợ giao dịch đơn giản, còn những hệ thống khác cần bằng chứng, dữ liệu hoặc phần mềm khôi phục chuyên dụng.

Escape hatch có đảm bảo rút tiền ngay lập tức không?

Không. Khôi phục khẩn cấp có thể gồm thời gian thách thức, hàng đợi, tạo bằng chứng, phí gas hoặc bước quyết toán thủ công.

Oracle có thể kiểm soát escape hatch không?

Oracle có thể cung cấp điều kiện kích hoạt hoặc giá quyết toán, nhưng điều này làm phát sinh rủi ro dữ liệu sai hoặc không khả dụng dẫn đến kết quả không chính xác.

Điều gì xảy ra nếu giao thức mất khả năng thanh toán?

Escape hatch chỉ có thể phân phối tài sản còn lại, vì vậy hệ thống có thể cần quyết toán theo tỷ lệ hoặc một quy trình phân bổ tổn thất khác.

Làm cách nào để người dùng xác minh escape hatch?

Người dùng nên kiểm tra hợp đồng, quyền kích hoạt, logic rút tiền, khóa thời gian, yêu cầu dữ liệu, công cụ tạo bằng chứng, quyền nâng cấp và các đánh giá bảo mật độc lập.

Quản trị có thể vô hiệu hóa escape hatch không?

Quản trị có thể thay đổi hoặc vô hiệu hóa cơ chế nếu hợp đồng có thể nâng cấp, vì vậy người dùng cần xem xét quyền quản trị và nâng cấp thực tế.

Kiểm toán có chứng minh escape hatch sẽ hoạt động không?

Không. Kiểm toán có thể phát hiện một số rủi ro nhưng không thể đảm bảo hoạt động chính xác trong mọi tình huống sự cố kỹ thuật, kinh tế hoặc quản trị.

Chế độ chỉ rút tiền là gì?

Chế độ chỉ rút tiền chặn các hoạt động chấp nhận rủi ro mới trong khi cho phép người dùng đủ điều kiện rút tài sản khỏi giao thức.

Escape hatch có nên sử dụng ví đa chữ ký không?

Cơ chế đa chữ ký có thể giảm rủi ro từ một khóa duy nhất, nhưng giá trị của cơ chế phụ thuộc vào tính độc lập của người ký, thiết kế ngưỡng, bảo mật khóa và giới hạn quyền hạn minh bạch.

Mục đích chính của escape hatch là gì?

Mục đích chính là duy trì lộ trình khôi phục đáng tin cậy khi hệ thống crypto thông thường không thể xử lý yêu cầu thoát của người dùng một cách an toàn hoặc đáng tin cậy.

Kết luận

Escape hatch là cơ chế khôi phục crypto được thiết kế để bảo vệ người dùng khi hoạt động thông thường của giao thức không khả dụng hoặc không an toàn.

Cơ chế này có thể là rút tiền khẩn cấp, lệnh thoát bắt buộc Layer 2, hoàn tiền theo thời hạn, khóa khôi phục, chế độ chỉ rút tiền hoặc quy trình quyết toán khẩn cấp.

Escape hatch mạnh giúp duy trì tính hoạt động liên tục mà không trao quyền kiểm soát không giới hạn tài sản người dùng cho một tài khoản đặc quyền.

Escape hatch Layer 2 phụ thuộc nhiều vào tính khả dụng dữ liệu đáng tin cậy, cam kết trạng thái hợp lệ, công cụ tạo bằng chứng có thể truy cập và hợp đồng cầu nối Layer 1 hoạt động bình thường.

Escape hatch trong hợp đồng thông minh cần kế toán an toàn, kiểm soát quyền truy cập cẩn thận, lời gọi bên ngoài an toàn, bảo vệ chống phát lại và hỗ trợ hành vi token bất thường.

Khóa thời gian, ủy quyền đa chữ ký, phân tách vai trò, nhật ký sự kiện công khai và quyền khẩn cấp giới hạn có thể giảm rủi ro do quyền kiểm soát đặc quyền tạo ra.

Escape hatch không thể thay thế tài sản đã bị đánh cắp hoặc đảm bảo hoàn trả đầy đủ từ giao thức mất khả năng thanh toán.

Người dùng nên xác định ai có thể kích hoạt cơ chế, cơ chế có thể rút tài sản nào, còn phụ thuộc vào những thành phần nào và liệu có thể khôi phục mà không cần đơn vị vận hành ban đầu hay không.

Nhà phát triển nên kiểm thử lộ trình khẩn cấp trong các tình huống sự cố thực tế thay vì coi đó là mã dự phòng không sử dụng.

Hiểu về escape hatch giúp người dùng crypto phân biệt khả năng khôi phục không cần cấp phép thực sự với nút tạm dừng, lời hứa của quản trị viên hoặc cửa hậu khẩn cấp.