Bạn có tin rằng một dự án Layer 2 vừa huy động 80 triệu USD từ ba quỹ đầu tư hàng đầu lại để lộ toàn bộ quyền kiểm soát nâng cấp cho ba ví trong một multi-sig? Tôi đã dành hai tuần vừa qua để theo dõi từng dòng giao dịch của NexusChain – cái tên đang làm mưa làm gió trên các diễn đàn. Điều tôi tìm thấy không nằm trong whitepaper, không xuất hiện trên website và chắc chắn không được nhắc đến trong bài đăng ra mắt của họ.
Hãy nhìn vào điểm này: mã nguồn của hợp đồng thông minh chính – khoá token – vẫn giữ owner với quyền gọi hàm upgradeToAndCall. Không một dòng nào trong tài liệu kỹ thuật nói về việc team đã chuyển quyền sở hữu sang một mô hình quản trị phi tập trung. Nhưng cộng đồng vẫn tin rằng NexusChain là một giao thức tự động, bất biến và không thể bị kiểm duyệt.
Tôi đã từng audit Uniswap v2 vào năm 2020 và nhận 2,5 ETH tiền thưởng cho bốn lỗ hổng nhỏ về token approval. Bài học từ thời điểm đó rất đơn giản: lỗi nghiêm trọng nhất thường nằm ở nơi mà mọi người không nhìn. Với NexusChain, điểm mù chính là cấu trúc quyền lực ẩn trong proxy upgrade.
Vào thứ Ba tuần trước, tôi kéo toàn bộ lịch sử giao dịch từ block khởi tạo. Một điểm bất thường xuất hiện ngay ở block thứ 47: hợp đồng quản trị được triển khai đồng thời với hai địa chỉ khác nhau. Một trong số đó nhận 500.000 token Nexus ngay sau khi triển khai, rồi chuyển toàn bộ sang một sàn giao dịch tập trung phiên bản cũ. Số token này tương đương 2,5% tổng cung và chưa bao giờ xuất hiện trong báo cáo giải ngân của quỹ.
Dữ liệu on-chain không bao giờ biết nói dối. Dấu vết trên xích, không thể xóa. Số token rút ra không phải là một phần của quỹ hệ sinh thái, cũng không phải quỹ thanh khoản ban đầu – vì tôi đã đối chiếu với địa chỉ được niêm yết công khai. Chúng đến từ một ví có tên gọi là Nexus: Team Wallet, nhưng không có bất kỳ hạn chế vesting nào trong hợp đồng.
Hãy bối cảnh lại: NexusChain mới chỉ ra mắt mainnet được ba tháng. Họ chiêu mộ hàng chục kỹ sư, ký thoả thuận với năm dự án DeFi lớn để xây dựng hệ sinh thái. Giá token tăng 300% sau khi lên sàn Binance. Nhà đầu tư tổ chức mua vào qua quỹ mở và khởi chạy staking. Mọi thứ nhìn rất hoàn hảo. Nhưng một phân tích đơn giản về dòng tiền vào ví của đội ngũ phát triển cho thấy điều ngược lại: người trong cuộc đã bán trước – không phải sau – tin tức lớn nhất về danh sách niêm yết.
Tôi muốn nói rõ ràng. Không phải tất cả mọi dự án có quyền nâng cấp đều là lừa đảo. Thực tế, hầu hết các dự án nghiêm túc vẫn giữ khả năng nâng cấp để sửa lỗi và cải thiện sản phẩm. Vấn đề nằm ở chuyện gì xảy ra khi quyền đó nằm trong tay một người hoặc một nhóm nhỏ, và làm thế nào họ sử dụng nó khi thị trường có biến động. Sự khác biệt giữa một dự án tốt và một dự án rủi ro không nằm ở công nghệ, mà nằm ở sự minh bạch trong hành vi sử dụng quyền lực.
Câu chuyện này gợi lại ký ức của tôi về thảm hoạ Luna năm 2022. Khi đó tôi mất 200.000 USD vì bỏ qua tín hiệu on-chain – UST mất neo liên tục trong nhiều ngày, nhưng tôi vẫn tin vào câu chuyện mà cộng đồng kể. Tôi đã không rút ra bài học quan trọng: dữ liệu có thể không dối trá, nhưng cách chúng ta diễn giải nó thường bị bóp méo bởi kỳ vọng và cảm xúc. Điều đó khiến tôi thận trọng hơn rất nhiều khi phát biểu về các dự án mới.
Với NexusChain, điểm mấu chốt không phải là việc team có bán token hay không. Điểm mấu chốt là cấu trúc pháp lý và kỹ thuật được thiết kế để khiến việc bán token trở nên không thể bị phát hiện. Họ gọi nó là một DAO, nhưng hợp đồng bỏ phiếu lại nằm dưới quyền kiểm soát của một admin có thể thay đổi luật chơi bất cứ lúc nào. Họ gọi nó là phi tập trung, nhưng quyền rút tiền từ pool thanh khoản chỉ nằm trong tay một ví có chữ ký của hai trong ba người – và hai người đó làm việc cùng một công ty.
