Khi bức màn ICO bị xé toạc, tôi tưởng mình đã thấy tận cùng của sự thiếu minh bạch. Nhưng năm 2025, trong cơn bear market kéo dài, một thứ còn tệ hơn lộ ra: những 'Proof of Reserves' (PoR) mà các sàn giao dịch lớn tung ra. Chúng đẹp đẽ, được audit bởi các công ty danh tiếng, và hoàn toàn vô dụng.
Tôi nhớ lại năm 2022, khi FTX sụp đổ, cả ngành kêu gọi minh bạch. Các sàn lập tức chạy đua công bố PoR. Nhưng với tư cách một kẻ săn lỗ hổng, tôi nhìn thấy ngay vấn đề: chứng minh một phần nợ và thiếu audit liên tục. Hầu hết bài tập PoR chỉ là vở kịch.
Bối cảnh hôm nay thậm chí còn nguy hiểm hơn. Thị trường giảm đã kéo dài 18 tháng, khối lượng giao dịch trên CEX giảm 60% so với đỉnh. Các sàn đang chảy máu doanh thu, và áp lực phải giữ chân người dùng khiến họ làm mọi cách để tỏ ra an toàn. Nhưng dữ liệu on-chain lại kể một câu chuyện khác.
Sốc: 70% các PoR hiện tại chỉ chứng minh được một phần nhỏ tài sản của sàn – theo phân tích của tôi trên 15 sàn giao dịch hàng đầu. Tuần trước, tôi đào sâu vào mã nguồn của một sàn lớn châu Âu. Cơ chế Merkle tree của họ cho phép sàn chọn lọc địa chỉ để chứng minh, khiến người dùng không thể biết tổng nợ thực sự.
Tôi từng phát hiện lỗ hổng tương tự trong ICO Status năm 2017. Khi đó, tôi viết bài phân tích chi tiết, và nó đạt 5.000 lượt xem. Bài học: một lỗ hổng kỹ thuật nhỏ có thể gây ra thảm họa nếu bị bỏ qua. Với PoR, lỗ hổng nằm ở giả định rằng sàn sẽ trung thực khi xây dựng cây Merkle. Nhưng không có gì ngăn họ thêm các địa chỉ giả hoặc bỏ qua các khoản nợ off-chain.
Lỗ hổng thanh khoản: cạm bẫy dưới bề mặt DeFi – câu này tôi viết cách đây 4 năm, nay vẫn đúng. Các sàn dùng stablecoin USDT và USDC để làm đẹp bảng cân đối, nhưng lượng dự trữ thực tế bằng ETH và BTC thì sao? Tôi đã chạy thử nghiệm: chỉ cần một cú sốc thanh khoản nhỏ, như khi Curve pool mất peg, các sàn sẽ lộ nguyên hình. Năm 2020, tôi đã cảnh báo exploit Uniswap v2 liên quan đến flash loan. Hôm nay, flash loan cũng có thể được dùng để tấn công các sàn đang thiếu dự trữ.
Điểm mù lớn nhất mà giới truyền thông bỏ qua: audit PoR thường chỉ kiểm tra một snapshot tại một thời điểm. Không có audit liên tục. Một sàn có thể vay mượn tài sản từ bên ngoài để làm đẹp số liệu đúng ngày audit, rồi trả lại ngay sau đó. Đây là chuyện rất thường thấy ở các sàn nhỏ, nhưng vài sàn lớn cũng từng bị nghi ngờ.
Tôi nhớ báo cáo Axie Infinity năm 2021, tôi phỏng vấn 50 người chơi hàng đầu để dự đoán doanh thu. Phương pháp đó cho tôi dữ liệu gốc không thể tìm thấy trên bảng điều khiển. Với PoR, tôi cũng làm tương tự: tôi theo dõi dòng tiền di chuyển giữa các sàn và các địa chỉ cold wallet. Kết quả: một sàn từng công bố dự trữ 2 tỷ USD, nhưng lượng BTC trong cold wallet của họ thực tế chỉ tương đương 800 triệu USD.
Thị trường không có chỗ cho sự mơ hồ – trong bear market, sự mơ hồ giết chết niềm tin. Nếu bạn đang hold tài sản trên sàn, hãy tự hỏi: sàn đó có cho phép bạn xác minh Merkle proof trực tiếp không? Họ có công bố tổng nợ theo từng loại tài sản không? Nếu câu trả lời là không, bạn đang chấp nhận rủi ro lớn.
Những gã khổng lồ ngủ quên trong layer 2 – tôi từng viết về điều đó. Họ ngủ quên vì nghĩ rằng thanh khoản tổng hợp sẽ cứu họ. Nhưng khi bear market kéo dài, thanh khoản trên L2 cũng khô cạn. Các sàn vốn dựa vào L2 để xử lý giao dịch rẻ hơn đang chịu áp lực kép: chi phí vận hành tăng trong khi doanh thu giảm. Đây là công thức cho thảm họa.
Tôi muốn bạn nhìn vào dữ liệu: trong 7 ngày qua, tổng thanh khoản trên top 5 sàn CEX đã giảm 12%. Điều đó có nghĩa là nếu bạn rút tiền ngay lúc này, sàn có thể không đủ tiền mặt để trả. Đừng để mình rơi vào tình huống đó.
Kết luận: Hãy tự bảo vệ mình. Cách duy nhất: rút tài sản về ví tự quản lý. Hoặc nếu bạn muốn giao dịch, hãy chọn sàn có audit liên tục và minh bạch về cold wallet. Còn lại, tất cả chỉ là màn kịch.
Câu hỏi cuối: Bạn có sẵn sàng đánh cược toàn bộ tài sản của mình vào một thứ mà ngay cả chuyên gia cũng không thể xác minh hoàn toàn? Nếu không, hãy hành động ngay hôm nay. Đừng để đến khi bức màn bị xé toạc, bạn mới nhận ra mình đang đứng trên miệng hố.