Ngày 14 tháng 8, một trader phái sinh của Goldman Sachs tên Shawn Tuteja phát hiện một sự thay đổi tâm lý kỳ lạ: nhà đầu tư Mỹ không còn sợ Fed hay lợi suất trái phiếu dài hạn nữa. Họ đang ôm ấp một niềm tin rằng bất kỳ kết quả nào từ cuộc họp FOMC tháng 9 cũng đều có lợi. Tôi đọc dòng tweet đó và nhìn vào biểu đồ khối lượng giao dịch quyền chọn SPX – kỷ lục 4 triệu hợp đồng trong một ngày. Một con số biết nói.
Một dòng code, một tỷ đô la bay hơi. Trong crypto, tôi đã thấy kịch bản này lặp đi lặp lại. Sự tự mãn của thị trường truyền thống đang lan sang không gian tiền mã hóa, nhưng ở đây, nó còn nguy hiểm hơn gấp bội. Bởi vì trong khi Phố Wall đang đặt cược vào kết quả “dù thế nào cũng tốt”, thì các nhà phát triển DeFi và Layer2 lại đang tung ra các hợp đồng thông minh với những lỗ hổng đã được chôn vùi dưới lớp marketing hào nhoáng.
Hãy nhìn vào bối cảnh hiện tại. Thị trường tăng đã kéo dài đủ lâu để khiến ngay cả những người hoài nghi nhất cũng phải mềm lòng. Khối lượng giao dịch trên các sàn tập trung tăng vọt, TVL của các giao thức lending lại leo lên đỉnh cũ. Nhưng điều mà ít người để ý là, trong cơn sốt này, các dự án đang đốt tiền vào audit một cách hời hợt. Họ thuê những đội ngũ audit giá rẻ, ký vào báo cáo mà không thực sự kiểm tra từng dòng code. Và tôi biết điều này không phải vì tôi đoán mò, mà vì tôi đã sống qua nó.
Năm 2020, khi còn là sinh viên, tôi đã audit bZx và phát hiện lỗi flash loan. Tôi gửi báo cáo 12 trang, nhưng đội ngũ từ chối trả bounty vì tôi không phải auditor chính thức. Hai tháng sau, 350.000 USD bốc hơi. Đó là lần đầu tiên tôi hiểu rằng sự tự mãn của đội ngũ dự án giết chết người dùng nhanh hơn bất kỳ hacker nào. Và bây giờ, khi thị trường đang ở đỉnh cao của sự phấn khích, tôi thấy cùng một mô hình: các nhà đầu tư bỏ qua các dấu hiệu đỏ vì họ tin rằng “mọi thứ đều sẽ ổn”.
Sự tương đồng với thị trường chứng khoán là rõ ràng. Tuteja nói rằng client net exposure ở phân vị 67, tổng exposure lên 89. Điều đó có nghĩa là mọi người đang all-in, và họ đã loại bỏ hoàn toàn kịch bản xấu. Trong crypto, điều này thể hiện qua việc các dự án mới huy động hàng trăm triệu USD chỉ dựa trên whitepaper và một vài bài testnet – không có audit thực sự, không có kiểm tra chéo. Gần đây, tôi thấy một cầu nối cross-chain mới tuyên bố đã được “kiểm toán bởi ba công ty hàng đầu”. Tôi mò vào mã nguồn của họ, và phát hiện ra rằng hai trong số ba công ty đó chỉ audit phần token, không phải phần bridge logic. Đó là một cái bẫy chết người.
Nếu bạn không thể đọc code, hãy đọc lịch sử audit. Tôi đã viết điều này trong bài phân tích Terra năm 2022. UST sụp đổ không phải vì hacker, mà vì thiết kế swap không có giới hạn trượt giá. Một lỗi mà bất kỳ ai audit kỹ lưỡng cũng có thể phát hiện. Nhưng lúc đó, thị trường đang quá bận rộn để kiếm lợi nhuận từ lãi suất 20% của Anchor. Tương tự, bây giờ mọi người đang quá bận rộn để FOMO vào các dự án AI agent, DePIN, hay restaking, mà quên mất rằng các hợp đồng thông minh bên dưới vẫn có thể chứa lỗ hổng integer overflow đơn giản như Propy năm 2017.
Phần contrarian ở đây là: phe bò có thể đúng về hướng đi của thị trường, nhưng họ sai về rủi ro. Nếu Fed thực sự không tăng lãi suất, dòng tiền sẽ đổ vào risk assets, bao gồm crypto. Nhưng điều đó không có nghĩa là các dự án cụ thể an toàn. Trên thực tế, khi thị trường tăng, các dự án tồi càng dễ huy động vốn, và càng dễ bỏ qua bảo mật. Tôi đã thấy điều này với Wormhole vào năm 2024: lỗi xác thực signature mà tôi phát hiện có thể dẫn đến mất 100 triệu USD. Nếu không có audit, nó đã xảy ra trong một thị trường tăng, và các nhà đầu tư sẽ mất tiền ngay khi họ đang vui nhất.
Một dòng code, một tỷ đô la bay hơi. Đó không phải là một câu nói hoa mỹ. Đó là sự thật mà tôi đã chứng kiến. Và bây giờ, khi thị trường đang bước vào vùng tự mãn, tôi không thể không nghĩ đến những dự án đang được ca ngợi trên Twitter mà chưa từng có một audit thực sự nào. Họ đang dựa vào sự lạc quan chung để che giấu những lỗ hổng kỹ thuật. Và nhiệm vụ của tôi, với tư cách là một partner bảo mật, là phơi bày chúng.
Takeaway của tôi không phải là kêu gọi bán tháo hay hoảng loạn. Mà là: hãy tự hỏi bản thân, liệu dự án bạn đang đầu tư có thực sự vượt qua được một cuộc kiểm tra code đầy đủ? Nếu câu trả lời là “tôi không biết”, thì bạn đang đặt cược vào sự may mắn, không phải vào công nghệ. Và trong thị trường này, sự may mắn thường kết thúc bằng một dòng code sai.
Prompt cho hình minh họa: Một bức ảnh phong cách tối giản với hai phần: bên trái là biểu đồ thị trường chứng khoán tăng đều, bên phải là một màn hình terminal đầy code màu đỏ và xanh, với một vết nứt chạy dọc từ code sang biểu đồ. Màu sắc chủ đạo là xám, xanh navy và đỏ cảnh báo. Không có chữ, chỉ có hình ảnh.