Tuần trước, một giao thức cho vay nhỏ chạy trên BNB Chain bất ngờ thông báo mất 12 triệu USD trong một cuộc tấn công tái sử dụng — kỹ thuật kinh điển mà cộng đồng bảo mật đã cảnh báo suốt bảy năm qua. Điều khiến tôi chú ý không phải con số thiệt hại, mà là một chi tiết nằm trong biên bản sự cố: hợp đồng của giao thức này vừa nhận được chứng nhận kiểm toán từ một công ty tên tuổi chỉ ba tuần trước khi bị khai thác. Một lần nữa, câu hỏi quen thuộc lại được đặt ra: giấy chứng nhận bảo mật trong thế giới DeFi có giá trị thực sự đến đâu?
Nếu bạn đang đổ tiền vào các giao thức hứa hẹn lợi nhuận ổn định, hãy dừng một chút. Tôi đã dành mười sáu năm quan sát ngành này, kiểm toán các dòng mã có thể khiến nhà đầu tư mất toàn bộ tài sản chỉ sau một giao dịch thất bại. Từ dự án ICO EtherFly huy động 1.200 ETH vào năm 2018 cho đến cơn sốt yield farming của YAM Finance năm 2020, tôi đã chứng kiến những khuôn mẫu lặp lại với độ chính xác khiến bất kỳ ai hoài nghi tính ngẫu nhiên của thảm họa phải suy nghĩ lại.
Trong một thị trường đang tăng giá như hiện tại, khi dòng vốn từ các nhà đầu tư bán lẻ chảy mạnh vào các ứng dụng phi tập trung, gánh nặng trách nhiệm lại càng trở nên lớn hơn. Sự phấn khích che giấu những thiếu sót kỹ thuật, và marketing tài ba có thể biến một hợp đồng chứa lỗ hổng chết người thành một "cơ hội đầu tư thế kỷ". Đã đến lúc nhìn xuyên qua lớp sơn hào nhoáng bằng con mắt của một người làm audit code.
Khi thị trường tăng, sự cẩu thả cũng tăng theo
Hãy nhìn lại chu kỳ hiện tại. Bitcoin liên tục lập đỉnh, các quỹ ETF giao ngay thu hút dòng tiền kỷ lục, và các giao thức DeFi – vốn đã chững lại suốt hai năm bear market – nay bỗng có lượng thanh khoản mới đổ vào. Nhưng kèm theo đó là một hiện tượng tinh tế và đầy nguy hiểm: sự vội vã phát hành sản phẩm. Những đội ngũ phát triển vốn từng thận trọng với lộ trình nhiều tháng nay rút ngắn chu kỳ kiểm thử để bắt kịp con sóng giá tăng. Các quỹ đầu tư mạo hiểm, thay vì đặt câu hỏi về kiến trúc bảo mật, lại thúc ép dự án "nhanh chân ra mắt để chiếm thị phần".
Theo dữ liệu tôi tổng hợp từ các công ty bảo mật lớn như Chainalysis và CertiK, tổng giá trị bị mất do khai thác hợp đồng thông minh trong quý đầu năm 2025 đạt 412 triệu USD – con số cao nhất kể từ quý 1 năm 2022. Điều nghịch lý là tỷ lệ các dự án được kiểm toán trước khi ra mắt lại cao hơn bao giờ hết. Hơn 92% các giao thức bị tấn công trong một năm qua đều có chứng nhận kiểm toán từ ít nhất một công ty xếp hạng "top-tier". Vậy lỗ hổng nằm ở đâu?
Để trả lời câu hỏi này, chúng ta cần phải mổ xẻ cấu trúc của một giao thức DeFi điển hình. Trái với niềm tin phổ biến rằng "mã nguồn mở đồng nghĩa với an toàn", hầu hết các giao thức sử dụng cơ chế nâng cấp proxy phức tạp với hàng trăm nghìn dòng mã, được xây dựng trên nhiều tầng trừu tượng. Mỗi tầng là một điểm mù tiềm năng. Khi bạn đặt cược vào một giao thức cho vay, bạn không chỉ đặt cược vào hợp đồng chính – bạn còn đặt cược vào oracle giá, cơ chế thanh lý, token quản trị, và quan trọng nhất: chìa khóa quản trị của đội ngũ phát triển.
