Mới đây, tôi nhận được lời mời góp vốn vào một giao thức vay phi tập trung, định giá 120 triệu đô la, và không một bên kiểm toán độc lập nào từng đọc mã nguồn.
Người gửi lời mời là một quỹ đầu tư khá có tiếng trong khu vực. Anh ta nói với tôi rằng vòng gọi vốn đã khép kín sau ba tuần, rằng các nhà đầu tư thông minh đã tự làm due diligence, rằng nếu tôi chậm sẽ không kịp. Tôi hỏi anh ta một câu duy nhất: 'Bên kiểm toán nào đã đọc mã?' Anh ta cười xòa: 'Chúng tôi tin đội ngũ kỹ thuật, và thị trường đang tăng, không ai muốn phá hỏng cơ hội bằng cách đặt câu hỏi phiền phức.'
Tôi không ngạc nhiên. Trong suốt tám năm dạy blockchain, tôi đã thấy cùng một kịch bản lặp lại nhiều lần: thị trường tăng, dòng tiền chảy nhanh, và sự thận trọng bị bỏ lại phía sau. Tôi không viết bài này để dạy đời ai, mà để chia sẻ những gì tôi nhìn thấy từ phía bên trong các bản kiểm toán, từ các lớp học cộng đồng, và từ những cuộc trò chuyện với các quỹ đầu tư đang tìm cách kiếm lời trong cơn sốt giá.
Bối cảnh: khi dòng tiền chảy nhanh hơn sự thận trọng
Năm 2025, tài sản số lại bước vào một chu kỳ hưng phấn. Tổng giá trị khóa trong các giao thức DeFi đã vượt qua đỉnh cũ, stablecoin liên tục mở rộng, và các quỹ mạo hiểm đang đổ tiền vào các tầng hạ tầng mới như cầu nối, lớp hai, và các nền tảng dữ liệu on-chain. Những con số này khiến người ta dễ quên rằng tất cả đứng trên những hợp đồng thông minh - những đoạn mã do con người viết ra, và con người thì luôn có thể mắc lỗi.
Tôi thường nói với học viên rằng blockchain không phải là một ngành tài chính, mà là một ngành kỹ thuật bị tài chính hóa. Giá trị bạn thấy trên chart chỉ tồn tại nếu lớp mã bên dưới vận hành đúng như thiết kế. Nhưng trong một thị trường tăng, không mấy ai muốn nghe điều đó. Họ muốn nghe về những token sắp lên sàn, những cái tên sắp niêm yết, những chiến dịch airdrop đang rình rập. Sự hưng phấn đó vô tình biến những cuộc kiểm tra kỹ thuật trở thành thứ gì đó xa xỉ, thậm chí đáng ngờ.
Những lỗ hổng phổ biến nhất tôi gặp trong các hợp đồng thông minh
Trong nhiều năm, tôi dành một phần thời gian để đọc mã nguồn của các giao thức, không phải với tư cách kiểm toán viên chuyên nghiệp, mà là một nhà giáo dục muốn hiểu bản chất. Tôi nhận thấy những lỗi nghiêm trọng nhất không phải là những thứ đòi hỏi toán học cao siêu, mà thường là những lỗi logic rất đơn giản, đến từ sự vội vàng.
Lỗi reentrancy, chẳng hạn. Một hàm rút tiền cho phép người dùng gọi lại vào hợp đồng trước khi cập nhật số dư. Kẻ tấn công có thể lặp lại việc rút tiền hàng trăm lần chỉ với một khoản ký quỹ nhỏ. Đây không phải khái niệm mới; nó đã tồn tại từ cuộc tấn công DAO năm 2016. Vậy mà tôi vẫn thấy các biến thể của nó trong những hợp đồng được xây dựng vào năm 2025. Vì sao? Vì các đội ngũ thường bị cuốn theo áp lực ra mắt, và vì các nhà đầu tư chưa bao giờ yêu cầu mã nguồn phải được kiểm toán bởi một bên thứ ba độc lập trước khi đặt cược.
