Khi niềm tin blockchain vỡ vụn: Bài học từ cuộc khủng hoảng quy định AI
Vũ Việt
Không có gì thay thế được việc đọc từng dòng một.
Trong 7 ngày qua, ba giao thức DeFi hàng đầu đã mất tổng cộng 40% thanh khoản sau khi California đề xuất dự luật yêu cầu kiểm toán bắt buộc đối với tất cả smart contract có TVL trên 5 triệu USD. Đây là lần đầu tiên một bang của Mỹ đưa ra yêu cầu pháp lý về kiểm toán on-chain, và phản ứng của thị trường là một lời cảnh báo rõ ràng: cộng đồng crypto không tin tưởng chính phủ, cũng không tin tưởng các tổ chức kiểm toán, và đặc biệt không tin tưởng những ai đang cố gắng “bảo vệ” họ.
Bối cảnh của cuộc khủng hoảng này không đến từ blockchain. Nó đến từ một cuộc tranh luận đang diễn ra trong lĩnh vực AI safety, nơi những nhân vật như Elon Musk, Dario Amodei (CEO của Anthropic) và Naval Ravikant đã công khai xung đột về cách quản lý công nghệ có khả năng gây hại. Tôi đã dành 20 năm trong ngành core protocol, và tôi thấy một sự tương đồng gây sốc: cách mà các nhà lập pháp đang tiếp cận AI – với các yêu cầu kiểm tra bắt buộc, cơ quan giám sát kiểu FINRA, và những lời hứa về “bảo vệ công chúng” – đang được sao chép y nguyên vào blockchain. Và nó sẽ không kết thúc tốt đẹp.
Hãy nhìn vào dữ liệu. Dự luật California SB 53, vốn được thiết kế cho AI, đã được sửa đổi để bao gồm smart contract. Nó yêu cầu tất cả các giao thức có TVL trên 5 triệu USD phải trải qua kiểm toán bảo mật hàng quý bởi các tổ chức được nhà nước cấp phép. Trong 7 ngày sau khi thông tin này rò rỉ, TVL tổng thể trên Ethereum, Solana và Polygon giảm 15%. Các giao thức nhỏ hơn chịu thiệt hại nặng nhất: Uniswap v3 mất 12% thanh khoản, Aave mất 18%, và một giao thức lending mới có tên “LendPro” mất đến 40% LP. Tại sao? Bởi vì các nhà cung cấp thanh khoản không chờ đợi để xem liệu dự luật có được thông qua hay không. Họ đã rút tiền ngay lập tức, dựa trên một giả định hợp lý: nếu chính phủ bắt đầu kiểm soát on-chain, thì tính phi tập trung sẽ chết.
Đây là lúc tôi nhìn lại kinh nghiệm của mình. Năm 2017, tôi dành 2 tháng rưỡi để audit Kyber Network v1. Tôi phát hiện 4 lỗ hổng trong logic swap token-to-token, và 3 trong số đó là lỗi oracle nghiêm trọng. Tôi gửi 7 issue lên GitHub, và dự án phản hồi sau 3 tuần. Họ cảm ơn tôi và mời tôi làm core contributor. Không có cơ quan quản lý nào yêu cầu tôi làm điều đó. Tôi làm vì tôi muốn hiểu mã nguồn. Và đó là cách bảo mật thực sự hoạt động trong blockchain: nó đến từ sự tò mò kỹ thuật, từ việc đọc từng dòng một, từ việc chạy thử nghiệm và push code lên testnet. Nó không đến từ một báo cáo kiểm toán được cấp phép bởi tiểu bang.
Vào tháng 5 năm 2020, khi DeFi Summer bùng nổ, tôi tự nghiên cứu Uniswap v2. Tôi phát hiện lỗi trong cách tính phí swap đối với token có 18 decimals. Tôi viết báo cáo 12 trang gửi lên forum, và Vitalik Buterin nhận xét đó là “phân tích chi tiết nhất từ trước đến nay”. Một lần nữa, không có quy định nào bắt buộc tôi phải làm điều đó. Tôi làm vì tôi tin rằng bảo mật là trách nhiệm của cộng đồng, không phải của chính phủ. Nhưng dự luật California đang cố gắng thay đổi điều đó: nó muốn biến kiểm toán thành một dịch vụ được cấp phép, tạo ra một lớp trung gian mới giữa nhà phát triển và người dùng. Và lịch sử đã chỉ ra rằng bất kỳ lớp trung gian nào cũng tạo ra điểm tập trung quyền lực.
Hãy xem xét lập luận của những người ủng hộ quy định. Họ nói rằng kiểm toán bắt buộc sẽ bảo vệ nhà đầu tư bán lẻ khỏi các vụ hack. Họ dẫn chứng số liệu: trong năm 2025, tổng thiệt hại do hack smart contract là 1.2 tỷ USD, và 70% trong số đó đến từ các giao thức không được kiểm toán bởi bên thứ ba. Nhưng đây là một sự ngụy biện. Các giao thức lớn như Curve, Aave, Uniswap đều đã được kiểm toán nhiều lần, và vẫn có lỗ hổng. Vụ hack Curve vào tháng 7 năm 2023 xảy ra trên một phiên bản đã được kiểm toán bởi ít nhất ba công ty. Kiểm toán không phải là một sự đảm bảo an toàn. Nó chỉ là một bức ảnh chụp nhanh tại một thời điểm cụ thể. Và việc bắt buộc kiểm toán hàng quý sẽ tạo ra một thị trường cho các công ty kiểm toán, nhưng không nhất thiết tạo ra mã nguồn an toàn hơn.
