Một quỹ đầu tư lớn vừa ký hợp đồng dài hạn với tôi sau khi công cụ fuzz testing tự động phát hiện 2 lỗi logic trong hợp đồng staking của họ chỉ sau 3 ngày. Hợp đồng đó có hơn 100.000 dòng code. Bạn nghĩ bao nhiêu dự án đang huy động hàng trăm triệu USD với chất lượng bảo mật thua xa chuẩn mực này?
Thị trường tăng giá hiện tại đang tạo ra một nghịch lý nguy hiểm: dòng tiền đổ vào càng mạnh, tiêu chuẩn kỹ thuật càng bị hạ thấp. Tôi đã chứng kiến điều này từ năm 2017, khi phát hiện lỗi nghiêm trọng trong hợp đồng ICO "TokenFlow" — một lỗi cho phép kẻ tấn công rút toàn bộ 500 ETH chỉ bằng một cuộc gọi hàm. Dự án hoảng sợ, yêu cầu vá lỗi ngay lập tức. Nhưng điều khiến tôi nhớ mãi không phải là lỗi kỹ thuật, mà là phản ứng của những đồng nghiệp nam khi tôi trình bày phân tích: hoài nghi trước khi xem mã nguồn, im lặng sau khi tôi chứng minh.
Bài học từ 2017 vẫn còn nguyên giá trị: thị trường tăng không bao giờ sửa được lỗi logic. Nó chỉ trì hoãn hậu quả.
Khi tôi bắt đầu xây dựng framework audit DeFi vào mùa hè 2020, tôi tập trung vào Uniswap v2 và Compound vì chúng đại diện cho kiến trúc AMM và lending mà hàng trăm dự án fork sau đó. Framework của tôi kết hợp fuzz testing và symbolic execution — hai phương pháp bổ trợ nhau: symbolic execution tìm đường đi logic, fuzz testing tìm đầu vào gây sập. Chính framework này đã phát hiện lỗi reentrancy tinh vi trong pool thanh khoản của dự án "YieldFarm" — lỗi mà static analysis truyền thống bỏ sót vì nó nằm chéo giữa nhiều hàm tương tác.
Đến năm 2021, khi NFT bùng nổ, tôi được mời audit thị trường "ArtChain". Static analysis cho thấy tokenURI được lưu trữ on-chain theo cách dễ bị thao túng: metadata có thể bị sửa đổi sau khi mint, biến NFT từ tài sản vĩnh viễn thành dữ liệu tạm thời. Tôi công bố lỗi trên GitHub, đề xuất giải pháp IPFS kết hợp proof-of-storage. Dự án áp dụng hoàn toàn. Vụ việc này củng cố niềm tin của tôi: phần lớn lỗ hổng NFT không nằm ở smart contract mà nằm ở cách dữ liệu được lưu trữ và xác thực.
Năm 2022, thị trường gấu hoành hành, tôi chọn tập trung vào cross-chain bridge. Wormhole và các bridge tương tự có chung một điểm yếu cấu trúc: chúng mở rộng bề mặt tấn công lên nhiều chain, nhưng logic xác thực vẫn được xử lý như một hệ thống đơn nhất. Tôi phát hiện 3 lỗi critical liên quan đến xác thực tin nhắn giữa các chain — nhận bounty 100.000 USD. Giữa lúc mọi người rời khỏi thị trường, tôi viết series "Cross-chain Security: Từ lý thuyết đến thực hành" — tài liệu mà nhiều dự án tổ chức vẫn dùng để đào tạo cho đến hôm nay.
Bây giờ, năm 2025, sau khi ETF được chấp thuận và tổ chức tham gia, tôi nhìn thấy một mô thức lặp lại: FOMO quay trở lại, và cùng với nó là sự lơ là các nguyên tắc cơ bản.
Dự án vừa huy động 100 triệu USD này có thể đang chứa một lỗ hổng nghiêm trọng hơn những gì bạn từng thấy trong các vụ hack lớn.
