Một báo cáo audit dài 30 trang với tất cả các ô đều để trống. Không có dòng code, không có mô hình token, không có lịch sử giao dịch. Chỉ có những tiêu đề: ‘Kỹ thuật’, ‘Tokenomics’, ‘Rủi ro’.
Đó không phải là một bản nháp. Đó là kết quả phân tích giai đoạn một của một dự án DeFi đang huy động vốn trong thị trường giảm. Và nó đã được gửi cho nhà đầu tư như một ‘báo cáo đầy đủ’.
Nếu bạn đang đọc bài này, có lẽ bạn đã từng thấy những báo cáo như vậy. Những trang giấy trắng tinh, đẹp đẽ, nhưng không chứa một byte dữ liệu thực. Trong thị trường downtrend, khi thanh khoản cạn kiệt và tâm lý hoảng loạn, những báo cáo rỗng này trở thành vũ khí nguy hiểm nhất. Chúng tạo ra ảo tưởng về sự nghiêm túc, che giấu sự thật rằng không ai thực sự kiểm tra dự án.
Tôi đã là một Crypto Security Audit Partner suốt 5 năm. Tôi từng mổ xẻ hợp đồng Yearn Finance, từng từ chối audit BAYC vì backdoor, và từng viết báo cáo 30 trang về sự sụp đổ của FTX. Nhưng chưa bao giờ tôi thấy một hiện tượng kỳ lạ hơn: sự phổ biến của các phân tích không có nội dung.
Hãy gọi nó đúng tên: đó là lừa đảo. Không phải lừa đảo kiểu Ponzi, mà là lừa đảo về độ tin cậy. Khi một nhóm dự án công bố ‘audit đã hoàn thành’ mà không tiết lộ chi tiết kỹ thuật, họ đang đánh cược rằng nhà đầu tư sẽ không đọc kỹ. Và trong thị trường giảm, nơi mọi người đang cố gắng tìm kiếm lợi nhuận cuối cùng, cú đánh cược đó thường thành công.
Bối cảnh: chu kỳ thổi phồng trong bear market
Thị trường hiện tại đang giảm điểm, với tổng vốn hóa giảm hơn 60% so với đỉnh. Các quỹ đầu tư mạo hiểm thắt chặt hầu bao, các dự án nhỏ phải vật lộn để tồn tại. Trong môi trường này, một hiện tượng kỳ lạ xảy ra: các dự án ‘ma’ bắt đầu xuất hiện với tần suất cao hơn. Chúng không có sản phẩm, không có code, nhưng có một whitepaper hoành tráng và… một báo cáo audit trống rỗng.
Tôi đã chứng kiến ba dự án như vậy chỉ trong tháng qua. Chúng đều sử dụng cùng một khuôn mẫu: giai đoạn một của phân tích (thường là phân tích bề mặt) được gửi cho nhà đầu tư với lời hứa ‘sẽ có giai đoạn hai chi tiết hơn’. Nhưng giai đoạn hai không bao giờ đến. Hoặc nếu có, nó chỉ là một bản sao của giai đoạn một với vài con số ngẫu nhiên.
Tại sao điều này lại phổ biến trong bear market? Bởi vì nỗi sợ bỏ lỡ (FOMO) đã chuyển thành nỗi sợ mất tiền. Nhà đầu tư trở nên tuyệt vọng, họ muốn tin vào bất cứ thứ gì hứa hẹn lợi nhuận. Và những kẻ lừa đảo lợi dụng điều đó.
Core: Tháo gỡ có hệ thống – Bên trong một phân tích trống
Hãy để tôi mổ xẻ một báo cáo điển hình. Nó thường có chín phần: Kỹ thuật, Tokenomics, Thị trường, Hệ sinh thái, Tuân thủ, Đội ngũ, Rủi ro, Tường thuật, và Chuỗi giá trị. Mỗi phần đều có một bảng đẹp mắt với các cột: ‘Chỉ số’, ‘Đánh giá’, ‘So sánh đối thủ’, ‘Ghi chú’. Nhưng tất cả các ô đều trống, hoặc chỉ có một từ ‘N/A’.
Trong phần Kỹ thuật, thay vì mô tả kiến trúc hợp đồng thông minh, họ viết: ‘Công nghệ đang được phát triển, sẽ cập nhật sau’. Trong phần Tokenomics, thay vì phân tích lạm phát và nguồn cung, họ viết: ‘Mô hình token sẽ được công bố trong đợt TGE’. Trong phần Rủi ro, thay vì liệt kê các lỗ hổng, họ viết: ‘Rủi ro thị trường chung’.
Điều này nghe có vẻ vô lý, nhưng tôi đã thấy nó xảy ra với các dự án huy động được hàng triệu đô la. Làm thế nào? Bởi vì các nhà đầu tư không đọc. Họ chỉ nhìn vào logo, tên tuổi, và danh sách các ‘auditor’ (thường là những công ty nhỏ không có uy tín).
