Hook
Bạn đã từng thấy một dự án NFT với doanh số 100 triệu USD, nhưng contract của nó lại có lỗ hổng cho phép bất kỳ ai cũng có thể mint token giả mạo? Tôi đã thấy. Và tôi đã audit nó. Kết quả? 97% dự án NFT thời điểm đó không có cơ chế xác thực an toàn. Đó là lý do tôi không mua NFT, dù thị trường có sốt đến đâu.
Context
Khi NFT boom vào năm 2021, tôi 28 tuổi, là một auditor cấp trung. Một dự án NFT hàng đầu tên "MetaDragons" gọi vốn thành công với tổng giá trị giao dịch 100 triệu ETH. Họ khoe khoang về đối tác lớn, về roadmap hoành tráng. Nhưng tôi biết: càng hào nhoáng, càng cần kiểm tra kỹ. Tôi dành 2 tháng để audit contract của họ. Và tôi phát hiện ra lỗi trong cơ chế lưu trữ metadata. Lỗi này cho phép bất kỳ ai cũng có thể mint token giả mạo, nghĩa là toàn bộ bộ sưu tập có thể bị làm giả mà không ai biết.
Tôi công bố báo cáo dài 40 trang, chỉ ra 97% dự án NFT thời điểm đó không có cơ chế xác thực an toàn. Cộng đồng NFT chỉ trích tôi là "kẻ phá đám". Nhưng tôi đứng vững. Kết quả là MetaDragons hoãn launch 1 tháng để sửa lỗi. Và tôi đã học được một bài học: lớp vỏ hào nhoáng thường che giấu những lỗ hổng chết người.
Core
Hãy nhìn vào sự thật. Tôi đã audit hơn 100 dự án NFT trong suốt 3 năm qua. Và tôi có thể nói: đa số các dự án NFT hiện tại vẫn mắc những lỗi cơ bản. Dưới đây là 5 lỗ hổng phổ biến nhất tôi từng gặp:
- Lỗi về metadata storage: Nhiều dự án lưu trữ metadata trực tiếp trên contract mà không có cơ chế xác thực. Điều này cho phép kẻ tấn công tạo token giả mạo. Tôi đã thấy điều này ở MetaDragons, và nó vẫn tồn tại ở ít nhất 30% dự án mới.
- Reentrancy attack: Đây là lỗi classic. Khi một contract gọi external contract trước khi cập nhật state, kẻ tấn công có thể gọi lại contract nhiều lần và rút hết token. Tôi phát hiện lỗi này ở ít nhất 20 dự án NFT trong quá trình audit.
- Flash loan oracle manipulation: Nhiều dự án sử dụng oracle giá từ AMM pools mà không có cơ chế chống thao túng flash loan. Một kẻ tấn công có thể thao túng giá oracle, sau đó mua/bán token với giá sai. Tôi đã phân tích lỗ hổng này trong loạt bài "DeFi Under the Knife".
- Lỗi về access control: Một số dự án không phân quyền đúng cách, cho phép bất kỳ ai cũng có thể gọi các hàm admin. Tôi từng thấy một dự án nơi người dùng có thể tự mint token không giới hạn chỉ bằng một hàm
mint()không được bảo vệ.
- Lỗi về randomness: Nhiều dự án sử dụng
block.timestamphoặcblockhashlàm nguồn ngẫu nhiên, nhưng miner có thể thao túng chúng. Điều này ảnh hưởng đến tính công bằng của việc phân phối token.
Nhưng lỗi nghiêm trọng nhất tôi từng thấy là ở một giao thức lending lớn vào năm 2022. Khi giá ETH giảm 70% trong 2 ngày, hệ thống thanh lý sắp sụp đổ. Tôi lập tức triển khai kế hoạch khẩn cấp: giảm ngưỡng thanh lý xuống 50%, tăng phí giao dịch, và khóa một số pool. Tôi viết script tự động giám sát 24/7, cứu được 20 triệu USD thanh khoản. Điều này cho thấy: ngay cả các giao thức lớn cũng có thể sụp đổ nếu không có quy trình audit chặt chẽ.
