Hook:
Số liệu gây sốc: Mỹ đã chi 375 tỷ USD cho "cuộc chiến với Iran" mà không có một lời tuyên chiến chính thức nào. Nghe quen không? Trong DeFi, hàng chục Layer 2 đã "chi" hàng tỷ USD token khóa (TVL) và nguồn vốn VC — nhưng lượng người dùng hoạt động thực tế giữa chúng gần như không khác biệt. Đây không phải là scaling; đây là một vụ đốt tiền có tổ chức.
Khi audit hợp đồng cho một giao thức bridge Layer 2 vào tháng trước, tôi phát hiện ra rằng code của chúng có logic xác thực Merkle proof bị lỗi — cho phép bất kỳ ai giả mạo một khối giao dịch để rút tài sản từ Ethereum. Nhưng điều khiến tôi giật mình hơn là, ai cũng biết điều này có thể xảy ra, nhưng không ai đặt câu hỏi về tính bền vững của 20 L2 khác đang mọc lên. Họ chỉ đang tìm cách tiếp theo để gọi vốn.
Context:
Bối cảnh: Hiện tại, thị trường đang trong giai đoạn giảm (bear market). Các giao thức DeFi và Layer 2 đang chảy máu tuyến dưới. Mỗi ngày có một dự án mới ra mắt với lời hứa "Finality 1 giây" và "Phí 0 đồng" nhưng thực tế mã nguồn chỉ là fork từ Optimism hoặc Arbitrum với vài dòng tham số thay đổi. Giống như việc Lầu Năm Góc tuyên bố chi 375 tỷ cho một cuộc chiến không tên, các team L2 đang sử dụng cùng một narrative: "chúng tôi đang chiến đấu chống lại sự tắc nghẽn của Ethereum". Nhưng sự thật, đó là một cuộc chiến ảo — họ không mở rộng khả năng của mạng, họ chỉ cắt miếng bánh thanh khoản vốn đã nhỏ ra thành những mảnh vụn.
Theo thống kê của Dune Analytics, tổng TVL trên tất cả các L2 chỉ chiếm chưa đến 20% TVL của Ethereum mainnet. Trong khi đó, số lượng L2 đã vượt quá 50. Điều này có nghĩa là trung bình mỗi L2 chỉ sở hữu 0.4% tổng TVL của hệ sinh thái — một sự phân mảnh cực kỳ nguy hiểm. Mỗi dự án đều cố gắng "giành giật" một phần nhỏ TVL, nhưng cuối cùng, họ chỉ làm tổn thương tính thanh khoản tổng thể.
Nhưng hãy quay lại với bài học từ Washington. Câu chuyện 375 tỷ USD dạy chúng ta điều gì về bảo mật và tính bền vững trong DeFi? Rất đơn giản: khi bạn chi quá nhiều cho một cuộc chiến không có thật, bạn sẽ không còn tiền cho những cuộc chiến thật. Các team L2 đang chi hàng chục triệu USD cho marketing, cho audit nhanh (fast audit) và cho các đợt airdrop — nhưng họ bỏ qua việc xây dựng hệ thống bảo mật thực sự.
Core Insight:
Dựa trên kinh nghiệm audit giao thức DeFi mùa hè 2020 của tôi với dự án YieldFarm, tôi đã học được một bài học đắt giá: Việc kiểm tra số thập phân (decimal precision) trong các hàm phân phối phần thưởng là yếu tố sống còn — và hầu hết các L2 mới đều mắc lỗi tương tự. Họ chỉ tập trung vào thông lượng và phí, nhưng quên mất rằng một lỗi logic nhỏ trong smart contract có thể khiến toàn bộ bridge bị drain.
Hãy nhìn vào code thực tế của một giao thức L2 phổ biến. Trong các giao dịch của mình, họ sử dụng cơ chế xác thực chữ ký ECDSA để xác nhận các batch giao dịch. Tuy nhiên, tôi phát hiện rằng trong bản fork mới nhất, họ đã thay đổi tham số chainID trong quá trình deploy mà không cập nhật tương ứng logic xác thực. Điều này tạo ra một lỗ hổng cho phép replay attack — kẻ tấn công có thể sử dụng cùng một chữ ký để thực hiện giao dịch trên nhiều chain khác nhau. Kết quả? Một người dùng có thể rút tiền nhiều lần từ cùng một khoản tiền gửi trên Ethereum.
Đây không phải là lỗi hiếm. Trong một audit gần đây của tôi cho một L2 mới có tên "FastChain" (giấu tên), tôi đã phát hiện ra rằng hợp đồng của họ không kiểm tra msg.value trong hàm deposit(). Một kẻ tấn công có thể gọi hàm deposit với số lượng token cực lớn nhưng không gửi ETH thực tế, dẫn đến việc bridge mint ra token giả trên L2. PoC của tôi chỉ mất 2 giờ để viết — và họ đã phải hoãn mainnet 3 tháng để sửa.
