Mùi rugpull quen thuộc. Nhưng lần này, không phải smart contract bị backdoor, mà là hệ thống pháp lý hai tầng của nước Mỹ. Kalshi – sàn giao dịch prediction market được CFTC cấp phép – vừa bị thẩm phán bang Washington ra lệnh dừng hoạt động cá cược tại bang này. Cái bẫy giấu trong dòng code. Nhưng code ở đây là điều luật, không phải Solidity.
Tôi đã phân tích hợp đồng thông minh của hơn 200 dự án ICO từ năm 2017. Mỗi lần nhìn thấy một lỗ hổng reentrancy, tôi biết kẻ tấn công sẽ rút hết tiền. Với Kalshi, lỗ hổng không nằm trong hàm withdraw, mà nằm trong cấu trúc liên bang – tiểu bang. CFTC nói 'được', thẩm phán bang nói 'không'. Đây là một reentrancy attack cấp độ thể chế.
Context: Bối cảnh giao thức
Kalshi là một sàn giao dịch tập trung, hoạt động dưới sự giám sát của CFTC (Commodity Futures Trading Commission). Nó cho phép người dùng đặt cược vào kết quả các sự kiện – bầu cử, thể thao, kinh tế. Không giống Polymarket (dùng AMM và oracle trên chuỗi), Kalshi dùng sổ lệnh tập trung, tài sản được giữ bởi công ty, không phải hợp đồng thông minh. Về mặt kỹ thuật, nó là một sàn phái sinh truyền thống được số hóa.
Tin tức đến từ ba điểm dữ liệu: (1) Thẩm phán bang Washington ra lệnh dừng dịch vụ cá cược tại bang này trước ngày 19/8. (2) CFTC vài ngày trước đó đã bày tỏ sự ủng hộ đối với Kalshi. (3) Kalshi được mô tả là 'sàn giao dịch cung cấp dịch vụ đặt cược'. Ba điểm này tạo thành một mâu thuẫn: cùng một quốc gia, hai cơ quan pháp lý đưa ra hai phán quyết trái ngược.
Core: Tháo gỡ có hệ thống
Hãy nhìn vào cấu trúc 'mã nguồn' pháp lý. Kalshi đã đăng ký với CFTC với tư cách là DCM (Designated Contract Market). Điều này cho phép nó giao dịch hợp đồng tương lai và quyền chọn dựa trên hàng hóa. Nhưng các bang có quyền quản lý hoạt động cờ bạc trong lãnh thổ của mình. Washington coi cá cược bầu cử và thể thao là bất hợp pháp, trừ khi được cấp phép riêng. Kalshi không có giấy phép đó.
Đây là một lỗi logic trong thiết kế hệ thống. Kalshi giả định rằng giấy phép liên bang là đủ để phủ định luật tiểu bang. Nhưng trong thực tế, học thuyết 'ưu tiên liên bang' (federal preemption) không tự động áp dụng cho tất cả các lĩnh vực. Cờ bạc là lĩnh vực mà các bang có truyền thống quản lý mạnh. Tôi đã từng phân tích một lỗi tương tự trong hợp đồng YAM Finance năm 2020: hàm rebase không kiểm tra biên, dẫn đến inflate vô hạn. Ở đây, hàm 'rebase' tương ứng là cơ chế cấp phép – nó không kiểm tra xem liệu bang có override hay không.
Dựa trên kinh nghiệm audit của tôi, khi một hệ thống có hai lớp kiểm soát mà không có cơ chế ưu tiên rõ ràng, kẻ tấn công (hoặc ở đây là tòa án) sẽ khai thác điểm mù. Trong blockchain, điểm mù là hàm không được public. Trong pháp lý, điểm mù là điều khoản 'các bang có thể ban hành luật riêng'. Wash trade không bao giờ là ngẫu nhiên. Ở đây, lệnh dừng của thẩm phán không phải ngẫu nhiên – nó dựa trên một lỗ hổng cấu trúc.
Hãy xem xét chi tiết kỹ thuật. Kalshi sử dụng trung tâm dữ liệu tập trung, API, và cơ sở dữ liệu quan hệ. Nó không có cơ chế geo-blocking mặc định – nếu không, thẩm phán đã không cần ra lệnh vì Kalshi đã tự chặn. Điều này cho thấy Kalshi đã đánh giá thấp rủi ro pháp lý cấp bang. Tôi đã thấy điều này nhiều lần trong các dự án DeFi: họ tập trung vào tuân thủ cấp liên bang (SEC, CFTC) mà quên rằng mỗi bang có bộ luật riêng. New York có BitLicense, California có luật bảo vệ người tiêu dùng riêng.
Contrarian: Góc nhìn phản trực giác
Dễ nghĩ rằng lệnh này là 'tử hình' cho Kalshi. Nhưng thực ra, nó phơi bày một điểm mù mà các nhà đầu tư đã bỏ qua: Kalshi không phải là một giao thức phi tập trung, nó là một công ty. Và công ty thì có thể kiện. Kalshi có thể kháng cáo lên tòa liên bang, viện dẫn học thuyết ưu tiên liên bang. Nếu thắng, nó sẽ tạo ra tiền lệ mạnh mẽ cho toàn ngành prediction market. Nếu thua, nó sẽ phải xin giấy phép ở từng bang, giống như các sàn giao dịch crypto từng làm.
Phần đối lập: Phe bò sẽ nói rằng đây là cơ hội để Polymarket hưởng lợi. Sai. Sự kiện này làm tăng rủi ro pháp lý cho toàn bộ lĩnh vực, bao gồm cả Polymarket. CFTC đã từng phạt Polymarket 1,4 triệu USD năm 2022. Nếu Kalshi bị dừng hoạt động, các cơ quan quản lý sẽ có thêm động lực để truy quét các nền tảng khác. Đây không phải là một 'rugpull' của riêng Kalshi, mà là một 'bank run' trên niềm tin vào tính hợp pháp của prediction market.
Takeaway: Kêu gọi trách nhiệm
Tôi đã viết báo cáo 30 trang về lỗ hổng trong EOS năm 2017. Dự án không vá lỗi, nhưng tôi học được một điều: lỗ hổng không bao giờ biến mất, nó chỉ chuyển dạng. Ở Kalshi, lỗ hổng chuyển từ smart contract sang hệ thống pháp lý. Nếu bạn là nhà phát triển prediction market, hãy thiết kế ngay từ đầu khả năng chống lại sự can thiệp cấp bang. Nếu bạn là nhà đầu tư, hãy hỏi: 'Dự án này có kế hoạch ứng phó với lệnh cấm của từng bang không?' Nếu câu trả lời là 'chúng tôi tuân thủ CFTC', thì bạn đang nắm giữ một quả bom hẹn giờ.
Cái bẫy giấu trong dòng code. Code của quốc hội, code của tòa án. Và nó sẽ không bao giờ được vá.