Tôi từng audit một hợp đồng lưu ký - loại mà người dùng “không cần biết nó tồn tại”. Tiền đi vào qua một ứng dụng giao diện đẹp đẽ, len lỏi qua ba lớp wrapper, rồi đáp xuống một pool thanh khoản với quyền admin gần như tuyệt đối. Khi tôi chỉ ra lỗ hổng, founder trả lời: “Người dùng đâu cần biết những thứ này. Họ chỉ cần thấy số dư tăng.” Câu trả lời đó vang vọng trong đầu tôi khi đọc phát biểu mới nhất của Anthony Scaramucci - nhà sáng lập SkyBridge Capital, cựu Giám đốc Truyền thông của Nhà Trắng.
Scaramucci khẳng định: “Bước đột phá lớn nhất của crypto sẽ đến khi mọi người sử dụng blockchain mà không hề nhận ra.” Nghe có vẻ đúng. Nghe có vẻ tiến bộ. Nhưng với một người dành mười ba năm đọc hợp đồng thông minh, câu nói này có mùi giống một bài toán bảo mật đang được tuyên bố là đã giải.
ICOs: nơi lỗ hổng được viết bằng tiền. Và những lời tiên tri về “sự vô hình” thường là nơi lỗ hổng được viết bằng sự im lặng.
Context: Tiếng nói từ Phố Wall
Anthony Scaramucci không phải người nói nhảm trên Twitter. Ông từng điều hành SkyBridge Capital, một quỹ đầu tư thay thế với hàng tỷ đô la tài sản quản lý, và từng phục vụ trong chính quyền Trump - dù chỉ trong mười một ngày. Kể từ 2017, ông trở thành một trong những người ủng hộ Bitcoin và tài sản số có tiếng nói nhất trong giới tài chính truyền thống. Nhận định của ông, do đó, không chỉ là một quan điểm cá nhân; nó phản ánh cách một bộ phận quan trọng của Phố Wall đang tư duy về crypto.
Phát biểu của ông: blockchain sẽ thành công nhất khi người dùng không biết nó hiện diện. Nghĩa là gì? Nghĩa là, giống như bạn không cần hiểu TCP/IP để lướt web, bạn sẽ không cần hiểu gas, private key, hay smart contract để sử dụng DeFi, thanh toán, hay bất kỳ ứng dụng phi tập trung nào. Mọi thứ phức tạp sẽ bị nhét vào hậu trường.
Đây là câu chuyện dễ bán. Lịch sử công nghệ đầy rẫy những ví dụ về lớp trừu tượng thành công: người dùng không cần biết DNS hoạt động thế nào để gõ một tên miền. Họ không cần biết HTTP khác HTTPS ra sao, không cần biết dữ liệu đi qua máy chủ nào. Internet trở nên vô hình vì nó đã chín muồi.
Nhưng blockchain không giống internet. Internet không tự nắm giữ tài sản của bạn. Internet không có khả năng tạo ra tiền từ hư không, cũng không thể tự động xóa sổ số dư của bạn chỉ bằng một dòng code sai. Khi bạn kết nối internet, bạn tin tưởng rằng các giao thức sẽ vận chuyển dữ liệu. Khi bạn kết nối blockchain, bạn đặt cược rằng một hợp đồng thông minh sẽ không đánh cắp tiền của bạn. Hai loại tin tưởng có bản chất hoàn toàn khác nhau.
Trong một thị trường đang tăng, khi Bitcoin vừa lập đỉnh và các quỹ ETF đang hút từng tỷ đô la, những phát biểu như vậy của Scaramucci được đón nhận như một lời xác nhận. Nhưng chính trong những giai đoạn hưng phấn nhất, rủi ro kỹ thuật thường bị bỏ qua nhiều nhất. Ai cũng nhìn thấy lợi nhuận, không ai nhìn thấy dòng code.
Scaramucci, với nền tảng tài chính truyền thống, có lẽ đang nói về trải nghiệm sản phẩm chứ không phải kiến trúc hệ thống. Nhưng trong kỹ thuật, trải nghiệm và kiến trúc không thể tách rời. Lớp trừu tượng càng dày, rủi ro càng khó nhìn thấy. Đó chính là điểm tôi muốn đào sâu.