Khi tôi phân tích sâu về cơ chế hoạt động của các giao thức DeFi hiện tại, tôi nhận ra rằng sự phức tạp ngày càng tăng không đi kèm với sự gia tăng tương ứng về chất lượng audit. Hãy nhìn vào Uniswap V4 với cơ chế hooks — một bước tiến lớn về khả năng lập trình, nhưng cũng là một bước lùi về độ an toàn mặc định. Hooks cho phép nhà phát triển can thiệp vào mọi điểm trong vòng đời pool, từ khởi tạo đến thanh khoản, từ phí đến chuyển đổi. Điều đó có nghĩa là mỗi hook là một điểm mù bảo mật mới. Trong môi trường hiện tại, tôi ước tính khoảng 90% nhà phát triển sẽ vật lộn để hiểu đầy đủ các tương tác tiềm ẩn — và đó là những người đang xây dựng các giao thức mà quỹ đầu tư đang đổ tiền vào.
Sự khác biệt thực sự giữa các giải pháp Layer2 không nằm ở công nghệ — OP Stack và ZK Stack về mặt kỹ thuật đều có thể đạt được mục tiêu mở rộng quy mô. Điểm khác biệt nằm ở số lượng dự án chọn deploy chain của họ. Nhưng điều mà hầu hết mọi người không nhận ra là: khi một stack được nhiều dự án sử dụng, nó trở thành mục tiêu lớn hơn cho kẻ tấn công. Càng nhiều chain triển khai cùng một codebase, một lỗ hổng duy nhất có thể gây thiệt hại trên diện rộng hơn. Đây là rủi ro hệ thống mà các nhà đầu tư thường bỏ qua khi nhìn vào TVL tổng hợp.
Trong bối cảnh đó, tôi phát triển một công cụ fuzz testing chuyên dụng cho hợp đồng staking với quy mô lớn — hơn 100.000 dòng code. Vấn đề nằm ở logic phân phối phần thưởng: các hợp đồng này thường phức tạp vô cùng khi phải tính toán chính xác phần thưởng cho hàng nghìn người dùng với vốn hóa khác nhau và thời gian staking khác nhau. Lỗi logic tinh vi nhất — loại mà static analysis không bao giờ tìm thấy — là khi phép tính phần thưởng có thể bị thao túng thông qua việc gửi một lượng token nhỏ vào pool để thay đổi tỷ lệ chia sẻ theo cách không lường trước. Công cụ của tôi phát hiện 2 lỗi như vậy trong 3 ngày. Quỹ đầu tư ký hợp đồng dài hạn. Nhưng câu hỏi đặt ra là: bao nhiêu dự án khác đang vận hành với những lỗi tương tự mà không ai biết?
Điều khiến tôi lo ngại nhất không phải là những lỗi kỹ thuật cơ bản. Đó là sự thờ ơ của thị trường đối với chúng.
Khi tôi phân tích sâu về BRC-20 và Runes trên Bitcoin, tôi thấy có một sự tương phản rõ rệt. Việc sử dụng Bitcoin, mạng lưới an toàn nhất trong lịch sử blockchain, để vận hành các token meme thô sơ là một sự xúc phạm kép: xúc phạm kiến trúc tinh tế của Bitcoin và xúc phạm cả người dùng khi họ phải trả phí cao cho một thứ hoạt động kém hiệu quả hơn các altcoin thông thường. Từ góc nhìn audit, đây là một ví dụ điển hình về việc lựa chọn công cụ sai cho mục đích. Nhưng từ góc nhìn thị trường, nó cho thấy một thực tế đáng buồn: giá trị đầu cơ thường lấn át logic kỹ thuật.
Bức tranh rộng hơn, khi tôi quan sát toàn cảnh thị trường trong đợt tăng giá này, tôi thấy các dự án tăng trưởng nhanh với nền tảng kỹ thuật yếu kém. Các quỹ đầu tư đang đổ tiền vào các giao thức mà họ không hiểu rõ, dựa trên các báo cáo audit mà họ không đọc kỹ. Tôi nhớ lại bài học từ vụ "TokenFlow" năm 2017: lỗi nghiêm trọng nhất thường không nằm ở những đoạn mã phức tạp. Nó nằm ở những giả định sai lầm trong thiết kế logic. Và khi thị trường tăng giá mạnh, những giả định sai lầm càng ít bị kiểm tra vì mọi người đều đang bận ăn mừng.