Kinh nghiệm từ cuộc chiến với ICO rác: Năm 2017, tôi 24 tuổi, vừa tốt nghiệp thạc sĩ. Tôi audit contract cho một ICO gọi vốn 15 triệu USD mang tên "BlockGreen". Sau 3 tuần kiểm tra, tôi phát hiện 12 lỗ hổng nghiêm trọng, trong đó có bug cho phép rút token không giới hạn. Dù báo cáo chi tiết, đội ngũ dự án vẫn launch và biến mất sau 2 tháng, để lại hàng nghìn nhà đầu tư trắng tay. Sự kiện này dạy tôi rằng: Web3 đầy rác rưởi, chỉ có quy trình audit chặt chẽ mới cứu được người dùng.
Tích hợp quan điểm về Layer2: Hiện tại, nhiều dự án NFT chạy trên Layer2. Nhưng bạn có biết sequencer của Layer2 về cơ bản là node tập trung đơn lẻ? "Decentralized sequencing" vẫn chỉ là PowerPoint suốt hai năm. Khi NFT được mint trên một Layer2 có sequencer tập trung, rủi ro kiểm duyệt và downtime vẫn tồn tại. Nếu sequencer bị tấn công hoặc ngừng hoạt động, toàn bộ giao dịch NFT sẽ bị đóng băng. Điều này đặc biệt nguy hiểm khi NFT là tài sản có giá trị cao.
Contrarian
Nhưng tôi cũng phải thừa nhận: không phải tất cả dự án NFT đều xấu. Có những dự án thực sự làm đúng. Họ đầu tư vào audit, có quy trình bảo mật nghiêm ngặt, và minh bạch về code. Một số dự án NFT trên Ethereum mainnet đã hoạt động ổn định trong nhiều năm mà không gặp sự cố. Nhưng tỷ lệ này rất nhỏ - chỉ khoảng 5% tôi từng audit.
Vậy phe bò đang nói gì? Họ nói rằng NFT là tương lai của ownership, rằng thị trường đang sốt vì nhu cầu thực. Họ có một phần đúng. NFT thực sự mang lại giải pháp cho vấn đề xác thực quyền sở hữu trong thế giới số. Nhưng vấn đề không phải là công nghệ, mà là con người. Các dự án xấu vẫn đang chiếm đa số, và họ đang lợi dụng sự thiếu hiểu biết của nhà đầu tư.
Một điểm mù khác: nhiều người nghĩ rằng audit là đủ. Nhưng audit chỉ kiểm tra code tại một thời điểm. Sau khi audit, dự án có thể thay đổi contract, thêm tính năng mới mà không audit lại. Đây là lỗ hổng nghiêm trọng. Tôi từng thấy một dự án audit xong, nhưng sau đó họ thêm một hàm withdraw() không được kiểm tra, dẫn đến mất 1 triệu USD.
Takeaway
Cả ngành đang đi qua vùng nước lặng, nhưng tôi biết đáy sâu ở đâu. Hãy chuẩn bị sẵn sàng. Hoặc là bạn chủ động kiểm soát rủi ro, hoặc là rủi ro sẽ kiểm soát bạn. Dựa trên kinh nghiệm audit của tôi, tôi khuyên bạn: đừng bao giờ tin vào lời hứa, chỉ tin vào code. Hãy tự kiểm tra contract, hoặc ít nhất là đọc báo cáo audit từ các công ty uy tín. Và hãy nhớ: không có audit nào là hoàn hảo. Luôn có rủi ro.
Vậy, bạn đã sẵn sàng để mua NFT tiếp theo chưa? Hãy suy nghĩ lại. Tôi sẽ không mua, cho đến khi thị trường thay đổi. Và khi nó thay đổi, tôi sẽ là người đầu tiên nói cho bạn biết.
Một câu chuyện khác từ năm 2024: Tôi audit một sản phẩm staking tổ chức trị giá 500 triệu USD do một ngân hàng đầu tư phát hành. Tôi phát hiện lỗ hổng trong cơ chế slashing: nếu validator bị phạt, quỹ staking sẽ mất 30% tài sản vì thiếu bảo hiểm. Tôi buộc họ phải tích hợp hợp đồng bảo hiểm on-chain. Sự kiện này củng cố niềm tin của tôi: tổ chức càng lớn, sai sót càng nguy hiểm. NFT cũng vậy.
Đừng để bị lừa bởi lớp vỏ hào nhoáng. Hãy nhìn vào code. Hãy nhìn vào audit. Và hãy nhìn vào kinh nghiệm của những người đã từng "giải phẫu" chúng.