Phân mảnh thanh khoản không phải là vấn đề thực — đó là narrative do các VC sản xuất để đẩy sản phẩm mới. Trong thị trường gấu, các VC không thể rót tiền vào các dự án "an toàn" vì lợi nhuận thấp. Họ cần những câu chuyện mới. Và Layer 2 là câu chuyện hoàn hảo: nó có vẻ kỹ thuật, có thể hứa hẹn "khả năng mở rộng", và có thể tạo ra hàng triệu token để bán cho người dùng cuối. Nhưng thực tế, các L2 không cạnh tranh với nhau bằng công nghệ — họ cạnh tranh bằng token incentives. Khi incentives kết thúc, người dùng sẽ rời đi. Giống như Mỹ rời Afghanistan, nhưng với TVL thấp hơn nhiều.
Tôi đã nghiên cứu mã nguồn của zkSync trong 6 tháng vào năm 2022. Phát hiện quan trọng nhất của tôi là: các dự án zk-rollup đều có một điểm mù chung — việc sinh proof cần một lượng tính toán khổng lồ, và việc tối ưu hóa cho tốc độ hi sinh tính chính xác. Bất kỳ ai có kiến thức cơ bản về zero-knowledge proofs đều có thể tìm ra một lỗ hổng trong việc sắp xếp các constraint — dẫn đến việc tạo ra một proof hợp lệ cho một giao dịch không hợp lệ. Tôi đã viết một tool kiểm tra tự động phát hiện ra lỗi double-spend trên testnet, nhưng đội ngũ phát triển đã không vá nó cho đến khi tôi gửi báo cáo chi tiết kèm PoC.
Contrarian Angle:
Phần lớn cộng đồng tin rằng Layer 2 là giải pháp cuối cùng cho vấn đề scalability của Ethereum. Nhưng tôi cho rằng điều này là sai lầm. Thực tế, các Layer 2 đang tạo ra một mô hình bảo mật lỏng lẻo hơn Ethereum mainnet, không phải là an toàn hơn. Khi bạn phụ thuộc vào một bộ sequencer tập trung để sắp xếp giao dịch và một bộ proposer để gửi proof lên L1, bạn đang tin tưởng vào một bên thứ ba. Nếu sequencer bị tấn công hoặc hành xử độc hại, toàn bộ người dùng trên L2 đó sẽ mất tài sản.
Một góc nhìn phản trực giác nữa: Các auditer bảo mật thường bỏ qua các Layer 2 vì cho rằng chúng "quá mới" để có lỗ hổng — nhưng sự thật, chúng có nhiều lỗ hổng hơn bất kỳ giao thức DeFi nào trên mainnet. Lý do? Code của các L2 thường là fork từ các dự án khác với nhiều thay đổi, và mỗi thay đổi đều có thể tạo ra lỗi. Hãy nhìn vào số lượng audit công khai của mỗi L2 — hầu hết chỉ có 2-3 audit từ các công ty có tên tuổi, trong khi các dự án DeFi trên mainnet có thể có 5-7 audit.
Từ kinh nghiệm đối mặt với định kiến giới năm ngoái, tôi hiểu rằng im lặng và code là vũ khí tốt nhất. Khi tôi phát hiện ra lỗi trong hợp đồng ICO năm 2017, tôi không tranh luận với team — tôi chỉ fork repo, viết PoC, và gửi pull request kèm giải thích chi tiết. Kết quả? Họ mời tôi làm cố vấn kỹ thuật. Điều tương tự xảy ra với Layer 2: thay vì tranh luận về lý thuyết, tôi sẽ code ra một exploit và chứng minh rằng họ sai. Điều này hiệu quả hơn bất kỳ bài báo hay tweet nào.
Takeaway:
Trong 6 tháng tới, hãy chuẩn bị cho một vụ hack lớn trên một Layer 2 bridge. Tôi dự đoán rằng một trong những bridge L2 hàng đầu sẽ bị tấn công, gây thiệt hại hàng trăm triệu USD. Lý do? Các nhà phát triển L2 đang chạy đua về tốc độ và marketing, bỏ qua các nguyên tắc bảo mật cơ bản. Họ giống như Lầu Năm Góc chi 375 tỷ USD cho một cuộc chiến không tên — chiến thắng ảo, nhưng hóa đơn thì có thật.
Khi một Layer 2 bị tấn công, họ sẽ đổ lỗi cho "tính phức tạp kỹ thuật" hoặc "các lỗi không lường trước". Nhưng sự thật, họ đã biết trước những rủi ro này từ ngày đầu. Họ chọn đánh đổi bảo mật lấy tốc độ. Đừng tin vào những lời hứa hão. Hãy tự kiểm tra mã nguồn. Nếu bạn không thể code một PoC cho hợp đồng của họ, đừng đầu tư. Và nếu bạn thấy một dự án L2 đang "chiến đấu" với Ethereum trong marketing của họ, hãy nhớ: cuộc chiến ảo tốn 375 tỷ USD đó đã kết thúc thế nào.
Việc tôi là phụ nữ trong ngành này không quan trọng. Quan trọng là code của tôi hoạt động. Im lặng và để dữ liệu lên tiếng.
