Bằng chứng dự trữ của HTX: 71.853 stETH, cánh cửa sau và một câu hỏi không ai dám trả lời
Phan Tuấn
Ngày 30/5, một con số lặng lẽ rời khỏi ví dự trữ của HTX: 71.853,22 stETH, trị giá khoảng 135 triệu USD. Không có thông báo. Không có giải thích. Chỉ có một chuỗi giao dịch trên Etherscan nối từ địa chỉ được công bố là “dự trữ” của HTX đến một loạt ví mang tên Poloniex – và một ví từng được dán nhãn “Justin Sun 4”. Người dùng có thể không nhìn thấy điều gì bất thường. Nhưng những ai từng ngồi trong phòng họp khi một sàn giao dịch kiểm kê tài sản sẽ hiểu: một báo cáo dự trữ không được phép có những cú nhảy như thế này.
Năm 2022, FTX sụp đổ và kéo theo niềm tin vào mọi sàn giao dịch tập trung. Thuật ngữ Proof of Reserves bỗng trở thành vũ khí tiếp thị. Các sàn thi nhau công bố địa chỉ ví lạnh, sử dụng Merkle Tree và ký điện tử để chứng minh rằng tài sản của khách hàng vẫn nằm nguyên. HTX, tiền thân của Huobi – một cái tên từng gắn với lịch sử tiền mã hóa châu Á – cũng tham gia. Nhưng phiên bản Proof of Reserves của HTX có một chi tiết khác biệt: mục “ThirdParty”. Tài sản do bên thứ ba nắm giữ. Không tên, không địa chỉ, không kiểm toán độc lập. Người dùng được yêu cầu tin rằng một nhóm ẩn danh nào đó đang giữ tiền hộ họ.
Tôi đã dành 26 năm đọc bảng cân đối của các tổ chức tài chính. Khi một ngân hàng giấu tên người giám sát tài sản, bạn không cần đọc thêm một trang nào nữa. Vấn đề không nằm ở con số; vấn đề nằm ở cấu trúc. Và cấu trúc của HTX, qua dữ liệu trên chuỗi, đang kể một câu chuyện hoàn toàn khác với câu chuyện họ công bố.
Ngày 1/5, địa chỉ 0x18709e89bd403f470088abdacebe86cc60dda12e – vốn được HTX dùng trong báo cáo dự trữ – nắm giữ 71.853,22 stETH. Ba mươi ngày sau, số stETH đó bắt đầu di chuyển. Đầu tiên, tới 0x7C103bbAE0DA51AE929dE97A98633668ddE80d04. Sau đó, tới 0x8FCA4adE3a517133fF23ca55CdAea29C78C990b8 – một ví được Etherscan gắn nhãn “Poloniex 7”. Tiếp tục, tài sản được chuyển qua “Poloniex 10” và cuối cùng hạ cánh tại 0x176F3DAb24a159341c0509bB36B833E7fdd0a132 – một địa chỉ trước đây từng được dán nhãn “Justin Sun 4”, sau đó được đổi thành “Poloniex 9”. Bạn có thể nói rằng nhãn dán trên Etherscan không phải là bằng chứng pháp lý. Đúng. Nhưng khi năm nhãn dán khác nhau hội tụ về cùng một vòng kiểm soát, xác suất trùng hợp ngẫu nhiên gần như bằng không.
Điều này có nghĩa là gì? Một trong hai khả năng. Thứ nhất: HTX đã dùng tài sản dự trữ của khách hàng để bơm thanh khoản cho một sàn anh em. Thứ hai: HTX và Poloniex thực chất là một, và Justin Sun đang di chuyển tiền giữa chúng như di chuyển nước giữa hai bình thông nhau. Dù là khả năng nào, cụm từ “dự trữ” trong báo cáo của HTX đã mất đi ý nghĩa nguyên bản. Dự trữ là thứ bạn không thể tự do chuyển đi. Nếu bạn có thể chuyển nó chỉ bằng một giao dịch 53 giây, thì đó không phải dự trữ. Đó là dòng vốn đang vận hành theo ý muốn của một người.
TRM Labs, công ty phân tích blockchain, đã đưa ra một cáo buộc còn nặng nề hơn: HTX thường xuyên xoay vòng địa chỉ sau khi bị áp đặt lệnh trừng phạt, để tránh bị các công cụ sàng lọc của Mỹ phát hiện. Nếu đúng, điều này không chỉ là bất cẩn trong quản trị. Nó là chủ động thiết kế để chống lại sự truy vết.
