Khi hệ thống A gặp sự cố B, phản ứng đầu tiên là C. Tôi đã quen với việc đọc những dòng code bất thường trong hợp đồng thông minh. Nhưng hôm nay, tôi đọc một bản phân tích địa chính trị từ một nguồn kỳ lạ: Crypto Briefing. Một trang web về tiền mã hóa lại đăng phân tích sâu về việc lực lượng Yemen tấn công Houthis khi giao tranh tại Marib leo thang. Điều đầu tiên tôi nghĩ: kẻ tấn công ở đây là ai? Và tại sao một trang tin về blockchain lại quan tâm đến một thành phố sa mạc mà tôi chỉ biết qua bản đồ dầu khí?
Phân tích gốc chỉ ra một mâu thuẫn cơ bản. Bài báo mô tả quân chính phủ Yemen "chủ động tấn công" Houthis. Nhưng dữ liệu thực địa suốt 2021-2023 cho thấy Houthis luôn là bên tấn công tại Marib. Giống như khi tôi đọc một hàm transfer có vẻ thông thường nhưng lại cho phép rút tiền mà không cần khóa. Bề mặt nói một đằng, logic bên trong nói một nẻo. Trong thế giới audit, tôi gọi đó là "hiệu ứng vỏ bọc". Trong chiến tranh, người ta gọi đó là tuyên truyền.
Marib không chỉ là một thành phố. Nó là mỏ dầu khí lớn nhất còn lại trong tay chính phủ được quốc tế công nhận. Mất Marib, chính phủ Yemen mất nguồn thu duy nhất. Houthis hiểu điều đó. Họ không cần chiếm toàn bộ đất nước. Họ chỉ cần cắt đứt nguồn sống. Đây là logic của một kẻ chơi cờ lâu năm, không phải của một nhóm phiến quân manh động.
Điều khiến tôi chú ý không phải là chiến thuật quân sự. Mà là cách phân tích gốc xếp Houthis vào mạng lưới "trục kháng chiến" của Iran. Houthis có tên lửa đạn đạo, UAV tự sát, tên lửa chống hạm. Họ từng bắn vào Israel và tấn công tàu thương mại ở Biển Đỏ. Một tổ chức không phải nhà nước lại sở hữu năng lực tác chiến tầm xa như vậy. Trong ngành của tôi, cái gì cũng có thể kiểm chứng. Nhưng năng lực quân sự của Houthis lại được chứng minh bằng hành động thực tế, không phải bằng lời hứa trên whitepaper.
Phân tích gốc mổ xẻ sâu về "chiến tranh không đối xứng" - Houthis dùng UAV giá rẻ để buộc hải quân Mỹ bắn tên lửa đắt đỏ. Một cuộc trao đổi tỷ lệ 1-100. Điều này có thể tái tạo trong thế giới DeFi: kẻ tấn công bỏ ra 1 ETH để gọi một hàm reentrancy khiến quỹ thanh khoản mất 100 ETH. Chúng ta gọi đó là "kinh tế học tấn công". Houthis không cần thắng trên chiến trường. Họ chỉ cần khiến chi phí bảo vệ vượt quá giá trị của con đường vận tải. Khi đó, toàn hệ thống thương mại toàn cầu sẽ tự tìm đường vòng. Như chính các sàn giao dịch đã làm khi phát hiện lỗ hổng - họ rút thanh khoản trước, rồi mới bàn chuyện vá lỗi.
Bài phân tích gốc nói rằng Houthis đang chơi "chiến tranh xám" - không tuyên chiến nhưng liên tục tấn công. Họ thăm dò phản ứng, rồi tiến thêm từng bước nếu không bị trừng phạt đủ mạnh. Tôi nhìn thấy cùng một khuôn mẫu trong các vụ hack cầu nối. Kẻ tấn công thử một giao dịch nhỏ. Không ai chú ý. Sau đó họ rút toàn bộ. Houthis đã thử giới hạn của Israel, của Mỹ, của Saudi Arabia. Mỗi lần không bị trả đũa tương xứng, họ lại nâng mức cược. Điều này có thể tái tạo thành một mô hình rủi ro: nếu bạn không phản hồi ở ngưỡng 1, đối thủ sẽ leo lên ngưỡng 10.
Tôi đặc biệt tâm đắc với một phát hiện từ bản phân tích: Houthis sở hữu khả năng tấn công tên lửa chống hạm vào mục tiêu di động - một bước đột phá phi đối xứng hiếm có. Điều này nghĩa là họ đã xây dựng được chuỗi cảm biến - mục tiêu - khai hỏa. Trong ngành của tôi, chúng tôi gọi đó là một oracle được cấu hình đúng: dữ liệu đầu vào chính xác, logic thực thi không thể bị can thiệp. Và khi một phiến quân không quân đội chính quy làm được điều mà nhiều quốc gia không làm được, bạn phải tự hỏi: họ đã nhận được gì? Và từ ai?
Phân tích gốc lưu ý rằng lệnh cấm vận vũ khí của Liên Hợp Quốc với Houthis gần như vô hiệu vì Iran vẫn chuyển công nghệ và linh kiện xuyên biên giới. Tôi nhớ ngay đến các giao thức DeFi có hợp đồng thông minh "không thể nâng cấp" nhưng admin vẫn giữ một hàm setImplementation bí mật. Bạn có thể viết luật, nhưng nếu không có cơ chế thực thi, luật chỉ là văn bản. Một hệ thống không có điểm kiểm soát thực thi chỉ là một tờ giấy trắng. Điều này có thể tái tạo: bất kỳ lệnh trừng phạt nào cũng chỉ hiệu quả nếu các bên trung gian sẵn sàng tốn chi phí để tuân thủ.
