Ai nắm 'danh sách trắng' là nắm quyền sống còn: Bài học từ Biển Đen cho các blockchain bridge và hệ sinh thái DeFi

Khi tôi đọc bản phân tích quân sự về thỏa thuận giữa Ukraine và Mỹ hồi đầu tháng 8, có một chi tiết khiến tôi dừng lại lâu hơn những thông tin còn lại: Ukraine đã đồng ý không tấn công các tàu chở dầu không phải của Nga và các cơ sở dầu mỏ quan trọng ở Biển Đen. Thoạt nhìn, đây là một động thái ngoại giao để giảm thiểu tổn hại đến thương mại toàn cầu. Nhưng đọc kỹ bản phân tích, tôi nhận ra cấu trúc của thỏa thuận này có cùng DNA với một trong những cơ chế kiểm soát rủi ro gây tranh cãi nhất trong blockchain: allowlist – danh sách trắng. Khi một bridge như Ronin hoặc Wormhole bị khai thác, đội ngũ phát triển có thể kích hoạt chế độ sổ trắng, cho phép chỉ những địa chỉ được phê duyệt trước – thường được coi là “không liên quan đến hacker” – có thể di chuyển tài sản ra khỏi bridge. Tài sản của hacker bị đóng băng. Người dùng trung thực rút được tiền. Nghe có vẻ hợp lý cho đến khi bạn nhận ra: ai đứng sau danh sách trắng đó, và họ quyết định dựa trên tiêu chí gì? Khi một cầu nối xuyên chuỗi trị giá hàng trăm triệu USD hoạt động trên một hợp đồng thông minh mà con người có thể can thiệp, ranh giới giữa một giao thức phi tập trung và một trung tâm thanh toán có chủ quyền trở nên mờ nhạt đến mức khó nhận ra. Trong 24 tháng qua, ngành công nghiệp tiền mã hóa chứng kiến ít nhất 20 vụ tấn công lớn vào hạ tầng bridge và oracle, với tổng thiệt hại lên tới hơn 2,5 tỷ USD – một con số đủ để khiến bất kỳ quốc gia nào phải coi đây là một mặt trận kinh tế. Con số này không phản ánh đầy đủ những tổn thất gián tiếp mà hàng trăm giao thức nhỏ hơn phải gánh chịu khi chúng phụ thuộc vào một cây cầu chung, dù chúng không liên quan đến giao dịch của hacker. Đó chính xác là cảnh ngộ của Kazakhstan khi Ukraine nhắm vào đường ống dẫn dầu CPC nằm trên lãnh thổ Nga. Kazakhstan sở hữu một trong những trữ lượng dầu lớn nhất thế giới, nhưng cánh cửa xuất khẩu của họ hoàn toàn nằm trong tay người khác. Dầu thô của họ phải đi qua đường ống CPC, chạy qua lãnh thổ Nga, để đến cảng Novorossiysk trên Biển Đen. Khi Ukraine phát động các cuộc tấn công bằng máy bay không người lái và tàu mặt nước tự động vào cảng để cắt giảm doanh thu dầu của Nga, Kazakhstan mới là bên phải hứng chịu phần lớn thiệt hại về doanh thu. Không có tuyên bố nào từ Astana được đưa ra trong suốt thời gian đó, bởi họ không có phương án thay thế cho tuyến đường xuất khẩu duy nhất này. Đây là một ví dụ điển hình của rủi ro hệ thống: một bên tham chiến, một bên sở hữu hạ tầng, và một bên thứ ba phụ thuộc hoàn toàn vào hạ tầng đó – nhận lấy toàn bộ hậu quả về phía mình. Blockchain đã được thiết kế để tránh điều đó. Nhưng khi tôi kiểm toán các hợp đồng thông minh trong tám năm làm việc, tôi ngày càng thấy rõ rằng các nút thắt cổ chai không hề biến mất – chúng chỉ di chuyển từ tầng ngân hàng sang tầng giao thức. Một trong những bài học sớm nhất của tôi là kiểm toán hợp đồng ICO EOS.IO vào năm 2017, khi tôi phát hiện 12 lỗ hổng bảo mật nghiêm trọng trong một tháng. Tôi nhớ mình đã nhận ra rằng, trong một hệ sinh thái phi tập trung, một dòng mã được viết bởi một nhóm nhỏ các nhà phát triển vẫn có thể tạo ra những cánh cửa bí mật khiến hàng chục nghìn người mất tài sản chỉ trong vài giây. Khi đó tôi vẫn tin rằng vấn đề nằm