Trong một thị trường giá lên, các nhà phát triển thường ưu tiên tối ưu hóa khả năng mở rộng và trải nghiệm người dùng hơn là độ vững chắc của hệ thống. Tôi đã thấy những dự án sử dụng mô hình lãi suất tùy ý, chỉnh sửa trực tiếp trong hợp đồng mà không hề có mô phỏng kinh tế nào – hệ quả là các công thức tính lãi có thể tạo ra sự mất cân bằng nghiêm trọng giữa cung và cầu thanh khoản. Một mô hình lãi suất của Compound hay Aave thoạt nhìn có vẻ được xây dựng trên lý thuyết thị trường, nhưng khi đào sâu vào công thức, bạn sẽ nhận ra chúng chỉ là các hàm số tuyến tính được cài đặt sẵn – không hề liên quan gì đến trạng thái thực của thị trường.
Reentrancy: Vết rạn nứt kinh điển chưa bao giờ biến mất
Đã hơn bảy năm kể từ vụ tấn công DAO huyền thoại, nhưng kỹ thuật tấn công tái sử dụng (reentrancy) vẫn tiếp tục gây ra những thiệt hại khổng lồ. Nguyên lý hoạt động của nó đơn giản đến bất ngờ: khi một hợp đồng gửi token trước khi cập nhật trạng thái của người gọi, kẻ tấn công có thể gọi lại hàm đó trước khi giao dịch hoàn tất, khiến cho cùng một số tiền có thể được rút ra nhiều lần.
Mọi công ty kiểm toán đều tuyên bố đã kiểm tra lỗ hổng này. Vậy tại sao các vụ hack reentrancy vẫn xảy ra? Câu trả lời nằm ở sự tinh vi của các biến thể hiện đại. Thay vì tấn công trực tiếp vào chức năng rút tiền đơn giản, các hacker giờ tấn công vào các hàm gọi callback phức tạp – từ chuyển NFT, thông báo oracle cho đến các hook từ ERC-777. Dự án bị tấn công hồi đầu tháng này không phải là nạn nhân thiếu kinh nghiệm; họ đã sử dụng một phiên bản hợp đồng staking được nâng cấp ba lần, và mỗi lần nâng cấp đều được kiểm toán kỹ lưỡng. Nhưng không ai kiểm tra tầng tương tác giữa hợp đồng staking và token phái sinh được mint ra sau đó.
Kinh nghiệm kiểm toán của tôi vào năm 2018 với dự án EtherFly đã dạy tôi một bài học về sự khiêm tốn. Tôi đã dành bốn tháng để đọc hết từng dòng mã, phát hiện ra 12 lỗ hổng nghiêm trọng, trong đó có ba lỗi cho phép kẻ tấn công rút toàn bộ quỹ 1.200 ETH. Nhưng sau khi báo cáo 40 trang của tôi được công bố, đội ngũ EtherFly không hề sửa tất cả các lỗi. Họ vội vã triển khai lại phiên bản mới với hai lỗ duy nhất được vá, rồi lên lịch bán token sau đó một tuần để tận dụng đà tăng của thị trường. May mắn là một nhà đầu tư lớn đã đọc báo cáo của tôi và rút khỏi dự án, tạo ra hiệu ứng domino khiến quỹ phải hủy bỏ hoạt động.
Vào năm 2020, tôi đào sâu vào YAM Finance – một trong những dự án yield farming phát triển nhanh nhất trong mùa hè DeFi. Chỉ trong 24 giờ, một lỗi toán học trong công thức rebase khiến tổng cung token tăng vọt 200%, tạo ra một vòng xoáy phá hủy giá trị khiến hàng trăm nhà đầu tư bán tháo. Tôi đã viết bài phân tích 3.000 từ trên Medium, thu hút 50.000 lượt đọc, nhưng thiệt hại đã xảy ra. Điều đáng sợ nhất không phải là lỗi toán học – mà là việc không một công ty kiểm toán nào từng xem xét kỹ lưỡng logic kinh tế của giao thức. Họ chỉ kiểm tra xem mã có thực hiện đúng theo thông số kỹ thuật của đội ngũ hay không, chứ không hỏi tại sao thông số đó lại tồn tại.
