Người ta bảo trong thị trường downtrend, những dự án rác sẽ lộ nguyên hình. Tôi thì cho rằng điều ngược lại mới đúng: chính trong downtrend, những dự án 'nghe có vẻ hay' mới là thứ nguy hiểm nhất, bởi vì chúng được tô vẽ bằng một lớp sơn bóng của 'tầm nhìn xa' và 'định vị khác biệt' để che đi những lỗ hổng kỹ thuật chết người.
Tuần trước, tôi nhận được một bản pitch deck dày 50 trang về một Layer 2 mới. Dự án này tự gọi mình là 'Internet của Blockchain' – một cụm từ mà bất kỳ ai đã từng sống qua ICO 2017 đều biết nó mùi mẫn đến mức nào. Điều làm tôi chú ý không phải là những lời hứa hẹn về khả năng mở rộng vô hạn, mà là một chi tiết kỹ thuật rất nhỏ trong whitepaper của họ: 'Mô hình đồng thuận lai kết hợp PoS và một cơ chế mới có tên là Proof-of-Utility'.
Năm 2017, tôi mất 2 ETH vì một dự án ICO mà tôi tin rằng sẽ 'thay đổi ngành thanh toán'. Tôi đã tự mày mò đọc contract của nó và phát hiện ra một lỗ hổng cho phép owner rút toàn bộ số dư. Bài học đó đã dạy tôi một điều: khi một dự án đưa ra một thuật ngữ kỹ thuật hoàn toàn mới, hãy coi chừng. Thường thì đó là dấu hiệu của việc họ đang cố tình làm mờ đi một thiết kế có vấn đề.
Hãy bắt đầu với bức tranh toàn cảnh. Thị trường Layer 2 hiện tại đang trong giai đoạn 'hyper-competition'. Có hơn 50 dự án rollup đang hoạt động, và hầu hết đều đang chạy đua để thu hút thanh khoản và người dùng thông qua các chương trình airdrop và điểm thưởng. Trong cuộc đua này, sự khác biệt về mặt kỹ thuật thực sự rất khó để cảm nhận. Do đó, các đội ngũ dự án thường phải dựa vào 'narrative' – những câu chuyện lớn lao về việc họ không chỉ là một rollup, mà còn là một 'siêu máy tính' hay 'một lớp thanh toán toàn cầu'.
Vậy, 'Proof-of-Utility' là gì? Theo whitepaper, nó được thiết kế để thưởng cho những người dùng 'có ích' cho mạng lưới, thay vì chỉ đơn thuần là stake token. Nghe có vẻ tiến bộ? Nhưng hãy đọc kỹ hơn. Cơ chế này về cơ bản là một hệ thống điểm do một ủy ban tập trung chấm. Ủy ban này sẽ đánh giá 'mức độ hữu ích' của mỗi validator dựa trên một loạt các tiêu chí không được định nghĩa công khai. Điều này tạo ra một rủi ro cực kỳ lớn: sự tập trung hóa quyền lực và khả năng thao túng.
Đây là lúc tôi áp dụng kinh nghiệm từ DeFi Summer 2020. Khi đó, tôi tự viết bot yield farming và audit code SushiSwap, phát hiện ra lỗi trong hàm tính phí. Một lỗi nhỏ 0.01% tưởng chừng vô hại, nhưng nó có thể gây ra sai lệch lũy kế. Tương tự, với 'Proof-of-Utility', ngay cả khi không có lỗi cố ý, cơ chế chấm điểm mơ hồ này sẽ tạo ra một 'môi trường có thể dự đoán được' cho các cuộc tấn công game hóa. Các validator sẽ không còn tập trung vào bảo mật mạng lưới, mà sẽ tập trung vào việc làm đẹp các chỉ số để lấy điểm cao từ ủy ban.