Lỗi thao túng oracle cũng phổ biến không kém. Một giao thức vay lấy giá từ một bể thanh khoản nhỏ, và kẻ tấn công chỉ cần gây ra một cú sốc giá tạm thời để rút sạch tài sản. Tôi nhớ một dự án cho vay đã sử dụng giá trung bình theo thời gian, nhưng quên kiểm tra độ trượt giá trong bể thanh khoản. Thị trường tăng khiến thanh khoản bị phân tán ra nhiều giao thức khác nhau, khiến những oracle yếu trở nên nguy hiểm hơn. Không phải vì tin tặc thông minh hơn, mà vì các nhà phát triển tin rằng khi giá tăng, ít ai muốn phá hoại.
Rồi đến lỗi kiểm soát truy cập. Những hàm quản trị chỉ nên dành cho một địa chỉ nhất định, nhưng lại được khai báo như hàm công khai. Một kẻ tấn công tìm thấy hàm đó có thể đổi chủ hợp đồng, rút toàn bộ quỹ. Những vụ hack như vậy thường được báo cáo với dòng tiêu đề 'giao thức bị tấn công', nhưng thực chất chỉ là một dòng code bị viết sai. Và nó vẫn xảy ra.
Điều đáng buồn là không phải tất cả các lỗi này đều được tìm thấy bởi đội ngũ kỹ thuật. Rất nhiều lỗi chỉ lộ diện sau khi quỹ đã biến mất. Điều đó dạy cho tôi một bài học: mã nguồn không quan tâm đến cảm xúc thị trường, nó chỉ quan tâm đến logic. Nếu logic sai, giá trị sẽ bay đi, bất kể bạn cảm thấy sang ngày mai sẽ giàu đến mức nào.
Kiểm toán không phải là tấm bùa hộ mệnh
Nhiều dự án quảng bá rằng họ đã có kiểm toán, như thể đó là một dấu chứng nhận an toàn tuyệt đối. Tôi lật những báo cáo kiểm toán đó ra và thấy khung thời gian thường rất ngắn: mười ngày, mười lăm ngày. Một hợp đồng phức tạp với hàng nghìn dòng mã, được hai kỹ sư rà soát trong hai tuần. Nghe có vẻ an toàn, nhưng thực tế là một cuộc kiểm toán chỉ là một bức ảnh chụp tại một thời điểm. Nó không đảm bảo rằng hợp đồng sẽ an toàn sau khi đội ngũ thêm tính năng mới hoặc thay đổi cấu hình.
Tôi từng nói với một người sáng lập rằng anh ta nên coi kiểm toán như một bài kiểm tra sức khỏe định kỳ, không phải giấy chứng nhận bất tử. Anh ta trả lời rằng nhà đầu tư chỉ cần thấy con dấu của công ty kiểm toán, không cần hiểu phạm vi của cuộc kiểm toán đó. Đó chính là vấn đề: chúng ta trao quá nhiều niềm tin cho một thủ tục, trong khi bản chất của bảo mật nằm ở sự liên tục.
Một quy trình kiểm toán nghiêm túc cần nhiều lớp: phân tích tĩnh để tìm ra các lỗi cú pháp và logic, kiểm thử fuzzing để tạo ra các tình huống bất ngờ, xác minh hình thức để chứng minh các thuộc tính toán học, và một chương trình bug bounty mở cho cộng đồng. Nhưng ngay cả khi có tất cả, vẫn không có gì là tuyệt đối. Các hệ thống tài chính phi tập trung có mối liên kết chằng chịt; một lỗ hổng không nằm ở hợp đồng chính mà ở một hợp đồng phụ trợ vẫn có thể kéo sập toàn bộ.