Và có một chi tiết khiến tôi khó chịu hơn cả: phần lớn số BTC mà HTX tuyên bố nắm giữ, hơn một nửa, không phải BTC nguyên bản. Chúng là BTC đã token hóa. Và người nắm giữ những token này dường như là một thực thể trong cùng mạng lưới Poloniex. Hãy nghĩ về điều đó. Một sàn giao dịch khoe khoang về lượng BTC dự trữ khổng lồ, nhưng thực chất nó đang giữ một chứng chỉ nợ do một công ty liên quan phát hành. Nếu công ty đó phá sản, tấm chứng chỉ ấy biến thành giấy vụn. Tôi đã từng tham gia thẩm định các dự án token vào năm 2017, và tôi nhớ một nguyên tắc vàng: một tài sản dự trữ phải là tài sản thực, nằm ngoài tầm với của con nợ, và được kiểm soát bởi một bên độc lập. HTX vi phạm cả ba điều kiện đó.
Để hiểu vì sao mọi thứ nghiêm trọng, hãy nhìn vào một Proof of Reserves đúng chuẩn. Một sàn minh bạch sẽ công bố địa chỉ ví lạnh, dùng Merkle tree để chứng minh rằng tổng nợ của họ nhỏ hơn hoặc bằng tổng tài sản, và mời một bên kiểm toán độc lập xác nhận. Người dùng chỉ cần kiểm tra chữ ký và cây Merkle là có thể đối chiếu. Nhưng với HTX, những gì người dùng nhận được là một bức tranh mờ với nhãn “ThirdParty”. Bạn không thể kiểm tra. Bạn không thể tranh cãi. Bạn chỉ có thể tin. Và trong tài chính, “tin” là một từ nguy hiểm nhất.
Tôi từng trải qua cú sụp đổ của Luna vào năm 2022. Khi đó tôi đã ra lệnh rút toàn bộ thanh khoản khỏi các pool stablecoin trước khi mọi thứ vỡ tan. Kinh nghiệm đó dạy tôi một bài học: sự sụp đổ của một tổ chức tài chính không bao giờ bắt đầu từ con số. Nó bắt đầu từ một khoảng trống trong câu trả lời. Khi bạn hỏi “tiền ở đâu?” và nhận được một câu trả lời mập mờ, hãy bắt đầu chạy.
Nhưng tôi sẽ không vội gọi đây là một vụ gian lận. Có một cách đọc khác, khó chịu hơn nhiều. Justin Sun là một người theo chủ nghĩa hiệu quả. Trong đầu óc của người kiểm soát cả HTX lẫn Poloniex, việc chuyển 135 triệu USD stETH từ ví này sang ví khác chỉ là điều chỉnh nội bộ. Không có ý định lừa đảo. Không có âm mưu nào cả. Chỉ là một nhà quản lý đang tối ưu hóa dòng vốn trong một “đế chế” mà ranh giới giữa các pháp nhân hầu như không tồn tại. Và chính điều đó mới đáng sợ. Bởi vì một vụ gian lận cần có kẻ lừa đảo và nạn nhân. Còn một cấu trúc hợp nhất chỉ cần một người duy nhất đưa ra quyết định mà không ai kiểm soát.
Giới truyền thông thường hỏi: “HTX có đủ tiền để trả người dùng không?” Đó là câu hỏi sai. Câu hỏi đúng là: “Người dùng có đang giao tiền cho một tổ chức có tư cách pháp lý độc lập, với tài sản được tách bạch, hay họ chỉ đang giao tiền cho một hệ thống do một cá nhân điều khiển?” Khi tài sản dự trữ của sàn A có thể chảy vào sàn B mà không gặp bất kỳ rào cản nào, thì lớp bảo vệ cuối cùng của bạn không phải là một báo cáo. Nó là uy tín của một người. Bạn không thể kiện một nhãn dán trên Etherscan.
Trong bối cảnh thị trường giảm, mỗi dòng tin như thế này đều đè nặng lên thanh khoản. Nhưng nguy hiểm không nằm ở việc ai rút tiền. Nguy hiểm nằm ở việc những người nắm thông tin bắt đầu hành động trước. Các nhà tạo lập thị trường đã quen với việc đọc dữ liệu on-chain. Họ nhìn thấy dòng stETH chảy về Poloniex. Họ tự hỏi: “Vì sao?” Và khi những nhà tạo lập thị trường bắt đầu đặt câu hỏi, thanh khoản sẽ khô dần.
Dòng vốn không bao giờ ngủ – nó chỉ tái cấu trúc. Và khi nó tái cấu trúc, bạn có thể nhìn thấy trong đó một cơ hội, hoặc một nấm mồ. Tôi không biết tương lai của HTX sẽ ra sao. Nhưng tôi biết một điều: nếu bạn đang giao dịch trên một sàn mà bằng chứng dự trữ của họ nằm trong mục “ThirdParty” kèm một mũi tên chỉ đến Poloniex, thì bạn không cần hỏi họ có đủ tiền không. Bạn cần hỏi: số tiền đó đang đứng tên ai?