Tôi quyết định tự kiểm tra. Tôi tìm kiếm mã nguồn của cơ chế này trên repository của họ. Nó nằm trong một nhánh riêng, không được deploy lên mạng chính. Khi tôi đọc code, tôi thấy rằng hàm calculateUtilityScore có một tham số đầu vào tên là oracleReport. Nó không xác minh báo cáo này từ đâu cả. Trên thực tế, nó chỉ đơn giản là lấy dữ liệu từ một oracle duy nhất. Điều này có nghĩa là toàn bộ hệ thống 'Proof-of-Utility' có thể bị kiểm soát bởi bất kỳ ai có quyền kiểm soát oracle đó. Đây không phải là một lỗi. Đây là một lỗ hổng thiết kế có chủ đích, mở ra cánh cửa cho một cuộc tấn công 'oracle manipulation' cổ điển.
Cốt lõi của vấn đề không phải là 'Proof-of-Utility' là một ý tưởng tồi, mà là cách nó được triển khai đã biến một Layer 2 thành một câu lạc bộ độc quyền được kiểm soát bởi một nhóm nhỏ. Họ không cần phải tấn công mạng lưới 51%, họ chỉ cần kiểm soát oracle để quyết định ai được stake và ai không.
Bây giờ, hãy nói về góc nhìn phe bò. Những người ủng hộ dự án này sẽ nói rằng 'Proof-of-Utility' là một cơ chế tiên tiến để khuyến khích sự tham gia của cộng đồng. Họ cho rằng nó sẽ tạo ra một vòng tròn đạo đức, nơi những người dùng có ích được thưởng, và họ sẽ tiếp tục đóng góp. Họ tin rằng ủy ban sẽ hoạt động một cách trung thực và minh bạch.
Tôi không phản đối ý tưởng đó. Trên lý thuyết, nó nghe có vẻ tuyệt vời. Nhưng vấn đề là trong thực tế, bất kỳ hệ thống nào phụ thuộc vào một ủy ban tập trung để đánh giá 'tính hữu ích' đều là một hệ thống có thể bị thao túng. Kinh nghiệm từ cuộc điều tra wash trading trên LooksRare năm 2021 của tôi đã chỉ ra rằng, khi có động cơ kinh tế, con người sẽ tìm ra cách để game hóa bất kỳ hệ thống nào. Nếu điểm số là thước đo thành công, họ sẽ chỉ tập trung vào việc đạt điểm số cao, bất kể điều đó có gây hại cho mạng lưới hay không. Nó tạo ra một 'chế độ đầu sỏ' bằng mã.
Điểm mù lớn nhất ở đây là sự ngây thơ của cộng đồng. Nhiều nhà đầu tư bán lẻ, bị cuốn hút bởi câu chuyện 'Internet của Blockchain', sẽ nhìn vào whitepaper và nghĩ rằng 'Proof-of-Utility' là một cải tiến mang tính cách mạng. Họ không có đủ kỹ năng kỹ thuật để đọc code và phát hiện ra lỗ hổng. Dự án lợi dụng sự thiếu hiểu biết này để xây dựng một lớp ngụy trang cho một thiết kế yếu kém. Sự thật là, nếu bạn không thể giải thích cơ chế đồng thuận của mình trong một tweet mà không cần biệt ngữ, thì rất có thể bạn đang giấu điều gì đó.
Một dự án Layer 2 thực sự mạnh mẽ nên tập trung vào các thuộc tính kỹ thuật cốt lõi: tính cuối cùng của giao dịch, chi phí gas, và khả năng chống kiểm duyệt. Những thứ này có thể đo lường được. Chúng có thể được kiểm tra bằng dữ liệu on-chain, mà không cần đến một ủy ban nào để đánh giá 'tính hữu ích'. Khi một dự án bắt đầu nói về 'utility' và 'community' thay vì 'finality' và 'data availability', đó là lúc tôi bắt đầu cảnh giác.
Vậy câu hỏi đặt ra là: chúng ta có thực sự cần một 'Internet của Blockchain' không? Hay chúng ta chỉ cần những cây cầu vững chắc để kết nối chúng? Một chiếc xe hơi siêu sang với động cơ hỏng thì cũng chỉ là một đống sắt vụn. Và một Layer 2 với cơ chế đồng thuận có thể bị thao túng thì cũng chỉ là một đống code được tô vẽ bởi những lời hứa hẹn.