Một kẻ tự xưng là kỹ sư cấp cao của Pi Network vừa lên tiếng dập lửa trên diễn đàn. Nhưng lửa đã cháy rồi. Hàng loạt người dùng báo mất token sau khi lockup 3 năm kết thúc – và không ai ở core team thèm trả lời.
Tôi đã nhìn thấy kịch bản này từ năm 2017, khi tôi mất 1.200 USD vì ICO EOS vì không thể bán token khóa trong smart contract. Thanh khoản là sinh mạng. Nếu bạn không thể bán tài sản trong 24 giờ, bạn không sở hữu nó – bạn chỉ đang mượn nó cho kẻ khác. Pi Network là phiên bản nâng cấp của cái bẫy đó: thay vì khóa tiền, họ khóa thời gian của bạn.
Context: Pi Network là cái gì?
Pi Network là một ứng dụng đào coin trên điện thoại, vận hành từ năm 2019. Dự án tuyên bố xây dựng một blockchain riêng, nhưng sau 5 năm vẫn chưa có mainnet. Hàng chục triệu người dùng trên toàn cầu, trong đó một lượng lớn ở Việt Nam, dành 3-5 phút mỗi ngày để bấm nút “khai thác” với hy vọng một ngày token lên sàn đổi đời. Không có code mở, không có audit, không có danh tính đội ngũ – chỉ có một nhóm người ẩn danh được gọi là “Core Team”.
Sự kiện tuần này: Lockup 3 năm của một số người dùng (được gọi là “Pioneers”) bắt đầu hết hạn. Khi họ cố gắng migrate token từ testnet sang mainnet sắp tới (hoặc giữa các wallet), tài khoản của họ bị trừ về 0. Các giao dịch thất bại tràn ngập block explorer. Một người dùng tên Rizo – có vẻ là một KOL trong cộng đồng – đã kêu gọi core team phải khẩn cấp thêm xác thực hai yếu tố (2FA) như một biện pháp bắt buộc.
Core: Phân tích dòng lệnh – thiếu 2FA là tội tử hình
Hãy nhìn vào bức tranh kỹ thuật. Bất kỳ dự án nào có ý định vận hành tài sản số, nếu không triển khai 2FA từ ngày đầu, thì đó là sự bất cẩn tội lỗi. Pi Network không chỉ thiếu 2FA, mà còn thiếu bất kỳ cơ chế bảo vệ nào khác: không audit smart contract, không multi-sig, không cold wallet cho core team. Toàn bộ tài sản của hàng triệu người dùng được bảo vệ bằng một mật khẩu đơn giản – thường chỉ là vài ký tự – và dựa vào niềm tin rằng “hacker không thèm hack Pi”.
Nhưng hacker đã thèm. Các giao dịch thất bại hàng loạt cho thấy có một kịch bản điển hình: kẻ tấn công đã chiếm quyền kiểm soát một số lượng lớn wallet thông qua lỗ hổng trong cơ chế tạo ví của Pi, hoặc thông qua việc lấy cắp private key từ server của dự án (nếu dự án lưu trữ chúng tập trung). Khi lockup hết hạn, kẻ tấn công lập tức kích hoạt lệnh migrate – chuyển toàn bộ token đi – để lại người dùng với tài khoản rỗng và các giao dịch reject. Đây là một cuộc tấn công có tổ chức, có timing chính xác, không phải là FOMO của kẻ nghiệp dư.
Từ kinh nghiệm audit của tôi: khi một protocol từ chối thêm 2FA, đó là dấu hiệu họ không hiểu hoặc không muốn bảo mật. Chi phí để thêm 2FA bằng OTP hoặc Google Authenticator là gần như bằng 0, nhưng lợi ích là vô giá. Việc core team không làm điều đó suốt 5 năm là bằng chứng cho thấy họ coi người dùng là nguồn tài nguyên khai thác, chứ không phải là đối tác cần bảo vệ.
Contrarian Angle: “Kỹ sư giả” – câu chuyện đằng sau sự thật
Điều khiến tôi bật cười khi đọc tin này là sự xuất hiện của một người tự xưng là “Daniel Carter – Kỹ sư cấp cao tại Pi Network” trên diễn đàn, cố gắng trấn an cộng đồng. Anh ta nói rằng dự án đang trong “giai đoạn phát triển then chốt”, bảo mọi người kiên nhẫn. Cộng đồng lập tức phản ứng: “Ông ta là ai? Tại sao tôi chưa từng nghe tên?” Một số người kiểm tra hồ sơ LinkedIn của “Daniel Carter” và phát hiện ra tên tuổi đó không tồn tại trong bất kỳ danh sách nhân sự nào của Pi Network. Thực tế, Pi Network chưa bao giờ công khai danh tính bất kỳ thành viên nào trong team. Vậy “Daniel Carter” là giả, hay là một nỗ lực tuyệt vọng để dập tắt làn sóng hoảng loạn?
Quan điểm của tôi: Dù là giả hay thật, việc core team không đích thân lên tiếng mà để một người không rõ danh tính trả lời là một sai lầm chiến lược. Nó cho thấy sự hỗn loạn nội bộ. Trong một công ty Web3 chuyên nghiệp, khi sự cố bảo mật xảy ra, CEO hoặc CTO sẽ trực tiếp phát hành thông cáo báo chí, công bố phương án khắc phục, và có thể là kế hoạch bồi thường. Pi Network thì không. Họ im lặng, rồi sai một người “ma” ra nói vài câu vô thưởng vô phạt. Điều này càng củng cố sự nghi ngờ rằng dự án đang chết.
Nhiều người vẫn tin rằng Pi sẽ lên sàn lớn như Binance hay Coinbase, và họ sẽ giàu có sau 3 năm chờ đợi. Nhưng hãy nhìn vào thực tế: không có sàn uy tín nào chấp nhận niêm yết một token không có mainnet, không có code, không có audit, và đang có scandal hack. Pi Network không chỉ bị hack – nó vốn là một sản phẩm không an toàn ngay từ đầu. Việc token bị mất hôm nay là hệ quả tất yếu của việc không có 2FA, không có bảo mật. Đây không phải là một “sự cố”, mà là lỗi thiết kế cố hữu.
Takeaway: Kỷ luật hay là chết
Tôi từng mất 45.000 USD vì mua một CryptoPunk mà không thể bán trong 24 giờ. Từ đó tôi có quy tắc: không bao giờ đầu tư vào tài sản không có thanh khoản tức thời. Pi Network là kẻ thù của quy tắc đó: họ khóa bạn bằng thời gian, bằng hy vọng, bằng cộng đồng đồng thuận. FOMO là thuế của người thiếu kỷ luật – và hàng triệu người đã đóng thuế cho Pi suốt 5 năm.
Bài học: Hãy tự hỏi “Tôi có thể bán tài sản này trong vòng 24 giờ không?” Nếu câu trả lời là không, thì đừng mua, đừng đào, đừng dành một phút nào cho nó. Câu chuyện Pi Network kết thúc như thế nào? Chúng ta chưa biết, nhưng có một điều chắc chắn: những ai đã mất token hôm nay sẽ không bao giờ lấy lại được. Còn những ai vẫn đang bấm nút “khai thác” mỗi ngày – tôi có một câu hỏi dành cho bạn: “Bạn sẵn sàng đánh đổi 3 năm nữa để lấy một token không thể bán và có thể bị trộm bất cứ lúc nào không?”
Thanh khoản là sinh mạng. Kỷ luật là vũ khí. Còn Pi Network là một nghĩa địa cho những kẻ mơ mộng.