Bắt đầu từ "Bắt gió đuổi bóng": 2048 từ quyết định tài sản tiền mã hóa hàng nghìn tỷ

• tác giả: Tyler *

Gần đây tôi đã xem tác phẩm mới được đánh giá cao của anh em Thành Long mang tên "Bắt gió đuổi bóng", trong đó có một đoạn khá thú vị - hơn trăm tỷ đô la Hồng Kông tài sản tiền điện tử bị khóa trong một ví từ khóa gồm 12 từ, và kết thúc chỉ còn một từ cuối cùng không biết.

Sau khi xem xong, tôi đã thử nghiệm và phát hiện ra rằng vị trí thứ 10 và thứ 12 không có trong kho từ khóa chuẩn, rõ ràng là biên kịch đã cố tình viết như vậy để tránh việc ai đó phục hồi ví theo cốt truyện để lừa đảo, vì những trò lừa đảo tương tự trên chuỗi không phải là hiếm:

Kẻ lừa đảo sẽ cố tình tiết lộ một địa chỉ ví "có số dư" (điển hình trên chuỗi Tron, sử dụng cơ chế Owner), dụ dỗ mọi người chuyển vào Gas, chờ đợi, một khi tiền đã chuyển vào thì không thể lấy lại được nữa.

Nhưng điều thú vị ở đây là, trong bộ phim nói rằng chỉ còn một từ cuối cùng không biết. Nhưng trong thế giới thực, từ khóa tuân theo tiêu chuẩn BIP39, tổng cộng chỉ có 2048 từ, có nghĩa là, việc bẻ khóa vị trí cuối cùng chỉ có tối đa 2048 khả năng, nếu thu hẹp thêm phạm vi, chẳng hạn như trong phim đã biết chữ cái đầu tiên là "es", thì khả năng còn ít hơn, chỉ cần một phút là có thể thử xong.

Tuy nhiên, câu hỏi đáng để suy ngẫm hơn ngoài bộ phim là: Từ khóa, khóa riêng, khóa công khai, rốt cuộc mối quan hệ giữa chúng là gì? Tại sao mất từ khóa lại đồng nghĩa với mất tất cả tài sản?

Một, Từ khóa: Khóa riêng: Khóa công khai/Địa chỉ = "Chùm chìa khóa": "Chìa khóa": "Số nhà"

Từ khóa là phương pháp sao lưu tuân theo tiêu chuẩn BIP39, được tạo thành từ 12, 18 hoặc 24 từ được chọn ngẫu nhiên và kết hợp từ kho từ 2048 từ tiếng Anh.

Tập từ khóa này sau khi được xử lý bằng thuật toán PBKDF2 sẽ tạo ra một hạt giống (Seed), sau đó từ Seed này theo các tiêu chuẩn đường dẫn BIP32/BIP44, sẽ phát sinh ra một loạt khóa riêng, từ đó tương ứng với một loạt khóa công khai/địa chỉ.

Một tập từ khóa → Tạo ra một loạt khóa riêng → Tạo ra một loạt khóa công khai → Tương ứng với một loạt địa chỉ

Nói cách khác:

• Từ khóa = Chùm chìa khóa, và khóa riêng thường có mối quan hệ một-nhiều, lý thuyết một tập từ khóa có thể phát sinh ra hàng ngàn khóa riêng;
• Khóa riêng = Chìa khóa, mỗi khóa riêng tương ứng với quyền sử dụng của một địa chỉ;
• Khóa công khai/Địa chỉ = Số nhà, có thể công khai, người khác có thể sử dụng nó để chuyển tiền cho bạn;

Vì vậy, bạn có thể coi từ khóa là "chùm chìa khóa" của bạn, và mỗi khóa riêng giống như một chiếc chìa khóa có thể mở cửa, dùng để ký tên, chứng minh bạn kiểm soát một địa chỉ ví nào đó - khi bạn thực hiện một giao dịch, bạn đang sử dụng khóa riêng để ký tên, thông báo cho toàn mạng: "Giao dịch này là tôi ủy quyền".

Hai, Vậy có thể tự chọn từ khóa không?

Có phải có bạn bè sẽ nghĩ: Tôi có thể tự ghép 12 từ không? Chẳng hạn như ngày sinh, từ tiếng Anh yêu thích nhất, tên thần tượng, như vậy sẽ cá tính hơn.

Câu trả lời là: Có, nhưng cực kỳ nguy hiểm.

Bởi vì số ngẫu nhiên do máy tính tạo ra là hoàn toàn ngẫu nhiên, trong khi con người khi chọn từ thường mang theo mẫu (từ thông dụng, từ quen thuộc, sở thích về thứ tự), điều này sẽ làm giảm đáng kể không gian tìm kiếm, khiến từ khóa của bạn dễ bị đoán hơn.