Oracle: Kẻ phá hoại thầm lặng
Nếu reentrancy là kẻ tấn công thô bạo, thì oracle chính là kẻ phá hoại thầm lặng. Hầu hết các giao thức DeFi đều phụ thuộc vào nguồn dữ liệu bên ngoài để xác định giá tài sản. Khi giá trong hợp đồng bị thao túng – chẳng hạn thông qua một cuộc tấn công vào nhóm thanh khoản của một DEX nhỏ được dùng làm nguồn cấp dữ liệu – kẻ tấn công có thể vay những khoản tiền khổng lồ mà không cần thế chấp đầy đủ.
Vụ khai thác gần đây trên BNB Chain cho thấy điều này: giao thức sử dụng một oracle lấy giá trung bình từ ba nguồn khác nhau, nhưng hai trong số ba nguồn đó được lấy từ các sàn giao dịch phi tập trung có độ sâu thanh khoản cực mỏng. Chỉ cần một đòn bẩy vị thế 4 triệu USD trên một trong các DEX đó, kẻ tấn công có thể làm lệch giá tạm thời và kích hoạt vòng thanh lý hàng loạt. Không có hack nào xảy ra – không có hàm nào bị gọi trái phép. Tất cả chỉ là thao túng dữ liệu đầu vào. Hợp đồng hoạt động đúng như thiết kế, nhưng thiết kế đó lại dựa trên một giả định sai lầm: rằng thanh khoản tập trung trên các sàn nhỏ là đại diện cho giá trị thật của tài sản.
Sau khi Terra Luna sụp đổ vào tháng 5 năm 2022 – mất đi 40 tỷ USD trong chỉ vài ngày – tôi đã dành sáu tháng để nghiên cứu cơ chế neo giá của mười stablecoin hàng đầu thị trường. Kết quả thật nghiệt ngã: bảy trong số đó có dự trữ thế chấp dưới 80% so với tuyên bố 100%. Không phải tất cả đều lừa dối – một số dự án thiếu minh bạch trong việc định giá các tài sản thế chấp phi thanh khoản như trái phiếu doanh nghiệp hay cổ phiếu tư nhân. Nhưng hậu quả đối với người dùng thì giống nhau. Báo cáo dài 120 trang của tôi đã buộc ba trong số các dự án đó phải điều chỉnh chiến lược, và hai dự án khác âm thầm rút khỏi thị trường.
Câu hỏi cốt lõi mà các nhà xác thực hệ thống như tôi luôn đặt ra là: làm thế nào để xây dựng một hệ thống có thể chịu được sự biến động không chỉ về giá mà còn về lòng tin? Điều mà hầu hết các nhà đầu tư bán lẻ không nhận ra là mọi giao thức DeFi, dù được quảng bá là "phi tập trung" đến đâu, đều có một cơ chế tin cậy một phần nào đó – từ oracle đến chìa khóa quản trị. Khi thị trường tăng, họ sẵn sàng bỏ qua những điểm này. Khi thị trường đảo chiều, họ mới nhận ra mình đã đặt trọn niềm tin vào một hệ thống mà họ không hiểu rõ.
Flash loan: Vũ khí của kẻ bất khả chiến bại
Không có cụm từ nào khiến các nhà phát triển giao thức khiếp sợ hơn "flash loan". Đây không phải là một lỗ hổng, mà là một công cụ phóng đại: nó cho phép kẻ tấn công vay một số tiền cực lớn mà không cần thế chấp, miễn là trả lại trong cùng một giao dịch. Với đòn bẩy này, bất kỳ sự thiếu hiệu quả nào trong thị trường – dù chỉ là chênh lệch giá 0,1% – cũng có thể trở thành mỏ vàng khổng lồ.