Ba điểm mù mà thị trường tăng đang phơi bày
Bên cạnh lỗ hổng trong hợp đồng, còn có những điểm mù ở tầng hạ tầng. Khi tôi nói về chúng với các nhà đầu tư, nhiều người tỏ ra khó chịu. Nhưng tôi nghĩ thị trường tăng chính là lúc thích hợp nhất để nói, bởi vì khi mọi thứ sụp đổ, người ta thường quá hoảng loạn để lắng nghe.
Điểm mù thứ nhất là sự tập trung của hash rate Bitcoin. Sau đợt halving gần nhất, doanh thu của thợ đào đã giảm đi đáng kể, trong khi chi phí vận hành vẫn không ngừng tăng. Kết quả là các thợ đào nhỏ phải rời khỏi cuộc chơi, và sức mạnh tính toán dồn về một số ít nhóm khai thác lớn. Ba nhóm khai thác kiểm soát phần lớn tổng hash rate. Về lý thuyết, mạng lưới Bitcoin vẫn phi tập trung; về thực tế, quyền chọn giao dịch, quyền xử lý nâng cấp, nằm trong tay một nhóm rất nhỏ. Điều này không mới, nhưng nó bị che khuất bởi câu chuyện 'mạng lưới an toàn nhất thế giới'. Khi thị trường tăng, chúng ta hiếm khi thảo luận về việc liệu sự tập trung khai thác có làm suy yếu ý nghĩa của đồng thuận phi tập trung hay không.
Điểm mù thứ hai là lớp quy định. MiCA, khung pháp lý của Liên minh châu Âu, được xem là bước tiến lớn cho ngành. Nó mang lại sự rõ ràng về nhiều mặt, đặc biệt với stablecoin và các nhà cung cấp dịch vụ tài sản mã hóa. Nhưng sự rõ ràng đó có một cái giá. Các công ty nhỏ phải đối mặt với chi phí tuân thủ khổng lồ, từ xin giấy phép, duy trì dự trữ, đến báo cáo tài chính định kỳ. Với những dự án mới nổi không có hàng triệu đô la trong ngân quỹ, MiCA có thể trở thành một rào cản lớn chứ không phải khuôn khổ tạo điều kiện. Kết quả là sân chơi thu hẹp, sự đa dạng giảm đi, ngay cả khi các nhà làm luật tin rằng họ đang bảo vệ nhà đầu tư.
Điểm mù thứ ba là lớp hai, nơi được xem là giải pháp mở rộng quan trọng nhất. Tôi dành nhiều thời gian phân tích các giải pháp layer 2, và chứng kiến rất nhiều lời hứa. Hầu hết các rollup hiện nay vẫn dựa vào một sequencer trung tâm để sắp xếp giao dịch. Sequencer đó có thể thuộc sở hữu của đội ngũ dự án, vận hành trên một máy chủ duy nhất, và có khả năng kiểm duyệt giao dịch. 'Decentralized sequencing' là một khái niệm được nhắc đến trên các slide thuyết trình suốt hai năm qua, nhưng vẫn nằm trên slide. Khi thị trường tăng, các nhà đầu tư đổ nhau vào những chiến dịch airdrop của token layer 2, mà không mấy ai hỏi liệu sequencer tập trung có phá vỡ giả định phi tập trung hay không.
Cầu nối và những chiếc bẫy công nghệ thầm lặng
Cầu nối giữa các mạng lưới là một trong những thành phần mỏng manh nhất. Các vụ tấn công cầu nối nổi tiếng như Ronin, Wormhole hay Euler đều có một đặc điểm chung: chúng nhắm vào nơi tài sản được khóa ở phía này để phát hành tài sản ở phía kia. Sự phức tạp của giao thức xuyên chuỗi khiến việc kiểm toán trở nên cực kỳ khó khăn, vì rất khó mô phỏng toàn bộ hành vi của nhiều hợp đồng trên nhiều mạng lưới cùng một lúc. Trong thị trường tăng, các cầu nối thu hút thanh khoản nhanh chóng, trở thành mục tiêu béo bở cho những kẻ săn mồi.
