Đặt cược vào FDA: Khi Polymarket trở thành sòng bạc pháp lý
Trần Phúc
Một hợp đồng thông minh vừa ra mắt trên Polygon cho phép người dùng đặt cược vào việc FDA có phê duyệt thuốc Alzheimer mới hay không. Nhìn vào mã nguồn, tôi thấy một lỗ hổng kinh điển: không có cơ chế bảo vệ chống oracle manipulation. ICO 2018: lỗi đa ký, bài học nhức nhối. Hồi đó người ta cũng tin vào whitepaper, giờ lại tin vào oracle? Không đời nào.
Kalshi và Polymarket, hai gã khổng lồ trong mảng prediction market, vừa mở thị trường cho drug approval — cho phép nhà đầu tư đặt cược vào kết quả phê duyệt của FDA. Đây không phải công nghệ mới. Cả hai đều chạy trên nền tảng cũ: Kalshi dùng server trung tâm, Polymarket dùng hợp đồng thông minh trên Polygon với oracle UMA. Về mặt kỹ thuật, không có gì đột phá. Nhưng về mặt pháp lý, đây là quả bom hẹn giờ. FDA phê duyệt thuốc là quy trình bí mật, liên quan đến sức khỏe cộng đồng. Cho phép đặt cược vào đó đồng nghĩa với việc tạo ra động cơ cho insider trading, thao túng thông tin, và — tệ hơn — làm suy yếu lòng tin vào cơ quan quản lý.
Hãy nhìn vào cơ chế của Polymarket. Người dùng gửi USDC vào hợp đồng, chọn một kết quả (Approved hoặc Rejected), và chờ oracle ghi nhận sự kiện thực tế. Oracle ở đây là UMA — một optimistic oracle. Nghĩa là bất kỳ ai cũng có thể đưa ra kết quả, và sẽ có thời gian thử thách. Nếu không ai phản đối, kết quả được chấp nhận. Nghe có vẻ phi tập trung, nhưng thực tế: ai có động cơ để phản đối? Nếu tôi biết trước kết quả (nhờ insider), tôi có thể đặt cược lớn, rồi im lặng chờ thanh toán. Oracle không có cơ chế phát hiện gian lận nội bộ. Đây là lỗ hổng thiết kế kinh điển mà tôi đã thấy từ năm 2020 khi audit một dự án tương tự.
EVM không tha thứ cho sự cẩu thả. Hãy tưởng tượng kịch bản: một nhân viên FDA biết trước kết quả phê duyệt thuốc. Họ mượn danh tính bạn bè, deposit 100k USDC vào Polymarket, đặt cược Approved. Ngày hôm sau FDA công bố, oracle UMA ghi nhận đúng. Họ rút tiền lời. Không ai kiểm tra nguồn gốc thông tin. Mọi thứ đều hợp lệ trên chain. Nhưng bản chất là gian lận. Và hợp đồng thông minh không thể phân biệt được giữa dự đoán thông minh và insider trading. Đây là lý do tại sao CFTC và SEC sẽ sớm vào cuộc.
Kalshi có vẻ an toàn hơn vì được CFTC quản lý. Nhưng thực tế, CFTC chưa bao giờ phê duyệt drug approval làm event contract. Kalshi đang đi trên dây. Nếu họ bị phạt, toàn bộ tiền của người dùng có thể bị tạm giữ. Tôi đã chứng kiến sự kiện tương tự năm 2022: một nền tảng prediction market bị SEC kiện vì bán hợp đồng tương tự chứng khoán. Tiền của người dùng mất sạch. Không có bảo hiểm DeFi nào cứu được.
Điểm mù lớn nhất ở đây là: cộng đồng crypto đang nhìn nhận sự kiện này như một bước tiến về tự do tài chính. Họ nói “thị trường dự đoán giúp phát hiện thông tin”. Sai. Thị trường dự đoán chỉ hoạt động tốt khi thông tin được phân phối công bằng. Trong trường hợp drug approval, thông tin hoàn toàn bất đối xứng. FDA và các công ty dược nắm rõ kết quả trước công bố hàng tuần. Người ngoài chỉ có thể đoán dựa trên dữ liệu công khai. Đây không phải dự đoán, mà là đánh bạc dựa trên rò rỉ thông tin. Nếu có ai đó kiếm được tiền, thì đó là dấu hiệu của insider trading, không phải trí thông minh thị trường.
Tôi đã từng audit mã nguồn của một dự án prediction market về bầu cử Mỹ. Họ dùng Chainlink oracle. Tôi phát hiện ra rằng nếu oracle bị tấn công, kẻ tấn công có thể đưa ra kết quả sai và rút tiền trước khi bị phát hiện. Lỗ hổng nằm ở chỗ không có timelock giữa lúc oracle cập nhật và lúc cho phép rút tiền. Polymarket có cơ chế dispute window, nhưng nếu kết quả được chấp nhận ngay lập tức (vì không ai dispute), thì kẻ tấn công chỉ cần đợi 1 block là có thể rút tiền. Trong thực tế, điều này khó xảy ra vì UMA yêu cầu bond, nhưng bond có thể không đủ lớn so với stake của kẻ tấn công.
Bài học từ Terra/Luna vẫn còn nóng hổi. Năm 2022, tôi mất 6 tháng để audit mã nguồn Terra v2. Tôi phát hiện lỗ hổng trong oracle — lệch pha giữa on-chain và off-chain. Kết quả: UST mất peg, cả hệ thống sụp đổ. Giờ đây, Polymarket đang tạo ra một oracle mới cho drug approval. Nếu họ không có cơ chế chống lại sự thao túng từ các tổ chức lớn (các quỹ đầu cơ dược phẩm), thảm họa sẽ lặp lại. Nhưng lần này không chỉ mất tiền, mà còn gây tổn hại đến niềm tin vào quy trình phê duyệt thuốc. Hậu quả có thể tồi tệ hơn nhiều.
Quay lại với câu hỏi: Bạn có nên tham gia không? Nếu bạn là nhà đầu tư thông thường, đừng. Đây không phải cơ hội kiếm tiền, mà là cái bẫy pháp lý. Nếu bạn là developer muốn fork ý tưởng này, hãy nhớ rằng code có thể chạy, nhưng luật pháp sẽ tìm đến bạn. EVM không tha thứ cho sự cẩu thả, và CFTC cũng vậy.
Tôi không lạc quan về tương lai của drug prediction market. Sớm muộn gì CFTC hoặc FDA cũng ra tay. Khi đó, toàn bộ thanh khoản sẽ bị đóng băng. Những ai đặt cược sẽ mất trắng. Còn nếu may mắn tồn tại, nó sẽ trở thành một chợ đen ngầm, nơi chỉ có insider và hacker chơi với nhau. Không có chỗ cho nhà đầu tư nhỏ lẻ. Và đó là lúc tôi, với tư cách một kiến trúc sư hợp đồng thông minh, sẽ đào sâu vào từng dòng code để tìm lỗ hổng. Không phải để kiếm tiền, mà để chứng minh rằng: mỗi dòng code là một bề mặt tấn công. Và lần này, bề mặt đó phơi bày sự yếu kém của cả một hệ sinh thái.