Ngày 21/2/2025, Bybit mất 1,46 tỷ USD. Không phải vì một lỗ hổng trong smart contract. Không phải vì một exploit chưa từng thấy. Mà vì những người ký giao dịch nhìn thấy địa chỉ ví đúng, trong khi màn hình đang nói dối họ.
Nếu một sàn giao dịch có đầy đủ 'audit badge' từ nhiều công ty uy tín vẫn có thể bị rút sạch như vậy, thì thứ mà hàng nghìn dự án treo trên website của họ — cái huy hiệu 'Đã kiểm toán' đỏ rực — thực sự có giá trị bao nhiêu? Hãy cùng tôi mổ xẻ.
Tôi đã dành 22 năm quan sát ngành này, từ những ngày ICO điên rồ năm 2017, qua DeFi Summer 2020, cho đến khi làm CBDC Researcher tại Dubai và nhìn thấy cách các tổ chức tài chính truyền thống đối diện với rủi ro hệ thống. Có một sự thật mà ngành crypto đang cố tình lờ đi: chúng ta đã trao cho 'audit' một quyền lực mà nó chưa bao giờ xứng đáng.
Audit không phải là một tấm khiên — nó chỉ là một bức ảnh chụp tại một thời điểm
Hãy tưởng tượng bạn mua một căn nhà đã qua kiểm định chất lượng. Bạn tin rằng nó an toàn. Nhưng bản kiểm định đó chỉ được thực hiện vào một ngày cụ thể, trên một phiên bản blueprint cụ thể. Sau đó, chủ nhà đã đục tường, thay dây điện, sửa mái — và bạn không hề hay biết.
Smart contract audit cũng vậy. Khi một công ty như OpenZeppelin kiểm toán một dự án, họ xác định rõ phạm vi: một commit hash cụ thể, một danh sách các contract, và một khoảng thời gian kiểm toán ba ngày. Họ không đảm bảo điều gì về những gì xảy ra sau đó. Họ không đảm bảo về frontend, về máy tính của nhân viên, về tài khoản cloud, về thiết bị ký giao dịch.
Nhưng khi dự án đưa báo cáo đó lên website — thứ mà bên kiểm toán mô tả cẩn thận về phạm vi giới hạn — vô tình bị biến thành một tấm giấy chứng nhận an toàn tuyệt đối.
Nhà đầu tư mua vào cái cảm giác an toàn, nhưng những gì họ nhận được chỉ là một bức ảnh chụp mã nguồn tại một thời điểm quá khứ.
Hãy nhìn vào số liệu từ Oak Security (dù còn ở dạng preprint, chưa qua phản biện toàn diện): khoảng 1/6 các phát hiện từ audit được xếp vào mức nghiêm trọng hoặc nguy hiểm cao. Nhưng ngay cả khi audit tìm ra lỗi, vấn đề không dừng lại ở đó. Một lỗi được tìm thấy trong quá trình kiểm toán không có nghĩa là nó được sửa. Một lỗi được sửa không có nghĩa là không có lỗi mới được giới thiệu trong quá trình sửa. Nhà đầu tư thường không bao giờ biết được dự án đã vượt qua bao nhiêu vòng kiểm toán trước khi trưng ra cái huy hiệu đó.
Vụ Bybit: Một cú sốc hệ thống vạch trần giới hạn của audit
Bybit là một trường hợp đau đớn. Các nhà phân tích ban đầu đổ lỗi cho smart contract — một phản xạ tự nhiên của ngành. Nhưng sự thật phức tạp hơn nhiều. Safe, nền tảng đa chữ ký mà Bybit sử dụng, xác nhận rằng không có lỗ hổng nào trong smart contract. Vụ việc bắt nguồn từ 'máy tính của nhà phát triển bị xâm nhập'.
Hãy để tôi diễn giải điều này theo cách của một người làm tài chính: kẻ tấn công không cần phá vỡ mã nguồn. Chúng chỉ cần làm cho con người tin rằng họ đang ký một giao dịch đúng đắn.
