Một cú , và hàng loạt rủi ro mở ra trước mắt tôi.
Khi dòng tweet của Ari Paul – nhà sáng lập BlockTower Capital, một trong những quỹ đầu cơ tiền mã hóa có tiếng nhất – lan truyền trong cộng đồng, tôi không vội tin. Tôi mở bảng điều khiển Nansen, truy vấn dữ liệu on-chain 24 giờ qua. Không có dấu hiệu bất thường trên các sàn lớn, không có dòng tiền lớn đổ vào mixer. Nhưng câu nói vẫn ám ảnh: "Không có cách nào để đảm bảo an toàn cho crypto." Ông ấy không nói rõ "sự cố" nào đã kích hoạt phát biểu này. Và chính sự im lặng đó khiến tôi dừng lại.
Tôi đã dành 10 năm theo dõi từng lệnh, từng block, từng lần ví bị rút cạn. Từ vụ hack Parity năm 2017 đến Ronin Bridge mất 625 triệu USD năm 2022, tôi đã thấy quá nhiều lần một dòng code nhỏ làm sụp đổ cả một đế chế. Vậy nên khi một nhà đầu tư tổ chức lên tiếng nói "không thể an toàn", tôi không coi đó là lời than vãn. Tôi coi đó là một tín hiệu – nhưng là tín hiệu về điều gì?
BlockTower Capital là một quỹ đầu tư tài sản số có trụ sở tại Hoa Kỳ, do Ari Paul đồng sáng lập. Paul từng làm việc tại Văn phòng Đầu tư của Đại học Chicago, nơi quản lý hàng tỷ USD tài sản. Ông không phải người mới bước vào ngành. Khi một người như vậy nói "không có cách nào đảm bảo an toàn", câu chuyện không còn là kỹ thuật, mà là sự vỡ mộng của dòng vốn tổ chức.
Đặt trong bối cảnh hiện tại – giá Bitcoin liên tục thiết lập đỉnh mới, ETF Bitcoin ghi nhận dòng tiền vào kỷ lục, các quỹ pension fund bắt đầu mở ví – phát biểu của Paul giống như một nhát búa bổ vào câu chuyện "tài sản số đã trưởng thành". Thị trường tăng giá thường che giấu lỗi kỹ thuật. Nhà đầu tư bán lẻ chỉ nhìn vào biểu đồ giá. Nhưng những người như tôi nhìn vào lớp dữ liệu bên dưới: số lượng ví bị tấn công, tổng giá trị tổn thất, thời gian trung bình để một lỗ hổng bị khai thác.
Theo dữ liệu của Chainalysis, tổng giá trị tiền mã hóa bị đánh cắp trong năm 2022 lên tới 3,8 tỷ USD – cao nhất mọi thời đại. Năm 2023 giảm xuống còn 1,7 tỷ, nhưng năm 2024 lại tăng lên 2,2 tỷ chỉ trong chín tháng đầu năm. Có một chu kỳ đáng sợ: giá càng tăng, hacker càng tích cực. Và các cuộc tấn công ngày càng tinh vi hơn.
Từng lệnh tôi theo dõi trong hệ thống cảnh báo rủi ro của mình đều kể một câu chuyện. Không phải lỗi blockchain. Không phải thuật toán đồng thuận bị phá vỡ. Gần như tất cả các vụ mất tiền, khi tôi truy ngược dòng tiền trên chuỗi, đều xuất phát từ một trong ba nút thắt: quản lý khóa riêng, hợp đồng thông minh, hoặc con người.
Hãy nhìn vào những con số. Ronin Bridge – 625 triệu USD bị rút khi kẻ tấn công chiếm được 5 trong số 9 khóa xác thực. Axie Infinity đã trở thành bài học kinh điển về xác suất: không có một khóa nào bị "hack" theo nghĩa kỹ thuật, mà chúng bị thu thập dần qua các cuộc tấn công xã hội vào nhân viên. Wormhole – 320 triệu USD bị mất chỉ vì một lỗi xác thực signature trong hợp đồng Solana. FTX – 8 tỷ USD của người dùng bốc hơi không phải do hacker, mà do một cuộc gọi nội bộ.
Khi Ari Paul nói "không thể đảm bảo an toàn", tôi hiểu ông ấy đang nói đến điều gì. Ông ấy không nói đến mặt mã hóa của blockchain – hệ thống mật mã vẫn hoạt động tốt. Ông ấy đang nói đến bề mặt tấn công bao quanh hệ thống: private key nằm trên máy tính kết nối Internet, nhân viên dễ bị lừa, hợp đồng thông minh là mã nguồn không thể sửa nếu triển khai vội vàng. Một chuỗi cung ứng phức tạp, nơi mỗi mắt xích đều có thể bị phá vỡ.
Tôi đã viết một bài phân tích nội bộ vào năm 2021, sau khi kiểm tra dữ liệu wash trading trên OpenSea. Khi đó tôi nhận ra một điều: thị trường đang trả giá cho sự tiện lợi bằng chính sự an toàn. Càng nhiều lớp trừu tượng – ví môi giới, sàn tập trung, bridge – càng nhiều điểm mù. Một người dùng tự quản lý khóa có thể ngủ ngon hơn, nhưng nếu họ là nạn nhân của một cú lừa đảo thì sao? Vào tháng 6 năm 2024, các vụ lừa đảo xã hội chiếm khoảng 30% tổng số tiền bị đánh cắp trong tháng, dữ liệu từ Scam Sniffer. Không một loại ví nào bảo vệ bạn khỏi việc chính bạn ký một giao dịch độc hại.
