Tôi nhận được một email lạ. Dòng tiêu đề: 'Khẩn: yêu cầu phân tích dự án blockchain tiềm năng'. Tôi mở file đính kèm và bên trong là một bảng thông tin với các ô trống: tên token, hợp đồng thông minh, lĩnh vực, đội ngũ, tất cả đều 'chưa có tài liệu'. Người gửi muốn tôi đưa ra đánh giá về tiềm năng tăng trưởng của dự án trong vòng 24 giờ. Tôi trả lời chỉ với một câu: 'Tôi không thể phân tích được.'
Nhiều người sẽ ngạc nhiên. Một nhà phân tích với gần ba thập kỷ kinh nghiệm, từng săn lùng lỗ hổng trong hợp đồng ICO EOS, điều tra vụ hack Polymath 20 triệu USD, hay hỗ trợ cộng đồng sau sự sụp đổ Terra Luna, lại từ chối một cơ hội? Nhưng đối với tôi, từ chối là một phần của nghề. Bởi vì phân tích blockchain không phải là nghệ thuật phán đoán, mà là khoa học xác minh từng dòng mã. Khi không có mã, không có dữ liệu, không có bất kỳ thông tin nào, thì mọi thứ chỉ là đánh đố. Và đánh đố là kẻ thù số một của nhà đầu tư trong thị trường giá xuống.
Bối cảnh hiện tại đang cực kỳ căng thẳng. Trong bảy ngày qua, một giao thức tôi theo dõi đã mất 40% thanh khoản LP sau một tin đồn thất thiệt xuất phát từ một tài khoản Twitter không rõ danh tính. Giá token lao dốc, người dùng rút tiền hàng loạt, và một dự án sống đã trở thành một dự án hấp hối chỉ vì một làn sóng hoảng loạn. Cảm xúc đang thắng thế, lý trí bị lu mờ. Nhà đầu tư không còn hỏi 'mã nguồn này có an toàn không' mà hỏi 'tôi có nên bán ngay bây giờ không'. Chính trong lúc này, một khuôn khổ phân tích nghiêm ngặt trở nên quan trọng hơn bao giờ hết.
Tuy nhiên, tôi hiểu rằng sự từ chối đôi khi khiến mọi người khó chịu. Họ nghĩ rằng tôi đang giữ bí mật, hoặc tôi không đủ năng lực để nói ra một dự đoán. Họ đến với tôi với kỳ vọng tìm một 'giá trị kỳ diệu' nào đó, nhưng không biết rằng giá trị đó chỉ có được sau khi đối mặt với hàng trăm trang mã và hàng nghìn dòng ghi chú. Họ muốn có một câu trả lời gọn gàng, còn tôi thì muốn đưa ra một bản phân tích có cơ sở. Tôi đã từng bị chỉ trích vì quá chậm và quá thận trọng, nhưng trong hơn 20 năm làm nghề, chưa có một ai phàn nàn về một lỗ hổng mà tôi phát hiện. Sự thận trọng không bao giờ là một thứ gây hại, đặc biệt là trong ngành công nghiệp non trẻ này.
Khung phân tích chín chiều mà tôi sử dụng không phải là một khái niệm được viết ra sau một ngày suy nghĩ. Nó là kết tinh của nhiều năm kiểm toán, từ những vụ hack thảm khốc đến những lần phát hiện lỗ hổng trước khi chúng trở thành thảm họa. Nó gồm chín lăng kính, mỗi lăng kính soi chiếu một khía cạnh của dự án, và tất cả chúng đều cần dữ liệu đầu vào. Hãy đi từng bước.
Một. Kỹ thuật. Tôi bắt đầu bằng việc đọc hợp đồng thông minh. Không có ngoại lệ. Nếu dự án không công khai mã nguồn hoặc mã nguồn không được kiểm toán bởi một bên thứ ba uy tín, tôi sẽ coi nó là một dấu hiệu đỏ. Hãy nhớ EOS năm 2017, hợp đồng ICO có một cơ chế đa chữ ký phức tạp mà về mặt lý thuyết là an toàn. Nhưng sau hai tháng đọc từng dòng Solidity, tôi nhận ra rằng một hàm có thể bị gọi trước khi tất cả các khóa được xác nhận, tạo ra một đường tấn công khiến toàn bộ quỹ bị rút sạch. Nếu không có mã nguồn, tôi không thể làm gì cả. Nếu không có một người kiểm toán đủ tỉ mỉ, EOS có thể đã sụp đổ giữa cơn sốt ICO.
