Bạn tưởng rằng mình đang mở một trang tin blockchain, nơi sản phẩm chính là những bản phân tích smart contract với mã giả và các cuộc thảo luận về sự phi tập trung. Nhưng hôm nay, trang chủ của Crypto Briefing lại hiện lên một dòng tít ít liên quan: Liverpool 2-0 Monaco trong trận giao hữu tiền mùa giải. Bạn lướt qua. Bạn tự hỏi: một trang tin crypto lại đăng tin bóng đá? Rồi bạn nhìn thấy câu nhận định của tác giả: "Tân huấn luyện viên mang lại sự kỳ vọng". Không có dữ liệu chiến thuật, không có thông tin về cầu thủ, không có một bình luận nào về màn trình diễn. Chỉ có một tỷ số và một cảm nhận mơ hồ. Điều gì đang xảy ra?
Nếu bạn đã làm trong ngành bảo mật blockchain lâu năm, bạn sẽ thấy điều này quen thuộc: đó là một dạng "signal" — một tín hiệu về hướng đi của trang web. Nhưng tín hiệu này không nằm ở nội dung bài viết, mà nằm ở động cơ đằng sau việc đăng tải. Hãy cùng đào sâu một chút. Nếu trận giao hữu vô hại này lại xuất hiện trên một trang tin crypto, có thể chủ đích của nó không phải là bóng đá, mà là thứ sẽ được bán cho bạn sau đó: một loại tài sản kỹ thuật số có tên gọi là fan token. Và nếu bạn không chuẩn bị, bạn sẽ trở thành một phần của sản phẩm đó mà không hề hay biết.
Hãy lùi lại và nhìn vào bức tranh lớn. Fan token không phải là một khái niệm mới. Chiliz, công ty mẹ của Socios.com, bắt đầu hành trình của mình từ năm 2018 với tham vọng "token hóa ngành công nghiệp thể thao". Ý tưởng rất hấp dẫn: người hâm mộ sở hữu một phần kỹ thuật số của câu lạc bộ, bỏ phiếu cho các quyết định nhỏ, nhận phần thưởng và tạo dựng cộng đồng. Kể từ đó, hàng chục câu lạc bộ hàng đầu đã tham gia: Manchester City, PSG, Arsenal, Barcelona, Juventus, và tất nhiên, Liverpool. Năm 2022, Liverpool phát hành token LFC trên nền tảng Socios, cho phép người hâm mộ bỏ phiếu và tham gia các hoạt động trải nghiệm.
Nếu nhìn bề ngoài, đây là một câu chuyện đẹp về sự kết hợp giữa truyền thống và công nghệ. Nhưng hãy nhìn kỹ hơn vào cấu trúc. Fan token thường được phát hành bởi một nền tảng tập trung, nắm quyền kiểm soát hợp đồng thông minh. Hợp đồng thông minh thường là tiêu chuẩn ERC-20 hoặc BEP-20, triển khai trên một sidechain của chính nền tảng đó. Ví dụ, Chiliz Chain là một sidechain của Binance Smart Chain, vận hành bởi đội ngũ Chiliz. Điều này có nghĩa là người dùng không thực sự tương tác với một mạng lưới phi tập trung; họ tương tác với một bên thứ ba tập trung có thể đóng băng, hủy hoặc in thêm token.
Về mặt lý thuyết, fan token là một loại tài sản kỹ thuật số mà giá trị của nó được neo vào sự gắn kết cộng đồng. Nhưng trên thực tế, thị trường luôn giao dịch thứ gì đó có thể sinh lời. Và khi một tài sản có thể sinh lời, nó sẽ trở thành công cụ đầu cơ. Hãy nhìn vào biểu đồ giá của các fan token lớn: hầu hết đều giảm hơn 80-90% so với đỉnh. Token của Juventus, PSG, Manchester City đều giảm mạnh. Điều này không phải do câu lạc bộ thi đấu tệ, mà do bản chất của loại tài sản này không được thiết kế để giữ giá trị lâu dài. Nó thiếu đi một cơ chế tạo ra dòng tiền thực sự cho người nắm giữ, ngoài việc "cảm thấy mình là một phần của đội bóng".
Bây giờ chúng ta sẽ phân tích kỹ thuật, vì đó là nơi mà vàng thật hay giả lộ ra. Để hiểu một fan token, bạn cần đọc hợp đồng thông minh. Có ba yếu tố quan trọng: vai trò quản trị, oracle giá, và cơ chế phát hành.
Đầu tiên là vai trò quản trị. Hầu hết fan token có một hoặc nhiều địa chỉ admin với khả năng tạm dừng giao dịch, đóng băng ví, hoặc thậm chí đào thêm token. Trong các hợp đồng ERC-20 của OpenZeppelin, điều này tương ứng với các hàm pause, freeze, mint và các modifier như onlyOwner. Vấn đề nằm ở chỗ các quyền này thường thuộc về nền tảng phát hành, không phải câu lạc bộ, cũng không phải cộng đồng. Nếu nền tảng bị tấn công hoặc phá sản, tài sản của người dùng có thể biến mất chỉ sau một giao dịch.
