Ai bảo floor price sàn NFT là thước đo giá trị?
Bạn đang nhìn vào một dự án NFT 'blue chip' mới nổi, vừa huy động xong 50 triệu USD từ các quỹ đầu tư mạo hiểm danh tiếng. Giá sàn của nó tăng vọt 300% chỉ trong một tuần. Cộng đồng sôi sục, các KOL trên Twitter ca ngợi đây là 'kỷ nguyên mới của nghệ thuật số'. Nhưng tôi, với tư cách là một Crypto Security Audit Partner đã theo dõi ngành này từ thời ICO EOS, lại chỉ nhìn thấy một thứ: một vỏ bọc kỹ thuật được thiết kế để che giấu sự tập trung quyền lực và rủi ro thanh khoản chết người.
Hãy cùng tôi mổ xẻ một case study điển hình—một dự án 'blue chip' NFT được thổi phồng lên trong đợt tăng giá này. Không phải là FUD (Fear, Uncertainty, Doubt), mà là một cuộc giải phẫu có hệ thống dựa trên những gì tôi đã học được từ 20 năm quan sát và hàng trăm audit code.
Context: Chu kỳ thổi phồng và cái bẫy 'blue chip'
Năm 2021, cơn sốt NFT lên đỉnh điểm. Tôi được mời audit smart contract cho một dự án 'generative art' nổi tiếng. Tôi phát hiện ra rằng hợp đồng ERC-721 của họ không có cơ chế an toàn nào chống lại việc mint hàng loạt bằng bot, dẫn đến gas war bất công. Hơn nữa, metadata uri của chúng được lưu trữ cố định, vi phạm tính bất biến vốn có của NFT. Tôi đã viết một báo cáo audit dài 20 trang, chỉ ra 7 lỗ hổng tiềm ẩn. Nhưng nhóm dự án từ chối vá chúng với lý do: 'Không ảnh hưởng đến giá floor price.'
Đó chính là vấn đề cốt lõi. Trong một thị trường tăng, các dự án sử dụng marketing và sự khan hiếm nhân tạo để che giấu những thiếu sót trong kiến trúc cốt lõi. Họ bán cho bạn một câu chuyện về cộng đồng phi tập trung và giá trị nghệ thuật, nhưng thực tế, code của họ thường là một mớ hỗn độn tập trung, dễ vỡ và kém thanh khoản. Nhãn 'blue chip' trở thành cái bẫy: khi thị trường đảo chiều, những JPEG đắt đỏ đó sẽ biến thành những token không thể bán được, bởi thanh khoản cạn kiệt nhanh hơn bạn tưởng.
Core: Tháo gỡ có hệ thống—Một cuộc mổ xẻ code điển hình
Tôi sẽ không nêu tên dự án cụ thể, nhưng hãy tưởng tượng một bộ sưu tập NFT 'blue chip' điển hình với 10.000 tác phẩm nghệ thuật được tạo ra bởi AI, mỗi tác phẩm là duy nhất, được mint trên Ethereum. Hợp đồng của họ sử dụng ERC-721 với một số 'cải tiến' để tăng tốc độ mint và giảm phí gas cho người dùng. Nghe có vẻ tuyệt vời, phải không? Nhưng hãy nhìn kỹ hơn.
Đầu tiên, logic cập nhật metadata. Hầu hết các dự án 'blue chip' đều có một cơ chế cho phép nhóm phát triển thay đổi metadata của NFT sau khi mint (ví dụ: thay đổi hình ảnh hoặc thuộc tính hiếm). Điều này hoàn toàn phá vỡ tính bất biến của NFT. Trong một cuộc audit của tôi, tôi phát hiện ra rằng chức năng 'setBaseURI' trong hợp đồng chỉ được bảo vệ bởi một modifier onlyOwner đơn giản. Nếu private key của owner bị lộ—điều mà ngay cả những team lớn nhất cũng từng gặp phải—thì toàn bộ bộ sưu tập có thể bị thay thế bằng hình ảnh của một con mèo. Đây không phải là một lỗi lý thuyết. Nó là một rủi ro hiện hữu. Tôi đã chứng kiến nó xảy ra với một dự án nhỏ vào năm 2022.