Hai. Tokenomics. Tiếp theo, tôi xem xét cấu trúc vốn token. Lượng cung tối đa là bao nhiêu? Lịch mở khóa có bất hợp lý? Tỷ lệ phân bổ cho đội ngũ, nhà đầu tư và quỹ cộng đồng ra sao? Một lỗi phổ biến tôi thấy là các dự án phát hành token không giới hạn nhưng dùng lạm phát để trả cho các nhà cung cấp thanh khoản. Đây là một vòng xoáy chết chóc. Vụ Polymath Network năm 2021 là một ví dụ kinh điển: lỗ hổng nằm trong logic mint token, cho phép kẻ tấn công tạo ra token giả không giới hạn và rút 20 triệu USD. Nếu tôi chỉ nhìn vào biểu đồ giá, tôi sẽ thấy một đường tăng đẹp mắt, nhưng đằng sau đó là một lỗ thủng khổng lồ trong hợp đồng. Tokenomics phân tích dòng tiền, không phải màu sắc của biểu đồ.
Ba. Thị trường. Một dự án dù kỹ thuật tốt đến đâu cũng có thể chết nếu không có thanh khoản. Tôi xem xét các sàn niêm yết, độ sâu lệnh, và sự phân tán của các nhà giao dịch. Khi thị trường giảm, thanh khoản bị rút mạnh. Các dự án có hầu hết thanh khoản nằm trên các sàn nhỏ, không có độ sâu, sẽ bị trượt giá tới tấp và cuối cùng mất hết vị thế. Trong thời gian gần đây, tôi đã viết khá nhiều về cách nhận diện 'giao thức đang chảy máu' – người ta nhìn vào tổng thanh khoản trên các sàn và thấy nó tăng vọt, nhưng thực tế đó chỉ là một pool do đội ngũ tự tạo ra bằng một lượng nhỏ token. Khi người ngoài muốn bán, họ bị kẹt. Một dự án blockchain không thanh khoản là một kẻ nợ nần trong bộ quần áo mới.
Bốn. Vị thế hệ sinh thái. Tôi không phân tích một dự án trong một khoảng trống. Tôi vẽ ra mạng lưới quan hệ của nó: giao thức này phụ thuộc vào oracle nào? Nó sử dụng thanh khoản từ đâu? Các đối tác của nó có đáng tin không? Vụ sụp đổ Terra Luna là một bài học đắt giá. UST, một stablecoin thuật toán, phụ thuộc vào một cơ chế arbitrage giữa nó và LUNA. Khi thị trường mất niềm tin, người dùng đổ xô bán UST, làm tăng cung của LUNA, dẫn đến lạm phát không kiểm soát và sàn giao dịch bị thanh lý hàng loạt. Nếu tôi chỉ nhìn vào UST mà không nhìn vào cả hệ sinh thái quanh nó, tôi sẽ không bao giờ thấy được thảm họa sắp xảy ra. Sự phụ thuộc vào một nút thắt duy nhất là một tín hiệu đỏ.
Năm. Tuân thủ và rủi ro pháp lý. Đừng bao giờ đánh giá thấp luật pháp. Khi tôi làm việc với đội ngũ phát triển ETF Bitcoin và Ethereum cho BlackRock, một trong những phần khó nhất là đảm bảo hợp đồng lưu ký tuân thủ các quy định tài chính của Mỹ. Chúng tôi đã phát hiện một lỗ hổng trong cơ chế xử lý chuyển tiền xuyên chuỗi (cross-chain) mà nếu không được phát hiện, có thể dẫn đến việc quỹ không thể đáp ứng yêu cầu dự trữ của SEC. Ở châu Âu, MiCA tạo ra một khuôn khổ có vẻ rõ ràng, nhưng các yêu cầu về dự trữ stablecoin và chi phí tuân thủ cho các nhà cung cấp dịch vụ (CASP) vô cùng nặng nề đối với các dự án nhỏ. Nếu bạn không có đội ngũ pháp lý chuyên nghiệp, bạn có thể bị đóng cửa bởi chính luật pháp mà bạn không hề vi phạm. Rủi ro pháp lý là một phần của phân tích, chứ không phải một điều gì đó bên ngoài.
