Tôi vừa đọc một bài báo trên Crypto Briefing. Tiêu đề: "Manchester City linked with Enzo Fernandez amid Rodri transfer talks". Dòng đầu tiên: "Manchester City đang xem xét chiêu mộ Enzo Fernandez từ Benfica, trong bối cảnh tương lai của Rodri bị đặt dấu hỏi". Không có ngày. Không có nguồn. Không có một chữ nào về blockchain, token, hay DeFi. Vậy tại sao một trang tin chuyên về crypto lại đăng tin bóng đá? Câu trả lời không nằm ở thể thao. Nó nằm ở bytecode của những hợp đồng mà tôi đã audit suốt 7 năm qua.
Từ lỗ hổng nhỏ nhất, một hệ thống có thể sụp đổ. Và lỗ hổng ở đây không phải trong smart contract, mà trong chính cấu trúc thông tin của thị trường crypto. Khi một trang tin có uy tín bắt đầu đăng nội dung không liên quan, đó không phải là sự đa dạng hóa. Đó là một reentrancy attack vào sự chú ý của nhà đầu tư.
Context: Crypto Briefing là ai?
Crypto Briefing ra đời năm 2017, từng là một trong những nguồn tin đáng tin cậy nhất về blockchain. Họ có đội ngũ phân tích kỹ thuật, thường xuyên đăng các bài deep-dive về DeFi, NFT, và các dự án mới. Tôi từng dùng bài viết của họ để tham khảo khi audit Uniswap v2. Nhưng từ năm 2024, tôi bắt đầu thấy những dấu hiệu lạ: bài viết về meme coin, về dự đoán giá Bitcoin, và bây giờ là tin bóng đá hoàn toàn không có mã nguồn.
Bear market là mùa của những kẻ kiên nhẫn đào sâu. Nhưng trong bull market, sự kiên nhẫn biến thành FOMO, và các trang tin bắt đầu chạy theo clickbait. Crypto Briefing không phải ngoại lệ. Họ có thể đang thử nghiệm một chiến lược mới: mở rộng đối tượng độc giả bằng cách đưa tin thể thao. Nhưng với tư cách là một auditor, tôi thấy điều này giống như một dự án DeFi đột nhiên thêm tính năng chơi game mà không audit lại contract. Mọi thứ có thể vẫn chạy, nhưng rủi ro tăng vọt.
Core: Phân tích cấp code của bài báo
Tôi sẽ áp dụng khuôn khổ audit của mình vào bài báo này. Không phải để tìm lỗi trong code, mà để tìm lỗi trong logic thông tin.
1. Không có nguồn dữ liệu Trong audit, bước đầu tiên là xác định nguồn của từng biến. Bài báo không hề dẫn nguồn: không có tweet từ Fabrizio Romano, không có thông báo từ Manchester City, không có số liệu từ Transfermarkt. Nó chỉ là một câu khẳng định. Nếu đây là một hàm trong Solidity, nó sẽ bị flag là "uninitialized storage pointer".
2. Thiếu timestamp Không có ngày xuất bản. Trong blockchain, timestamp là yếu tố sống còn để xác định thứ tự giao dịch. Một bài báo không có ngày là một khối không có nonce. Nó không thể được verify.
3. Liên kết crypto bằng 0 Dù đăng trên Crypto Briefing, bài báo không đề cập đến bất kỳ token nào, không có NFT, không có fan token. Nó hoàn toàn tách rời khỏi hệ sinh thái crypto. Điều này giống như một dự án tuyên bố "chúng tôi đang xây dựng trên Ethereum" nhưng trong code lại không có interface với Ethereum. Một red flag kinh điển.
4. Tác động đến độc giả Tôi ước tính có khoảng 30% độc giả của Crypto Briefing là nhà đầu tư nghiêm túc, đọc để tìm cơ hội. Khi họ thấy tin bóng đá, họ có thể nghĩ "ồ, có thể có fan token sắp ra mắt" và bắt đầu tìm kiếm. Nhưng không có token nào. Sự chú ý của họ bị lãng phí, và trong thời gian đó, họ có thể bỏ lỡ một lỗ hổng bảo mật thực sự.
Sự tĩnh lặng của dữ liệu thường che giấu bão tố. Bài báo này tĩnh lặng một cách đáng ngờ. Nó không gây hại ngay lập tức, nhưng nó làm xói mòn lòng tin. Lòng tin là tài sản đắt nhất trên on-chain.
Contrarian: Góc nhìn phản trực giác
Bạn có thể nghĩ: "Thì sao? Một bài báo bóng đá trên trang crypto có gì to tát? Có thể họ đang thử nghiệm mảng mới." Tôi đồng ý rằng crypto và thể thao đang hội nhập. Manchester City đã phát hành fan token $CITY trên Socios.com. Nhưng bài báo này không nhắc đến $CITY, không nhắc đến blockchain. Nếu họ muốn nói về mối liên hệ, họ sẽ viết về cách Enzo Fernandez có thể được trả lương bằng Bitcoin hoặc cách fan token có thể tăng giá nếu anh ấy gia nhập. Họ không làm điều đó.
Điểm mù ở đây là: nhiều nhà đầu tư sẽ coi bài báo này là vô hại. Họ lướt qua, không suy nghĩ. Nhưng trong 7 năm audit, tôi học được rằng các lỗ hổng nghiêm trọng nhất thường bắt đầu từ những thứ tưởng chừng vô hại. Một hàm withdraw không có reentrancy guard, một phép tính không check overflow, một bài báo không có nguồn. Tất cả đều là những vết nứt đầu tiên.
Tôi không tin vào lời nói, tôi tin vào bytecode. Và bytecode của bài báo này là rỗng. Nó không chứa bất kỳ thông tin nào có thể kiểm chứng. Đây là một zero-knowledge proof của sự vô dụng.
Takeaway: Dự báo lỗ hổng
Tôi sẽ đưa ra một phán đoán mang tính tiến bộ: Trong vòng 6 tháng tới, Crypto Briefing sẽ đăng ít nhất 3 bài báo tương tự, không liên quan đến crypto, và sau đó sẽ xuất hiện một bài PR cho một dự án token mới. Đây là pattern tôi đã thấy nhiều lần: các trang tin dùng nội dung clickbait để xây dựng lượng truy cập, sau đó bán không gian quảng cáo hoặc bài viết trả tiền cho các dự án rủi ro cao. Nếu bạn là nhà đầu tư, hãy coi những bài báo như vậy là một cảnh báo. Đừng để FOMO làm mờ mắt.
Hợp đồng là luật, nhưng lỗ hổng là ngoại lệ. Và ngoại lệ này đang viết về bóng đá.
