2290 ETH chui vào bóng tối: Mổ xẻ vụ Solana OG rửa tiền qua Tornado Cash và vết nứt của ngành

Lớp vỏ bọc sáng bóng của một sổ cái công khai che giấu những vết nứt kỹ thuật mà không một ai muốn nhìn thẳng. Hôm nay, Onchain Lens ghi nhận một địa chỉ liên quan đến vụ tấn công Solana OG vừa chuyển 2.290 ETH (tương đương 4,39 triệu USD) vào Tornado Cash. Đây là lần thứ hai cùng một cụm địa chỉ sử dụng giao thức trộn tiền này trong vòng hai tuần. Tin tức chỉ vỏn vẹn vài dòng, nhưng đằng sau đó là một quy trình tẩy rửa tài sản số được thực hiện một cách điềm tĩnh, có phương pháp, và đáng ngại hơn cả: nó đang vận hành trơn tru giữa một ngành công nghiệp tự hào về tính minh bạch. Tôi không viết bài này để kể lại tin tức. Tôi viết để giải phẫu nó. Hãy bắt đầu từ bối cảnh. Vụ tấn công Solana OG được hé lộ cách đây khoảng một tháng, với tổng thiệt hại lên tới 14,2 triệu USD. Danh tính chính xác của "Solana OG" vẫn còn mơ hồ — có thể là một project, một quỹ đầu tư, hoặc một cá nhân nắm giữ lượng lớn token từ những ngày đầu của hệ sinh thái Solana. Nhưng điều quan trọng không phải là nạn nhân. Điều quan trọng là kẻ tấn công. Và kẻ đó đang làm một việc mà tôi đã chứng kiến hàng trăm lần trong 19 năm theo dõi ngành này: biến tài sản kỹ thuật số thành thứ không thể truy vết. Lớp vỏ bọc sáng bóng của Tornado Cash — một giao thức bảo mật dựa trên bằng chứng không kiến thức ZK-SNARK — che giấu vết nứt kỹ thuật mang tên "irreversible anonymity". Khi bạn gửi tiền vào hợp đồng Tornado Cash, bạn nhận một bằng chứng thanh toán. Khi bạn rút tiền bằng một địa chỉ mới, không một ai trên đời này — kể cả chính phủ Mỹ — có thể chứng minh mối liên hệ giữa hai địa chỉ đó. Đó là thiên tài kỹ thuật. Và đó cũng là lý do tại sao giao thức này bị đưa vào danh sách trừng phạt của Văn phòng Kiểm soát Tài sản Nước ngoài (OFAC) từ tháng 8 năm 2022. Bây giờ, hãy để tôi dẫn anh chị đi qua từng lớp của vụ việc. 2290 ETH là con số không nhỏ, nhưng nó chỉ là một phần trong tổng số 14,2 triệu USD mà kẻ tấn công đã lấy đi. Đợt chuyển tiền này gần như chắc chắn là một bước trong quy trình "phân lớp" (layering) — giai đoạn thứ hai của hoạt động rửa tiền, nơi dòng tiền phi pháp được đẩy qua nhiều lớp giao dịch để làm đứt gãy mọi dấu vết liên kết. Lần đầu tiên là khoảng hai tuần trước. Lần này là tiếp theo. Và tôi cá rằng sẽ còn lần thứ ba, thứ tư, cho đến khi toàn bộ 14,2 triệu USD được "làm sạch". Tôi đã phân tích hợp đồng ICO EOS năm 2017 — một trong những vụ kiểm toán tồi tệ nhất mà tôi từng thấy. Tôi cũng đã điều tra sàn FTX trước khi nó sụp đổ, và chỉ ra sự chênh lệch 2 tỷ USD giữa dự trữ và nợ phải trả. Nhưng điều khiến tôi bận tâm ở vụ này không phải là kỹ thuật tấn công ban đầu — mà là sự bình thản của kẻ tấn công khi sử dụng công cụ đã bị trừng phạt trên toàn cầu. Hắn không vội. Hắn chia nhỏ số tiền. Hắn chờ đợi. Hắn lặp lại. Hãy nhìn vào chi tiết kỹ thuật của giao dịch. Tornado Cash hoạt động với các nhóm thanh khoản (pools) có mệnh giá khác nhau: 0.1 ETH, 1 ETH, 10 ETH, 100 ETH. Với 2.290 ETH, kẻ tấn công có thể chia thành hàng chục