Sáu. Đội ngũ và quản trị. Tôi tò mò về con người, nhưng tôi đánh giá con người qua hành động có thể kiểm chứng. Lịch sử công việc của đội ngũ trên LinkedIn, các cam kết công khai, code họ đã viết trong quá khứ, những phiếu bầu họ đã thực hiện. Quản trị phi tập trung thường được ca ngợi, nhưng cơ chế ủy quyền bỏ phiếu thực sự khiến quyền lực tập trung hơn. Người dùng thường không có thời gian để đọc từng đề xuất, họ chỉ ủy quyền cho những KOL mà họ thấy uy tín trên Twitter. Điều này tạo ra một nhóm nhỏ nắm quyền kiểm soát toàn bộ ngân quỹ. Tôi đã cảnh báo điều này rất nhiều lần trong các bài viết về DAO, nhưng vấn đề vẫn tiếp diễn. Quản trị tốt cần một cơ chế chống tập trung hóa, chứ không phải một chiếc áo choàng 'phi tập trung'.
Bảy. Rủi ro ma trận. Tôi liệt kê mọi rủi ro có thể xảy ra, từ hack, lỗ hổng oracle, thanh lý hàng loạt đến thao túng giá. Mỗi rủi ro nhận một mức độ nghiêm trọng và xác suất. Ví dụ, một giao thức sử dụng oracle giá từ một nguồn duy nhất sẽ có nguy cơ bị tấn công chênh lệch giá. Một giao thức vay có tài sản thế chấp cực kỳ biến động sẽ có nguy cơ thanh lý cao. Công cụ AuditFlow mà tôi phát triển đã tích hợp 15 mẫu tấn công phổ biến như reentrancy, flash loan, price manipulation. Tôi đã dùng nó để tìm ra 23 lỗi trong các bản kiểm toán cho Compound và Uniswap v2, và nhận được những phản hồi tích cực từ hơn 500 lập trình viên trên Discord. Nhưng không có công cụ nào thay thế được phán đoán của con người. Ma trận rủi ro giúp bạn ưu tiên việc kiểm tra kỹ lưỡng hơn.
Tám. Câu chuyện và kỳ vọng. Mỗi đồng coin đều có một câu chuyện. Câu chuyện đó có thể là 'Web3 sẽ thay đổi internet' hoặc 'AI + blockchain là tương lai'. Nhưng tôi luôn tự hỏi: câu chuyện này được thúc đẩy bởi số liệu thực tế hay chỉ là một làn sóng cảm xúc? Trong vụ Terra, câu chuyện về một 'stablecoin thuật toán ổn định' hấp dẫn đến mức nhiều người đã bỏ qua các cảnh báo kỹ thuật. Tôi vẫn nhớ những năm 2021, khi khái niệm Soulbound Token (SBT) được ca ngợi như một cuộc cách mạng về danh tính số. Ba năm sau, nó vẫn chỉ là một khái niệm, bởi vì không ai muốn toàn bộ lịch sử tín dụng của mình nằm vĩnh viễn trên chuỗi. Khi mọi người đều nói về một dự án nhưng không ai có thể giải thích mã nguồn cơ bản, đó là một dấu hiệu của bong bóng. Tôi theo dõi các chỉ số cảm xúc như funding rate, open interest, lưu lượng tìm kiếm, và sự gia tăng đột biến của các tài khoản mới nói về một đồng coin. Sự kỳ vọng quá mức so với thực tế kỹ thuật luôn là một cái bẫy.
Chín. Lan truyền trong toàn hệ thống. Cuối cùng, tôi nhìn vào sự phụ thuộc lẫn nhau giữa các giao thức. Nếu giao thức này sụp đổ, thì giao thức nào bị ảnh hưởng? Gần đây, tôi vẽ biểu đồ truyền dẫn giữa các thị trường cho vay, stablecoin, và sàn phi tập trung. Một sự kiện thanh lý lớn trên một giao thức cho vay sẽ làm giảm thanh khoản, từ đó ảnh hưởng đến các giao thức phái sinh. Nếu một stablecoin lớn như USDC gặp vấn đề, thì gần như toàn bộ hệ sinh thái sẽ rung chuyển. Tôi đã chứng kiến điều này khi sàn giao dịch FTX sụp đổ – rất nhiều dự án có ngân quỹ đặt trên nền tảng đó đã bị cuốn theo. Độ phơi nhiễm hệ thống là một phần của phân tích, đặc biệt trong thời kỳ thị trường giảm, khi các thảm họa có xu hướng tương quan với nhau.