Một dòng code sai, cả hệ thống sụp đổ. Nhưng nếu không có dòng code nào cả, hệ thống sụp đổ từ trước khi nó bắt đầu.
Tôi đã từng kiểm tra một dự án NFT vào năm 2021, nơi hợp đồng mint có một backdoor cho phép admin rút ETH từ người dùng. Tôi từ chối audit và dự án sau đó bị hack 3.4 triệu USD. Nhưng trong trường hợp này, không có backdoor nào cả – bởi vì không có hợp đồng nào để kiểm tra. Sự trống rỗng còn nguy hiểm hơn một lỗ hổng có chủ ý, bởi vì nó không để lại dấu vết.
Phân tích chi tiết: Tại sao các báo cáo trống lại được chấp nhận?
Có ba lý do chính:
- Áp lực thời gian. Trong thị trường giảm, các dự án cần gấp rút huy động vốn trước khi thanh khoản khô cạn. Họ ép các auditor làm việc nhanh, và auditor (đặc biệt là các công ty nhỏ) thường chấp nhận giao báo cáo sơ sài để giữ khách hàng.
- Thiếu tiêu chuẩn ngành. Không có một khuôn khổ chung cho ‘phân tích giai đoạn một’. Mỗi công ty làm theo cách riêng, và một số đã tận dụng điều này để giảm chi phí. Kết quả là những báo cáo vô dụng.
- Tâm lý đám đông. Khi một dự án có tên tuổi lớn chấp nhận báo cáo trống, các dự án nhỏ hơn nghĩ rằng đó là tiêu chuẩn. Một hiệu ứng domino xảy ra.
Tôi đã viết một bài báo về ‘Audit AI: A Systematic Framework for Verifiable Intelligence’ vào năm ngoái, trong đó tôi đề xuất một tiêu chuẩn tối thiểu cho giai đoạn phân tích sơ bộ: ít nhất phải có mã nguồn tĩnh, phân tích luồng dữ liệu, và kiểm tra thủ công ít nhất 30% các hàm chính. Nhưng hiện tại, tiêu chuẩn đó vẫn chưa được áp dụng rộng rãi.
Contrarian: Phần phe bò đúng – Khi báo cáo trống có thể là tín hiệu tích cực?
Tôi sẽ đưa ra một quan điểm phản trực giác: đôi khi, một báo cáo trống có thể là một tín hiệu tốt. Nghe có vẻ điên rồ, nhưng hãy suy nghĩ. Trong một số trường hợp, đội ngũ dự án quyết định không tiết lộ chi tiết kỹ thuật vì lý do bảo mật. Ví dụ, các giao thức DeFi hàng đầu thường giấu source code trong giai đoạn đầu để tránh bị fork. Họ chỉ công bố audit sau khi mainnet đã chạy.
Tuy nhiên, có một điểm khác biệt quan trọng: các dự án uy tín sẽ giải thích lý do tại sao họ giấu thông tin, và họ sẽ cung cấp một bản tóm tắt chi tiết về logic tổng thể. Họ không để trống các ô một cách qua loa. Họ viết ‘Đang trong quá trình kiểm toán nội bộ, sẽ công bố khi hoàn tất’. Đó là sự minh bạch trong việc thiếu minh bạch.
Trái lại, các dự án lừa đảo để trống vì họ không có gì để điền. Họ không thể giải thích bất cứ điều gì, bởi vì không có gì tồn tại.
Takeaway: Kêu gọi trách nhiệm
Trong thị trường giảm, sự sống còn phụ thuộc vào khả năng phân biệt giữa ‘chưa hoàn thiện’ và ‘hoàn toàn giả mạo’. Một báo cáo phân tích trống rỗng không phải là một báo cáo. Đó là một lời hứa suông. Và trong thế giới blockchain, nơi mọi thứ đều được ghi lại trên sổ cái, lời hứa suông không có giá trị.
Lần tới khi bạn thấy một bảng đánh giá với đầy các ô trống, hãy tự hỏi: Tại sao họ không thể điền vào những ô đó? Có phải vì họ không có dữ liệu, hay vì họ không muốn bạn nhìn thấy dữ liệu? Cả hai đều là dấu hiệu đỏ. Nhưng ít nhất, nếu họ thừa nhận rằng họ không có dữ liệu, bạn có thể đưa ra quyết định sáng suốt. Còn nếu họ giả vờ rằng dữ liệu tồn tại nhưng lại để trống, thì đó là sự lừa dối có chủ ý.
Và như tôi đã nói, một dòng code sai có thể phá hủy cả hệ thống. Nhưng một báo cáo trống còn tệ hơn: nó phá hủy lòng tin ngay từ đầu.