Tôi mất ba ngày để tìm một lỗi trong hợp đồng fan token của một CLB bóng đá châu Âu. Lỗi nằm ở hàm vote: nó không kiểm tra số dư token tại thời điểm bỏ phiếu. Kẻ tấn công chỉ cần mượn token qua flash loan, bỏ phiếu, rồi trả lại — tất cả chỉ trong một giao dịch. Khi tôi báo cáo, đội ngũ phát triển trả lời: “Fan token thì ai hack làm gì?” — Đó chính là vấn đề.
Hôm nay, tôi đọc thấy Crypto Briefing — một trang tin chuyên phân tích blockchain, ICO và DeFi — đăng bài về trận giao hữu Inter Milan vs Juventus tại Úc, với bàn thắng của Di Marco. Thoạt nhìn, chẳng liên quan gì đến crypto. Nhưng trong ngành này, không có gì là ngẫu nhiên.
Crypto Briefing hoạt động từ năm 2017, nổi tiếng với những bài phân tích kỹ thuật về hợp đồng thông minh và các giao thức DeFi. Một trang như vậy bỗng dưng đăng tin thể thao — môn thể thao không dính dáng gì đến tiền mã hóa — thì chỉ có hai khả năng: hoặc họ đang thử nghiệm nội dung mới, hoặc tệ hơn, họ đang mở đường cho một chiến dịch tiếp thị fan token.
Đã từ lâu, các CLB lớn như Inter Milan, Juventus, PSG, Barcelona đều đã tham gia Web3 qua nền tảng Socios.com (Chiliz). Họ phát hành fan token — một loại token cho phép người hâm mộ bỏ phiếu về các quyết định nhỏ: màu áo, bài hát, các cuộc thăm dò ý kiến. Về bản chất, đây là một hình thức gắn kết cộng đồng. Về mặt kỹ thuật, nó là một smart contract có thể giao dịch trên sàn. Trận giao hữu tại Úc giữa Inter và Juventus là một phần chiến lược mở rộng thị trường châu Á - Thái Bình Dương. Nhưng khi một trang tin crypto đưa tin về nó, tôi nhìn thấy một bức tranh lớn hơn nhiều.
Tôi đã audit khá nhiều fan token trong ba năm qua. Điều khiến tôi khó chịu là hầu hết chúng đều có chung một kiểu thiết kế: token được mint bởi một địa chỉ admin, phân phối qua một sàn giao dịch tập trung, và không có cơ chế nào để người hâm mộ thực sự kiểm soát. Hợp đồng token thường là một bản sao ERC-20 tiêu chuẩn, thêm một vài dòng code để “vote”. Và trong một lần audit, tôi phát hiện lỗi nghiêm trọng: hàm vote không kiểm tra xem người dùng có thực sự nắm giữ token tại thời điểm bỏ phiếu hay không. Flash loan là đủ để thao túng toàn bộ kết quả bỏ phiếu của cộng đồng. Tôi đã cảnh báo, nhưng câu trả lời vẫn là: “Fan token thì ai hack làm gì?”
Crypto Briefing đăng tin thể thao có thể là dấu hiệu cho thấy các nền tảng crypto đang mở rộng sang giải trí thể thao. Nhưng góc nhìn kỹ thuật của tôi nói rằng: khi một trang tin crypto bắt đầu đăng nội dung không liên quan đến crypto, hãy kiểm tra xem họ có đang quảng bá cho một loại token nào không. Bởi vì trong thị trường này, nội dung không bao giờ là miễn phí — nó được trả bằng sự chú ý, và sự chú ý được chuyển hóa thành dòng tiền.
Ba lớp rủi ro tôi nhìn thấy:
- Lớp nội dung: Bài báo về trận giao hữu không đề cập đến fan token. Nhưng nó tạo ra nhận thức tích cực về thương hiệu của hai CLB — những CLB có fan token đang giao dịch trên sàn. Khi nhận thức tăng, giá token có thể tăng theo, và những người nắm giữ từ trước sẽ bán ra.
- Lớp kỹ thuật: Fan token của Inter và Juventus đều phát hành trên Chiliz Chain — một sidechain của Ethereum. Token ERC-20 của họ nằm trên một chain riêng, và để chuyển về Ethereum, người dùng phải dùng bridge. Bridge là một trong những điểm tấn công lớn nhất trong hệ sinh thái blockchain. Tôi từng phân tích một bridge fan token và phát hiện ra rằng nó không kiểm tra số dư tối thiểu khi xử lý rút tiền — kẻ tấn công có thể rút nhiều hơn số token đã nạp, nếu hợp đồng bridge không cập nhật state trước khi gọi hàm ngoài.