Core: Sự vô hình không phải một tính năng, nó là một lớp trừu tượng
Câu hỏi đầu tiên mà bất kỳ auditor nào cũng sẽ hỏi: trong một thế giới “người dùng vô thức”, ai giữ private key?
Không ai có thể trả lời mà không rơi vào một trong ba nhóm sau.
Một - người dùng vẫn giữ key nhưng không biết mình đang giữ. Đây là một thiết kế giao diện dối trá, kiểu “chúng tôi giấu cụm từ khôi phục để bạn khỏi lo”. Kết quả thường là khóa bị mất trong một file JSON rác trên máy tính cũ.
Hai - một bên thứ ba giữ key thay người dùng. Custodial model quen thuộc, nhưng vậy thì blockchain còn ý nghĩa gì? Bạn đã quay lại ngân hàng, chỉ khác là không có bảo hiểm tiền gửi.
Ba - account abstraction và hợp đồng thông minh phức tạp đến mức key không còn là khái niệm người dùng cần biết. Kịch bản lý tưởng nhất và cũng hiếm nhất.
Scaramucci không nói ông nghiêng về nhóm nào. Nhưng nếu nhìn vào các dự án đang được rót vốn nhiều nhất hiện nay, thị trường đã tự chọn nhóm hai.
Embedded wallet: tiện lợi hay giam cầm?
Embedded wallet - hay “ví nhúng” - đang trở thành chuẩn mực mới cho các ứng dụng crypto muốn tiếp cận người dùng phổ thông. Các SDK như Web3Auth, Privy, hay wallet-as-a-service khác cho phép ứng dụng tạo ví cho người dùng một cách tự động. Người dùng đăng nhập bằng email, Google, hoặc số điện thoại - không cần biết có một cặp khóa đang được sinh ra ở đâu đó. Nhà phát triển đạt được giấc mơ: onboarding không rào cản, tỷ lệ chuyển đổi cao, và người dùng không bao giờ nhìn thấy cụm từ mười hai từ khó chịu.
Nhưng hãy đọc kỹ mã nguồn của những ví nhúng này. Trong hầu hết trường hợp, private key được tạo ra và lưu trữ trên thiết bị của người dùng, sau đó được mã hóa bằng mật khẩu. Nếu mật khẩu yếu - và chúng hầu như luôn yếu - key sẽ bị brute-force. Nếu thiết bị nhiễm malware, key sẽ bị đánh cắp. Nếu dịch vụ lưu trữ key gặp sự cố, người dùng sẽ mất tài sản mà không có cách khôi phục.
Tôi từng audit một dự án embedded wallet kiểu này. Họ tự hào rằng người dùng không cần biết gì về blockchain. Họ nói đúng: người dùng không biết, không hiểu, và khi một giao dịch bị ký sai nonce, họ cũng không biết cách phàn nàn với ai. Còn tệ hơn: hầu hết ví nhúng đều có một dịch vụ sao lưu khóa. Nếu dịch vụ này được kiểm soát bởi một công ty duy nhất, thì toàn bộ hệ thống có một điểm hỏng hóc tập trung. Kẻ tấn công không cần tấn công từng người dùng. Chỉ cần tấn công một máy chủ.
Account abstraction: cứu tinh hay bề mặt tấn công mới?
Account abstraction - thông qua EIP-4337 - là nền tảng kỹ thuật nghiêm túc hơn cho tầm nhìn “vô thức sử dụng”. AA cho phép một smart contract đóng vai trò như một ví, thay vì một cặp khóa duy nhất. Điều này mở ra: giao dịch không cần gas, xác thực đa chữ ký, khôi phục xã hội qua bạn bè. Những tính năng này chính là thứ khiến blockchain có thể hoạt động trong nền tảng mà người dùng không nhận ra.