Một điểm mù khác là data availability. Nhiều giải pháp layer 2 quảng bá rằng họ lưu dữ liệu trên mạng chính, nhưng thực tế chỉ là dữ liệu tóm tắt, không phải toàn bộ. Người dùng có thể không thể tự mình xác minh trạng thái một cách độc lập nếu không có sự trợ giúp của nhà vận hành. Trong khi đó, các chiến dịch airdrop giả mạo lợi dụng tâm lý sợ bỏ lỡ để yêu cầu người dùng ký vào các giao dịch độc hại, từ đó cấp quyền chi tiêu token. Tôi đã thấy nhiều người mất tiền vì một đường dẫn phishing đẹp đẽ được chia sẻ rộng rãi trong các nhóm Telegram. Kẻ tấn công không cần phá mã nguồn, chỉ cần phá lòng tin.
Từ phòng họp ngân hàng đến lớp học cộng đồng
Năm ngoái, tôi ngồi cùng lãnh đạo một ngân hàng thương mại lớn tại Argentina để thiết kế chương trình đào tạo blockchain cho hai trăm nhân viên. Một trong những giám đốc điều hành đặt câu hỏi: 'Làm sao chúng tôi biết một giao thức DeFi có an toàn để hợp tác hay không?' Tôi trả lời rằng ngay cả ngân hàng có đội ngũ pháp lý hùng hậu cũng không thể trả lời một cách tuyệt đối. Điều họ có thể làm là giảm thiểu rủi ro: đọc báo cáo kiểm toán, theo dõi thảo luận của các nhà phát triển, duy trì danh mục thử nghiệm nhỏ, và chấp nhận rằng có những thứ nằm ngoài tầm kiểm soát.
Câu trả lời khiến họ ngạc nhiên, vì họ nghĩ tôi sẽ bán cho họ một sản phẩm thần kỳ. Nhưng tôi tin rằng sự trưởng thành của ngành đến từ việc chấp nhận sự không chắc chắn, chứ không phải từ việc che giấu nó. Các ngân hàng đã quen với rủi ro tín dụng, rủi ro thanh khoản, nhưng họ chưa quen với rủi ro mã nguồn. Trong khi đó, các dự án blockchain lại cần học từ ngân hàng về quản trị rủi ro và trách nhiệm giải trình. Sự giao thoa giữa hai thế giới đó, theo tôi, chính là nơi sinh ra những sản phẩm tốt nhất.
Một lập luận ngược chiều: thị trường gấu lại là người thầy tốt hơn
Bạn có thể ngạc nhiên khi nghe tôi nói điều này, nhưng thị trường gấu lại là một người thầy nghiêm khắc và hữu ích. Nó buộc dự án phải chứng minh giá trị thực sự, buộc đội ngũ phải tối ưu chi phí, và buộc nhà đầu tư phải đọc tài liệu. Ngược lại, thị trường tăng trao thưởng cho sự cẩu thả. Khi một dự án mới ra mắt chưa có sản phẩm hoạt động mà giá token tăng gấp mười lần nhờ câu chuyện, đó không phải sự công nhận của thị trường, mà là sự phơi bày của lòng tham.
Tôi đã chứng kiến rất nhiều dự án tử thần chỉ vì huy động được quá nhiều tiền trước khi có sản phẩm. Tiền dồi dào khiến họ tuyển người ồ ạt, mở rộng không kiểm soát, thâu tóm những thứ không cần thiết. Đến khi thị trường đổi chiều, họ không kịp cắt giảm và sụp đổ. Trong khi những dự án khiêm tốn hơn, gọi vốn ít, phát triển chậm nhưng chắc, lại sống sót.