ở chất lượng mã nguồn, và chúng ta có thể sửa chữa bằng cách kiểm toán tốt hơn. Nhưng đến nay, sau khi chứng kiến vụ sập của Terra, sự cố Vyper compiler, và loạt bridge bị tấn công, tôi buộc phải kết luận rằng vấn đề không chỉ nằm ở mã nguồn mà nằm ở cách chúng ta phân phối quyền lực trong giây phút khủng hoảng. Hãy nhìn vào cơ chế phản ứng của các bridge sau các vụ tấn công lớn. Khi Ronin bị rút mất 600 triệu USD, một cuộc bỏ phiếu của validator đã được tổ chức để giới hạn việc rút tiền khỏi bridge. Khi Wormhole bị khai thác 325 triệu USD, các nhà phát triển đã nhanh chóng triển khai một bản vá và cô lập các địa chỉ bị đánh cắp. Trong cả hai trường hợp, quyết định cuối cùng không thuộc về người nắm giữ token hay cộng đồng người dùng, mà thuộc về một nhóm nhỏ những người đứng sau công tắc khẩn cấp. Họ có thể kích hoạt pause, có thể đóng băng tài sản của một người dùng vì nghi ngờ rằng tài sản đó có liên quan đến hacker, và có thể duy trì trạng thái đó vô thời hạn. Không khó để nhận ra sự tương đồng với cách Mỹ quản lý xung đột ở Biển Đen. Mỹ không trực tiếp tham chiến, nhưng họ có đủ khả năng gây ảnh hưởng để thúc đẩy Ukraine thiết lập một “khu vực an toàn” cho các tàu chở dầu không phải của Nga. Điều đó nghĩa là Mỹ đang nắm giữ quyền lực xác định ai là mục tiêu hợp pháp và ai là bên được bảo hộ. Tương tự, khi một blockchain bridge đóng băng một địa chỉ, nó không chỉ chặn kẻ tấn công – nó gửi một tín hiệu tới toàn bộ hệ sinh thái rằng quyền kiểm soát cuối cùng nằm trong tay một nhóm thiểu số, và điều đó được giấu sau lớp vỏ bọc “bảo mật nâng cao”. Trong một phân tích gần đây về hợp đồng staking cho một quỹ ETF Ethereum, tôi phát hiện ra một hàm dự phòng cho phép đội ngũ phát triển chuyển hướng một phần phần thưởng staking trong trường hợp khẩn cấp. Khi tôi hỏi các đồng nghiệp của mình: “Khẩn cấp theo định nghĩa của ai?” câu trả lời khá thẳng thắn: “Của chúng tôi.” Điều đó có thể chấp nhận được trong một thị trường tăng giá, khi mọi người đều hài lòng với lợi nhuận và ít ai để ý đến các điều khoản ẩn. Nhưng khi thị trường đảo chiều, khi một quỹ đầu tư thua lỗ, các cơ chế khẩn cấp này chính là nơi mà niềm tin sụp đổ đầu tiên. Cũng trong bối cảnh đó, tôi nhìn lại lệnh trừng phạt Tornado Cash mà Bộ Tài chính Mỹ áp dụng vào năm 2022. Nó đã đặt ra một tiền lệ rõ ràng: viết mã là hành vi có thể bị tội phạm hóa. Nhưng đến năm 2025, vấn đề không dừng lại ở việc nhà nước áp đặt danh sách trừng phạt lên các hợp đồng thông minh. Giờ đây, chính các giao thức phi tập trung, vốn tự hào về khả năng kháng kiểm duyệt, đang tự xây dựng những danh sách trừng phạt nội bộ cho mình. Điều này nguy hiểm hơn nhiều vì nó không đi kèm với quy trình pháp lý, không có thủ tục kháng nghị, và không có sự minh bạch về tiêu chí hoạt động. Một địa chỉ có thể bị liệt vào danh sách đen chỉ vì nó nhận một phần tiền từ một nguồn bị nghi ngờ, dù chủ sở hữu thực sự của địa chỉ đó không hề biết nguồn tiền đến từ đâu. Có một câu hỏi mà tôi thường đặt ra khi thiết kế các hợp đồng thông minh phòng thủ: làm thế nào để xây dựng một hệ thống có thể chống lại kẻ tấn công mà không trao cho một nhóm nhỏ khả năng đóng băng toàn bộ hoạt động? Trong các dự án thực tế của mình, tôi đã thử nghiệm nhiều mô hình khác nhau. Một trong những giải pháp tôi tâm đắc nhất là mô hình vault có thời gian khóa rút tiền, mà tôi đã