Nhưng AA cũng tạo ra một bề mặt tấn công rộng hơn nhiều so với ví thông thường. Mỗi ví thông minh là một hợp đồng, và mỗi hợp đồng có thể chứa lỗi. Không giống như tài khoản EOA - nơi bạn chỉ cần bảo vệ một private key - ví thông minh có thể có hàng tá hàm cho phép giao dịch, thay đổi chủ sở hữu, nâng cấp logic. Mỗi hàm là một cơ hội cho kẻ tấn công.
Hãy tưởng tượng bạn đang xây một ngân hàng. Bạn thay két sắt bằng một cánh cửa thông minh có thể mở bằng mã PIN, bằng vân tay, bằng giọng nói, và bằng “chữ ký của bạn bè” khi PIN bị quên. Cánh cửa đó thuận tiện hơn nhiều. Nhưng nó cũng có nhiều cách bị phá hơn.
Trong AA, có một khái niệm gọi là hàm kiểm tra giao dịch trước khi nó được thực thi. Nghe thì đơn giản, nhưng nếu hàm này không kiểm tra đủ điều kiện, hoặc kiểm tra theo thứ tự sai, thì kẻ tấn công có thể thực hiện giao dịch mà không cần sự đồng ý của chủ ví. Đây không phải chuyện viễn tưởng. Tôi đã đọc báo cáo audit của nhiều ví thông minh có lỗi logic trong việc ủy quyền - một số dự án lớn đã bị khai thác chính xác theo hướng này.
“Vô thức sử dụng” không có nghĩa là rủi ro biến mất. Nó có nghĩa là rủi ro được chuyển đến một nơi mà người dùng không nhìn thấy.
Stablecoin: “vô thức sử dụng” đã thành công một nửa
Hãy nhìn vào lĩnh vực thành công nhất của “vô thức sử dụng”: stablecoin. Một người dân ở Argentina dùng USDT để giữ giá trị vì đồng peso mất giá. Họ không cần biết blockchain là gì. Họ chỉ cần một ứng dụng trên điện thoại. Đây chính xác là kịch bản Scaramucci mô tả.
Nhưng hãy xem người dùng đó đang giao dịch qua kênh nào. Phần lớn người dùng stablecoin không tự quản lý key. Họ gửi tiền vào một sàn giao dịch tập trung, và toàn bộ tài sản của họ chỉ là một con số trong database của sàn. Khi sàn sụp đổ - như chúng ta đã chứng kiến ở FTX và hàng chục nền tảng khác - họ mất trắng.
Một false flag, cả pool sập.
Điều đáng mỉa mai: stablecoin được tạo ra để tránh sự biến động của thị trường crypto, nhưng lại được lưu trữ trong các tổ chức tập trung vốn là thứ mà blockchain muốn thay thế. Lớp “vô thức” ở đây đã trở thành một lớp mờ đục giữa người dùng và tài sản của họ.
Bài toán TPS và sự trá hình của các lớp mở rộng
Một khía cạnh khác của “vô thức sử dụng” mà Scaramucci không đề cập: hiệu năng. Để blockchain chạy trong nền tảng, nó phải xử lý hàng triệu giao dịch mỗi giây với chi phí gần bằng không. Các giải pháp Layer 2 như Optimism, Arbitrum, zk-rollup đều hướng tới mục tiêu này.
Nhưng mỗi Layer 2 lại là một lớp trừu tượng riêng. Và mỗi lớp có một giả định bảo mật riêng: sequencer tập trung, khe dữ liệu, bằng chứng gian lận. Người dùng “vô thức” sẽ không bao giờ biết họ đang dùng một chuỗi có thể bị tấn công bởi một sequencer độc hại.
Thậm chí tệ hơn: rất nhiều dự án tự xưng là “Bitcoin Layer 2” thực chất là những dự án Ethereum đổi tên để câu view. Cộng đồng Bitcoin thực thụ không công nhận họ. Nhưng một nhà đầu tư “vô thức” sẽ không bao giờ biết sự khác biệt. Họ nhìn thấy chữ “Bitcoin” trên trang chủ, họ tin tưởng, và họ gửi tiền vào một hệ thống không có bất kỳ mối liên hệ kỹ thuật nào với Bitcoin.
