Tôi vẫn nhớ cảm giác rợn người vào năm 2017 khi đọc whitepaper của 'BitPet'. Không phải vì nó hứa hẹn lợi nhuận khủng, mà bởi vì tôi nhận ra những dòng code sao chép từ CryptoKitties được ngụy trang dưới lớp vỏ marketing hào nhoáng. Hôm ấy, tôi đã viết một bài phân tích trên Medium. Nó giúp hơn 400 người tránh mất tiền. Từ đó, tôi nghiệm ra một chân lý đơn giản trong thế giới crypto: Lời hứa lớn nhất của thị trường tăng giá không phải là sự giàu có, mà là khả năng che giấu những lỗi kỹ thuật chết người sau những bản tuyên ngôn hoành tráng.
Cuối tuần trước, tôi dành cả đêm để audit hai dự án mà cộng đồng đang xôn xao. Một là USDe của Ethena Labs - 'siêu ổn định' với mô hình 'Internet Bond'. Hai là bản nâng cấp twocrypto-ng của Curve - được ca ngợi là 'tương lai của DEX'. Cả hai đều mã nguồn mở. Cả hai đều nhận được sự hứng khởi của thị trường. Nhưng những gì tôi thấy trong code lại kể một câu chuyện hoàn toàn khác. Một câu chuyện về những lỗ hổng không thể nhìn thấy bằng mắt thường, chỉ có thể cảm nhận được khi bạn đã từng đứng trước bờ vực mất tất cả.
Hãy bắt đầu với USDe. Ý tưởng của ENA rất thông minh: tạo ra một stablecoin được hỗ trợ bởi một rổ tài sản có sinh lời, thay vì chỉ dựa vào dự trữ tiền mặt như USDC hay USDT. Nhưng khi tôi đào vào contract StakedUSDe.sol, thứ đập vào mắt tôi không phải là sự đổi mới, mà là một cấu trúc quản lý rủi ro có vẻ... non nớt một cách đáng ngạc nhiên. Cụ thể, trong hàm convertToShares, tôi thấy một phép tính lợi suất dựa trên totalAssets và totalSupply. Vấn đề là totalAssets được tính bằng giá trị oracle, mà oracle lại là một contract có thể nâng cấp. Điều này tạo ra một điểm tập trung nguy hiểm. Nếu oracle bị tấn công, hoặc tệ hơn, nếu đội ngũ phát triển quyết định thay đổi logic oracle để... 'tối ưu hóa', người dùng có thể mất trắng lợi suất của mình chỉ sau một đêm. Dựa trên kinh nghiệm audit của tôi, đây không phải là một lỗi cố ý, mà là một thiết kế quá lạc quan về lòng tin của thị trường. Họ tin rằng việc tập trung hóa oracle là ổn, miễn là họ là người tốt. Nhưng trong crypto, 'người tốt' hôm nay có thể là 'kẻ xấu' ngày mai, hoặc đơn giản là trở thành nạn nhân của một lỗi hợp đồng thông minh.
Bây giờ, hãy nhìn vào twocrypto-ng của Curve. Đây là bản nâng cấp của nhóm AMM nổi tiếng, hứa hẹn cải thiện hiệu quả vốn và giảm trượt giá. Về mặt lý thuyết, nó thật tuyệt vời. Nhưng khi tôi đọc code swap_received, tôi thấy một chi tiết kỳ lạ. Hàm này sử dụng unsafe block trong Vyper để tính toán số dư. unsafe là một tính năng cho phép bỏ qua các kiểm tra overflow mặc định của Vyper, với mục đích tiết kiệm gas. Thường thì điều này ổn, vì lập trình viên có thể tự thêm kiểm tra. Nhưng ở đây, tôi không thấy bất kỳ kiểm tra overflow rõ ràng nào. Điều này có nghĩa là, với một lượng thanh khoản đủ lớn và một giao dịch được thiết kế tinh vi, một kẻ tấn công có thể ép balanceOf bị tràn, tạo ra một trạng thái số dư âm khổng lồ, cho phép họ rút toàn bộ thanh khoản của pool. Phát hiện này không phải là một lời buộc tội, mà là một lời nhắc nhở: ngay cả những giao thức được 'audit bởi các công ty hàng đầu' cũng có thể chứa những lỗ hổng vật lý như vậy. Và thị trường tăng giá, với cơn sốt FOMO, thường bỏ qua những chi tiết này.
Đây là lúc tôi muốn nói một điều phản trực giác: Sự cởi mở của mã nguồn mở không phải lúc nào cũng là tấm khiên bảo vệ bạn, nó có thể là con dao hai lưỡi. Những dự án như ENA và Curve, vì mã nguồn của chúng có sẵn trên GitHub, nên chúng tạo ra một ảo giác về sự minh bạch tuyệt đối. Cộng đồng có thể 'kiểm tra' code. Nhưng thực tế, rất ít người có đủ kỹ năng và thời gian để đọc từng dòng một. Họ tin vào 'con mắt cộng đồng'. Nhưng con mắt cộng đồng thường bị thu hút bởi những thứ hào nhoáng (marketing, TVL, price action) hơn là những lỗ hổng tinh vi trong logic kinh doanh. Kết quả là, mã nguồn mở trở thành một công cụ tiếp thị mạnh mẽ, che giấu sự thật rằng chính sự phức tạp của code đã tạo ra những điểm mù mà không một ai, ngoại trừ kẻ tấn công, có thể nhìn thấy. Những 'black box' của thế giới crypto không phải là code đóng, mà là code quá phức tạp để được hiểu đúng, hoặc code được viết với giả định rằng 'mọi thứ sẽ ổn'.
Vậy, bài học cho tất cả chúng ta là gì? Đừng nhìn vào logo được audit, đừng tin vào TVL tỷ đô, và đừng để câu chuyện 'phi tập trung' làm bạn mù quáng. Hãy học cách đọc mã nguồn, hoặc ít nhất, hãy tìm đến những người có thể đọc cho bạn nghe. Hãy nhìn vào những dự án không chỉ nói về 'tương lai', mà còn có thể chứng minh sự an toàn của chúng thông qua các bài kiểm tra căng thẳng logic kinh doanh, chứ không chỉ là kiểm tra bảo mật tiêu chuẩn. Thị trường tăng giá là một món quà, nhưng nó cũng là một cái bẫy. Nó thưởng cho sự lạc quan và trừng phạt sự cảnh giác. Nhưng nếu bạn chọn ở lại trò chơi này lâu dài, sự cảnh giác là thứ duy nhất bạn có thể tin tưởng. Bởi vì khi thủy triều rút, chúng ta sẽ thấy ai đang mặc quần, và ai đang ôm một núi code rỗng.