Có một kiểu lỗ hổng không nằm trong bytecode, mà nằm ở khoảng cách giữa thực tế và những gì smart contract tin là thực tế. Sự kiện Stake.com vừa qua minh họa điều đó một cách hoàn hảo: sòng bạc crypto hàng đầu tổ chức giải esports đầu tiên của mình, một đội bất ngờ forfeit, và toàn bộ prediction market quanh trận đấu rơi vào hỗn loạn. Không một dòng code nào bị khai thác. Không một khoản tiền nào bị hack. Nhưng hàng loạt hợp đồng thông minh đứng im, không biết phải thanh toán cho ai.
Với một người làm audit như tôi, đây là loại sự cố thú vị nhất: nó không đến từ một lỗi syntax hay một reentrancy bug, mà đến từ sự ngây thơ trong thiết kế trạng thái.
Trước khi đi sâu vào kỹ thuật, phải nói rõ một điều: Stake không phải là một giao thức phi tập trung. Đó là một sòng bạc trung tâm hóa nhận crypto, nổi tiếng với việc chi mạnh tay cho tài trợ thể thao và esports. Họ không có token riêng, không có governance, không có smart contract nào đáng để audit. Giải esports đầu tiên của họ chỉ đơn giản là một chiến dịch mở rộng thương hiệu: đưa đám đông crypto vào một giải đấu có thưởng. Nhưng vì Stake có chỗ đứng trong hệ sinh thái, các prediction market bên thứ ba đã mở thị trường cho từng trận đấu. Đó là nơi mọi thứ vỡ ra.
Stake kiếm tiền bằng cách nào? Đơn giản: user nạp crypto, đặt cược, và Stake ăn phần trăm trên mỗi lượt. Không có token để bơm giá, không có governance để bàn cãi. Họ không cần phải minh bạch, bởi vì không có một hợp đồng thông minh nào bắt họ phải minh bạch. Nhưng chính sự thiếu minh bạch đó lại tạo ra một khoảng trống mà prediction market lao vào lấp. Và khi prediction market lao vào, chúng mang theo kỳ vọng của những người tin rằng mã nguồn sẽ bảo vệ họ khỏi sự tùy tiện của thế giới thực.
Forfeit – một đội tuyên bố bỏ cuộc – là một "non-standard event". Nó không nằm trong tập hợp kết quả mà hợp đồng thông minh được lập trình để xử lý. Một prediction market điển hình định nghĩa outcome là một binary: Team A thắng hoặc Team B thắng. Không có nhánh nào cho "trận đấu không diễn ra", "cả hai đều không thắng", hay "kết quả bị hủy bỏ". Khi forfeit xảy ra, oracle không có giá trị hợp lệ nào để đẩy lên chain. Và khi oracle không thể đẩy dữ liệu, hợp đồng kẹt cứng. Tiền thì vẫn nằm đó. Nhưng không ai rút được.
Đây chính là lỗ hổng mà tôi gọi là "khoảng cách thực tế" – gap giữa mô hình xác suất của nhà phát triển và sự hỗn loạn của thế giới thực. Trong một lần audit một hợp đồng cá cược thể thao trên testnet, tôi hỏi đội ngũ phát triển: "Nếu trận đấu bị hoãn vì mưa thì contract xử lý thế nào?" Họ nhìn tôi như thể tôi vừa hỏi một câu về vật lý lượng tử. Cuối cùng họ thừa nhận: chưa từng nghĩ đến. Đó là khoảnh khắc tôi nhận ra rằng ngành này đang xây những tòa nhà chọc trời trên nền đất yếu. ICOs: nơi lỗ hổng được viết bằng tiền. Prediction market: nơi lỗ hổng được viết bằng thanh khoản thật. Cả hai đều có chung một căn bệnh: tin rằng thế giới sẽ vận hành theo đúng kịch bản trong whitepaper.
Hãy nhìn vào thiết kế điển hình của một prediction market như Polymarket hoặc Azuro. Chúng dùng một oracle để báo cáo kết quả, sau đó cho phép một "dispute window" – khoảng thời gian mà bất kỳ ai cũng có thể khiếu nại kết quả bằng cách stake token. Về mặt lý thuyết, điều này tạo ra một cơ chế chống kiểm duyệt. Nhưng với một sự kiện phi tiêu chuẩn như forfeit, dispute window trở thành một vũ khí. Người nắm giữ token có thể dispute liên tục, kéo dài việc thanh toán, và nếu họ stake đủ lớn, họ có thể thao túng kết quả cuối cùng. Không phải vì họ đúng, mà vì họ giàu.
Điều này không phải là chuyện mới. Trong thị trường chứng khoán truyền thống, các sàn giao dịch có circuit breaker – cơ chế ngắt mạch khi giá biến động quá nhanh. Cơ chế đó được thiết kế từ trước, với các mức cụ thể, và được vận hành bởi một bên trung gian có thẩm quyền. Prediction market trong crypto không có circuit breaker. Chúng có một oracle, một dispute window, và niềm tin rằng mọi thứ sẽ diễn ra theo đúng binary outcome. Không ai thiết kế một 'kịch bản vỡ mạch' cho trường hợp thực tế không vừa với mã nguồn.