Tôi không nói tên cụ thể. Nhưng tôi đã audit so sánh ba dự án như vậy trong năm 2024. Cả ba đều dùng EVM, cả ba đều có token riêng, cả ba đều không có cơ chế peg thực sự với Bitcoin. Trang web của họ thì nói “mở khóa thanh khoản Bitcoin”. Code của họ thì cho phép admin rút toàn bộ số dư trong một giao dịch.
Trong một hệ thống “vô thức”, những thứ này không bao giờ bị nhìn thấy cho đến khi nó quá muộn.
Intent: Khi người dùng không cần biết họ muốn gì
Một xu hướng mới nổi khác là các giao thức dựa trên ý định. Thay vì mô tả chính xác một giao dịch, người dùng chỉ nêu ý định: “Tôi muốn đổi 100 USDC thành ETH”. Một hệ thống solver hoặc bot sẽ tìm ra con đường tối ưu để thực hiện. Người dùng không cần biết đường đi. Họ chỉ quan tâm kết quả.
Về mặt trải nghiệm, đây là “vô thức sử dụng” đỉnh cao. Nhưng từ góc độ bảo mật, đây lại là một kịch bản ác mộng.
Khi bạn gửi một intent, bạn đang giao quyền quyết định chi tiết giao dịch cho một bên thứ ba. Người đó có thể là một bot trung thực hoặc một kẻ tấn công đang lợi dụng cơ chế để trích xuất giá trị. Trong giới bảo mật, chúng tôi gọi đây là giao quyền ký - người dùng ký vào một thông điệp mà họ không hiểu, để một hệ thống khác thực hiện những gì nó muốn.
Có một thuật ngữ cho việc này: blind signing. Người dùng ký vào một giao dịch dài, phức tạp, mà không đọc nội dung. Các ví như MetaMask đã cảnh báo về điều này. Nhưng trong các giao thức dựa trên ý định, việc ký mù trở thành mặc định.
Tôi đã audit một hệ thống như vậy. Hợp đồng cho phép một solver - không phải người dùng - quyết định tuyến đường của giao dịch. Nó có một danh sách đen các token không được phép giao dịch, nhưng danh sách này có thể được cập nhật bởi admin. Nếu admin bị tấn công, kẻ tấn công có thể thêm một token độc hại vào danh sách trắng và rút tiền. Người dùng không hề biết vì họ không bao giờ đọc code.
Mỗi lớp trừu tượng là một trung gian mới
Hãy nhìn lại lịch sử ngắn ngủi của crypto.
2013 - Mọi người tự giữ key, giao dịch trực tiếp trên blockchain. Rủi ro: kỹ thuật phức tạp, rất khó sử dụng.
2017 - Sàn giao dịch tập trung nổi lên. Người dùng không cần biết cách gửi giao dịch thủ công. Họ tạo tài khoản, nạp tiền, và giao dịch bằng giao diện web. Lớp trừu tượng đầu tiên: sàn giao dịch. Kết quả: người dùng mất tiền hàng loạt khi Mt. Gox, Bitfinex, rồi FTX sụp đổ.
2020 - DeFi Summer. Người dùng quay lại tự quản lý key, nhưng thông qua ví như MetaMask và các ứng dụng DeFi với giao diện đẹp. Lớp trừu tượng thứ hai: giao diện và hợp đồng thông minh. Kết quả: tổng cộng hơn mười tỷ đô la bị mất vì lỗi hợp đồng, rug pull, và tấn công oracle.
2024 - Embedded wallet và intent-based protocols. Người dùng “không cần biết” họ đang dùng blockchain. Lớp trừu tượng thứ ba: AI, bot, và các nền tảng trung gian tự động hóa mọi thứ.
Mỗi lớp trừu tượng đều có lý do chính đáng: giảm rào cản, cải thiện trải nghiệm, mở rộng thị trường. Nhưng mỗi lớp cũng đánh đổi điều quan trọng nhất của blockchain: tính minh bạch và khả năng kiểm soát của người dùng.