giao dịch 100 ETH và vài giao dịch 10 ETH. Mỗi giao dịch tạo ra một bằng chứng ZK riêng biệt. Mỗi lần rút tiền cần một địa chỉ mới — thường được tài trợ từ một ví trung gian với gas từ một nguồn không liên quan. Đây là kỹ thuật mà các cơ quan thực thi pháp luật gọi là "peeling chain". Và đó mới chỉ là phần nổi. Phần chìm của tảng băng là câu hỏi: tại sao một kẻ tấn công có thể thoải mái sử dụng Tornado Cash khi cả thế giới biết rằng nó đã bị OFAC trừng phạt? Câu trả lời nằm trong một vết nứt kỹ thuật mà ít người nói đến: tính bất biến của hợp đồng thông minh. Tornado Cash vẫn hoạt động vì hợp đồng của nó đã được triển khai trên Ethereum từ năm 2019 và không ai — kể cả chính phủ Mỹ — có thể tắt nó đi. OFAC có thể cấm các công ty Mỹ tương tác với giao thức, có thể bắt giữ các nhà phát triển, có thể đưa vào danh sách đen hàng nghìn địa chỉ ví. Nhưng không thể xóa một byte mã đã nằm trên blockchain. Đây là điều mà tôi gọi là "thế tiến thoái lưỡng nan của người gác cổng": bạn có thể khóa cửa trước, nhưng những kẻ trộm vẫn có thể vào qua cửa sổ mà bạn không thể đóng. Lớp vỏ bọc sáng bóng của sự quản lý nhà nước — lệnh trừng phạt, danh sách đen, khung pháp lý — che giấu vết nứt kỹ thuật của một giao thức phi tập trung: một khi mã nguồn đã lên chuỗi, nó sống mãi mãi. Kẻ tấn công hiểu điều này. Hắn không chỉ có kỹ năng kỹ thuật để thực hiện cuộc tấn công ban đầu — có thể là khai thác lỗ hổng hợp đồng thông minh, chiếm quyền điều khiển ví, hoặc lừa đảo thông qua giao dịch ký quỹ — mà còn có kiến thức về quy trình rửa tiền trên blockchain. Hắn biết rằng Tornado Cash vẫn là công cụ hiệu quả nhất bất chấp lệnh trừng phạt. Hắn biết rằng các relayers (trung gian vận hành mạng lưới Tornado Cash) vẫn hoạt động, dù một số đã rút lui. Và hắn biết rằng một khi tiền đã vào pool và được rút ra bằng địa chỉ mới, cơ hội truy vết gần như bằng không. Nói về relayers: đây là một chi tiết tinh tế mà hầu hết mọi người bỏ qua. Tornado Cash không tự vận hành. Nó phụ thuộc vào một mạng lưới các relayers — các thực thể trả gas phí thay cho người dùng và gửi giao dịch lên chuỗi, đổi lấy phí dịch vụ. Sau lệnh trừng phạt của OFAC, nhiều relayers ở Mỹ đã rút lui. Nhưng các relayers ở ngoài thẩm quyền Hoa Kỳ — hoặc không quan tâm đến rủi ro pháp lý — vẫn tiếp tục hoạt động. Điều này tạo ra một nghịch lý: lệnh trừng phạt làm giảm tính thanh khoản của mạng lưới, nhưng không làm giảm nhu cầu sử dụng. Và trong thế giới ngầm, nhu cầu là thứ duy nhất thúc đẩy nguồn cung. Kẻ tấn công cũng cho thấy dấu hiệu của một người có tổ chức, có kỷ luật. Hãy nhìn vào mốc thời gian: hai tuần giữa lần chuyển đầu tiên và lần chuyển thứ hai. Điều đó có nghĩa là gì? Nó có nghĩa là hắn không bị áp lực phải thanh lý nhanh. Nó có nghĩa là hắn có một kế hoạch có chủ đích — có thể là chuyển một phần nhỏ trước để kiểm tra xem liệu có bị theo dõi hoặc chặn hay không, rồi mới tiếp tục với phần còn lại. Đây là hành vi của một tổ chức tội phạm có kinh nghiệm, không phải của một kẻ cơ hội. Từ góc độ pháp lý, tình huống này còn nghiêm trọng hơn nhiều so với một vụ trộm cắp thông thường. Kẻ tấn công không chỉ vi phạm luật hình sự về hành vi chiếm đoạt tài sản — mà còn đang tương tác với một thực thể đã bị OFAC đưa vào danh sách SDN. Nếu hắn hoặc bất kỳ ai liên quan đến giao dịch này nằm trong thẩm quyền của Hoa Kỳ, họ có thể bị truy tố thêm về tội vi phạm trừng phạt — một tội danh nghiêm trọng hơn nhiều so với hành vi trộm cắp tài sản kỹ thuật số trong mắt của Bộ Tư pháp Mỹ. Nhưng liệu điều đó có làm hắn bận tâm? Dường như là không. Hãy nghĩ về thông điệp mà điều này gửi đến toàn ngành. Chúng ta đang nói về một kẻ tấn công vừa cướp 14,2 triệu USD từ một hệ sinh thái đang phát triển mạnh — và đang rửa tiền qua một giao thức bị chính phủ Hoa Kỳ trừng phạt một cách hết sức công khai. Hắn làm điều đó một cách công khai trên blockchain — một sổ cái mà ai cũng có thể đọc. Sự trơ trẽn này không chỉ là một thách thức với cơ quan thực thi pháp luật; nó là một vết nứt trong câu chuyện "tài sản số minh bạch và an toàn" mà ngành công nghiệp này đã xây dựng suốt một thập kỷ. Tôi đã nghiên cứu cơ chế sharding của Ethereum 2.0 vào năm 2020. Tôi đã điều tra các chiêu trò pump-and-dump của Bored Ape Yacht Club vào năm 2021. Tôi đã đánh giá dòng tiền của 10 quỹ ETF Bitcoin vào năm 2024. Trong tất cả những trải nghiệm đó, tôi rút ra một bài học: những gì ngành này thường gọi là "rủi ro" hiếm khi đến từ những nơi dễ thấy. Nó đến từ những vết nứt cấu trúc mà mọi người chọn cách bỏ qua vì sự thuận tiện. Tornado Cash chính là vết nứt đó. Và kẻ tấn công Solana OG đang chứng minh rằng vết nứt ngày càng rộng hơn. Đây là lúc tôi muốn đưa ra một góc nhìn phản trực giác — một góc nhìn mà có thể sẽ khiến nhiều người trong giới bảo mật khó chịu. Nhưng tôi đã ở trong ngành này đủ lâu để không ngại nói ra những điều khó nghe. Tornado Cash không phải là vấn đề. Hãy để tôi nói rõ hơn. Tornado Cash là một công cụ. Giống như một con dao — có thể dùng để cắt bánh mì hoặc để tấn công người khác. Việc chúng ta trừng phạt công cụ thay vì trừng phạt kẻ lạm dụng công cụ là một sai lầm chiến lược. OFAC đã trừng phạt Tornado Cash vào năm 2022. Nhưng vụ việc này cho thấy lệnh trừng phạt không ngăn được kẻ tấn công. Nó chỉ làm cho công cụ này trở nên nguy hiểm hơn, vì giờ đây nó bị đẩy hoàn toàn vào bóng tối tội phạm, và những người dùng hợp pháp — những người cần quyền riêng tư tài chính vì lý do chính đáng — đã bị tước mất quyền truy cập. Hãy nhìn vào dữ liệu. Kể từ khi bị trừng phạt, Tornado Cash vẫn nhận được dòng tiền đáng kể. Các nhà phân tích trên chuỗi ước tính rằng hàng trăm triệu USD vẫn chảy qua giao thức này mỗi năm. Điều đó có nghĩa là gì? Nó có nghĩa là nhu cầu về quyền riêng tư — dù hợp pháp hay bất hợp pháp — không biến mất khi bạn cấm một hợp đồng thông minh. Nó chỉ chuyển hướng. Và khi nó chuyển hướng vào bóng tối, chúng ta càng khó theo dõi hơn. Đây là vết nứt mà các nhà quản lý không muốn nhìn thấy: việc trừng phạt Tornado Cash không làm cho hệ thống tài chính an toàn hơn. Nó chỉ làm cho các hoạt động phi pháp trở nên khó phát hiện hơn. Trớ trêu thay, chính sách trừng phạt của OFAC đã