Một trong những điều tôi học được qua nhiều năm audit là các câu hỏi đúng thường quan trọng hơn câu trả lời. Thay vì hỏi "dự án này có an toàn không?", hãy hỏi "điều gì xảy ra nếu thành phần quan trọng nhất của hệ thống bị xâm phạm?" và "ai có quyền thay đổi logic và làm thế nào quyền đó được bảo vệ?".
Trong quá trình audit, tôi thường vẽ sơ đồ flow-chart hoặc UML trước khi đọc mã nguồn. Điều này khiến nhiều đồng nghiệp ngạc nhiên, nhưng nó giúp tôi nhìn ra các giả định ẩn trong thiết kế — những giả định mà mã nguồn có thể che giấu. Mỗi khi tôi gặp một giao thức có vẻ hoàn hảo về mặt logic, tôi tìm kiếm nơi mà giả định không được kiểm tra. Đó gần như luôn là nơi tìm thấy lỗi.
Thị trường tăng giá hiện tại tạo ra một môi trường mà các dự án có thể huy động vốn mà không cần chứng minh giá trị kỹ thuật. Điều này khiến tôi nhớ lại câu nói của một người cố vấn: "Trong bull market, mọi lỗ hổng đều có thể được che giấu bởi giá token tăng. Nhưng khi giá giảm, tất cả sẽ lộ ra."
Bây giờ, khi tôi nói với các quỹ đầu tư rằng họ cần kiểm tra kỹ hơn, họ thường trả lời: "Nhưng chúng tôi cần nhanh chóng." Tất nhiên, họ cần nhanh chóng — bởi vì thị trường đang tăng và họ sợ bỏ lỡ cơ hội. Nhưng như tôi thường nói, "nhanh chóng" không bao giờ là lý do chính đáng để bỏ qua bảo mật. Trong năm 2022, tôi đã chứng kiến những dự án lớn sụp đổ chỉ vì một lỗi nhỏ trong logic — lỗi mà một audit kỹ lưỡng có thể phát hiện chỉ trong vài ngày.
Khi phân tích sâu về các vụ hack lớn trong lịch sử DeFi, tôi nhận ra một mô thức: gần như tất cả đều có thể được ngăn chặn nếu dự án chấp nhận trả giá cho sự kỹ lưỡng. Ronin Network mất hàng trăm triệu USD vì các validator key bị xâm phạm — một vấn đề về quy trình, không phải về smart contract. Wormhole mất hàng trăm triệu USD vì lỗi xác thực tin nhắn — một vấn đề về thiết kế logic. Không có lỗi nào trong số này là "không thể tránh khỏi". Tất cả là kết quả của việc ưu tiên tốc độ hơn sự an toàn.
Trong bối cảnh thị trường tăng giá hiện tại, các dự án có xu hướng ưu tiên tốc độ ra mắt hơn bao giờ hết. Điều này tạo ra một môi trường chín muồi cho các lỗ hổng nghiêm trọng. Nhưng câu hỏi đặt ra là: những lỗ hổng đó sẽ xuất hiện khi nào và ở đâu?
Trải nghiệm của tôi trong ngành, từ ICO 2017 đến các giao thức DeFi phức tạp, cho tôi biết rằng các lỗ hổng thường xuất hiện ở những nơi mà sự phức tạp giao nhau với sự tin tưởng. Các giao thức mới, với cơ chế phức tạp và quyền kiểm soát tập trung, đặc biệt dễ bị tấn công. Các giải pháp bridge và các chuỗi cross-chain cũng là mục tiêu hấp dẫn. Nhưng nguy hiểm nhất là sự kết hợp: một giao thức mới với cơ chế phức tạp và một quỹ đầu tư tin tưởng.
Tôi muốn kết thúc bài viết bằng một câu hỏi, thay vì một câu trả lời: Khi thị trường tăng giá này kết thúc, bạn có muốn là người nói "Tôi đã kiểm tra mọi thứ" hay là người nói "Tôi ước mình đã kiểm tra"?
Dữ liệu từ quá khứ cho thấy sự lựa chọn rõ ràng. Nhưng liệu có ai đang lắng nghe?