Marib, theo cách nhìn của một auditor, là một điểm tập trung rủi ro. Toàn bộ nền kinh tế Yemen đặt vào một thành phố. Nếu nó thất thủ, không có kế hoạch B. Tôi đã cảnh báo nhiều dự án về rủi ro thanh khoản tập trung - khi 80% thanh khoản nằm trong một pool duy nhất, một cuộc tấn công sẽ quét sạch tất cả. Marib cũng vậy. Houthis không cần đánh sập toàn bộ Yemen. Họ chỉ cần siết chặt một điểm nghẽn.
Nhưng điều quan trọng nhất tôi rút ra từ bản phân tích này không nằm ở chiến trường. Nó nằm ở chính nguồn tin. Một trang tin về tiền mã hóa lại phát đi cảnh báo địa chính trị về Yemen. Tôi đã thấy mô hình này trước đây. Trong thị trường tăng, mọi tin tức đều được đóng gói thành chất xúc tác cho giá. Tin chiến tranh được đăng để kéo sự chú ý của các nhà giao dịch - rủi ro địa chính trị có thể đẩy giá vàng, dầu, và cả Bitcoin biến động. Nhưng cũng có thể là một chiến thuật FUD có chủ đích. Khi đọc bất kỳ báo cáo nào, tôi luôn kiểm tra: Ai được lợi nếu tôi tin điều này? Nếu câu trả lời là một sàn giao dịch hoặc quỹ đầu cơ, tôi gấp bài báo lại và tự tìm nguồn chính thức.
Trong phân tích gốc, có một chi tiết mà tôi cho là hay nhất: Houthis không chỉ là con tốt của Iran. Họ có chương trình nghị sự riêng - kiểm soát dầu khí, tìm kiếm sự công nhận, củng cố quyền lực tôn giáo. Iran và Houthis có lợi ích chồng lấn một phần, không trùng khít hoàn toàn. Tôi gọi đó là "sự liên kết lỏng lẻo". Trong DeFi, nhiều dự án kêu gọi "phi tập trung" nhưng thực chất chỉ là một nhóm sáng lập nắm toàn quyền. Họ nói về cộng đồng, nhưng quyết định quan trọng vẫn đi qua multi-sig của họ. Houthis cũng vậy. Họ có thể phục vụ lợi ích Iran, nhưng khi xung đột với lợi ích địa phương, họ sẽ chọn bản thân.
Từ góc nhìn kỹ thuật, tôi thấy bài phân tích này giống một báo cáo kiểm toán sơ bộ. Nó có cấu trúc, có giả thuyết, có đánh giá độ tin cậy. Nhưng nó thiếu dữ liệu kiểm chứng trực tiếp. Giống như một auditor đọc mã nguồn mà không chạy thử trên testnet - bạn có thể đoán được lỗi, nhưng bạn không chứng minh được. Tôi muốn thấy số liệu cụ thể về số lần phóng tên lửa, tỷ lệ đánh chặn, tọa độ tấn công. Nhưng chiến tranh không công bố log - đó là điều khiến nó khác với blockchain.
Trong thị trường tăng hiện tại, các nhà đầu tư đang chạy theo những câu chuyện tăng giá. Không ai muốn nghe về rủi ro. Nhưng dự án vừa huy động 100 triệu USD này có thể có một lỗ hổng trong hàm claimReward mà chỉ một cuộc tấn công nhỏ là kích hoạt. Cũng giống như Marib - cả thế giới nhìn vào nhưng ít người lường trước hậu quả nếu nó thất thủ. Rủi ro không biến mất chỉ vì bạn không muốn nhìn thấy nó. Nó chỉ ẩn nấp trong những dòng code, trong những ngọn núi phía bắc Yemen, và trong những bản tin được viết bởi các trang web không chuyên.
Cuối cùng, điều tôi muốn nói là: Houthis đã biến Biển Đỏ thành một chiến trường mở. Họ phá vỡ giả định rằng chỉ các quốc gia có hải quân hiện đại mới kiểm soát được tuyến đường biển. Một nhóm phiến quân với UAV giá rẻ đã định hình lại bản đồ vận tải toàn cầu - buộc tàu thuyền đi vòng qua Mũi Hảo Vọng. Trong thế giới blockchain, chúng ta từng nghĩ chỉ những gã khổng lồ tài chính mới có thể tấn công các giao thức. Sai lầm. Một kẻ tấn công với 5 ETH có thể quét sạch một pool thanh khoản nếu biết cách gọi hàm withdraw không đúng cách. Sự an toàn không đến từ quy mô. Nó đến từ việc hiểu rõ logic của hệ thống. Một hệ thống chỉ thực sự an toàn khi nhà phát triển hiểu trò chơi ở cấp độ mã nguồn, không phải cấp độ marketing.
Marib vẫn đứng vững. Nhưng câu hỏi không phải là "liệu nó có thất thủ hay không". Câu hỏi là: khi bạn đối mặt với một kẻ thù có thể tấn công liên tục mà không cần quan tâm đến tổn thất, bạn chuẩn bị gì cho ngày bạn không thể phòng thủ? Tôi sẽ không đưa ra câu trả lời. Tôi chỉ đưa ra một lời nhắc: hãy kiểm tra lại các giả định của bạn, trước khi một lỗ hổng mà bạn không nhìn thấy quét sạch mọi thứ bạn tin tưởng. Vì lỗ hổng không ngủ. Còn ai nhấn nút 'approve' mà không đọc kỹ thì nhắm mắt?