biến Tornado Cash thành một "thiên đường rửa tiền hoàn hảo" — vì mọi người dùng hợp pháp đã rời đi, và những kẻ còn lại chỉ có một lý do duy nhất để ở lại. Quay trở lại với vụ việc. Có một chi tiết mà tôi muốn mổ xẻ sâu hơn: việc kẻ tấn công chọn Tornado Cash — thay vì một cross-chain bridge hoặc một sàn giao dịch phi tập trung (DEX) — cho thấy hắn đánh giá cao tính thanh khoản và độ tin cậy của giao thức này. Các giải pháp cross-chain có thể phức tạp và tiềm ẩn rủi ro về hợp đồng thông minh — chính những lỗ hổng mà kẻ tấn công đã khai thác ở nơi khác. DEX thì yêu cầu tương tác với nhiều giao thức, tạo ra nhiều dấu vết hơn. Còn Tornado Cash — một giao thức đã hoạt động ổn định từ năm 2019 — là lựa chọn an toàn nhất. Hắn chọn sự chắc chắn. Và sự chắc chắn đó cho thấy hắn không phải là một kẻ nghiệp dư. Kẻ tấn công còn cho thấy sự hiểu biết tinh tế về cơ chế hoạt động của các sàn giao dịch. Hắn biết rằng các sàn giao dịch tuân thủ — như Coinbase, Binance, Kraken — đều sử dụng các công cụ phân tích chuỗi như Chainalysis và Elliptic để theo dõi các địa chỉ liên quan đến Tornado Cash. Hắn biết rằng nếu hắn chuyển tiền trực tiếp từ ví tấn công sang một sàn giao dịch, tiền sẽ bị đóng băng ngay lập tức. Do đó, hắn phải cắt đứt mối liên hệ này bằng Tornado Cash. Sau khi rút tiền từ Tornado Cash bằng một địa chỉ mới — một địa chỉ chưa từng có lịch sử tương tác với bất kỳ thực thể bị theo dõi nào — hắn có thể tự do chuyển tiền vào sàn giao dịch mà không bị nghi ngờ. Nhưng có một lớp tinh vi hơn nữa. Hãy nghĩ về thời điểm. Kẻ tấn công chuyển tiền lần đầu tiên khoảng hai tuần trước, và lần thứ hai bây giờ. Tại sao không chuyển toàn bộ cùng một lúc? Có thể vì hắn muốn tránh làm quá tải các pool thanh khoản của Tornado Cash — điều có thể làm tăng phí giao dịch và thu hút sự chú ý. Có thể vì hắn muốn chia nhỏ rủi ro — nếu một lần chuyển bị chặn, hắn vẫn còn phần còn lại. Có thể vì hắn đang chờ đợi những thời điểm thanh khoản cao nhất để giảm thiểu tác động của giao dịch đối với giá. Một khả năng khác mà tôi cho là đáng chú ý: kẻ tấn công có thể đã chuyển một phần tài sản thành stablecoin trước khi thực hiện các giao dịch Tornado Cash. 2.290 ETH là con số chúng ta thấy. Nhưng tổng tài sản của hắn là 14,2 triệu USD — và hắn chỉ mới chuyển 4,39 triệu USD qua Tornado Cash. Còn khoảng 9,8 triệu USD vẫn đang nằm đâu đó — có thể trong ETH, có thể trong stablecoin, có thể trong các tài sản kỹ thuật số khác. Chúng ta có thể sẽ thấy những đợt chuyển tiếp theo trong những tuần tới. Câu hỏi đặt ra: liệu các cơ quan thực thi pháp luật có thể làm gì để ngăn chặn? Câu trả lời ngắn gọn: rất ít. Khi một lượng lớn tiền đã vào Tornado Cash và được rút ra bằng một địa chỉ mới, các công cụ phân tích chuỗi truyền thống hầu như không thể theo dõi được. Các nhà điều tra sẽ phải dựa vào các phương pháp khác — thông tin tình báo ngoài chuỗi (off-chain intelligence), dữ liệu KYC từ các sàn giao dịch nếu và khi tiền được rút, phân tích hành vi ví, hoặc các kỹ thuật phân tích cụm (cluster analysis) và phân tích thời gian (temporal