Chúng ta đang ở trong một thị trường tăng. Mọi người đều vui vẻ. TVL tăng vọt, giá token bay cao, và các nhà sáng lập thì đang khoe những bản roadshow hoành tráng. Nhưng với tôi, đây chính là lúc nguy hiểm nhất. Tôi không tin vào những lời hứa hẹn trong thị trường tăng, tôi chỉ tin vào mã nguồn đã được kiểm tra kỹ lưỡng. Và khi tôi nhìn vào mã nguồn của nhiều dự án đang gây sốt, tôi thấy những dấu hiệu đỏ rõ ràng.
Hook: Dấu hiệu đỏ từ một dự án Layer 2 'thần thánh'
Hãy lấy một ví dụ điển hình. Cách đây vài tuần, tôi được một dự án Layer 2 tự xưng liên hệ để audit. Dự án này vừa huy động được 50 triệu USD, được hàng loạt KOL lớn quảng bá là 'giải pháp mở rộng quy mô cho Bitcoin'. Trang web của họ tràn ngập các thuật ngữ như 'Data Availability (DA) Layer', 'ZK-Proofs', và 'Bitcoin Security'. Nghe có vẻ ấn tượng. Nhưng sau khi đọc mã nguồn, tôi chỉ có một câu hỏi: "Đã kiểm tra kỹ chưa?".
Context: Chu kỳ thổi phồng và ảo tưởng 'giải pháp thần kỳ'
Trong mỗi chu kỳ thị trường tăng, luôn có một câu chuyện 'thần kỳ' được thổi phồng. Năm 2017 là ICO, năm 2021 là DeFi Summer, và năm nay, câu chuyện đó là 'Bitcoin Layer 2'. Đã có hàng chục dự án mọc lên, tất cả đều hứa hẹn mang hợp đồng thông minh và khả năng mở rộng lên Bitcoin. Nhưng sự thật là gì? 90% các 'Bitcoin Layer 2' tự xưng thực chất là các dự án Ethereum được đổi thương hiệu, chỉ để câu view từ cộng đồng Bitcoin. Họ lợi dụng sự thiếu hiểu biết kỹ thuật của số đông để tạo ra một ảo tưởng về sự đổi mới.
Core: Tháo gỡ có hệ thống – “Bitcoin Layer 2” thực sự là gì?
Để hiểu vấn đề, tôi sẽ phân tích dự án Layer 2 kia. Dự án tuyên bố sử dụng một 'DA Layer chuyên dụng' để lưu trữ dữ liệu giao dịch, giảm tải cho Bitcoin. Đây là một lập luận nghe có vẻ hợp lý. Nhưng trên thực tế, 99% rollup hiện tại không tạo đủ dữ liệu để cần một DA Layer chuyên dụng. Phần lớn các giao dịch trên các rollup này chỉ là chuyển token đơn giản hoặc swap trên các AMM cơ bản. Chi phí và độ phức tạp của một DA Layer riêng là không cần thiết và thực sự là một sự lãng phí tài nguyên. Đây chỉ là một chiêu trò marketing để làm cho dự án trông có vẻ 'cao cấp' hơn.
Tiếp theo, tôi kiểm tra mã nguồn của hợp đồng 'cầu nối' (bridge) giữa rollup và Bitcoin. Đây là một trong những thành phần quan trọng nhất và cũng là nơi thường xuyên xảy ra lỗ hổng nhất. Hợp đồng bridge của dự án này sử dụng một mô hình 'multi-sig' với 5 người ký. Nghe có vẻ an toàn. Nhưng khi tôi xem xét kỹ hơn, tôi phát hiện ra rằng 3 trong số 5 người ký đó là các nhà sáng lập của dự án. Điều này có nghĩa là chỉ cần 3 người này hợp tác, họ có thể rút toàn bộ số tiền trong bridge mà không cần bất kỳ sự đồng ý nào khác. Đây không phải là một hệ thống phi tập trung. Đây là một hệ thống tập trung được ngụy trang.