Dựa trên kinh nghiệm audit của tôi, tôi có thể khẳng định một điều: tuyên bố "không thể an toàn" của Ari Paul là một sự thật tuyệt đối hóa. Bảo mật trong crypto là một bài toán xác suất, không phải một trạng thái nhị phân. Bạn không thể chọn giữa "an toàn" và "không an toàn"; bạn chỉ có thể chọn giữa "rủi ro cao" và "rủi ro thấp". Một ví đa chữ ký với 5/6 khóa phân tán, sử dụng mô hình MPC, giảm xác suất bị mất do một điểm hỏng xuống còn một phần nhỏ. Nhưng nó không phải là con số không.
Điều khiến tôi khó chịu không phải là sự cảnh báo của Paul. Mà là sự thiếu chính xác của nó. Khi một người có ảnh hưởng nói "không có cách nào", hàng trăm nghìn nhà đầu tư mới có thể bỏ qua việc triển khai các biện pháp bảo vệ cơ bản – vì họ nghĩ rằng nỗ lực là vô ích. Đó là điều "ngây thơ" nhất mà tôi từng thấy trong một thị trường đang phát triển nhanh.
Nhưng hãy nhìn vào một khía cạnh khác. Ari Paul có thể đang đúng theo một cách mà chính ông ấy cũng không lường trước.
Trong tài chính truyền thống, "an toàn" không bao giờ là tuyệt đối. Ngân hàng có FDIC, nhưng FDIC không bảo vệ bạn khỏi một giám đốc điều hành gian lận. Thị trường chứng khoán có SEC, nhưng Madoff vẫn hoạt động suốt 17 năm. Tiền gửi ở Thụy Sĩ từng được coi là "an toàn nhất thế giới", cho đến khi Ngân hàng Credit Suisse sụp đổ và cổ phiếu của họ chạm đáy. Vậy tại sao chúng ta lại đòi hỏi crypto phải đạt tiêu chuẩn "bất khả xâm phạm" ngay từ ngày đầu?
Câu hỏi đúng không phải là "Liệu crypto có an toàn không?" mà là "Cơ chế nào đang khiến nó an toàn hơn qua từng năm?" Và dữ liệu cho thấy có những tiến bộ thực sự. Vào năm 2022, các giao thức bảo hiểm như Nexus Mutual đã bảo hiểm tổng cộng khoảng 700 triệu USD giá trị tài sản; đến giữa năm 2024, con số này tăng lên 7,4 tỷ USD. Các quỹ lớn như BitGo, Fireblocks đã tiêu chuẩn hóa ví MPC. Ngay cả các sàn giao dịch – từng là điểm yếu chết người – cũng bắt đầu công bố Proof of Reserves. Nhưng sự phát triển này không diễn ra một cách tuyến tính. Thị trường cần những cú sốc như tuyên bố của Paul để định giá lại rủi ro. Chính sự sợ hãi – không phải sự tự mãn – mới là thứ buộc các tổ chức đầu tư nâng cấp tiêu chuẩn.
Điểm mù của Ari Paul nằm ở chỗ ông ấy nhìn thấy "không thể an toàn" nhưng không nhìn thấy "không thể an toàn theo cách cũ". Các vụ hack đang dịch chuyển từ lỗi kỹ thuật sang lỗi vận hành. Điều đó có nghĩa là giải pháp không nằm ở code, mà nằm ở quy trình, ở việc chuẩn hóa cách quản lý khóa, ở việc yêu cầu các quỹ phải có quy trình kiểm toán nội bộ nghiêm ngặt hơn. An toàn không phải là một sản phẩm bạn mua. An toàn là một quá trình bạn vận hành hàng ngày.
Vậy tuần này tôi sẽ theo dõi điều gì?
Tôi sẽ bắt đầu bằng việc tìm kiếm "incident" mà Ari Paul ám chỉ. Nếu đó là một vụ hack có thật, tôi sẽ truy vấn địa chỉ ví liên quan, kiểm tra xem tiền có được chuyển vào mixer hay không. Nếu không có gì xuất hiện, phát biểu của Paul sẽ nhanh chóng chìm vào quên lãng – và điều đó cũng nói lên nhiều điều.
Sau đó, tôi theo dõi dòng tiền từ các quỹ đầu tư vào các giao thức bảo hiểm và hạ tầng an toàn. Nếu TVL của Nexus Mutual tăng vọt, thị trường đang phản ứng. Nếu không, tuyên bố của Paul chỉ là một đốm sáng trong ngày.
Câu hỏi tôi muốn để lại là: nếu sự an toàn tuyệt đối không tồn tại, thì thứ chúng ta nên xây dựng tiếp theo là gì? Không phải một blockchain "không thể bị hack" – bởi vì nó không tồn tại. Mà là một bộ quy tắc, một tiêu chuẩn ngành, một văn hóa thừa nhận rủi ro và quản lý nó một cách minh bạch. Dữ liệu không nói dối. Và nó đang nói rằng: những kẻ ngây thơ không phải là những người sợ hãi, mà là những người tin rằng họ không cần phải sợ.