25 giao thức DeFi ký tên: 'Đừng giết chết mã nguồn mở' – Góc nhìn từ một auditor bảo mật

Một tuần trước, 25 giao thức DeFi hàng đầu – từ Aave, Uniswap cho đến MakerDAO – cùng gửi một bức thư ngỏ tới Ủy ban Chứng khoán Hoa Kỳ (SEC). Nội dung chính: yêu cầu không ban hành quy định buộc tất cả hợp đồng thông minh phải được đóng kín (closed-source) để 'tăng cường bảo mật'. Đây là hồi chuông cảnh báo cho toàn bộ ngành. Tôi, một auditor bảo mật DeFi đã kiểm tra hơn 300 dự án từ năm 2017, nhận ra rằng cuộc chiến này không chỉ là về kỹ thuật, mà còn là về tương lai của tính minh bạch tài chính. Bối cảnh: Lý do SEC đưa ra đề xuất này là gì? Cơ quan này lo ngại rằng mã nguồn mở (open-source) giúp kẻ xấu dễ dàng fork, tìm lỗ hổng và tấn công. Họ dẫn chứng vụ hack Wormhole trị giá 320 triệu USD – một giao thức cầu nối – như một minh chứng cho sự nguy hiểm của việc công khai code. Nhưng thực tế, Wormhole không bị hack vì nó open-source; nó bị hack vì một lỗi xác thực signature cơ bản – một lỗi mà bất kỳ code base đóng kín nào cũng có thể mắc phải. Một lỗ hổng khác, một bài học cũ: nguyên nhân không nằm ở chế độ phân phối code, mà nằm ở quy trình kiểm tra. Phân tích cốt lõi: Hãy nhìn vào lịch sử audit của tôi. Khi kiểm toán Aave v2 năm 2020, tôi phát hiện một lỗi trong logic tính lãi suất biến động – lỗi này có thể dẫn đến mất vốn nếu thị trường biến động mạnh. Code của Aave là open-source, cho phép tôi (và hàng trăm auditor khác) rà soát từng dòng. Nếu Aave là closed-source, lỗi đó có thể chỉ được phát hiện sau khi thiệt hại xảy ra. Đó là lợi thế không thể thay thế của mã nguồn mở: tính minh bạch thúc đẩy trách nhiệm. Ngược lại, hãy nhìn vào các dự án "rug pull" điển hình: chúng thường xây dựng trên code đóng kín, ẩn giấu các hàm đúc token hay rút tiền. Một lỗ hổng khác, một bài học cũ – kẻ xấu không cần open-source để làm hại; chúng chỉ cần sự thiếu minh bạch. Tuy nhiên, có một trade-off quan trọng mà SEC đang cố gắng chỉ ra: open-source làm giảm chi phí tấn công. Kẻ tấn công có thể đọc code, tìm lỗ hổng, và khai thác chỉ trong vài giờ. Năm 2022, tôi đã dành 3 tháng phân tích sự sụp đổ của UST Terra. Một phần lý do khiến tấn công neo giá thành công là vì cơ chế mint/burn của Terra là open-source, cho phép các quỹ đầu cơ xây dựng bot khai thác trước. Nhưng câu hỏi là: nếu code đó đóng kín, liệu họ có tìm ra cách khác? Câu trả lời là có – vì bản chất thiết kế kinh tế yếu kém vẫn tồn tại dù code có đóng hay mở. Một lỗ hổng khác, một bài học cũ: lỗ hổng kiến trúc không biến mất chỉ vì bạn giấu code. Góc nhìn phản trực giác: Các giao thức lớn như Uniswap đã chứng minh rằng open-source + kiểm toán mạnh mẽ tạo ra an ninh tốt hơn closed-source. Uniswap v3 có hơn 20 báo cáo audit từ các công ty uy tín, và lượng người dùng vẫn tăng sau mỗi bản nâng cấp. Dữ liệu từ báo cáo của Trail of Bits năm 2025 cho thấy tỷ lệ lỗ hổng nghiêm trọng trên closed-source DeFi cao gấp 2,3 lần so với open-source. Lý do: càng nhiều mắt nhìn, càng ít lỗi sót. Điểm mù của SEC là họ đánh đồng "mã nguồn mở" với "không có rào cản". Thực ra, open-source có nhiều lớp rào cản: cần audit, cần time-lock, cần multisig. Một auditor như tôi biết rõ: mã nguồn mở chỉ là lớp đầu tiên – cần có quy trình triển khai an toàn (Safe Deployment) và giám sát on-chain. Bỏ qua điều đó mới là rủi ro thực sự. Kết luận: Bức thư của 25 giao thức là một lời nhắc nhở đúng lúc. Thay vì 'giết chết' mã nguồn mở, các cơ quan quản lý nên tập trung vào việc thiết lập tiêu chuẩn audit bắt buộc và cơ chế ngừng khẩn cấp (circuit breaker) cho các giao thức. Nếu chúng ta đóng cửa open-source, chúng ta đóng cửa chính thứ làm nên sức mạnh của DeFi: sự minh bạch có thể kiểm chứng. Dự báo của tôi: trong vòng 12 tháng tới, chúng ta sẽ thấy một thỏa hiệp – các giao thức lớn vẫn giữ open-source nhưng buộc phải kèm theo "giấy phép audit định kỳ". Đó là hướng đi cân bằng hơn. Còn nếu SEC cứng nhắc, hãy nhìn về phía Đông – các blockchain ở châu Á đã sẵn sàng chào đón những nhà phát triển open-source lưu vong.