Dựa trên kinh nghiệm audit của tôi, một lỗi phổ biến khác mà tôi thấy trong các dự án này là việc xử lý oracle feed. Họ thường sử dụng một oracle duy nhất, không có cơ chế dự phòng hoặc kiểm tra chéo. Điều này đặc biệt nguy hiểm trong các giao thức lending hay stablecoin, nơi mà giá của tài sản thế chấp là yếu tố sống còn. Tôi từng thấy một dự án DeFi bị mất 2 triệu USD chỉ vì oracle của nó bị thao túng. Chainlink giải quyết vấn đề này bằng cách sử dụng nhiều node, nhưng bản thân các node đó lại tập trung vào một nhóm nhỏ các nhà cung cấp dữ liệu. Đó là một nghịch lý.
Hãy quay lại với dự án Layer 2 kia. Tôi yêu cầu họ cung cấp mã nguồn của các hợp đồng thông minh để kiểm tra. Họ đưa cho tôi một bản sao đã được chỉnh sửa, thiếu đi một số tập tin quan trọng. Tôi hỏi lại, họ nói rằng 'đó là mã nguồn độc quyền'. Kinh nghiệm cho tôi biết rằng, bất kỳ dự án nào từ chối việc kiểm toán mã nguồn độc lập hoặc công khai mã nguồn của mình đều có điều gì đó để che giấu. Cuối cùng, tôi phát hiện ra rằng dự án này thực sự là một fork của một rollup trên Ethereum, nhưng đã thay đổi một vài tham số cốt lõi để làm cho nó 'tương thích với Bitcoin'. Tuy nhiên, họ đã làm hỏng một trong những cơ chế xác thực giao dịch, khiến cho việc tấn công reentrancy trở nên khả thi. Nếu bị khai thác, kẻ tấn công có thể rút toàn bộ tài sản của người dùng. Đây là một lỗi cơ bản, giống như tôi đã từng thấy trong hợp đồng ICO năm 2017.
Contrarian: Phần "phe bò" đã đúng
Tuy nhiên, tôi phải thừa nhận rằng, không phải mọi thứ trong câu chuyện về 'Bitcoin Layer 2' đều là vô giá trị. Ý tưởng về việc mở rộng quy mô cho Bitcoin là hoàn toàn chính đáng. Cộng đồng Bitcoin thực sự cần những giải pháp để giảm phí giao dịch và tăng tốc độ xử lý. Nhưng vấn đề nằm ở cách thực hiện. Phần "phe bò" đã đúng khi họ thấy được nhu cầu thị trường và tiềm năng. Họ đã sai khi tin rằng mọi dự án tự xưng là 'Layer 2' đều là giải pháp thực sự. Họ đã bỏ qua các chi tiết kỹ thuật và bị cuốn theo câu chuyện. Điểm mù ở đây là sự khác biệt giữa một giải pháp thực sự và một sản phẩm marketing. Một giải pháp thực sự phải được xây dựng dựa trên các nguyên tắc kỹ thuật vững chắc, được kiểm tra bởi nhiều bên độc lập, và có mã nguồn mở. Còn một sản phẩm marketing thì chỉ cần có một trang web đẹp và một câu chuyện hấp dẫn.
Takeaway: Lời kêu gọi về trách nhiệm
Khi thị trường đang nóng, mọi người thường quên mất những bài học cơ bản. Họ FOMO vào những dự án mà họ không hiểu rõ, chỉ vì sợ bỏ lỡ cơ hội. Nhưng với tư cách là một người làm audit, tôi thấy rằng thị trường tăng chính là nơi mà những 'bom nổ chậm' được gieo trồng. Chúng sẽ phát nổ khi thị trường giảm và mọi người đổ lỗi cho nhau. Trách nhiệm của bạn, với tư cách là một nhà đầu tư, là phải tự hỏi: "Đã kiểm tra kỹ chưa?" trước khi bỏ tiền vào bất kỳ dự án nào. Đừng tin vào lời hứa, hãy tin vào mã nguồn. Bởi vì bug không cần lễ phép, nó chỉ cần lỗ hổng. Và hacker đọc code nhanh hơn dev sửa lỗi, nhớ lấy.