analysis). Nhưng tất cả những phương pháp này đều tốn thời gian và có tỷ lệ thành công không cao. Đó là thực tế nghiệt ngã. Và là thực tế mà ngành công nghiệp blockchain không muốn nói đến. Hãy để tôi kể một câu chuyện từ kinh nghiệm của mình. Vào năm 2022, khi tôi điều tra báo cáo tài chính của FTX — vài tháng trước khi nó sụp đổ — tôi nhận thấy một vết nứt trong mô hình của sàn này: sự chênh lệch giữa tài sản dự trữ và nợ phải trả. Tôi đã viết một bài điều tra dài 20 trang. Bài báo được CoinDesk đăng lại và thu hút hơn 50.000 lượt đọc. Nhưng điều tôi nhớ nhất không phải là con số, mà là phản ứng của cộng đồng: hầu hết mọi người không muốn tin. Họ bảo vệ FTX vì họ đã kiếm được tiền từ nó. Họ gọi tôi là kẻ hoài nghi. Ba tháng sau, FTX sụp đổ và bài viết của tôi trở thành tài liệu tham khảo. Tôi kể câu chuyện này vì tôi thấy cùng một khuôn mẫu đang lặp lại với Tornado Cash. Ngành công nghiệp này đã tạo ra những công cụ tuyệt vời — nhưng từ chối đối mặt với thực tế rằng những công cụ này có thể bị lạm dụng. Chúng ta nói về "quyền riêng tư" như một giá trị thiêng liêng, nhưng lại né tránh cuộc thảo luận về việc ai đang thực sự sử dụng các công cụ quyền riêng tư này và vì mục đích gì. Kẻ tấn công Solana OG không phải là một nhà hoạt động vì quyền riêng tư. Hắn là một tên trộm. Và hắn đang sử dụng Tornado Cash đúng cách mà các nhà phát triển của nó không muốn nghĩ đến. Vậy điều gì sẽ xảy ra tiếp theo? Có ba kịch bản — và tôi muốn anh chị hiểu rõ từng kịch bản. Kịch bản thứ nhất: kẻ tấn công tiếp tục chuyển phần còn lại của số tiền (khoảng 9,8 triệu USD) qua Tornado Cash trong những tuần tới. Điều này gần như chắc chắn sẽ xảy ra. Khi đó, cơ hội truy vết — vốn đã rất thấp — sẽ gần như biến mất hoàn toàn. Các nhà điều tra sẽ phải chuyển sang các chiến lược khác, như theo dõi hành vi tiêu xài của kẻ tấn công ngoài đời thực. Kịch bản thứ hai: một phần tiền sau khi rút từ Tornado Cash sẽ được chuyển vào một sàn giao dịch. Sàn giao dịch — nếu có quy trình KYC/AML tốt — có thể đóng băng số tiền và hợp tác với cơ quan thực thi pháp luật. Nhưng kẻ tấn công có thể tránh điều này bằng cách sử dụng các sàn giao dịch có quy trình KYC lỏng lẻo, hoặc bằng cách chuyển tiền qua nhiều lớp trung gian khác. Trong kịch bản này, khả năng thu hồi tài sản là rất thấp. Kịch bản thứ ba: kẻ tấn công giữ tài sản trong một ví lạnh không giám sát (non-custodial cold wallet) và chờ đợi — có thể là chờ thị trường phục hồi, có thể là chờ các lệnh trừng phạt được dỡ bỏ, có thể là chờ sự lãng quên. Trong kịch bản này, số tiền có thể sẽ không bao giờ được thu hồi. Trong cả ba kịch bản, khả năng cao là số tiền sẽ không quay trở lại với nạn nhân. Và đó là một thực tế đau lòng. Nhưng có một vết nứt lớn hơn mà câu chuyện này phơi bày — một vết nứt mà tôi nghĩ các nhà đầu tư và nhà phát triển cần đối mặt một cách nghiêm túc. Đó là vấn đề về kiến trúc của toàn bộ ngành blockchain. Chúng ta đã xây dựng một hệ thống tài chính không thể đảo ngược. Khi một giao dịch đã được xác nhận, nó không thể bị hủy. Khi một tài sản đã được chuyển vào một hợp đồng