Tôi nhớ trong một dự án audit fan token cho một câu lạc bộ hạng hai tại châu Âu, tôi đã phát hiện ra một lỗi phân quyền nghiêm trọng. Hợp đồng có một vai trò MINTER_ROLE có thể mint token không giới hạn. Vai trò đó được gán cho một ví thuộc sở hữu của nhà phát triển, và không có cơ chế hai bước để chuyển giao quyền. Nếu private key của ví đó bị lộ, kẻ tấn công có thể mint thêm hàng triệu token và bán tháo. Đây không phải là một kịch bản viễn tưởng; nó đã xảy ra trong nhiều vụ tấn công khác trong hệ sinh thái DeFi. Điều nguy hiểm là các fan token ít được chú ý bởi cộng đồng bảo mật, vì giá trị của chúng không đủ lớn để thu hút tin tặc. Điều đó có nghĩa là chúng có thể tồn tại với nhiều lỗ hổng trong nhiều năm mà không ai phát hiện.
Thứ hai là oracle giá. Một số fan token được sử dụng làm tài sản thế chấp trong các giao thức DeFi. Ví dụ, người dùng có thể vay stablecoin bằng cách cọc fan token. Trong trường hợp này, hợp đồng vay cần một oracle để lấy giá của token. Nhưng oracle giá của fan token thường được xây dựng từ một sàn giao dịch tập trung duy nhất hoặc từ một quỹ thanh khoản nhỏ. Nếu ai đó thao túng giá của quỹ thanh khoản đó, họ có thể vay quá mức hoặc thanh lý các vị thế của người khác một cách sai lệch. Chainlink — một dịch vụ oracle phi tập trung phổ biến — có thể giải quyết vấn đề này, nhưng việc tích hợp Chainlink cho các token nhỏ lẻ thường khó khăn và tốn kém. Và trong nhiều trường hợp, nền tảng phát hành không quan tâm đến rủi ro oracle, vì họ không phải là bên chịu rủi ro.
Hãy tưởng tượng một chuỗi logic: nếu một fan token giao dịch với thanh khoản mỏng, và thanh khoản đó nằm trên một sàn DEX như Uniswap, thì chỉ cần một khoản vốn tương đối nhỏ — vài trăm nghìn đô la — là có thể đẩy giá lên gấp đôi trong vài phút. Điều này không chỉ gây hại cho những người mua ở đỉnh, mà còn ảnh hưởng đến các giao thức DeFi sử dụng token này làm tài sản thế chấp. Nếu một giao thức cho vay không kiểm tra được độ trễ của oracle, nó có thể bị khai thác. Tôi đã nhiều lần nhìn thấy kịch bản này trong các cuộc audit giao thức cho vay: bạn tưởng rằng bạn đang vay một tài sản an toàn, nhưng thực ra bạn đang nắm một quả bom hẹn giờ. Trong trường hợp này, yếu tố Z — độ tin cậy của nguồn giá — bị bỏ qua hoàn toàn vì đội ngũ phát triển quá tin tưởng vào thanh khoản trên giấy tờ.
Thứ ba là cơ chế phát hành và phân phối. Nhiều fan token có một lượng lớn token được giữ bởi quỹ phát triển, đội ngũ, hoặc các nhà đầu tư chiến lược. Lượng token này thường bị khóa trong một thời gian, sau đó được mở khóa dần. Nếu lịch trình mở khóa quá nhanh hoặc không được công bố minh bạch, giá token có thể sụp đổ bất cứ lúc nào. Trong một hợp đồng tôi từng kiểm tra, lịch mở khóa được thực hiện bằng một hàm release() do chính admin gọi, không có điều kiện ràng buộc cụ thể. Điều đó có nghĩa là admin có thể giải phóng toàn bộ số token đã khóa ngay lập tức, phá hủy giá trị của những người nắm giữ trên thị trường mở. Về mặt kỹ thuật, đây không phải là một lỗi; nhưng về mặt kinh tế, nó là một quả bom chậm.
Một điểm mù khác: khả năng tương tác. Phần lớn fan token không được thiết kế để hoạt động xuyên chuỗi. Chúng tồn tại trên một sidechain riêng, và nếu người dùng muốn chuyển chúng sang Ethereum, họ phải sử dụng cầu nối do nền tảng cung cấp. Cầu nối là một trong những mục tiêu tấn công lớn nhất trong thế giới blockchain. Năm 2022, một trong những vụ hack lớn nhất lịch sử DeFi là tấn công cầu nối Ronin với tổn thất hơn 600 triệu USD. Các cầu nối của các nền tảng nhỏ hơn — như fan token — thường có biện pháp bảo mật kém hơn nhiều. Nếu cầu nối bị tấn công, token của người dùng có thể bị mất vĩnh viễn mà không có bảo hiểm bồi thường.