Đến một mức độ nào đó, “vô thức sử dụng blockchain” sẽ giống hệt “vô thức sử dụng các dịch vụ tài chính truyền thống”. Bạn không biết tiền của mình được quản lý thế nào, đầu tư vào đâu, ai đang giữ nó. Bạn chỉ thấy số dư. Và khi số dư bằng không, bạn không biết hỏi ai.
Người ta có thể tranh luận rằng sự tập trung hóa ở tầng trải nghiệm là chấp nhận được - miễn là tầng thanh toán vẫn phi tập trung. Điều này nghe hợp lý cho đến khi bạn nhận ra rằng tầng thanh toán phi tập trung không thể tự bảo vệ người dùng cuối. Một validator, một proposer, một sequencer, một oracle - mỗi thành phần trong chuỗi phụ thuộc là một điểm mà kẻ tấn công có thể đứng sau. Mỗi lớp trừu tượng là một lớp mà kẻ tấn công có thể đứng sau.
Trong một hệ thống vô thức, lỗ hổng là thứ duy nhất không bao giờ bị vô thức.
Contrarian: Sự vô thức là một sự phản bội có chủ đích
Đến đây, tôi muốn dừng lại và lật ngược vấn đề.
“Vô thức sử dụng” không chỉ là một rủi ro kỹ thuật. Nó là một sự tự mâu thuẫn triết học.
Blockchain được sinh ra từ sự ngờ vực với trung gian. Bitcoin - một hệ thống tiền điện tử ngang hàng - tồn tại để người dùng không cần tin tưởng ngân hàng. Ethereum - một máy tính thế giới - tồn tại để các hợp đồng tự thực thi mà không cần tòa án, không cần trọng tài, không cần người giám sát. Cả hai đều yêu cầu người dùng trở thành chủ thể có ý thức: tự quản lý key, tự chịu trách nhiệm, tự bảo vệ tài sản.
“Vô thức sử dụng” yêu cầu người dùng buông bỏ tất cả những điều đó. Giao phó key cho một trung gian mới. Tin tưởng một nhà cung cấp trải nghiệm nào đó. Chấp nhận một tầng kiểm soát không minh bạch giữa mình và tài sản.
Giới thiệu với bạn: blockchain, nhưng bạn không cần tin tưởng ai cả... ngoài những người bạn đã tin tưởng rồi.
Đây là điểm mù lớn nhất trong câu chuyện của Scaramucci, và cũng là điểm mù lớn nhất của toàn ngành crypto hiện tại. Các dự án đang đánh đổi “không cần tin tưởng” - tính phi tập trung, khả năng kiểm toán, quyền tự chủ - để lấy “dễ sử dụng” - thứ mà Web2 đã làm tốt từ hai thập kỷ nay.
Lấy ví dụ về cơ chế khôi phục xã hội. Người dùng quên mất key. Họ nhờ bạn bè giúp khôi phục. Thuận tiện. Nhưng trong một ví thông minh, những người giám hộ có thể có quyền đóng băng tài sản, thay đổi chủ sở hữu, hoặc - nếu hợp đồng được viết kém - rút toàn bộ số dư. Bạn gọi là “mạng lưới an toàn”. Một auditor gọi bằng cái tên khác: “danh sách các địa chỉ có thể ký giao dịch thay mặt người dùng”.
Khi một hệ thống được quảng cáo là “thân thiện với người dùng”, hãy hỏi: thân thiện với ai? Nếu người dùng không biết mình đang dùng blockchain, thì làm sao họ biết khi nào họ không còn sở hữu tài sản của mình?
Tương tự, câu chuyện về DAO - tổ chức tự trị phi tập trung - cũng đang bị “vô thức hóa” theo một cách đáng ngại. Token governance của hầu hết các DAO hiện nay được bán cho nhà đầu tư như một loại cổ phiếu, nhưng không có cổ tức. Giá trị duy nhất mà người nắm giữ có được là hy vọng một người mua sau sẽ trả giá cao hơn. Không khác gì một vòng Ponzi được mã hóa. Người dùng “vô thức” mua token, bỏ phiếu, và không bao giờ đọc các đề xuất quản trị. Hoặc tệ hơn: họ không bỏ phiếu, và vài con cá voi kiểm soát toàn bộ tổ chức. Vô thức sử dụng biến thành vô thức bị khai thác.