Thứ hai, cơ chế chống bot. Hợp đồng mint thường có một danh sách trắng (whitelist) và một giới hạn số lượng mint trên mỗi địa chỉ. Nhưng nếu không có một cơ chế chống bot mạnh mẽ (ví dụ: sử dụng cây Merkle để xác thực danh sách trắng, hoặc một oracle off-chain để kiểm tra hành vi của người dùng), thì những kẻ tấn công có thể sử dụng bot để mint hàng loạt, đẩy gas lên cao và lấy đi phần lớn nguồn cung. Kết quả? Cộng đồng 'real' bị bỏ lại phía sau, và giá sàn bị thao túng bởi một nhóm nhỏ các 'whale' bot. Trong cuộc audit cho dự án 'generative art' năm 2021, tôi đã chỉ ra rằng họ chỉ sử dụng một danh sách trắng đơn giản được lưu trữ trong một mapping, thứ mà bất kỳ bot nào cũng có thể dễ dàng truy vấn và mint trước.
Thứ ba, cấp phát royalties. Nhiều dự án 'blue chip' hứa hẹn một tỷ lệ royalties cố định (ví dụ: 5%) trên mỗi giao dịch thứ cấp. Nhưng trên thực tế, các sàn giao dịch như OpenSea và Blur đã bắt đầu cho phép người dùng chọn không trả royalties. Do đó, lời hứa về royalties chỉ là một công cụ marketing để tăng giá sàn ban đầu. Nếu bạn đang mua một NFT với kỳ vọng nhận được royalties từ các giao dịch trong tương lai, thì bạn đang bị lừa. Từ góc nhìn audit, nếu một dự án không có cơ chế on-chain để thực thi royalties (ví dụ: sử dụng một registry như EIP-2981 được hỗ trợ bởi tất cả các sàn), thì lời hứa đó là vô nghĩa.
Contrarian: Phần phe bò đúng và điểm mù của tôi
Tất nhiên, không phải tất cả các dự án 'blue chip' đều là lừa đảo. Có một số ít dự án thực sự có giá trị, với đội ngũ phát triển mạnh, cộng đồng trung thành và một tầm nhìn dài hạn. Ví dụ, BAYC đã tạo ra một hệ sinh thái game và metaverse thành công. Tuy nhiên, ngay cả những dự án này cũng phải đối mặt với một thách thức cốt lõi: thanh khoản. Khi thị trường giảm, ngay cả BAYC cũng chứng kiến giá sàn giảm mạnh, và nhiều người nắm giữ không thể bán được NFT của họ với giá hợp lý. Sự thật là, bất kể câu chuyện nghệ thuật hay công nghệ, giá trị của một NFT chỉ được xác định bởi người mua cuối cùng. Và nếu không có ai mua, nó chỉ là một JPEG.
Điểm mù của tôi, và cũng là điểm yếu của góc nhìn 'Cold Dissector', là tôi có xu hướng tập trung vào các lỗi kỹ thuật cụ thể và bỏ qua sức mạnh của cộng đồng và thương hiệu. Một cộng đồng mạnh có thể duy trì giá sàn ngay cả khi code có lỗi. Nhưng đây là một con dao hai lưỡi: nó cũng cho phép các dự án 'fake it till you make it' tồn tại lâu hơn mức đáng lẽ.
Takeaway: Lời kêu gọi trách nhiệm
Trong thị trường tăng này, khi mà 'số xanh' và 'floor price' chi phối tất cả, tôi không thể không đặt câu hỏi: Liệu chúng ta đang mua một tác phẩm nghệ thuật, hay đang mua một ảo tưởng được xây dựng trên một đống code yếu kém? Câu trả lời, như mọi khi, nằm ở audit code. Hãy yêu cầu dự án bạn đầu tư phải công khai audit code của họ, kiểm tra xem họ có kiểm soát metadata không, và liệu họ có cơ chế chống bot hiệu quả không. Nếu họ từ chối, bạn biết mình cần phải làm gì. Trong thế giới crypto, sự thật luôn nằm trong code, không phải trong các bài đăng trên Twitter.