Hồi đầu tháng, một lỗi trong sequencer của Arbitrum đã làm gián đoạn giao dịch trong 45 phút. Không có mất mát lớn, nhưng sự cố này phơi bày một điểm yếu cốt lõi mà hầu hết các bài thuyết trình Layer 2 đều lờ đi: sequencer vẫn là một nút đơn lẻ, tập trung. Khi bạn kiểm soát sequencer, bạn kiểm soát toàn bộ rollup. Đây không phải là lỗi của riêng Arbitrum; đó là kiến trúc mặc định của hầu hết các L2 hiện nay.
Để hiểu vấn đề, trước tiên cần nhìn vào cơ chế hoạt động của sequencer. Trong một rollup, sequencer là người nhận giao dịch từ người dùng, sắp xếp chúng, và cam kết trạng thái lên lớp nền (Layer 1). Nó quyết định thứ tự giao dịch, do đó quyết định kết quả cuối cùng. Nếu sequencer bị kiểm soát, kẻ tấn công có thể kiểm duyệt, sắp xếp lại, hoặc thậm chí trích xuất giá trị từ mempool. Trong thực tế, hầu hết các L2 đều vận hành sequencer tập trung, thuộc sở hữu của đội ngũ dự án. Điều này mang lại hiệu suất cao và trải nghiệm người dùng mượt mà, nhưng đánh đổi bằng sự tin cậy vào một thực thể duy nhất.
Một sequencer, một điểm thất bại. Đây là nguyên lý cơ bản của bảo mật hệ thống. Nhưng tôi thấy cộng đồng vẫn chấp nhận rủi ro này vì lợi ích về tốc độ và phí thấp. Trong quá trình audit cho một dự án L2 vào năm 2023, tôi đã phát hiện ra rằng nhóm phát triển dựa vào một multisig đơn giản để kiểm soát nâng cấp sequencer. Nếu multisig bị compromise, sequencer có thể bị thay thế bằng một phiên bản độc hại. Khi tôi báo cáo, họ nói rằng 'đội ngũ đáng tin cậy' là đủ. Điều này làm tôi nhớ lại câu chuyện của The DAO năm 2016: 'code is law' không tồn tại khi có một nút tập trung.
Phân tích kỹ thuật sâu hơn, hãy xem xét quy trình xác thực trạng thái. Trong các rollup lạc quan, sequencer gửi batch lên L1, và người xác thực có thời gian thử thách. Nhưng nếu sequencer tập trung cố tình gửi một batch sai, người xác thực phải phát hiện và gửi bằng chứng gian lận. Trong thực tế, điều này đòi hỏi sự cảnh giác liên tục và chi phí vận hành. Hầu hết người dùng không chạy nút đầy đủ, họ tin tưởng vào sequencer. Sự khác biệt giữa lý thuyết và thực tế là khoảng cách giữa PowerPoint và mainnet. Trên slide, sequencer phi tập trung là một cụm validator với cơ chế đồng thuận. Trong code, nó chỉ là một server đơn lẻ với một cron job.
Hai năm qua, tôi đã nghe vô số bài thuyết trình về 'decentralized sequencing'. Các dự án như Espresso, Radius, hay các giải pháp shared sequencer đều hứa hẹn một tương lai nơi sequencer được phân tán. Nhưng cho đến nay, chưa có một L2 chính thức nào triển khai sequencer phi tập trung trên mainnet. Tất cả vẫn là giai đoạn testnet, với những hạn chế về hiệu suất. Tôi đã phân tích cơ chế đồng thuận của một shared sequencer: nó yêu cầu 2/3 validator đồng ý, làm tăng độ trễ từ vài mili giây lên vài giây. Đối với các ứng dụng DeFi yêu cầu tốc độ, điều này là không chấp nhận được. Vậy nên, các dự án chọn sequencer tập trung, và biện minh bằng 'chúng tôi sẽ phi tập trung sau'. Nhưng 'sau' không bao giờ đến.
Khi bạn kiểm soát sequencer, bạn kiểm soát toàn bộ rollup. Đây là câu nói tôi thường nhắc lại trong các buổi audit. Nếu một L2 có sequencer tập trung, nó không khác gì một cơ sở dữ liệu tập trung có khả năng chứng minh bằng chứng gian lận. Người dùng vẫn phải tin tưởng vào đội ngũ vận hành. Điều này đặt ra câu hỏi: liệu mô hình L2 có thực sự mang lại tính phi tập trung mà chúng ta kỳ vọng? Hay đó chỉ là một lớp ảo tưởng? Từ góc nhìn kỹ thuật, tôi cho rằng sequencer tập trung là một điểm yếu cố hữu, và các giải pháp hiện tại chưa đủ trưởng thành để khắc phục.
Một số người cho rằng người dùng có thể thoát khỏi sequencer bằng cách gửi giao dịch trực tiếp lên L1, nhưng điều đó tốn kém và chậm. Trong nhiều trường hợp, nó không khả thi về mặt kinh tế. Vì vậy, người dùng bị mắc kẹt trong hệ thống tin cậy. Đây là lý do tôi luôn khuyến nghị các dự án nên minh bạch về mức độ tập trung của sequencer, và cung cấp cơ chế thoát hiểm rõ ràng. Nhưng thị trường hiện tại đang giảm, và các dự án tập trung vào sống sót hơn là cải tiến kiến trúc. Họ cắt giảm chi phí, và phi tập trung hóa sequencer là một chi phí không cần thiết trong ngắn hạn.
Nhìn vào tương lai, tôi nghi ngờ liệu có một L2 nào thực sự đạt được sequencer phi tập trung mà vẫn duy trì hiệu suất hiện tại. Các giải pháp như danh sách sắp xếp (ordering list) hay cơ chế đồng thuận đồng thời vẫn đang trong giai đoạn nghiên cứu. Có lẽ, câu hỏi quan trọng hơn không phải là 'khi nào sequencer phi tập trung', mà là 'liệu chúng ta có thực sự cần sequencer không?' Một số thiết kế mới, như rollup dựa trên zk với chứng minh ngay lập tức, có thể loại bỏ hoàn toàn sequencer. Nhưng đó là câu chuyện cho một bài viết khác.
Tạm thời, khi bạn sử dụng bất kỳ L2 nào, hãy nhớ rằng sequencer của nó là một nút đơn lẻ. Nó có thể bị tấn công, bị kiểm duyệt, hoặc bị thao túng. Và không có slide PowerPoint nào thay đổi được thực tế đó.