Mỗi lần kiểm toán là một lần tôi đặt câu hỏi:
Nếu mục tiêu là phát hiện sai sót, tại sao lại cần đặt câu hỏi ngớ ngẩn nhất?
Bởi vì những sai sót lớn nhất thường ẩn mình trong những giả định hiển nhiên.
Hôm nay, tôi không audit một smart contract. Tôi audit một tin tức.
Một dòng tweet từ Crypto Briefing: "Mỹ xem xét phong tỏa hàng hải vĩnh viễn Iran".
Thị trường dầu tăng vọt. Bitcoin tăng nhẹ. Cộng đồng crypto xôn xao: "Địa chính trị đang đẩy giá!".
Nhưng tôi thấy một vấn đề.
Một vấn đề nghiêm trọng hơn bất kỳ lỗi reentrancy nào.
Context: Bối cảnh mà không ai kiểm tra
Crypto Briefing là một trang tin chuyên về blockchain. Không phải AP, Reuters, hay Defense News.
Họ đăng một bài về "Mỹ xem xét phong tỏa vĩnh viễn Iran".
Nội dung không có trích dẫn từ Lầu Năm Góc. Không có tuyên bố từ Nhà Trắng. Không có hình ảnh vệ tinh về tàu chiến di chuyển.
Chỉ có một câu: "Mỹ đang xem xét…"
Ai xem xét? Khi nào? Bộ phận nào?
Im lặng.
Nhưng thị trường không cần câu trả lời. Chỉ cần một câu chuyện đủ để kích hoạt FOMO.
Dầu Brent tăng 3% trong 2 giờ. Bitcoin chạm $68,000 rồi quay đầu.
Một số nhà đầu tư đã mua vào. Họ nghĩ họ đang đi trước thị trường.
Thực tế, họ đang bị dẫn dắt bởi một lỗi logic cơ bản.
Core: Phân tích kỹ thuật của tin đồn
Dựa trên kinh nghiệm audit của tôi, tôi thấy rằng:
Một tin tức cũng giống như một smart contract. Nó có input, output, và logic bên trong.
Nếu logic sai, output sẽ sai.
Hãy nhìn vào logic của bài báo này:
Input: "Mỹ thiếu hụt nguồn cung dầu" (do các lệnh trừng phạt và gián đoạn khác). Output: "Mỹ sẽ phong tỏa Iran – một nhà sản xuất dầu lớn – để giảm nguồn cung thêm?"
Đây là một lỗi logic cơ bản: nếu bạn đang thiếu dầu, bạn sẽ không cắt giảm thêm nguồn cung.
Trong 5 năm kiểm toán, tôi chưa thấy một lỗ hổng nào rõ ràng như lỗ hổng logic của tin tức này.
Nhưng nó vẫn hoạt động. Tại sao?
Bởi vì con người có xu hướng tin vào những câu chuyện kịch tính hơn là những phân tích lạnh lùng.
Hãy xem xét động cơ của người đăng:
Crypto Briefing là một trang tin crypto. Họ kiếm tiền từ traffic. Một tiêu đề giật gân về địa chính trị sẽ kéo nhiều lượt xem hơn một bài phân tích về TVL của Uniswap.
Hơn nữa, cộng đồng crypto có một nhu cầu tâm lý: muốn Bitcoin được công nhận là "tài sản trú ẩn an toàn" như vàng. Một cuộc khủng hoảng địa chính trị sẽ củng cố câu chuyện đó.
Vì vậy, họ sẵn sàng tin.
Nhưng hãy nhìn vào dữ liệu:
- Không có tàu sân bay Mỹ nào di chuyển về phía Vịnh Ba Tư ngoài lịch trình bình thường.
- Không có cuộc họp khẩn cấp nào của Hội đồng Bảo an Liên Hợp Quốc.
- Iran không phản ứng.
Chỉ có một bài báo trên một trang crypto.
Đây là một "social engineering attack" trên quy mô thị trường.
Kẻ tấn công không khai thác lỗi trong code, mà khai thác lỗi trong tâm lý số đông.
Contrarian: Góc nhìn phản trực giác
Bạn nghĩ rằng bạn đang giao dịch dựa trên tin tức.
Nhưng thực ra, bạn đang giao dịch dựa trên một câu chuyện được dựng lên.
Và câu chuyện đó có một mục đích: khiến bạn hành động.
Ai được lợi?
- Những người mua trước khi tin tức được lan truyền (có thể là chính tác giả).
- Những người bán khống sau khi giá tăng.
- Những sàn giao dịch thu phí từ khối lượng giao dịch tăng đột biến.
Còn bạn? Bạn là người mua ở đỉnh.
Điểm mù bảo mật ở đây là: bạn không bao giờ kiểm tra nguồn gốc của thông tin.
Bạn coi nó như một sự thật hiển nhiên.
Giống như một lập trình viên copy code từ Stack Overflow mà không đọc kỹ.
Nó có thể chạy. Nhưng nó có thể là một backdoor.
Tôi đã từng audit một dự án DeFi có một hàm "withdraw" với modifier "onlyOwner" nhưng không có check quyền. Kẻ tấn công chỉ cần gọi hàm đó và rút hết tiền.
Tin tức này cũng vậy. Nó có một hàm "gây sốc" và không có check "nguồn tin".
Bất cứ ai cũng có thể gọi nó.
Takeaway: Dự báo lỗ hổng
Lần tới khi bạn thấy một tin tức gây sốc, hãy dừng lại và hỏi:
Ai được lợi từ việc tôi tin vào điều này?
Câu trả lời thường là: không phải bạn.
Trong 5 năm kiểm toán, tôi học được rằng: những lỗ hổng nguy hiểm nhất không nằm trong code, mà nằm trong cách chúng ta đọc code.
Cũng như cách chúng ta đọc tin tức.
Mỗi lần kiểm toán là một lần tôi đặt câu hỏi: "Liệu điều này có đúng không?".
Và nếu câu trả lời không đến từ một nguồn đáng tin cậy, tôi coi nó như một lỗi.
Bạn cũng nên làm vậy.
Bởi vì thị trường không tha thứ cho những ai không kiểm tra.