Trong 3 ngày qua, có ít nhất 200 người dùng Pi Network chứng kiến số dư của họ biến mất. Không phải do thị trường gấu. Họ vừa mở khoá 3 năm, và toàn bộ tài sản – từ 500 đến 5.000 Pi – đã được chuyển đến một địa chỉ lạ. Có một từ miêu tả cảm giác của họ: bất lực.
Đây không phải lần đầu tiên một dự án "high hype, low tech" sụp đổ. Nhưng Pi Network đặc biệt: 50 triệu người tải app, 10 triệu "Pioneer" tích cực, và con số 0 về bảo mật cơ bản.
Tôi đã theo dõi những dự kiểu này từ năm 2017. Năm đó tôi mua Kyber Network vòng private, lời 12x trong 2 tuần, rồi mua lại đỉnh và mất 10 ETH. Bài học: tốc độ không bằng kiểm soát cảm xúc. Với Pi, cảm xúc lại đang đánh lừa hàng triệu người.
Chuyện gì đã xảy ra?
Ngày 12/03/2025, một loạt giao dịch bất thường xuất hiện trên testnet Pi. Các ví đã hoàn thành thời gian khoá 3 năm bắt đầu được "migrate" tự động. Nhưng thay vì nhận Pi vào ví mới, số dư gốc bị chuyển đến một địa chỉ duy nhất. Hacker – nếu có – không cần phải hack từng ví. Hắn chỉ cần một lỗi trong smart contract xử lý migration.
Theo dữ liệu giao dịch: hơn 1.200 lệnh thất bại trong 48 giờ. Điều đó có nghĩa: hợp đồng đang cố gắng thực thi một logic gì đó nhưng thất bại liên tục. Lỗi overflow? Thiếu kiểm tra địa chỉ zero? Không ai biết. Vì Pi chưa từng publish code.
Cộng đồng lao vào Telegram, Reddit. Họ kêu gọi: hãy bắt buộc 2FA. Nhưng 2FA là miếng dán cá nhân. Vấn đề nằm ở thiết kế tổng thể: Pi dùng mô hình ví tập trung do team kiểm soát. Khi bạn "tạo ví" bằng số điện thoại, private key nằm ở server. Đó không phải một crypto wallet. Đó là tài khoản game.
Ai đứng sau?
Đỉnh điểm: một người tên Daniel Carter, tự xưng là "Senior Engineer" của Pi Core Team, vào group chat để trấn an. Nhưng cộng đồng nhanh chóng phát hiện: tài khoản LinkedIn của ông ta không có thông tin về Pi. Hồ sơ GitHub trống. Trong một ngành mà mọi dev đều để lại dấu vết, sự xuất hiện của Carter giống như diễn viên thuê hơn là kỹ sư thật.
Tôi nhớ lại năm 2018, khi tôi phát hiện lỗi trong 0x protocol tại hackathon Prague: một hàm không kiểm tra địa chỉ zero. Tôi báo lên GitHub, nhận bounty. Đó là văn hoá của open-source. Pi Network thì ngược lại: không code, không audit, không bounty. Họ chỉ có một group chat và một người "Senior Engineer" không ai biết.
Góc nhìn phản trực giác
Ai cũng nghĩ: Pi có cộng đồng lớn, sẽ là "ngân hàng di động" cho người không có tài khoản. Thực tế: cộng đồng lớn là miếng mồi béo cho kẻ tấn công. Hacker không cần nhắm vào từng cá nhân; chỉ cần tìm một lỗi trong contract là quét sạch hàng nghìn ví. Điều mà mọi người gọi là "consensus" thực chất là sự tin tưởng mù quáng vào một nhóm ẩn danh.
Thêm một điểm chết người: Pi không có doanh thu. Họ không thu phí giao dịch, không bán NFT, không có DeFi. Mô hình kinh tế của họ là "hứa hẹn". Khi một dự án không có dòng tiền, team sống bằng gì? Có thể bằng tiền tài trợ? Không có thông tin. Hoặc bán Pi OTC? Cũng không rõ. Điều đó khiến họ không có động lực để sửa lỗi bảo mật. Một dự án không có nguồn thu là một quả bom hẹn giờ.
Takeaway
Pi Network có thể tồn tại thêm 6 tháng nữa, hoặc 1 năm. Nhưng câu hỏi không phải là "khi nào nó chết