- Lớp vận hành: Khi một trang báo crypto đăng tin thể thao, họ có thể đang xây dựng một cây cầu từ cộng đồng người hâm mộ bóng đá sang thị trường tiền mã hóa. Cây cầu này trông vô hại cho đến khi có một sự kiện sụp đổ — ví dụ như một CLB tuyên bố phá sản, hoặc một cầu thủ chấn thương nặng ảnh hưởng đến kết quả thi đấu, kéo theo giá fan token giảm mạnh. Người hâm mộ — những người không hiểu về blockchain — sẽ là những người chịu thiệt hại cuối cùng.
Bạn nghĩ rằng Crypto Briefing đăng tin thể thao là một sự mở rộng nội dung vô hại? Hãy nhìn vào lịch sử. Năm 2021, nhiều trang tin crypto bắt đầu đăng bài về NFT nghệ thuật, rồi sau đó là NFT thể thao. Kết quả là hàng loạt dự án NFT thể thao ra đời với lời hứa “đưa người hâm mộ đến gần hơn với đội bóng”, và hầu hết đều sụp đổ khi thị trường đi xuống. Fan token của các CLB lớn như PSG, Inter, Juventus cũng giảm hơn 90% từ đỉnh. Nhưng các bài báo vẫn tiếp tục được đăng.
Sự thật phản trực giác là: fan token không được thiết kế để phục vụ người hâm mộ. Chúng được thiết kế để phục vụ các nhà phát hành — CLB và nền tảng — bằng cách tạo ra một thị trường thanh khoản cho một tài sản không có giá trị nội tại. Nếu bạn xóa tính năng bỏ phiếu trong fan token đi, giá trị còn lại của nó là gì? Không gì cả. Nó không phải là cổ phiếu, không có cổ tức, không có quyền sở hữu tài sản. Nó chỉ là một mã token kỹ thuật số với một cái tên đẹp.
Đây là điểm mù mà các bài phân tích thị trường thường bỏ qua: khi một nền tảng crypto bắt đầu đăng nội dung thể thao, họ không làm điều đó vì đam mê. Họ làm điều đó vì họ cần một dòng chảy người dùng mới. Và những người dùng mới này — những fan bóng đá — là những người dễ bị tổn thương nhất bởi các chiến dịch tiếp thị token, bởi vì họ đã có sẵn niềm tin thương hiệu.
Smart contract architect: người xây cầu trên lửa. Cây cầu có thể vững chắc, nhưng ngọn lửa bên dưới vẫn luôn cháy. Khi bạn thiết kế một hệ thống tài chính, bạn phải giả định rằng mọi thứ đều có thể bị tấn công. Nếu bạn giả định ngược lại — rằng người dùng của bạn sẽ không tấn công vì họ yêu thích đội bóng — thì bạn đã thua ngay từ vạch xuất phát.
Crypto Briefing đăng tin bóng đá có thể là một tín hiệu vô hại. Nhưng cũng có thể là bước đầu tiên trong một chiến dịch quảng bá fan token. Những bài báo kiểu này thường xuất hiện trước khi một đợt bán token hoặc một sự kiện thanh khoản diễn ra. Chúng không trực tiếp quảng cáo, nhưng chúng định hình tâm lý. Chúng tạo ra sự quen thuộc. Và sự quen thuộc là nền tảng của lòng tin.
Tôi không nói rằng Crypto Briefing đang làm điều sai trái. Tôi nói rằng hãy chú ý đến dòng tiền. Khi một trang tin crypto đăng bài về bóng đá, hãy hỏi: ai được lợi? Nếu câu trả lời là “một CLB có fan token”, hãy kiểm tra hợp đồng token đó. Hãy xem quyền mint nằm ở đâu. Hãy xem bridge có khóa thanh khoản không. Hãy xem hàm vote có chống flash loan không.
Từ kinh nghiệm audit của tôi: 90% fan token không vượt qua được bài kiểm tra cơ bản này. Và những bài báo thể thao trên nền tảng crypto chỉ làm cho vấn đề trở nên khó phát hiện hơn.
Smart contract architect: người xây cầu trên lửa. Bạn có thể xây một cây cầu vững chắc, nhưng nếu bạn không nhìn xuống dòng chảy bên dưới, bạn sẽ không bao giờ biết khi nào ngọn lửa lan tới. Người hâm mộ bóng đá đang bước lên chiếc cầu mà họ không hiểu — và họ không biết rằng dưới chân họ là những smart contract có thể chứa đầy lỗ hổng.
Câu hỏi cuối cùng tôi muốn đặt ra: khi trang tin crypto tiếp theo đăng bài về một trận đấu bóng đá, bạn sẽ kiểm tra hợp đồng token trước khi quyết định tham gia, hay bạn sẽ tin vào câu chuyện? Bởi vì trong thị trường này, câu chuyện là thứ dễ bị thao túng nhất. Còn code — code thì không bao giờ nói dối. Nó chỉ có thể chứa lỗi. Và ai đó đang đếm từng dòng một.
Smart contract architect: người xây cầu trên lửa. Hãy tự hỏi bạn đang đứng ở đâu trên cây cầu đó.