Nhưng câu chuyện kỹ thuật chỉ là một phần. Phần còn lại là câu chuyện kinh tế. Fan token thiếu một "vòng lặp giá trị" rõ ràng. Trong một dự án DeFi thực thụ, người nắm giữ token có thể nhận được phí từ giao thức, quyền quản trị, và được hưởng lợi từ sự tăng trưởng của nền kinh tế bên trong. Đối với fan token, những lợi ích này hầu như không tồn tại. Quyền bỏ phiếu chỉ giới hạn trong các quyết định mang tính biểu tượng: chọn một bài hát, chọn một thiết kế áo đấu, chọn một câu khẩu hiệu. Không có quyền tham gia vào các quyết định lớn của câu lạc bộ như mua bán cầu thủ, bổ nhiệm huấn luyện viên, hay phân chia ngân sách. Vậy giá trị nội tại của token là gì? Nó chỉ là một khoản quyên góp được mã hóa để đánh vào lòng tự hào của người hâm mộ. Và điều đó không bao giờ được nói thẳng trong bất kỳ tài liệu bán token nào.
Giờ đến phần đi ngược lại với số đông. Nhiều người cho rằng fan token là một bước tiến của ngành công nghiệp thể thao trong việc "phi tập trung hóa" quyền lực. Họ gọi đó là sự trao quyền cho cộng đồng. Nhưng sự thật phũ phàng: fan token không khác gì một chiếc cúp mà người hâm mộ tự tay tặng cho câu lạc bộ, để đổi lấy vài cái gật đầu. Nếu bạn là một fan của Liverpool, bạn đã trả tiền cho chiếc áo đấu, vé vào sân, gói kênh truyền hình và bây giờ bạn trả thêm một khoản tiền cho một token để bỏ phiếu chọn màu sơn của phòng thay đồ. Bạn đang trả tiền để làm công việc không công cho câu lạc bộ. Trong khi đó, câu lạc bộ nhận về nguồn tài trợ không pha loãng, nền tảng phát hành nhận phí giao dịch, và nhà tạo lập thị trường nhận chênh lệch giá. Đây là một mô hình ba bên cùng có lợi, nhưng lợi nhuận duy nhất mà người hâm mộ nhận được là cảm giác "được là chính mình".
Và hãy xem xét động cơ của một trang tin như Crypto Briefing khi đăng tin bóng đá. Rất có thể họ không có chiến lược nội dung thể thao, mà chỉ đang đặt nền móng cho một chiến dịch quảng cáo tiềm năng. Trong nhiều năm qua, các trang tin crypto đã sản xuất nội dung "người dùng muốn đọc" thay vì nội dung "người dùng cần đọc", để tối ưu hóa lượng truy cập. Sự chú ý của người đọc là một loại thanh khoản; nó có thể được bán lại. Nếu bạn nhìn thấy một bài bóng đá trên một trang tin crypto, hãy tự hỏi: ai đang dẫn bóng, và ai đang bị dẫn dắt? Câu trả lời có thể nằm trong danh sách khách hàng của công ty quảng cáo.
Cũng giống như sequencer của Layer2 vẫn là điểm kiểm soát tập trung trong một hệ thống được quảng bá là phi tập trung, fan token là một mô hình tập trung dưới lớp vỏ bọc của token. Và giống như Lightning Network đã nửa sống nửa chết suốt bảy năm vì độ phức tạp và tỷ lệ thất bại định tuyến, fan token sẽ mãi chỉ là một ngách nhỏ vì nó giải quyết một vấn đề không thực sự tồn tại. Người hâm mộ bóng đá không cần một token để thể hiện lòng trung thành. Họ đã có chiếc khăn quàng cổ, bài hát cổ vũ và nỗi đau khi đội bóng thua trận. Token chỉ thêm vào một lớp trung gian không cần thiết, và mỗi lớp trung gian là một điểm có thể bị khai thác.
Trước khi quyết định mua bất kỳ fan token nào — hoặc thậm chí truy cập vào một bài quảng cáo ẩn — hãy đọc mã nguồn hợp đồng. Kiểm tra xem có địa chỉ admin nào có thể đóng băng bạn không. Kiểm tra lịch trình mở khóa token. Kiểm tra xem thanh khoản ở đâu và ai kiểm soát nó. Và quan trọng nhất, hãy nhớ rằng bóng đá là một trận đấu 90 phút, nhưng blockchain là một cuộc chơi bất tận. Nếu bạn không phân tích được một dòng code, ai đó sẽ phân tích ví của bạn. Còn với Crypto Briefing, nếu họ muốn đưa tin thể thao, họ có thể làm tốt hơn: cover trực tiếp, phân tích chiến thuật, hoặc ít nhất là nói rõ rằng bài viết có liên quan đến tài trợ. Còn không, hãy coi trận Liverpool 2-0 Monaco kia như một cú sút xa — bóng có thể đi vào lưới, nhưng cũng có thể bay thẳng lên khán đài và đập vào đầu một nhà đầu tư không cảnh giác.