Tôi dành ba tháng đọc từng dòng mã của The DAO năm 2017. Phát hiện lỗ hổng reentrancy trong code mà cả đội ngũ phát triển bỏ qua. Bài viết 15 trang của tôi trên Medium thu hút 8.000 lượt đọc, được Vitalik retweet. Từ đó, tôi học được một điều: không có mã nguồn đồng nghĩa với không có sự thật.
Hôm nay, Bybit thông báo thêm Unitree và Moonshot AI vào danh sách pre-IPO perpetuals. Sản phẩm này nằm trong bộ sưu tập hơn 200 hợp đồng TradFi của họ – bao gồm cổ phiếu, ETF, hàng hóa, chỉ số và cả các công ty tư nhân. Cộng đồng reo hò: "RWA đã đến!". Nhưng tôi nhìn vào mã nguồn – không có mã nguồn. Đó là vấn đề.
Hãy cùng mổ xẻ.
Context: Pre-IPO Perpetual là gì? Đây là một hợp đồng tương lai vĩnh viễn (không ngày đáo hạn) mà giá trị dựa trên định giá của một công ty chưa niêm yết. Bạn đặt cược USDT vào giá cổ phiếu của Unitree (robot) hoặc Moonshot AI (trí tuệ nhân tạo) trước khi chúng lên sàn. Không có giao hàng thực tế – chỉ thanh toán bằng tiền mặt. Bybit đóng vai trò trung tâm thanh toán bù trừ, giữ tài sản thế chấp và quản lý rủi ro.
Về mặt kỹ thuật, đây là một sản phẩm CeFi thuần túy. Không có hợp đồng thông minh. Không có oracle on-chain. Không có bằng chứng dự trữ. Toàn bộ hoạt động dựa trên sổ lệnh tập trung và cơ chế định giá nội bộ của Bybit. Nếu bạn so sánh với GMX hoặc Synthetix – những nền tảng phái sinh on-chain có mã nguồn mở và oracle phi tập trung – thì Bybit đang ở thế kỷ trước.
Core: Phân tích kỹ thuật – Điểm mù chết người Tôi đã kiểm tra hàng trăm hợp đồng thông minh DeFi. Mỗi lần, tôi đều tìm thấy lỗi: từ reentrancy trong The DAO, đến lỗi random number generator trong Art Blocks, đến lỗ hổng oracle trong LayerZero. Nhưng với Bybit pre-IPO perpetuals, tôi không thể audit được gì vì không có code. Điều này dẫn đến ba vấn đề kỹ thuật nghiêm trọng:
- Định giá không minh bạch: Unitree và Moonshot AI là công ty tư nhân. Không có báo cáo tài chính công khai. Giá trị của chúng được xác định bởi các vòng gọi vốn gần nhất – dữ liệu này thường chỉ có ở các quỹ đầu tư mạo hiểm. Bybit sẽ lấy index từ đâu? Nếu họ tự xây dựng chỉ số, đó là xung đột lợi ích. Nếu họ thuê bên thứ ba, bên đó có thể bị thao túng. Trong mọi trường hợp, người dùng đặt cược vào một "hộp đen" định giá.
- Không có cơ chế chống thao túng: Trên thị trường phái sinh truyền thống, các hợp đồng tương lai dựa trên cổ phiếu niêm yết có giá tham chiếu từ sàn giao dịch chứng khoán – nơi có hàng triệu giao dịch mỗi ngày. Với pre-IPO, không có thanh khoản cơ bản. Một tin đồn từ một quỹ đầu tư có thể đẩy giá lên 50% trong vài phút, gây ra thanh lý hàng loạt. Bybit có thể dừng giao dịch, nhưng đó là quyết định chủ quan.
- Rủi ro tập trung hóa cực đoan: Bybit nắm giữ toàn bộ tài sản thế chấp USDT. Nếu họ gặp vấn đề thanh khoản (như FTX), người dùng mất trắng. Không có smart contract để rút tiền tự động. Không có DAO để kiểm tra. Đây là mô hình "trust me bro" tồi tệ nhất.
Contrarian: Tại sao mọi người lại nghĩ đây là RWA? Tôi hiểu sự hấp dẫn. AI và robot là những câu chuyện nóng nhất. Moonshot AI huy động hàng trăm triệu USD. Unitree là kỳ lân robot. Cho phép giao dịch pre-IPO của họ giống như "dân chủ hóa đầu tư mạo hiểm". Nhưng thực tế: đây là một sản phẩm CFD (hợp đồng chênh lệch) được bọc trong lớp vỏ crypto. Các CFD tương tự đã tồn tại từ những năm 1990 trên các nền tảng như IG hay Plus500. Sự khác biệt duy nhất là Bybit chấp nhận USDT và không yêu cầu KYC (có thể).
Điểm mù lớn nhất: không có cơ chế định giá đáng tin cậy. Trong thế giới DeFi, chúng ta có Chainlink với nhiều oracle, có Uniswap với giá on-chain. Ở đây, không có gì. Nếu bạn giao dịch một perpetual trên GMX, giá được lấy từ nhiều nguồn và có thể kiểm tra. Với Bybit, bạn chỉ có thể tin tưởng vào một con số hiển thị trên màn hình. Tôi đã từng phân tích lỗ hổng oracle trong LayerZero – nơi chỉ cần một node oracle giả mạo là có thể thao túng toàn bộ hệ thống. Bybit pre-IPO còn tệ hơn: không có oracle, chỉ có một nguồn dữ liệu duy nhất.
Takeaway: Khi FOMO gặp sự thiếu minh bạch Thị trường đang tăng. Mọi người đang tìm kiếm alpha. Bybit biết điều đó và tung ra sản phẩm "hot" để hút thanh khoản. Nhưng với tư cách là một kỹ sư giao thức, tôi chỉ thấy một thứ: rủi ro đối tác cực cao, không có khả năng kiểm toán, và một câu chuyện đẹp để che giấu sự thật kỹ thuật.
Lần tới khi bạn nhìn thấy một dự án "RWA" mà không có mã nguồn mở, hãy nhớ đến The DAO. Năm 2016, tôi đã cảnh báo về reentrancy. Mọi người cười. Sau đó, 3,6 triệu ETH bốc hơi. Hôm nay, tôi cảnh báo về pre-IPO perpetuals. Không có code, không có oracle, không có sự thật. Bạn có muốn đặt cược không?