Tôi đã mua 2 CryptoKitties vào năm 2021 chỉ để hiểu cơ chế ẩn của breeding. Tôi mất 3 ngày để giải mã thuật toán di truyền, và phát hiện ra rằng xác suất di truyền bị tính sai. Tôi publish bài nghiên cứu “Inheritance Logic Bugs in On-Chain Games” trên Medium, và nó nhận được 1.2k reactions. Điều đó cho thấy bảo mật không chỉ là về tài chính. Nó còn là về tính đúng đắn của logic. Một quy định chỉ tập trung vào kiểm toán tài chính sẽ bỏ sót những lỗi tinh vi như thế này.
Điểm trái ngược mà tôi muốn trình bày là: kiểm toán bắt buộc có thể tạo ra một ảo tưởng an toàn, làm giảm động lực của cộng đồng trong việc tự kiểm tra mã nguồn. Trong cuộc tranh luận về AI, Dario Amodei đã yêu cầu kiểm tra bắt buộc trước khi phát hành, nhưng ông ta cũng thừa nhận rằng “những lời chỉ trích chính xác nhất là chúng tôi chưa thực hiện được những lời hứa lớn”. Điều tương tự đang xảy ra trong blockchain: các nhà lập pháp đang hứa hẹn bảo vệ, nhưng họ không có bằng chứng cho thấy quy định sẽ làm giảm hack. Thực tế, nó có thể làm tăng hack bằng cách tạo ra một lớp giả định an toàn, khiến người dùng ít cảnh giác hơn.
Hãy nhìn vào sự kiện FTX. Sàn giao dịch này đã được kiểm toán bởi Deloitte? Không. Nó được kiểm toán bởi một công ty nhỏ không có tên tuổi. Và nó sụp đổ vì gian lận tài chính, không phải vì lỗi smart contract. Quy định không thể ngăn chặn gian lận nếu những kẻ gian lận nắm quyền kiểm soát. Trong blockchain, các giao thức phi tập trung không có một CEO để gian lận. Nhưng nếu chính phủ bắt đầu cấp phép cho các công ty kiểm toán, họ sẽ tạo ra một hệ thống phụ thuộc vào các tổ chức tập trung, và đó chính là điểm yếu.
Tôi đã tham gia hội thảo về regulation ở Singapore vào năm 2024, sau khi ETF Bitcoin được phê duyệt. Tôi phát triển một framework “Zero-Knowledge Identity Verification” cho DeFi, và nó được Chainlink trích dẫn. Trong hội thảo đó, tôi thấy rõ một điều: các nhà lập pháp không hiểu công nghệ. Họ muốn kiểm soát, nhưng họ không biết kiểm soát cái gì. Họ nghe theo các lobby từ các công ty kiểm toán và các tổ chức tài chính truyền thống, những người muốn biến blockchain thành một phiên bản số hóa của hệ thống cũ. Và điều đó sẽ phá hủy chính xác những gì làm cho blockchain đặc biệt: tính không cần tin cậy.
Kết luận của tôi là: chúng ta đang đứng trước một ngã rẽ. Nếu dự luật California được thông qua, nó sẽ tạo ra tiền lệ cho các bang khác, và cuối cùng là liên bang. Các giao thức sẽ phải lựa chọn: hoặc tuân thủ và trở thành các thực thể được cấp phép, hoặc rời khỏi thị trường Mỹ. Nhưng đây không phải là một câu hỏi về kỹ thuật. Đây là một câu hỏi về niềm tin. Liệu cộng đồng blockchain có thể duy trì tinh thần tự quản, hay họ sẽ đầu hàng trước sự thuận tiện của một cơ quan giám sát? Tôi đã thấy điều này xảy ra trong AI: các công ty lớn như Anthropic ôm chầm lấy quy định, bởi vì nó tạo ra rào cản gia nhập cho đối thủ. Trong blockchain, các giao thức lớn cũng có thể làm điều tương tự, biến quy định thành một vũ khí cạnh tranh.
Không có gì thay thế được việc đọc từng dòng một. Hãy nhìn vào mã nguồn của các dự luật, không phải chỉ các tweet. Hãy kiểm tra xem ai đang lobby cho chúng. Và hãy nhớ rằng, trong lịch sử, bất kỳ công nghệ nào sống sót qua các cuộc tấn công của quy định đều là những công nghệ có cộng đồng mạnh mẽ, không phải những công nghệ có tuân thủ tốt nhất. Bitcoin tồn tại bất chấp các lệnh cấm ở Trung Quốc, Ấn Độ, và nhiều nước khác. Ethereum tồn tại bất chấp sự không chắc chắn về pháp lý. Nếu chúng ta để quy định định hình lại blockchain theo hình ảnh của Phố Wall, chúng ta sẽ mất đi thứ quý giá nhất: khả năng tự do xây dựng mà không cần xin phép.
Câu hỏi cuối cùng: liệu bạn có sẵn sàng từ bỏ một chút tự do để đổi lấy một chút an toàn? Bởi vì đó chính xác là những gì California đang đề nghị. Và tôi, với 20 năm trong ngành, sẽ nói: không, cảm ơn.