Trong một thị trường tăng giá như hiện nay, khi ai cũng đang FOMO, câu hỏi này bị bỏ qua. Tôi đã chứng kiến điều này quá nhiều lần, từ ICO 2017 đến DeFi Summer 2020, cho đến NFT và restaking 2024. Mỗi chu kỳ: một câu chuyện mới, một đột phá mới, một lớp trừu tượng mới che giấu rủi ro cũ. Marketing tốt đến mức nhà đầu tư quên rằng họ đang đặt tiền vào một chiếc hộp đen.
Lần gần đây nhất tôi được giao audit một dự án AI-DeFi - một quỹ đầu tư tự động tối ưu hóa chiến lược thanh khoản bằng mô hình học máy. Trang web của họ nói về trí tuệ nhân tạo, học sâu, dự đoán thị trường. Mã nguồn thì dùng một oracle lấy giá từ một nguồn duy nhất, không có kiểm tra chênh lệch, và hàm thanh lý được gọi với một giá trị mặc định cứng. Ba ngày sau khi tôi gửi báo cáo, họ đóng vòng gọi vốn thành công. Nhà đầu tư tin vào sự thông minh của AI mà không biết rằng trí tuệ của nó đang được kết nối vào một ống hút dữ liệu.
Đó chính là “vô thức sử dụng” trong thực tế: một lớp trí tuệ nhân tạo phía trên một lớp oracle rác, được bán cho các nhà đầu tư không đủ khả năng đọc code.
Takeaway: Vô thức không phải là đích đến, mà là một phép thử
Tầm nhìn của Scaramucci về một thế giới nơi blockchain chạy trong nền tảng có thể xảy ra. Nhưng nó sẽ không xảy ra tự nhiên như internet. Nó sẽ xảy ra qua những lựa chọn thiết kế có chủ ý - và những lựa chọn đó sẽ quyết định ai nắm quyền lực trong hệ thống tài chính mới.
Nếu “vô thức sử dụng” có nghĩa là người dùng giao phó key cho một công ty công nghệ lớn, thì chúng ta đã quay về tài chính tập trung, chỉ với một lớp blockchain mỏng ở bên dưới. Nếu nó có nghĩa là các hợp đồng thông minh được kiểm toán cẩn thận, có khả năng khôi phục tài sản và minh bạch hoàn toàn, thì nó có thể là một bước tiến thực sự.
Tôi sẽ theo dõi ba tín hiệu trong năm tới: tỷ lệ giao dịch stablecoin được thanh toán qua các nền tảng không phải sàn giao dịch, số lượng ứng dụng tiêu dùng nhúng ví không cần đăng ký, và tỷ lệ các hợp đồng thông minh được lưu trữ với bằng chứng hình thức. Khi các con số này vượt qua một ngưỡng nhất định, tôi sẽ tin rằng tầm nhìn của Scaramucci đang trở thành hiện thực. Còn bây giờ, tất cả những gì tôi thấy là một thị trường tăng giá đang dùng “câu chuyện vô thức” để che giấu một thực tế có ý thức: mọi người đang đầu cơ mà không hiểu họ đang đặt tiền vào đâu.
Với tư cách một auditor, tôi sẽ không đặt cược vào điều đó ngay bây giờ.
Bởi vì trong khi các nhà lãnh đạo nói về những viễn cảnh vĩ đại, các nhà phát triển vẫn đang viết code. Và code, không giống như những lời tiên tri, luôn luôn bộc lộ sự thật của nó.
Vào thời điểm người dùng thực sự “vô thức” về blockchain, thứ duy nhất họ cần làm là tin tưởng những kỹ sư đứng sau lớp trừu tượng đó. Và tôi, sau mười ba năm, vẫn chưa tìm thấy một lớp trừu tượng nào xứng đáng với sự tin tưởng đó.