thông minh như Tornado Cash, nó gần như không thể bị chặn. Điều này là một tính năng — theo những người theo chủ nghĩa tự do công nghệ. Nhưng nó cũng là một lỗ hổng — theo quan điểm của những người bảo vệ người tiêu dùng. Và không có cách nào để có cả hai. Bạn không thể có một hệ thống tài chính không thể kiểm duyệt và đồng thời có khả năng thu hồi tài sản bị đánh cắp. Bạn phải chọn một. Và sự lựa chọn này — đã được thực hiện từ những ngày đầu của Bitcoin — đang ngày càng trở nên khó khăn hơn khi các vụ tấn công và rửa tiền ngày càng tinh vi. Điều này dẫn tôi đến một góc nhìn phản trực giác khác — góc nhìn mà có thể sẽ khiến tôi bị chỉ trích trong cộng đồng. Có lẽ chúng ta đã đầu tư quá nhiều nguồn lực vào việc theo dõi và chặn các giao thức quyền riêng tư, trong khi chúng ta nên tập trung vào việc ngăn chặn các cuộc tấn công ngay từ đầu. Hãy nhìn vào số liệu: trong năm 2024, tổng giá trị bị đánh cắp trong các vụ tấn công DeFi lên tới hàng tỷ USD. Các công cụ pháp lý và trừng phạt — như lệnh OFAC đối với Tornado Cash — không ngăn được những con số này. Chúng chỉ chuyển hướng dòng tiền sang các kênh khác. Điều gì sẽ xảy ra nếu thay vì dành hàng triệu USD cho việc theo dõi các địa chỉ Tornado Cash, chúng ta dành số tiền đó cho việc kiểm toán mã nguồn, cải thiện bảo mật hợp đồng thông minh, và xây dựng các cơ chế phục hồi cho nạn nhân? Có lẽ — chỉ là có lẽ — chúng ta sẽ hiệu quả hơn nhiều trong việc giảm thiểu tổn thất thực tế. Nhưng tôi biết rằng điều đó sẽ không xảy ra. Vì các nhà quản lý thích những hành động mang tính biểu tượng — và việc trừng phạt một giao thức như Tornado Cash là một hành động biểu tượng mạnh mẽ. Nó cho thấy chính phủ đang "làm gì đó" để chống lại tội phạm tài chính. Dù thực tế là nó không có hiệu quả gì. Bây giờ, hãy để tôi nói về tác động thị trường. Nhiều người sẽ hỏi: tin tức này có ảnh hưởng đến giá của các loại tiền điện tử không? Câu trả lời ngắn gọn: không đáng kể. 2.290 ETH là một con số nhỏ so với khối lượng giao dịch hàng ngày của thị trường. Nhưng điều đó không có nghĩa là tin tức này vô nghĩa. Nó có một tác động tinh tế hơn — tác động đến tâm lý. Mỗi tin tức về một vụ tấn công và rửa tiền thành công là một vết nứt trong câu chuyện về sự trưởng thành của ngành. Nó làm gia tăng áp lực từ các nhà quản lý để kiểm soát chặt chẽ hơn. Nó làm giảm niềm tin của các nhà đầu tư tổ chức — những người vốn dĩ đã e dè với tài sản kỹ thuật số. Và nó cung cấp cho các nhà hoạch định chính sách thêm một ví dụ để biện minh cho các biện pháp đàn áp. Từ góc độ đầu tư, tôi cho rằng tin tức này có thể ảnh hưởng nhẹ đến giá của TORN — token quản trị của Tornado Cash — khi mọi người chú ý đến giao thức này. Nhưng đừng nhầm lẫn: việc TORN tăng giá trong ngắn hạn không phải là một tín hiệu mua. Đó là một đợt đầu cơ ngắn hạn dựa trên sự chú ý — và sự chú ý trong thị trường crypto hiếm khi kéo dài. Có một khía cạnh khác mà tôi muốn phân tích: tác động đến hệ sinh thái Solana. "Solana OG" — nếu đây là một dự án hoặc một quỹ — sẽ phải đối mặt với rủi ro uy tín. Các nhà đầu tư trong hệ sinh thái