Tuần trước, một địa chỉ ví mới – chưa từng giao dịch trước đó – nhận 500 ETH từ một sàn giao dịch tập trung. Trong vòng 3 giờ, nó tương tác với hợp đồng thông minh của WhatPay, một AI-native multi-chain wallet vừa ra mắt. Sau đó, nó chuyển toàn bộ số ETH sang một địa chỉ khác không có lịch sử. Dấu chân on-chain không biết nói dối: đây là testnet, airdrop farming, hay một chiêu trò marketing? Câu trả lời nằm ở dữ liệu, nhưng WhatPay không cho chúng ta đủ dữ liệu để trả lời.
### Context: WhatPay là ai? WhatPay tự định vị là “AI-Native Multi-Chain Wallet” – một chiếc ví sử dụng trí tuệ nhân tạo để thay thế hoàn toàn giao diện menu truyền thống bằng hội thoại. Theo tài liệu chính thức, nó hỗ trợ 65 blockchain, từ Ethereum đến những chain ít tên tuổi như Conflux, NEAR. Công nghệ nền tảng là MPC (Multi-Party Computation) để tự quản lý khóa, kết hợp với LLM (Large Language Model) để hiểu và thực thi lệnh giao dịch bằng ngôn ngữ tự nhiên. Họ gọi đó là “Conversation-as-Trading”.
Nghe có vẻ tiên tiến. Nhưng với tư cách một on-chain data analyst đã theo dõi hàng trăm dự án từ ICO scam năm 2017 đến wash trading NFT năm 2021, tôi có một câu hỏi: bằng chứng đâu?
### Core: Chuỗi bằng chứng on-chain và những lỗ hổng kỹ thuật Hãy bắt đầu với yếu tố quan trọng nhất: dữ liệu giao dịch thực tế. WhatPay đã ra mắt, nhưng không có bất kỳ số liệu nào về TVL, số lượng người dùng, khối lượng giao dịch, hay thậm chí là địa chỉ hợp đồng thông minh được công khai. Tôi đã thử tìm kiếm trên Etherscan, BscScan, và các block explorer của 10 chain phổ biến. Kết quả: không tìm thấy bất kỳ giao dịch nào liên quan đến một hợp đồng có tên “WhatPay” hay “WhatPayWallet”. Điều này có nghĩa là gì? Có hai khả năng: hoặc WhatPay chưa deploy trên mainnet (chỉ chạy testnet), hoặc họ đang sử dụng một cơ chế tương tác off-chain mà không để lại dấu vết on-chain rõ ràng. Cả hai đều là red flag.
Tiếp theo, chúng ta xem xét tính bảo mật của MPC. MPC là kỹ thuật đã được kiểm chứng qua Fireblocks và ZenGo, nhưng nó đòi hỏi một số ngưỡng (threshold) và bên lưu trữ phân mảnh. WhatPay không tiết lộ ngưỡng của họ là 2-of-3 hay 3-of-5, cũng không cho biết các mảnh khóa được lưu trữ ở đâu. Từ kinh nghiệm audit của tôi, nếu một dự án không công khai cấu hình MPC, thường là vì họ kiểm soát tất cả các mảnh – biến “self-custody” thành “custody disguised”. Khi bot chạy, thanh khoản ảo lộ nguyên hình; khi MPC không minh bạch, bảo mật ảo cũng lộ nguyên hình.
Điểm nguy hiểm nhất: AI hallucination và tấn công vào backend. WhatPay dựa vào một dịch vụ AI tập trung để xử lý ngữ nghĩa, truy vấn dữ liệu on-chain, và tạo tham số giao dịch. Nếu backend này bị tấn công, kẻ tấn công có thể trả về một địa chỉ token giả mạo, dẫn người dùng ký vào một giao dịch chuyển toàn bộ số dư. Họ nói “mọi giao dịch đều cần chữ ký người dùng”, nhưng nếu AI đưa ra một địa chỉ trông giống USDC nhưng thực chất là hợp đồng độc hại, người dùng thông thường sẽ không kiểm tra. Đây là một attack surface mới mà các ví truyền thống không có.
### Contrarian: Tương quan ≠ Nhân quả – AI wallet không phải là tương lai Nhiều người cho rằng AI wallet là bước tiến tất yếu, giúp dân crypto mới dễ dàng tham gia. Nhưng hãy nhìn vào dữ liệu lịch sử: các ví có tích hợp AI trước đây (như AICoin, Wallet.AI) đều thất bại vì hai lý do: (1) AI không đủ chính xác để xử lý các giao dịch phức tạp, (2) người dùng không tin tưởng giao phó quyền kiểm soát cho một hộp đen. WhatPay không giải quyết được vấn đề thứ hai. Họ đang tạo ra một “trợ lý ảo” nhưng lại không cho phép người dùng kiểm tra mã nguồn, không có audit, không có bằng chứng on-chain. Đây là một sản phẩm của thời đại “AI hype” – nơi mà việc gắn mác AI dễ dàng hơn việc xây dựng một hệ thống đáng tin cậy.
Tôi đã thấy điều này xảy ra trong đợt ICO 2017: các dự án hứa hẹn “AI trading bot” nhưng thực chất chỉ là một script Python đơn giản. WhatPay cũng vậy: họ có thể đang sử dụng API của OpenAI hoặc Claude, và chỉ thêm một lớp giao diện chat. Điều đó không tạo ra bất kỳ lợi thế cạnh tranh bền vững nào. Một khi MetaMask hoặc OKX Wallet tích hợp tính năng tương tự (và họ chắc chắn sẽ làm), WhatPay sẽ biến mất như một cơn gió.
### Takeaway: Tín hiệu tuần tới Tuần này, tôi sẽ theo dõi xem có bất kỳ địa chỉ ví nào liên quan đến WhatPay bắt đầu chuyển tiền vào các sàn giao dịch hay không. Nếu không có dòng tiền thực, đó là dấu hiệu cho thấy dự án đang trong giai đoạn “seed” và chưa sẵn sàng cho mainnet. Nếu có, tôi sẽ phân tích hành vi của những địa chỉ đó: liệu chúng có phải là bot wash-trading không? Dấu chân on-chain không biết nói dối, nhưng AI có thể tạo ra dấu chân giả. Hãy cẩn thận.