phát triển vào năm 2022 khi thị trường suy thoái. Vault này không chặn bất kỳ ai rút tiền, nhưng yêu cầu một khoảng thời gian chờ đợi trước khi tài sản được chuyển đi. Điều này cho phép các cuộc điều tra diễn ra trước khi quỹ được giải ngân, đồng thời vẫn duy trì một mức độ không thể kiểm duyệt – bất kỳ ai cũng có thể rút, chỉ là không thể rút ngay lập tức. Nhưng cách tiếp cận đó không thể giải quyết triệt để fđiều mà tôi gọi là “nỗi đau của người thứ ba”. Trong một hệ sinh thái nhiều lớp phụ thuộc lẫn nhau, một giao thức nhỏ sử dụng bridge A, phụ thuộc oracle B, và nắm giữ stablecoin C, sẽ bị tổn thương khi bất kỳ thành phần nào trong ba thành phần đó gặp sự cố. Họ không thể tự bảo vệ mình bằng cách viết hợp đồng an toàn nếu lớp hạ tầng bên dưới không an toàn. Họ giống như Kazakhstan trong cuộc chiến Biển Đen: không có tiếng nói trong các quyết định an ninh tập thể, nhưng lại phải gánh chịu hậu quả từ những quyết định đó. Sự thật mà ngành công nghiệp blockchain không muốn nói ra là: các blockchain bridge, oracle và sequencer đã trở thành các trung tâm quyền lực mới, có khả năng quyết định ai được tham gia vào dòng chảy kinh tế và ai bị loại bỏ. Và giống như trong thế giới tài chính truyền thống, những người nắm giữ quyền lực đó sẽ không bao giờ công bố toàn bộ tiêu chí của mình. Họ sẽ khẳng định rằng các quyết định được đưa ra dựa trên dữ liệu on-chain khách quan, nhưng trong thực tế, các phán quyết đều dựa trên sự phán đoán của con người. Một quyết định tưởng chừng kỹ thuật như “địa chỉ này có hoạt động bất thường hay không” thực chất là một phán quyết chính trị. Tôi nhớ một lần, khi tôi đang phân tích logic phân phối phần thưởng của một giao thức staking cho một quỹ đầu tư, tôi phát hiện ra rằng một số dòng mã cho phép team chuyển hướng phần thưởng giữa chừng. Khi tôi đưa vấn đề này lên, nhà phát triển chính trả lời: “Đó là để dự phòng cho các trường hợp khẩn cấp.” Tôi tiếp tục hỏi: “Điều gì xảy ra nếu người dùng không đồng ý với ‘khẩn cấp’ của anh?” Anh ta im lặng một lúc rồi nói: “Họ có thể rút tiền.” Nhưng trên thực tế, nếu team nắm quyền kiểm soát rút tiền, người dùng không thể làm gì khác ngoài việc tuân theo. Bài học từ thỏa thuận Ukraine – Mỹ ở Biển Đen không nằm ở việc ai thắng ai thua trong cuộc chiến đó. Nó nằm ở việc một quyết định quân sự có thể gây ra những hậu quả kinh tế lan tỏa đến những quốc gia hoàn toàn không liên quan, và sau đó một cường quốc bên ngoài có thể can thiệp để vẽ lại ranh giới “an toàn”. Nếu điều này xảy ra trong một hệ thống do các quốc gia có chủ quyền điều hành, nó cũng có thể xảy ra trong một hệ sinh thái blockchain, nơi “chủ quyền” là các nhà phát triển và validator. Khi các giao thức triển khai allowlist, các oracle có quyền tạm ngưng, và các trình sắp xếp có thể kiểm soát thứ tự giao dịch, công nghệ blockchain không còn là một mạng lưới tự do mà là một mạng lưới “được quản lý rủi ro”. Và ở chiều ngược lại, trong một môi trường cạnh tranh khốc liệt, việc nắm giữ quyền kiểm soát khẩn cấp có thể trở thành một lợi thế cạnh tranh: nắm quyền đóng băng là nắm quyền quyết định ai bị loại khỏi trò chơi. Điều này dẫn tôi đến một nhận định phản trực giác: càng nhiều cơ chế bảo mật chủ động được tích hợp vào các giao thức DeFi, hệ sinh thái này càng trở nên giống với thế giới tài chính truyền thống mà blockchain muốn phá bỏ. Trước