Nhưng tôi cũng không chống lại thị trường tăng một cách mù quáng. Nó vẫn là cơ hội để những dự án tốt huy động nguồn lực và phát triển. Vấn đề không nằm ở chu kỳ thị trường, mà nằm ở cách chúng ta lọc thông tin. Nếu cộng đồng cùng đặt câu hỏi khắt khe hơn, thị trường tăng sẽ không còn là nơi bán cát cho người khát.
Cộng đồng là lớp bảo vệ quan trọng nhất
Có một điều khiến tôi tiếp tục làm giáo dục blockchain bất chấp những biến động: cộng đồng gắn kết có khả năng tự bảo vệ tốt hơn bất kỳ công cụ kỹ thuật nào. Khi một quyết định được thảo luận công khai, khi các bản nâng cấp được giải thích rõ ràng, khi bất kỳ ai cũng được quyền chất vấn, hệ sinh thái đó mạnh hơn nhiều so với một hệ sinh thái dựa trên niềm tin mù vào đội ngũ đứng sau.
Tôi thành lập nhóm học tập Ethereum đầu tiên ở Buenos Aires vào năm 2017, khi ít người hiểu khái niệm hợp đồng thông minh. Nhóm đó ban đầu chỉ vài chục người, sau đó lan tỏa nhờ sự tò mò. Điều khiến tôi tự hào không phải là có ai trở nên giàu có chỉ sau một đêm, mà là họ học được cách đọc whitepaper, cách phân tích token, cách tránh những lời mời chào quá hấp dẫn. Họ trở thành một mạng lưới những người đặt câu hỏi, và điều đó khiến họ ít có khả năng bị cuốn vào các trò lừa đảo.
Tôi cũng học được nhiều điều từ chính các học viên. Một trong những dự án phát hành NFT vì giáo dục mà tôi tham gia đã dùng một phần doanh thu để cấp học bổng cho những bạn trẻ từ vùng khó khăn. Các bạn ấy mang đến những góc nhìn mà những người sống ở trung tâm tài chính không có được. Một sinh viên từ vùng ngoại ô hiểu rõ vấn đề kiểm duyệt tài chính hơn bất kỳ ai. Khi cộng đồng đa dạng, các quyết định trở nên thực tế hơn, và các mã nguồn trở nên an toàn hơn vì có nhiều người nhìn vào.
Lời kêu gọi dành cho các nhà đầu tư tổ chức
Các nhà đầu tư tổ chức đóng vai trò quan trọng hơn bao giờ hết trong việc định hình tiêu chuẩn ngành. Khi một quỹ lớn yêu cầu dự án phải có kiểm toán độc lập, công bố mã nguồn, và có chương trình tiết lộ lỗ hổng, họ vô hình trung nâng cao chất lượng toàn thị trường. Ngược lại, khi họ chấp nhận những thỏa thuận lu mờ, họ tạo ra một vòng xoáy cẩu thả.
Tôi thường khuyến khích các nhà quản lý quỹ dành thời gian trò chuyện trực tiếp với đội ngũ kỹ thuật, thay vì chỉ dựa vào bảng tính tài chính. Một cuộc gọi ba mươi phút với kỹ sư trưởng có thể tiết lộ nhiều thông tin hơn một bản báo cáo thẩm định dài năm mươi trang. Nếu vị kỹ sư đó không thể giải thích một cách rành mạch cách hợp đồng của họ xử lý tình huống giá biến động mạnh, bạn nên lo lắng.
Tôi biết điều đó nghe có vẻ phi truyền thống. Nhưng blockchain là một lĩnh vực phi truyền thống, nơi mã nguồn là luật, và hiểu mã nguồn là trách nhiệm cơ bản của mọi nhà đầu tư nghiêm túc.
Những câu hỏi nên đặt ra trước khi quyết định
Nếu bạn chỉ nhớ một điều từ bài viết này, hãy nhớ rằng bạn không cần phải là một lập trình viên, nhưng bạn cần biết những câu hỏi đúng.
Trước khi gửi tiền vào bất kỳ giao thức nào, hãy hỏi: hợp đồng này có thể nâng cấp hay không, ai có quyền gọi các hàm quản trị, quỹ có nằm trong một ví đa chữ ký hay không, và điều gì xảy ra nếu nhà phát triển chính biến mất? Đối với một tài sản mới, hãy hỏi: dự trữ có được kiểm chứng công khai không, lãi suất có đến từ doanh thu thực hay chỉ từ tiền của người đến sau? Đối với một layer 2, hãy hỏi: sequencer nằm ở đâu, ai có thể dừng việc sản xuất khối, và cơ chế thoát hiểm có thực sự hoạt động hay chỉ tồn tại trên giấy?
Những câu hỏi đó không cần bằng cấp, nhưng cần thực hành. Tôi dạy hàng nghìn người mỗi năm và thấy rằng bất kỳ ai cũng có thể học được nếu dành thời gian. Sự khác biệt giữa một nhà đầu tư thông minh và một nạn nhân của sự cuồng giá thường chỉ là một thói quen: đặt câu hỏi trước khi xuống tiền.
Niềm tin cần được đặt vào những gì có thể kiểm chứng
Trong một thị trường bị chi phối bởi sự kỳ vọng, niềm tin rất dễ bị lạm dụng. Lời hứa của một đội ngũ đẹp đẽ, những bản tuyên bố về tầm nhìn, những cái tên nổi tiếng trong hội đồng cố vấn – tất cả đều có thể được dựng lên trong vài tuần. Nhưng mã nguồn thì không. Mã nguồn là thứ duy nhất bạn có thể mở ra, đọc, phân tích và xác minh.
Đó là lý do tôi nói với học viên rằng hãy tin vào bằng chứng kỹ thuật, đừng tin vào cảm xúc. Một dự án có kho dự trữ được xác minh, hợp đồng đã được kiểm toán, lịch sử phát triển rõ ràng, và cộng đồng cởi mở, sẽ có giá trị bền vững hơn một dự án chỉ có hàng nghìn người theo dõi trên mạng xã hội.
Kết lại: tương lai không nằm ở biểu đồ giá
Khi nhìn vào bảng điều khiển với những cây nến xanh đang vươn lên, bạn có thể cảm thấy an tâm. Nhưng hãy dành một chút thời gian để nhìn vào mã nguồn, nơi dòng tiền thực sự vận hành. Hãy hỏi xem ai có quyền kiểm soát quỹ, ai có thể nâng cấp hợp đồng, và điều gì xảy ra nếu một nhà điều hành chính gặp sự cố. Thị trường tăng che giấu rất nhiều thứ, và không gì nguy hiểm hơn một sự tự tin không được kiểm chứng.
Ngày nào đó, có thể thị trường sẽ đổi chiều. Có thể một thế hệ giao thức mới sẽ ra đời, được xây dựng bởi những người hiểu rằng mã nguồn là một lời hứa phải được giữ bằng kiểm toán, bằng cộng đồng, và bằng sự khiêm nhường. Tôi sẽ vẫn ở đây, dạy những lớp học miễn phí, đọc những hợp đồng mới, và nhắc nhở mỗi sinh viên rằng sự giàu có của ngành này không nằm ở biểu đồ giá, mà nằm ở khả năng xây dựng những hệ thống mà con người có thể tin tưởng.
Hãy nhớ rằng blockchain không phải là một điểm đến, mà là một quá trình liên tục hoàn thiện. Có thể ngay bây giờ, một nhà phát triển đang sửa một lỗi trong hợp đồng của bạn. Có thể một sinh viên mới chỉ đang học cách đọc mã nguồn sẽ là người tìm ra lỗ hổng lớn tiếp theo. Đó là lý do tôi lạc quan: không phải vì thị trường tăng, mà vì con người – khi được trang bị kiến thức – có khả năng xây dựng những hệ thống tốt hơn.
Liệu bạn có sẵn sàng đặt câu hỏi trước khi đặt tiền vào không?