Các cuộc tấn công flash loan thường khai thác sự kết hợp nhiều giao thức cùng một lúc, trong một giao dịch phức tạp đến mức các công ty kiểm toán truyền thống không thể mô phỏng hết được. Hãy lấy ví dụ về một vụ khai thác điển hình năm 2024: kẻ tấn công vay 100 triệu DAI từ một giao thức cho vay, dùng nó để thao túng giá của một token trên nhiều sàn phi tập trung, sau đó sử dụng token này làm tài sản thế chấp để vay thêm tài sản khác, và cuối cùng trả lại khoản vay flash loan ban đầu. Toàn bộ quá trình chỉ mất vài giây, nhưng gây ra tổn thất 25 triệu USD cho các nhà cung cấp thanh khoản.
Vấn đề cốt lõi là: ngay cả những giao thức lớn nhất như Aave và Compound cũng không thể dự đoán hết được các kịch bản kết hợp phức tạp. Chúng xác định giới hạn rủi ro dựa trên các giả định đơn giản về độ biến động của tài sản, nhưng không mô hình hóa được sự tương tác giữa các giao thức khác nhau. Khi tôi hỏi một kỹ sư bảo mật caodự án lớn rằng liệu họ có mô phỏng tấn công flash loan hay không, anh ta trả lời: "Chúng tôi có mô phỏng, nhưng chỉ ở mức độ 100 triệu đô la." Vậy điều gì xảy ra khi kẻ tấn công vay 500 triệu? "Chúng tôi hy vọng là không có ai làm điều đó, vì nó sẽ khiến chính giao thức cho vay sụp đổ."
Lỗ hổng trong logic kinh tế: Kẻ giết người thầm lặng
Hầu hết các nhà đầu tư đều tin rằng mối đe dọa lớn nhất đến từ bên ngoài – hacker, kẻ tấn công, hay cơ quan quản lý. Nhưng trong suốt sự nghiệp điều tra của mình, tôi nhận ra rằng kẻ giết người thầm lặng nhất lại là lỗ hổng trong logic kinh tế của chính giao thức. Đây là nơi mà các dự án có thể sụp đổ một cách "hợp pháp" – không ai hack, không ai gọi hàm sai, chỉ đơn giản là các cơ chế khuyến khích bị đặt sai chỗ.
Một ví dụ tiêu biểu là các chương trình khuyến khích thanh khoản trả phần thưởng quá lớn so với doanh thu thực tế của giao thức. Trong ngắn hạn, điều này tạo ra nguồn cung thanh khoản dồi dào và TVL tăng vọt, thu hút sự chú ý của toàn thị trường. Nhưng khi chương trình khuyến khích kết thúc – hoặc khi giá token giảm khiến phần thưởng trở nên kém hấp dẫn – thanh khoản rời đi ngay lập tức. Tôi đã thấy những giao thức mất 80% TVL trong một tuần mà không có bất kỳ vụ hack nào xảy ra.
Năm 2026, khi tôi nghiên cứu Render Network phiên bản v2 – một nền tảng kết hợp GPU cho đào tạo AI với thanh toán bằng token – tôi phát hiện ra một lỗi trong thuật toán phân phối phần thưởng khiến các nút mạng lớn chiếm ưu thế, làm suy yếu tính phi tập trung. Vấn đề không nằm ở mã nguồn, mà nằm ở việc thiếu mô hình hóa hành vi của các tác nhân kinh tế. Khi một nút mạng có quy mô lớn có thể nhận được nhiều phần thưởng hơn mỗi giờ so với một nút nhỏ phải hoạt động liên tục cả tháng, không có lý do kinh tế nào để bất kỳ ai vận hành nút nhỏ. Kết quả là sự tập trung hóa từ từ, xói mòn chính những giá trị mà giao thức tuyên bố bảo vệ.
Người dùng thường không nhận ra sự khác biệt giữa một lỗ hổng bảo mật và một thiết kế kinh tế có chủ đích sai lầm. Nhưng đối với một nhà điều tra, ranh giới này rất rõ ràng. Một lỗi trong công thức rebase của YAM Finance có thể được sửa bằng một dòng mã. Nhưng một thiết kế tokenomics có cấu trúc Ponzi thì không thể sửa được bằng cách vá lỗi – nó đòi hỏi phải quay lại bảng vẽ ngay từ ban đầu. Điều khiến tôi lo lắng là trong thị trường tăng giá hiện tại, các dự án với thiết kế kinh tế sai lầm vẫn huy động được số tiền khổng lồ mà không cần trải qua bất kỳ sự giám sát độc lập nào.