đây, chúng ta tố cáo các ngân hàng kiểm soát tài khoản của người dùng. Bây giờ chúng ta chấp nhận các bridge có thể đóng băng ví. Sự khác biệt chỉ nằm ở tốc độ ra quyết định và mức độ minh bạch của quy trình, chứ không nằm ở bản chất quyền lực. Từ góc nhìn của một kỹ sư đã làm việc với nhiều loại hợp đồng thông minh từ ICO đến NFT và staking, tôi nhận thấy rằng những thứ được gọi là “giải pháp bảo mật tạm thời” thường tồn tại lâu hơn dự kiến, và những cơ chế được giới thiệu trong trường hợp khẩn cấp sẽ trở thành một phần cấu trúc của hệ sinh thái. Đây cũng là lý do vì sao tôi theo dõi sát các cuộc tranh luận về dữ liệu blob của các rollup sau Dencun. Nếu các cuộc tấn công vào hạ tầng continue, chúng ta sẽ thấy xu hướng tập trung hoá không chỉ ở tầng đồng thuận mà còn ở tầng thanh toán, và khi đó, phí gas của mọi rollup sẽ không chỉ tăng gấp đôi trong hai năm mà còn đi kèm với một lớp kiểm soát mới. Khi tôi phát triển công cụ phân tích thanh khoản trên Uniswap V2 vào năm 2020, tôi thường tự hỏi: điều gì xảy ra nếu một người nắm giữ vị thế kiểm soát lớn trong một pool lớn quyết định rút thanh khoản đồng thời? Tôi đã thấy những đợt flash loan tấn công gây ra sự sụp đổ giá trong vài tích tắc, khiến những người chơi nhỏ lẻ bị thanh lý hàng loạt. Năm đó, nhóm của tôi mất một phần đáng kể lợi nhuận vì một vụ tấn công tương tự. Nhưng sau đó tôi nhận ra rằng, vấn đề không nằm ở sự tinh vi của kẻ tấn công mà nằm ở kiến trúc quyền lực trong giao thức – ai có thể thay đổi tham số, ai có thể nâng cấp hợp đồng, ai có thể đóng băng tài sản. Bản chất của hợp đồng thông minh là các quy tắc không thể thay đổi. Nhưng khi bạn thêm vào một hàm “nâng cấp” hoặc “emergency pause”, bạn đang đưa trở lại yếu tố con người vào trung tâm hệ thống. Nếu không được kiểm soát cẩn thận, yếu tố con người này sẽ lớn dần và thay thế hoàn toàn logic phi tập trung. Điều này đưa chúng ta đến một câu hỏi khó chịu: liệu một blockchain bridge sử dụng allowlist có thể được gọi là một giao thức không cần tin cậy hay không? Nếu câu trả lời là không, vậy chúng ta đang xây dựng điều gì? Một hệ thống trung gian nhanh hơn, chạy trên mã nguồn mở nhưng vẫn hoạt động như một ngân hàng với quyền đóng băng tài khoản và phong tỏa tài sản. Từ góc độ địa chính trị, các quốc gia như Nga, Mỹ và các nước châu Âu đều muốn kiểm soát dòng chảy năng lượng. Còn trong thế giới blockchain, các bridge và oracle muốn kiểm soát dòng chảy tài sản. Có một sự tương đồng gay gắt: cả hai đều có những “khu vực an toàn” và “khu vực cấm”. Và cả hai đều tạo ra những bên thứ ba phụ thuộc – những Kazakhstan của thế giới số. Điểm khác biệt duy nhất là ở blockchain, chúng ta vẫn có cơ hội thiết kế lại hệ thống trước khi quá muộn. Với một thiết kế hợp lý, chúng ta có thể xây dựng các cơ chế cảnh báo sớm mà không cần đến quyền đóng băng. Chúng ta có thể tạo ra các mô hình kiểm toán liên tục, nơi bất kỳ ai cũng có thể theo dõi tính hợp lệ của các giao dịch mà không cần tin vào một bên trung gian. Chúng ta có thể thiết kế các bridge không có quyền kiểm soát khẩn cấp nhưng có các khoảng thời gian khóa rút tiền để tạo không gian phản ứng – như một lợi thế về thời gian thay vì lợi thế về quyền lực. Tuy nhiên, tôi nhìn thấy một nghịch lý. Thị trường đang trong giai đoạn tăng giá, và trong giai đoạn này, hầu hết mọi người không muốn nghe về các kịch bản