Phần mềm độc hại đã thao túng giao diện, khiến người ký nhìn thấy địa chỉ ví đúng dự kiến, trong khi dữ liệu thực tế bên dưới lại chuyển quyền kiểm soát ví cho kẻ tấn công. Đây là sự tách biệt giữa bảo mật khóa và xác thực ý định. Không một audit nào trên smart contract có thể phát hiện ra điều này, bởi vì lỗ hổng nằm ngoài phạm vi mã nguồn.
Thống kê từ vụ việc càng cho thấy bức tranh rõ ràng hơn: rò rỉ khóa riêng tư và lừa đảo chiếm tổng cộng 43,9% giá trị tài sản bị đánh cắp trong ngành. Trong khi đó, ba loại lỗi audit phổ biến nhất chỉ chiếm 37,6%. Nói cách khác — thứ mà các công ty audit săn lùng ráo riết, những lỗ hổng trong code, không phải là nguồn rủi ro chính. Điểm mù lớn nhất của crypto không nằm trong file .sol — mà nằm giữa chiếc laptop của nhà phát triển và màn hình của người ký giao dịch.
Tôi nhớ lại cuộc khủng hoảng năm 2008. Khi đó, các ngân hàng có đầy đủ xếp hạng AAA từ S&P và Moody's. Những xếp hạng này được xây dựng từ các mô hình phức tạp, với hàng nghìn trang tài liệu. Và chúng đã hoàn toàn sai lầm. Ngành crypto đang tự tạo ra một phiên bản AAA của riêng mình — cái gọi là 'audit badge' — và đang lặp lại chính xác sai lầm tương tự: tin rằng một bên thứ ba độc lập có thể đảm bảo an toàn cho một hệ thống vốn dĩ quá phức tạp để nắm bắt trọn vẹn.
Một con số khác mà ít ai để ý
Trong báo cáo của tôi về chu kỳ thanh khoản NFT năm 2021, tôi đã nhận ra rằng mọi thứ đều có chu kỳ — kể cả niềm tin. Nhưng có một con số khiến tôi dừng lại: 37,6% lỗi audit thuộc ba hạng mục hàng đầu. Điều này nghĩa là gì? Nghĩa là các công ty kiểm toán đang tìm thấy rất nhiều vấn đề tương tự nhau ở rất nhiều dự án khác nhau. Và nếu những lỗi này cứ lặp đi lặp lại trong code, thì có một vấn đề mang tính hệ thống trong cách chúng ta đào tạo lập trình viên và cách chúng ta xây dựng framework phát triển.
Tuy nhiên, ngành này vẫn tiếp tục trả hàng trăm nghìn USD cho mỗi lần audit, rồi trưng huy hiệu lên trang chủ, như thể đó là một nghi thức bắt buộc để xoa dịu nhà đầu tư. Nó không khác gì việc các công ty niêm yết trên sàn chứng khoán thuê kiểm toán viên vào phút chót để ký vào báo cáo tài chính mà không ai thực sự kiểm tra giấy tờ gốc.
Lập trường gây tranh cãi: Điều mà thị trường đang hiểu sai về 'audited'
Hãy để tôi đi ngược lại với số đông. Có một làn sóng kêu gọi 'kiểm toán nhiều hơn', 'kiểm toán sâu hơn', 'kiểm toán toàn diện hơn' sau vụ Bybit. Nhưng tôi cho rằng hành động này giống như việc đội thêm mũ bảo hiểm khi trọng tâm rủi ro thực sự nằm ở việc con đường đang sụp lún bên dưới.
Vấn đề không phải là audit không đủ — mà là chúng ta đã đặt sai kỳ vọng vào một công cụ vốn chỉ giải quyết một phần của bài toán.