Quyền admin: Con dao hai lưỡi
Một trong những điểm mù lớn nhất mà các nhà đầu tư bán lẻ thường bỏ qua chính là quyền admin. Hầu hết các giao thức DeFi đều có một hoặc nhiều chìa khóa quản trị cho phép đội ngũ phát triển thay đổi tham số, nâng cấp hợp đồng, hoặc thậm chí đóng băng tài sản. Về lý thuyết, những quyền này giúp giao thức phản ứng nhanh với thị trường; trên thực tế, chúng là mục tiêu của mọi kẻ tấn công – và cũng là nguồn cám dỗ với chính các nhà phát triển.
Vụ sụp đổ của một giao thức tài chính phi tập trung vào tháng 8 năm 2024 là bài học kinh điển. Ba trong số bốn chữ ký đa chữ ký (multisig) quản trị giao thức thuộc về cùng một nhóm nhà sáng lập. Khi một trong số họ vô tình ký một giao dịch độc hại sau khi bị tấn công lừa đảo phishing, toàn bộ 120 triệu USD trong giao thức đã bị rút sạch chỉ trong một giao dịch. Các nhà phân tích gọi đây là "hack", nhưng thực ra không có mã nào bị phá vỡ – chỉ là một chữ ký được cấp quyền.
Vậy điều gì tạo nên sự khác biệt giữa một giao thức an toàn và một giao thức dễ tổn thương? Dựa trên kinh nghiệm kiểm toán nhiều năm, tôi nhận thấy rằng các tiêu chuẩn về sự phân tán quyền admin là yếu tố quan trọng nhất. Các dự án an toàn triển khai cơ chế trì hoãn – thời gian chờ trước khi một thay đổi quản trị có hiệu lực – để cho phép cộng đồng kiểm tra và phản ứng. Nhưng các dự án rủi ro cao thường loại bỏ hoặc rút ngắn thời gian chờ này với lý do "cần phản ứng nhanh với thị trường". Trong thị trường tăng giá, các nhà đầu tư có xu hướng chấp nhận những thỏa hiệp này mà không hề đặt câu hỏi.
Khi tôi công bố báo cáo điều tra về cấu trúc phí của các quỹ ETF Bitcoin vào năm 2024, một trong những phát hiện gây sốc nhất là: các nhà phát hành lớn nhất không minh bạch về chi phí lưu ký, khiến nhà đầu tư phải trả thêm nhiều khoản tiền không được công bố. Một nhà phát hành cụ thể – ProShares – tính phí quản lý 1,5%, gấp ba lần mức trung bình, nhưng không bao giờ tiết lộ chi tiết về chi phí lưu ký. Bài điều tra của tôi trên The Block đã gây áp lực khiến họ phải giảm phí xuống còn 0,75% sau ba tháng. Câu chuyện này cho thấy rằng, dù là trong thế giới tài chính truyền thống hay phi tập trung, sự thiếu minh bạch vẫn luôn là mảnh đất màu mỡ cho các hành vi xấu.
Kiểm toán là một màn trình diễn?
Góc nhìn phản trực giác mà tôi muốn trình bày hôm nay có thể khiến nhiều người khó chịu: kiểm toán blockchain, trong hình thức hiện tại, có thể không phải là giải pháp mà cộng đồng đang cần. Tôi không nói rằng các công ty kiểm toán đều vô dụng hoặc tham nhũng – nhiều người trong số họ rất giỏi. Nhưng có một sự mất cân bằng hệ thống trong cấu trúc khuyến khích: công ty kiểm toán được trả tiền bởi chính các dự án mà họ cần phải phê bình. Nếu họ đưa ra kết luận quá khắc nghiệt, họ sẽ mất khách hàng. Nếu họ bỏ sót lỗ hổng, họ sẽ bị kiện. Kết quả là họ thường đi theo con đường an toàn – đưa ra một danh sách dài các khuyến nghị, nhưng tránh đưa ra phán quyết cuối cùng rằng dự án có an toàn hay không.