Tôi đã kiểm tra 45 dự án tương tự trong 18 tháng qua. Hơn một nửa có cấu trúc multi-sig giống hệt NexusChain: hai trong ba người ký đến từ cùng một tổ chức phát hành. Nhiều người nghĩ rằng multi-sig là một biện pháp bảo mật – đúng, nhưng chỉ khi các bên ký độc lập với nhau. Nếu ba chìa khoá nằm trong hai bàn tay cùng một nhóm, đó chỉ là một chữ ký với chi phí gas cao hơn mà thôi. Dấu vết trên xích, không thể xóa.
Hãy nhìn vào biểu đồ phân bổ token của NexusChain. 61,5% tổng cung được gửi vào một khoá token thông minh có gắn chức năng proxyChangeAdmin. Chức năng này cho phép thay đổi admin trong vòng 24 giờ mà không cần thông qua bất kỳ cơ chế quản trị nào. Điều đó có nghĩa là toàn bộ số token này không thực sự bị khoá – chúng chỉ bị khoá cho đến khi người quản lý quyết định mở. Đây không phải một lỗ hổng kỹ thuật. Đây là một thiết kế có chủ đích.
Có một khoảnh khắc vào thứ Năm tuần trước khiến tôi phải dừng lại. Tôi đang xem biểu đồ thanh khoản của cặp giao dịch Nexus/USDC trên Uniswap v3. Thông thường, các dự án uy tín sẽ thiết lập vùng thanh khoản trong khoảng giá hợp lý. Pool NexusChain lại có thanh khoản trải rộng ở khắp mọi mức giá từ 0,5 USD đến 5 USD. Nếu giá rơi xuống dưới 0,5 USD, nhà cung cấp thanh khoản có thể rút toàn bộ. Và ví đặt thanh khoản là cùng một địa chỉ đã nhận token từ team development wallet ở tuần đầu tiên.
Trong những buổi livestream cùng nhóm "Data Sistas" của tôi, chúng tôi gọi kiểu thanh khoản này là "sàn di động" – bởi vì nền tảng có thể di chuyển đi bất cứ khi nào họ muốn. Sự thật phũ phàng là phần lớn người dùng nhỏ lẻ đang mua NexusChain vì họ thấy thanh khoản sâu và tin rằng đó là dấu hiệu của một dự án bền vững. Họ không biết rằng đằng sau vẻ ngoài đó là một hợp đồng có thể thay đổi mọi tham số chỉ với hai chữ ký từ cùng một công ty.
Đến đây, bạn sẽ hỏi: vậy chúng ta nên làm gì với NexusChain và những dự án tương tự? Câu trả lời của tôi có thể gây sốc: hãy cứ tham gia, nhưng hãy tham gia với tư cách là một người biết rõ mình đang ở trong sòng bạc. Đừng nhầm lẫn giữa đầu tư và cờ bạc. Nếu dự án làm đúng lộ trình, giá trị có thể tăng gấp nhiều lần. Nhưng nếu một trong hai chữ ký xuất hiện trong một giao dịch bất thường, toàn bộ sẽ sụp đổ trong vài phút.
Bài học từ khủng hoảng chính là dữ liệu on-chain không bao giờ lỗi thời. Dấu vết trên xích, không thể xóa. Mỗi dòng chuyển tiền của ví admin là một lá thư tình mà họ gửi cho chúng ta – vấn đề là chúng ta có đọc hay không. Khi thị trường tăng, loại lỗ hổng này bị che lấp bởi sự phấn khích và FOMO. Nhưng khi thị trường đảo chiều, những lỗ hổng đó biến thành chiếc phao cứu sinh của những người nội gián.
Tuần tới, tôi sẽ tiếp tục theo dõi ví này. Nếu bạn nắm giữ NexusChain, tôi không khuyên bạn bán ngay, nhưng tôi khuyên bạn hãy kiểm tra lại ví mà bạn đang gửi tiền vào. Hãy đọc mã nguồn, tìm chữ ký, và luôn nhớ rằng trong thế giới blockchain, không có gì bí mật mãi mãi.
Câu hỏi cuối cùng mà tôi muốn để lại cho bạn là: nếu một dự án có đầy đủ dữ liệu on-chain cho thấy rủi ro, nhưng cộng đồng vẫn tin theo câu chuyện đẹp đẽ mà họ dựng lên – thì ai là người thực sự phi tập trung? Đó là blockchain, hay chính là niềm tin mù quáng của chúng ta?