sụp đổ. Các dự án mới gọi vốn với tốc độ cao, cộng đồng không có thời gian đọc kỹ các điều khoản của hợp đồng thông minh. Nhưng chính trong bối cảnh lạc quan này, những lỗ hổng về quyền lực sẽ lớn lên âm thầm. Từng chút một, các cơ chế khẩn cấp được thêm vào các giao thức như một tính năng bảo mật mới, và các nhà đầu tư vỗ tay tán thưởng vì cho rằng tiền của họ được an toàn hơn. Họ không nhận ra rằng, khi một giao thức có thể đóng băng bất kỳ ai, nó cũng có thể đóng băng họ. Trở lại với câu chuyện Biển Đen. Ukraine đồng ý không tấn công các tàu không phải của Nga, nhưng vẫn giữ quyền tấn công các tàu của Nga. Điều này cho thấy một sự lựa chọn có chủ ý để tối đa hóa áp lực lên kẻ thù trong khi giảm thiểu thiệt hại cho đồng minh. Trong thế giới DeFi, các nhà phát triển đang làm điều tương tự khi họ quyết định ai có thể sử dụng giao thức và ai không thể, ai được hưởng lợi từ một cơ chế cứu trợ và ai bị bỏ lại. Và khi quyền lực này nằm trong tay một nhóm nhỏ mà không có sự giám sát độc lập, nó gần như chắc chắn sẽ bị lạm dụng. Vậy, giải pháp nằm ở đâu? Có lẽ bắt đầu từ việc hiểu rằng, một giao thức blockchain không nhất thiết phải có một “chủ quyền” duy nhất. Thay vì cho phép một team phát triển kiểm soát danh sách trắng, chúng ta có thể thiết kế các cơ chế đa chữ ký với sự tham gia của các bên có lợi ích độc lập – người dùng, nhà phát triển, và các cơ quan quản lý nếu cần. Thay vì cho phép một bridge tạm ngưng hoạt động hoàn toàn, chúng ta có thể thiết kế nó với chế độ giảm tốc độ xử lý để mọi giao dịch đều có thời gian được xem xét. Thay vì tìm kiếm sự an toàn tuyệt đối, chúng ta nên tìm kiếm sự minh bạch tuyệt đối về quyền lực. Phân tích chiến lược của Mỹ tại Biển Đen cho thấy một cách tiếp cận thực dụng: họ không cố gắng chấm dứt chiến tranh, họ chỉ cố gắng ngăn chặn chiến tranh làm tổn thương các lợi ích kinh tế quan trọng của họ. Điều này cũng giống như cách các giao thức DeFi bảo vệ thanh khoản của họ bằng cách hy sinh tính phi tập trung. Cả hai đều là sự lựa chọn có ý thức – nhưng trong Blockchain, không có một quốc gia nào đứng ra làm trọng tài. Chúng ta là những người tự quyết định. Câu hỏi mà tôi muốn để lại cho những người đang xây dựng các giao thức tài chính phi tập trung: Nếu một ngày nào đó, bạn nhận được quyền kiểm soát danh sách trắng của một cây cầu lớn, bạn sẽ sử dụng nó như thế nào? Bạn sẽ giới hạn các quyền đó trong hợp đồng thông minh, hay bạn sẽ để mở cho các quyết định của con người? Bởi vì nếu bạn để mở, bạn có thể thấy mình đang đứng ở vị trí của người ra lệnh – và điều đó không khác gì việc bạn là một ngân hàng trung ương, dù bạn không thừa nhận. Không có hệ thống nào có thể tự duy trì hoàn toàn. Mỗi lớp phi tập trung đều cần một lớp tin tưởng tối thiểu. Nhưng chúng ta có thể chọn nơi để đặt lòng tin đó – ở một cá nhân, ở một ủy ban, ở một thuật toán mở có thể kiểm toán, hoặc ở một mạng lưới các bên kiểm tra độc lập. Khi nói đến các cơ chế khẩn cấp, chúng ta cần nhớ rằng sự khẩn cấp không bao giờ được phép trở thành lý do để trao toàn quyền. Ukraine và Mỹ đã dạy chúng ta một bài học: ngay cả trong thời chiến, người ta vẫn dành thời gian để vẽ ra ranh giới giữa an toàn và nguy hiểm. Vậy tại sao trong thế giới phi tập trung, chúng ta lại dễ dàng trao cho các giao thức quyền xóa sổ một người dùng chỉ bằng một dòng chữ trong điều khoản sử dụng?