Trước đây đã xảy ra sự cố an toàn "ví ngẫu nhiên giả", một số ví khi tạo từ khóa đã sử dụng thuật toán ngẫu nhiên giả, kết quả là độ entropy không đủ, bị hacker bạo lực duyệt qua và trực tiếp bẻ khóa - năm 2015, tổ chức hacker Blockchain Bandit đã sử dụng bộ sinh số ngẫu nhiên bị lỗi và lỗ hổng mã chương trình, tìm kiếm hệ thống các khóa riêng an toàn yếu, thành công quét ra hơn 700.000 địa chỉ ví yếu và đánh cắp hơn 50.000 ETH từ đó.

Tất nhiên, một số geek sẽ sử dụng xúc xắc (phải đảm bảo xúc xắc cũng đủ đồng đều) để lắc số ngẫu nhiên, sau đó ánh xạ vào kho từ BIP39, đó mới được coi là an toàn thủ công, nhưng đối với hầu hết mọi người, không cần phải làm phức tạp như vậy, ngược lại dễ mắc lỗi.

Ba, Có thể bạo lực tìm ra ví của V thần hoặc các cá voi khác không?

Câu hỏi này tôi cũng đã từng tưởng tượng, mơ mộng một ngày nào đó tôi tạo ra một địa chỉ ví, kết quả nhìn vào bên trong có hơn một triệu ETH, ngay lập tức tự do tài chính, trực tiếp ăn cắp nhà của một cá voi nào đó.

Phải nói rằng, chỉ nghĩ thôi đã rất hấp dẫn. Nhưng thực tế là: xác suất gần như bằng không.

Tại sao? Bởi vì số lượng tổ hợp từ khóa đã vượt quá sức tưởng tượng của con người:

• 12 từ: Số tổ hợp hợp lệ khoảng 2¹²⁸ ≈ 3.4 × 10³⁸
• 24 từ: Số tổ hợp hợp lệ khoảng 2²⁵⁶ ≈ 1.16 × 10⁷⁷

Độ lớn này là khái niệm gì?

Chúng ta đều biết cát trên trái đất nhiều đến mức không thể đếm, nhưng các nhà khoa học đã ước tính một giá trị gần đúng, giả sử tổng số cát trên tất cả các bãi biển, sa mạc trên trái đất khoảng 7.5×10¹⁸ hạt, điều này cũng có nghĩa là:

• Số tổ hợp hợp lệ của 12 từ tương đương với tổng số cát trên trái đất gấp 4.5 × 10¹⁹ lần
• Số tổ hợp hợp lệ của 24 từ thậm chí còn gấp 1.5 × 10⁵⁸ lần tổng số cát trên trái đất

Nói cách khác, giống như mỗi hạt cát trên trái đất đều biến thành một "trái đất mới", mỗi trái đất mới lại có bãi biển và cát, và bạn phải trong tất cả những hạt cát này, một lần ngẫu nhiên tìm ra hạt mà bạn đã đánh dấu trước.

Điều này đã vượt xa quy mô mà con người có thể tưởng tượng.

Vì vậy, xác suất bẻ khóa ví không phải là "rất thấp", mà trong điều kiện vật lý và khả năng tính toán đã biết, tương đương với không, muốn dựa vào "đụng kho" để phát tài, còn không bằng đi mua vé số, xác suất trúng thưởng cao hơn nhiều.

Quay lại thiết lập trong bộ phim: nếu thật sự có người chỉ thiếu một từ khóa, thì thực sự có thể thử nghiệm bằng cách bạo lực.

Cuối cùng, một vài mẹo an toàn về ví/từ khóa/khóa riêng:

1. Ưu tiên sử dụng ví không quản lý đã được kiểm nghiệm qua thời gian và thị trường, mã nguồn mở được kiểm toán, như MetaMask, Trust Wallet, SafePal, v.v., nếu có điều kiện thì sử dụng ví phần cứng ngay;
2. Từ khóa và khóa riêng, tuyệt đối không chụp màn hình, không lưu trên đám mây, không sao chép dán, không gửi cho người khác;
3. Tốt nhất là ghi chép bằng giấy bút (có thể xem xét sử dụng bảng từ khóa bằng thép không gỉ, chống ẩm, chống cháy, chống ăn mòn), để ở nơi an toàn, và sao lưu ở 2~3 nơi khác nhau;
4. Khóa công khai/địa chỉ có thể công khai một cách an toàn, đó chính là số nhà của bạn, nhưng cần chú ý nhận diện các liên kết lừa đảo;
5. Khuyên dùng thiết bị sạch để quản lý ví, không cài đặt tùy tiện các plugin hoặc ứng dụng không rõ nguồn gốc;
6. Nhớ một câu: Bất kỳ ai yêu cầu bạn cung cấp từ khóa, 100% là kẻ lừa đảo.