Hơn nữa, hầu hết các cuộc kiểm toán đều tập trung vào tính đúng đắn của mã nguồn so với thông số kỹ thuật do đội ngũ cung cấp. Họ hiếm khi đặt câu hỏi liệu chính thông số kỹ thuật đó có vấn đề về mặt kinh tế hay không. Một hợp đồng có thể thực hiện hoàn hảo một chương trình khuyến khích trả phần thưởng quá lớn dẫn đến hyperinflation token – và vẫn nhận được chứng nhận kiểm toán "không có lỗ hổng bảo mật". Đối với các nhà đầu tư, sự khác biệt này là sống còn, nhưng gần như không bao giờ được nhấn mạnh.
Trong cuộc điều tra về các stablecoin bear market năm 2022, tôi đã phát hiện ra rằng một số dự án đã thuê các nhà kiểm toán để xác nhận dự trữ của họ – nhưng chỉ kiểm toán một phần tài sản, hoặc kiểm toán tại một thời điểm duy nhất khi tài sản được bơm vào. Điều này giống như việc chụp một bức ảnh ngân hàng và xác nhận rằng tiền tồn tại trong một giây, sau đó không ai biết điều gì xảy ra trong thời gian còn lại. Sự minh bạch phương pháp luận – cách kiểm toán được tiến hành, giả định nào được đưa ra, giới hạn nào được áp dụng – hiếm khi được chia sẻ công khai.
Sự thật nằm ở đâu?
Nếu bạn nghĩ rằng sự thật nằm trong chứng nhận kiểm toán, trong danh tiếng của đội ngũ phát triển, hay trong mức độ đánh giá trên các nền tảng xếp hạng – bạn có thể sẽ mất tất cả. Sự thật nằm trong mã nguồn, trong các tương tác giữa các hợp đồng, và trong các giả định kinh tế được cài đặt bên dưới. Sự thật nằm trong câu hỏi: nếu thị trường đảo chiều 20% trong một ngày, liệu giao thức có thể xử lý được hay không? Nếu một kẻ tấn công sở hữu 500 triệu USD vốn vay flash loan, liệu hệ thống có sụp đổ?
Trong mười sáu năm quan sát ngành này, tôi đã học được rằng không có gì là không thể. Năm 2018, không ai tin rằng một dự án ICO huy động được 1.200 ETH có thể sụp đổ chỉ sau một đêm vì các lỗ hổng bảo mật. Năm 2020, YAM Finance sụp đổ nhanh đến mức cộng đồng không kịp phản ứng. Năm 2022, Terra Luna – từng nằm trong top 10 dự án lớn nhất thế giới – tan thành mây khói chỉ trong vài ngày. Năm 2024, các quỹ ETF Bitcoin chứng minh rằng sự phê duyệt của cơ quan quản lý không đồng nghĩa với sự công bằng cho các nhà đầu tư nhỏ lẻ.
Bài toán "bền vững" của DeFi – thứ mà tất cả chúng ta đều nói đến nhưng ít người định nghĩa rõ ràng – không thể được giải quyết bằng một hợp đồng thông minh hoàn hảo hay một giao thức không thể tấn công. Nó đòi hỏi một hệ sinh thái trong đó việc giám sát độc lập không chỉ là một dịch vụ trả phí, mà là một chuẩn mực bắt buộc; trong đó các nhà đầu tư hiểu rằng họ không thể giao phó trách nhiệm phân tích rủi ro cho bất kỳ ai khác; và trong đó các nhà phát triển phải chấp nhận trách nhiệm pháp lý và đạo đức đối với những gì họ triển khai lên blockchain.
Câu hỏi cuối cùng mà tôi muốn để lại cho bạn là: liệu bạn có sẵn sàng tự đọc hợp đồng trước khi đầu tư, hay bạn sẽ tiếp tục tin vào những lời hứa hẹn từ các chiến dịch marketing và chứng nhận kiểm toán mang tính hình thức? DeFi sẽ thay đổi tài chính – điều đó có thể đúng – nhưng nó sẽ không thay đổi theo cách mà bạn mong đợi nếu bạn không chủ động hiểu rõ những gì đang vận hành bên dưới bề mặt. Trong thế giới của các hợp đồng thông minh, sự thiếu kiến thức không phải là một lỗ hổng – nó là một bản án tử hình dành cho tài sản của bạn.