Một dòng code thiếu, và cả bộ sưu tập sụp đổ.
Tháng 2 năm 2022, cầu nối Wormhole bị tấn công, thiệt hại 326 triệu đô. Tin tức như bom nổ chậm giữa thị trường giảm. Nhưng ít ai hỏi: cơ chế nào cho phép một validator ‘in’ ra 120,000 ETH từ hư không?
Đây không chỉ là chuyện của DeFi. Nó phản ánh một nghịch lý cốt lõi của ngành: chúng ta xây cầu để kết nối các nền tảng, nhưng mỗi cây cầu lại là một điểm nghẽn chết người. Và khi BlackRock mang 220 tỷ đô la vào private credit, thị trường chứng khoán tư nhân, có lẽ họ cũng đang đối mặt với cùng một vấn đề: niềm tin được xây dựng trên code hay trên uy tín?
Hãy cùng tôi mổ xẻ. Trong case của Wormhole, nhóm phát triển đã dùng một hệ thống ‘guardian’ để ký xác nhận giao dịch. Về lý thuyết, 13 guardian phải đồng thuận. Nhưng trong thực tế, một lỗ hổng trong smart contract cho phép bỏ qua hoàn toàn bước xác minh này. Nó giống như việc bạn có một két sắt với 13 ổ khóa, nhưng ai đó tìm ra cách để chỉ cần một chìa khóa là mở được tất cả.
Từ góc nhìn của một smart contract architect, tôi thấy điểm mù ở đây là sự phụ thuộc quá mức vào ‘trusted setup’. Các cầu cross-chain, dù là Wormhole, Multichain hay Ronin, đều có chung một căn bệnh: chúng tập trung quyền lực vào một nhóm nhỏ validator hoặc một cơ chế xác minh đơn lẻ. Nếu nhóm đó bị xâm nhập, hoặc code của họ có lỗi, toàn bộ hệ thống sụp đổ.
Điều trớ trêu là, trong khi các dự án DeFi thanh khoản đang cố gắng phân mảnh thanh khoản, các cây cầu lại tái tập trung rủi ro. Đó là một nghịch lý bảo mật cơ bản: càng kết nối nhiều, càng lộ ra nhiều điểm yếu.
Vậy BlackRock và private credit thì sao? Họ đang xây dựng một cây cầu giữa vốn tổ chức và các khoản vay tư nhân, với lời hứa về lợi suất cao hơn. Nhưng họ đang sử dụng cùng một mô hình: một vài bên trung gian (các quỹ như Apollo, Blackstone) nắm giữ quyền lực đáng kể. Nếu một trong số họ gặp vấn đề về thanh khoản hoặc gian lận, toàn bộ thị trường có thể chịu ảnh hưởng dây chuyền.
Dựa trên kinh nghiệm audit của tôi, tôi cho rằng ngành này đang đánh giá thấp rủi ro của ‘hệ thống khép kín’. Khi bạn đưa 220 tỷ đô vào một hệ thống mà tính minh bạch dựa trên báo cáo tài chính định kỳ, thay vì on-chain data, bạn đang tạo ra một hộp đen. Và lịch sử cho thấy, các hộp đen thường kết thúc bằng một vụ hack hoặc một vụ sụp đổ.
Nhưng đó không phải là điều duy nhất. Còn một góc nhìn phản trực giác nữa: nhiều người cho rằng cần thêm auditor để bảo vệ các cây cầu. Tôi cho rằng điều đó sai. Khi bạn thêm auditor, bạn thêm code, bạn thêm logic phức tạp, và do đó, bạn thêm lỗ hổng. Giải pháp thực sự là đơn giản hóa: xây dựng các giao thức xác minh zk-proofs, hoặc chấp nhận rằng cross-chain là một vấn đề không có lời giải hoàn hảo.
Tóm lại, câu chuyện về Wormhole và BlackRock có chung một kết luận: trong thị trường giảm, sống sót quan trọng hơn lợi nhuận. Hãy hỏi bất kỳ ai từng chứng kiến một cây cầu sụp đổ. Họ sẽ nói với bạn rằng, mỗi dòng code thiếu là một lời hứa vỡ nợ.
Câu hỏi đặt ra cho chúng ta là: Khi nào các nhà quản lý bắt đầu nhìn vào ‘code’ của các quỹ private credit, thay vì chỉ nhìn vào bản cáo bạch? Có lẽ, một ngày nào đó, một auditor trẻ 22 tuổi sẽ phát hiện ra lỗi trong hợp đồng vay của BlackRock, và thế giới sẽ thấy rằng: niềm tin không thể được xây dựng trên lịch sử, mà chỉ trên code đã được kiểm chứng.