Solana đã quen với những tin tức về các vụ tấn công. Nhưng một vụ tấn công lớn 14,2 triệu USD vẫn là một cú sốc. Nó đặt ra câu hỏi: các dự án xây dựng trên Solana có thực sự an toàn không? Liệu các nhà phát triển có đang ưu tiên bảo mật đủ mức không? Tôi đã dành năm 2020 để nghiên cứu cơ chế sharding của Ethereum 2.0 và so sánh với Polkadot và Cosmos. Tôi đã phát hiện ra ba điểm yếu trong thiết kế của Ethereum 2.0: độ trễ, bảo mật và tập trung hóa. Tôi nhận được sự công nhận từ các nhà phát triển Ethereum — nhưng tôi không ngừng hoài nghi. Và tôi muốn nói với cộng đồng Solana điều này: đừng tự mãn. Mỗi blockchain đều có những vết nứt cấu trúc riêng. Câu hỏi là liệu các vết nứt đó có được phát hiện và sửa chữa trước khi một kẻ tấn công khai thác chúng hay không. Một điều tôi học được từ việc điều tra Bored Ape Yacht Club vào năm 2021: khi một dự án trở nên nóng và có nhiều tiền, sự chú ý đến bảo mật giảm đi. Các nhà phát triển tập trung vào tăng trưởng và marketing. Các lỗ hổng bị bỏ qua. Và rồi một ngày nào đó, một kẻ tấn công sẽ tìm ra chúng. Lớp vỏ bọc sáng bóng của một hệ sinh thái đang phát triển nhanh — TVL tăng, token pump, cộng đồng phấn khích — che giấu vết nứt kỹ thuật mà chỉ xuất hiện khi quá muộn. Tôi không biết chính xác Solana OG đã bị tấn công bằng cách nào. Nhưng tôi cá rằng cuộc điều tra sẽ tiết lộ một lỗ hổng mà ai đó đã cảnh báo trước đó — và bị bỏ qua. Đó là khuôn mẫu của ngành công nghiệp này. Tôi đã thấy nó lặp đi lặp lại quá nhiều lần. Bây giờ, hãy nói về những gì có thể được làm để ngăn chặn các vụ việc tương tự trong tương lai. Thứ nhất: các dự án cần thực hiện kiểm toán bảo mật thường xuyên và nghiêm túc — không chỉ là một lần trước khi ra mắt, mà là liên tục trong suốt vòng đời của dự án. Và họ cần công khai kết quả kiểm toán để cộng đồng có thể đánh giá. Thứ hai: cần có các cơ chế phục hồi — như bảo hiểm phi tập trung, quỹ khẩn cấp, hoặc các giao thức hợp tác với các cơ quan thực thi pháp luật để có thể đóng băng tài sản khi có phán quyết của tòa án. Nhưng điều này đòi hỏi một sự thoả hiệp với tính phi tập trung — và đó là một cuộc tranh luận mà ngành công nghiệp này chưa sẵn sàng đối mặt. Thứ ba: người dùng cần được giáo dục về các rủi ro bảo mật. Hầu hết các vụ tấn công thành công đều bắt đầu từ một sai lầm của con người — một khóa riêng tư bị lộ, một chữ ký độc hại, một cuộc tấn công xã hội. Kỹ thuật có thể ngăn chặn một loạt các vụ tấn công — nhưng không thể ngăn chặn sự ngu ngốc của con người. Và cuối cùng — điều này có thể gây tranh cãi — chúng ta cần đối mặt với cuộc thảo luận về các công cụ quyền riêng tư một cách trung thực. Thay vì cấm chúng hoặc trừng phạt chúng, chúng ta cần tìm ra cách xây dựng các công cụ quyền riêng tư có trách nhiệm — những công cụ có cơ chế minh bạch có chọn lọc, cho phép các cơ quan có thẩm quyền truy cập thông tin khi có lệnh hợp pháp. Đây không phải là một điều không tưởng. Nhiều giao thức quyền riêng tư thế hệ mới — như Railgun hay Nocturne — đang thử nghiệm các cơ chế này. Nhưng tôi phải nói rõ: cuộc thảo luận này sẽ không dễ dàng. Nó sẽ buộc cộng đồng tiền điện tử phải đối mặt với một câu hỏi khó chịu: liệu quyền riêng tư có phải là một quyền tuyệt đối, hay nó cần được cân bằng với các lợi ích xã hội khác? Câu hỏi này không có câu trả lời dễ dàng. Và bất kỳ ai nói rằng họ có câu trả lời — ở bất kỳ phía nào — đều đang tự lừa dối mình. Hãy nhìn vào bức tranh lớn hơn: trong nửa đầu năm 2024, tổng số tiền bị đánh cắp trong các vụ tấn công tiền điện tử đã lên đến hơn 1,38 tỷ USD. Từ các vụ hack cầu nối chuỗi chéo, đến các vụ chiếm quyền kiểm soát ví, đến các vụ lừa đảo đầu tư — tội phạm không hề suy giảm. Chỉ cần một kẻ tấn công thành công và rửa tiền qua Tornado Cash, một mẫu hành vi đã được củng cố. Và mẫu hành vi này sẽ tiếp tục lan rộng. Kẻ tấn công Solana OG không chỉ là một kẻ trộm. Hắn là một người thầy cho những kẻ trộm khác — dù hắn không có ý định đó. Hắn chứng minh rằng các công cụ quyền riêng tư có thể được sử dụng để thu lợi từ tội phạm một cách hiệu quả. Và ngành công nghiệp này đang đứng nhìn. Có một điều nữa tôi muốn nói đến — điều mà tôi cảm thấy cần thiết để thêm vào phân tích này như một người đã làm nghề điều tra suốt 19 năm. Địa chỉ của kẻ tấn công không phải là một địa chỉ mới. Nó đã được theo dõi bởi nhiều công ty phân tích chuỗi. Nó đã được gắn cờ trong các hệ thống quản lý rủi ro của các sàn giao dịch. Việc Onchain Lens phát hiện ra giao dịch này là minh chứng cho sức mạnh của phân tích chuỗi. Nhưng chính xác là vì các hệ thống này hoạt động tốt đến vậy — và chính vì kẻ tấn công biết rằng các hệ thống này đang hoạt động — nên hắn buộc phải sử dụng Tornado Cash. Nói cách khác, sự thành công của các công cụ giám sát là động lực khiến kẻ tấn công phải sử dụng các công cụ trốn tránh giám sát. Đó là một cuộc chạy đua vũ trang. Và trong cuộc chạy đua này, những kẻ tấn công luôn có lợi thế — vì chúng chỉ cần thành công một lần, trong khi những người bảo vệ phải thành công mọi lúc. Tôi sẽ kết thúc bài viết này với một câu hỏi. Không phải là câu hỏi về khả năng truy vết của các giao dịch Tornado Cash. Không phải là câu hỏi về việc OFAC có nên hủy bỏ lệnh trừng phạt hay không. Câu hỏi của tôi là: ngành công nghiệp blockchain của chúng ta đã sẵn sàng chấp nhận thực tế rằng sự phi tập trung và quyền riêng tư đi kèm với một cái giá — cái giá của việc không thể thu hồi tài sản và không thể ngăn chặn các hành vi lạm dụng? Và nếu chưa sẵn sàng, chúng ta nên làm gì để thay đổi kiến trúc hiện tại — với chi phí đổi lại là sự đánh đổi một phần tính phi tập trung? Tôi không có câu trả lời tuyệt đối cho câu hỏi này. Nhưng tôi biết rằng việc tránh né nó — bằng cách trừng phạt Tornado Cash, bằng cách phớt lờ các vết nứt, bằng cách tiếp tục xây dựng mà không học hỏi — sẽ chỉ làm cho vấn đề tồi tệ hơn. Lớp vỏ bọc sáng bóng của sự tiến bộ công nghệ che giấu vết nứt kỹ thuật của trách nhiệm giải trình. Và cho đến khi chúng ta đối mặt với nó, sẽ có nhiều hơn một Solana OG. Sẽ có nhiều hơn 14,2 triệu USD bị đánh cắp. Và sẽ có nhiều hơn 2.290 ETH chui vào bóng tối. Đó không phải là lời tiên tri. Đó là một sự chắc chắn toán học.