Tôi có thể giải thích chín chiều này trong một buổi tọa đàm trực tuyến, và tôi thường làm vậy trong podcast 'AuditVerse' của mình. Nhưng có một câu chuyện ngắn gọn mà tôi muốn chia sẻ. Sau vụ sụp đổ Terra Luna, tôi đã dành ba tháng để phân tích mã nguồn của giao thức này và viết một loạt bài mang tên 'Terra Luna: Bài học từ mã nguồn'. Nhiều nạn nhân của vụ sụp đổ đã viết thư cho tôi, nói rằng họ ước họ đã biết đến những chỉ số này trước khi bỏ tiền vào. Họ bị cuốn vào một câu chuyện đầy cảm hứng mà không hề nhìn vào dữ liệu giao thức. Đó chính là lý do tại sao tôi kiên định với nguyên tắc: không đủ dữ liệu, không phân tích.
Một chi tiết phản trực giác mà tôi muốn nói với các bạn: việc thiếu thông tin chính là một tín hiệu rủi ro lớn nhất. Nhiều người cho rằng một dự án 'quá mới' nên 'chưa có thông tin', và nghĩ rằng đó là cơ hội để trở thành nhà đầu tư sớm. Nhưng trong thị trường tiền mã hóa, sớm không có nghĩa là tốt. Một dự án không cung cấp được hợp đồng thông minh để kiểm toán, không nêu rõ được đội ngũ, không có một lộ trình khả thi, thì có lẽ họ không thực sự muốn xây dựng, mà chỉ muốn huy động tiền rồi biến mất. Hãy nhìn vào các dự án lớn như Uniswap, Aave, Compound – tất cả đều minh bạch mã nguồn, đều có kiểm toán, đều có những cuộc thảo luận mở. Sự thiếu minh bạch, do đó, là một lá cờ đỏ to không thể bỏ qua.
Vậy thì, trong giai đoạn khó khăn này, tôi muốn nói với bạn điều gì? Hãy rèn luyện thói quen đặt câu hỏi trước khi đầu tư. Hãy tự hỏi: tôi đã đọc mã nguồn chưa? Tôi có biết ai đang đứng sau dự án này không? Tôi có hiểu token này tạo ra giá trị bằng cách nào không? Tôi có nhìn thấy rủi ro thanh khoản trong tình huống xấu nhất không? Nếu bạn không thể trả lời, bạn không nên đầu tư. Một câu từ chối phân tích không phải là một điều xấu, mà là một lời cảnh báo. Và trong một thị trường mà tin xấu có thể đến bất cứ lúc nào, cảnh báo sớm là một lợi thế.
Tôi tin rằng giá trị của một nhà phân tích không nằm ở việc luôn luôn đưa ra dự đoán, mà nằm ở việc trung thực về những gì họ không biết. Khung chín chiều này không phải là một quy tắc cứng nhắc, mà là một bộ công cụ tư duy để bạn soi xét mọi dự án từ nhiều góc độ. Trong thị trường giảm, khi mà rất nhiều dự án sẽ chết, kỷ luật chính là sự khác biệt giữa một người mất tiền và một người bảo vệ được vốn. Hãy để dữ liệu dẫn đường. Và nếu không có dữ liệu, xin hãy kiên nhẫn chờ đợi – hoặc bước tiếp.
Cuối cùng, tôi muốn đặt một câu hỏi mở cho bạn, những người đang đọc bài viết này trong giai đoạn đầy biến động của thị trường: bạn đã bao giờ thử áp dụng một trong chín chiều này vào dự án bạn đang nắm giữ chưa? Nếu câu trả lời là không, thì có lẽ bạn không sở hữu một khoản đầu tư, mà chỉ đang sở hữu một hy vọng. Hãy để dữ liệu dẫn đường, trước khi bạn buộc phải tin vào một điều gì đó mù quáng.