Audit trả lời câu hỏi: 'Mã nguồn này có an toàn tại một thời điểm cụ thể không?' Nó không trả lời cho những câu hỏi mà người dùng đang thực sự cần: 'Hệ thống sản xuất của tôi có an toàn không?' 'Đội ngũ vận hành có đủ năng lực xử lý sự cố không?' 'Phần mềm độc hại có đang thao túng màn hình của tôi không?' 'Tôi có đang ký vào một giao dịch mà tôi không hiểu đầy đủ hậu quả không?'
Vụ Bybit không phải là một thất bại của smart contract audit — nó là thất bại của quy trình vận hành, của kiểm soát nội bộ, của lớp bảo mật xung quanh thiết bị và con người. Và khi một ngành bán cho bạn một huy hiệu 'đã kiểm toán' như thể đó là tấm khiên bảo vệ bạn khỏi mọi rủi ro, bạn đang mua một niềm tin không dựa trên thực tế mà dựa trên chiến lược tiếp thị.
Hãy nhìn vào các bằng chứng lịch sử. Từ sự sụp đổ của Terra LUNA năm 2022, vốn được kiểm toán bởi nhiều công ty lớn, cho đến hàng loạt vụ rug pull sau đó với đầy đủ 'audit badge'. Nếu audit thực sự bảo vệ được nhà đầu tư — chúng ta đã không chứng kiến hàng chục tỷ USD bốc hơi vì những lý do chẳng liên quan gì đến code. Trong 22 năm quan sát của mình, tôi nhận ra rằng: những vụ mất tiền lớn nhất trong crypto gần như không bao giờ bắt nguồn từ một lỗi trong một dòng code — chúng thường bắt nguồn từ sự thất bại trong quy trình của con người, hoặc từ các cuộc tấn công tinh vi vào các điểm mù mà không ai nghĩ tới.
Nếu chúng ta không thay đổi cách nhìn về audit, làn sóng tiếp theo sẽ còn tàn khốc hơn. Kẻ tấn công sẽ tập trung vào các giao thức mới với 'audit badge' đẹp đẽ từ 3-4 công ty khác nhau, biết rằng chúng chỉ có giá trị trang trí. Chúng sẽ khai thác các điểm mù về con người, về vận hành, về phần mềm độc hại — những thứ mà không một audit nào đụng tới.
Nếu ví của bạn bị rút sạch vì một phần mềm độc hại thao túng giao diện ký, liệu bạn có an ủi mình rằng 'ít nhất nó được kiểm toán bởi ba công ty hàng đầu' không? Câu hỏi đó — câu hỏi về giá trị thực sự của kỹ thuật bảo mật khi đặt trong bối cảnh vận hành thực tế — chính là thứ mà thị trường cần tự vấn, thay vì tiếp tục xây dựng thêm những tấm khiên bằng giấy.
Kết luận mở: Bài toán tiếp theo không nằm ở mã nguồn
Hệ thống tài chính truyền thống đã trải qua nhiều thập kỷ để xây dựng các lớp bảo vệ phức tạp quanh hệ thống thanh toán. Crypto không thể mong đợi một báo cáo audit duy nhất giải quyết được vấn đề mà ngành ngân hàng phải dùng tới hàng nghìn trang quy định để đối phó.
Khi tôi còn nghiên cứu các mô hình mất khả năng thanh toán trên blockchain, một điều luôn khiến tôi trăn trở: chúng ta dành 90% nguồn lực cho việc bảo mật mã nguồn, nhưng chỉ dành 10% cho việc bảo mật quy trình. Điều gì sẽ xảy ra khi toàn bộ ngành dịch chuyển trọng tâm sang lớp vận hành — nơi mà những vụ mất tiền thực sự xảy ra? Có lẽ khi đó chúng ta mới thực sự bắt đầu xây dựng một hệ thống tài chính đáng tin cậy, thay vì tiếp tục trang trí cho những huy hiệu ảo. Thị trường sẽ nhớ đến Bybit như một bài học về sự kiêu ngạo của con người khi nghĩ rằng vài dòng code có thể che chở cho tất cả.