Sự kiện Stake còn phơi bày một điểm yếu khác: chuỗi oracle mong manh. Kết quả trận đấu là một sự kiện ngoài đời thực. Nó được ghi nhận bởi một bên tổ chức, rồi được chuyển thành dữ liệu có thể đưa lên chain. Mỗi bước trong chuỗi này là một điểm tập trung hóa. Nếu một bên nào đó cố tình báo cáo sai, hoặc chậm trễ, hoặc không có quy trình cho trường hợp forfeit, toàn bộ hệ thống sẽ rơi vào trạng thái không xác định. Stake, với tư cách là nhà tổ chức trung tâm, có thể tự quyết định cách xử lý. Nhưng prediction market thì không. Chúng không có "sếp" để ra quyết định cuối cùng.
Đây là điểm mù mà hầu hết mọi người bỏ qua. Dư luận đổ lỗi cho prediction market vì không lường trước được forfeit. Nhưng vấn đề sâu hơn nằm ở chỗ: prediction market cố gắng phi tập trung hóa một thứ vốn dĩ cần một lớp trọng tài tập trung. Khi trận đấu diễn ra bình thường, oracle chỉ cần làm một phép so sánh nhị phân. Khi trận đấu đi chệch khỏi kịch bản, sẽ cần một ai đó có thẩm quyền để nói: "Kết quả này vô hiệu." Mà thẩm quyền đó thì lại chính là thứ mà các prediction market muốn loại bỏ. Nói cách khác, họ đã xây một cỗ máy hoạt động hoàn hảo, miễn là thế giới không bao giờ làm điều gì bất thường.
Tôi không tin rằng sự kiện này sẽ làm sụp đổ Stake. Một sòng bạc trung tâm hóa có thể dễ dàng trấn an người dùng bằng một quyết định hành chính: hoàn tiền, hủy cược, hoặc đơn giản là làm ngơ. Nhưng với prediction market, một forfeit không chỉ là một trận đấu hủy. Đó là một lời nhắc nhở rằng chúng đang giao dịch trên sự kiện thực tế, và thực tế thì không bao giờ tuân theo mã nguồn của bạn. Một false flag, cả pool sập.
Trong giới bảo mật, chúng tôi gọi đó là attack surface. Bạn không cần phải hack một smart contract. Bạn chỉ cần tạo ra một tình huống mà smart contract không có câu trả lời. Và với các giải đấu esports, nơi mà một đội có thể forfeit vì bất kỳ lý do gì – từ lag mạng đến drama nội bộ – attack surface đó rộng hơn bạn nghĩ. Một kẻ tấn công có tổ chức có thể mua một đội yếu, đẩy chúng vào trận chung kết, rồi bảo chúng forfeit đúng lúc thị trường đạt thanh khoản cao nhất.
Điều tôi muốn thấy tiếp theo không phải là một bản vá cho riêng sự kiện này, mà là một thay đổi mang tính cấu trúc. Các giao thức prediction market cần phải thiết kế cho "non-standard events" trước khi chúng xảy ra, không phải sau khi chúng xảy ra. Điều đó có nghĩa là thêm một nhánh "void" hoặc "cancel" vào trạng thái outcome, định nghĩa ai có quyền kích hoạt nhánh đó, và làm rõ điều gì xảy ra với thanh khoản khi nhánh đó được chọn. Nhưng khi làm vậy, họ sẽ phải đối mặt với một câu hỏi khó: nếu chỉ có một nhóm người được phép tuyên bố trận đấu vô hiệu, thì đó có còn là một thị trường phi tập trung không?
Tôi sẽ theo dõi cách Stake xử lý hậu quả. Họ có thể bồi thường, có thể làm ngơ, và dù họ chọn cách nào, sòng bạc vẫn sẽ tiếp tục hoạt động. Nhưng với các prediction market, bài toán không có lời giải dễ dàng. Những giao thức như Azuro, Thales, hay Polymarket sẽ phải thêm các nhánh xử lý ngoại lệ, nhưng đồng thời họ sẽ phải trả lời câu hỏi về quyền lực: ai là người có quyền kéo còi? Và nếu người đó có thể kéo còi, thì đó có còn là một hệ thống phi tập trung hay không? Tôi không có câu trả lời. Nhưng tôi biết rằng những ai nghĩ họ có câu trả lời, thường là những người chưa từng audit một hợp đồng bị kẹt vì một đội tuyển... bỏ cuộc.
Có lẽ câu trả lời nằm ở một nguyên tắc mà chúng tôi vẫn dùng trong audit: nếu một thứ không thể vỡ, nó sẽ vỡ theo cách bạn không ngờ nhất. Và khi thực tế không vừa với mã của bạn, câu hỏi duy nhất còn lại là: bạn sửa mã, hay sửa thực tế?