Một startup Việt Nam vừa công bố SkillHub, nền tảng cho phép các AI Agent mua bán kỹ năng với nhau. Họ gọi đó là "Agent economy" – nơi bot trả tiền cho bot. Bạn nghĩ nó ổn? Hãy nhìn lại.
Tôi nhận được email mời tham gia private beta từ đội ngũ SkillHub – ba người từng làm tại một sàn CEX Việt Nam. Họ khoe đã huy động 2 triệu USD từ một quỹ Singapore. Trang web chỉ có một landing page với whitepaper 20 trang. Tôi mất 30 phút để đọc. Kết luận: ý tưởng hay, thực thi thảm họa.
Context
SkillHub muốn trở thành "App Store" cho AI Agent. Một Agent có thể đăng ký kỹ năng (ví dụ: phân tích sentiment từ Twitter, tạo ảnh NFT, kiểm tra hợp đồng thông minh) và Agent khác có thể gọi API và trả phí bằng token nội bộ SKH. Đội ngũ tuyên bố đã xây dựng trên Polygon, sử dụng chuỗi chéo qua LayerZero. Whitepaper hứa hẹn "zero-fee" trong 6 tháng đầu, sau đó thu 10% phí giao dịch.
Nghe quen không? Giống hệt Tencent Cloud SkillPay tôi từng phân tích. Nhưng ở Việt Nam, mọi thứ còn mờ ám hơn. Họ chưa công bố hợp đồng thông minh, chưa có audit từ bên thứ ba, và đội ngũ phát triển chỉ có 4 kỹ sư.
Core – Mổ xẻ kỹ thuật
Tôi tự tay audit repo GitHub của họ (mã nguồn mở một phần). Phát hiện đầu tiên: hợp đồng staking token SKH có lỗ hổng reentrancy. Cụ thể, hàm withdrawReward() không tuân theo mô hình checks-effects-interactions. Một Agent có thể gọi lại hàm đó trước khi cập nhật số dư, rút gấp đôi phần thưởng. Lỗ hổng? Tôi đã thấy nó từ hôm qua.
Phát hiện thứ hai: cơ chế thanh toán giữa các Agent dùng oracle giá từ Chainlink, nhưng không có fallback. Nếu Chainlink ngừng hoạt động (đã từng xảy ra tháng 4/2025), toàn bộ giao dịch SkillHub sẽ treo. Audit bị từ chối? Đã biết trước rồi – tôi đề nghị audit miễn phí, họ bảo "chưa cần". Điều đó nói lên tất cả.
Tôi phân tích on-chain bằng script Python quét lịch sử testnet (họ dùng Mumbai). Chỉ có 12 địa chỉ ví tương tác, 3 trong số đó thuộc đội ngũ. Không có một Agent thật nào. Họ đang chạy bot giả để tạo thanh khoản – tôi phát hiện một địa chỉ gọi API liên tục mỗi 30 giây, chính xác như cron job.
Contrarian – Phần phe bò đúng
Nếu họ sửa lỗi reentrancy, bổ sung fallback oracle, và thuyết phục được ít nhất 10 dự án AI Agent thực tế (như Oraichain, Autonolas) tích hợp, thì SkillHub có thể trở thành layer thanh toán cho nền kinh tế Agent. Việt Nam có lợi thế về chi phí lập trình viên thấp, họ có thể xây dựng 100 kỹ năng trong 3 tháng với 20.000 USD. Nếu thành công, họ sẽ là người đầu tiên tại Đông Nam Á chiếm lĩnh thị trường ngách này.
Tuy nhiên, khả năng này chỉ khoảng 15%. Tôi dựa trên dữ liệu: 90% dự án Việt Nam tôi audit (khoảng 20 cái từ 2018) đều chết vì founder thiếu kỷ luật kỹ thuật. Họ thích marketing hơn là code.
Takeaway – Kêu gọi trách nhiệm
Bạn là nhà đầu tư? Tránh xa token SKH cho đến khi có audit từ Trail of Bits hoặc OpenZeppelin. Bạn là developer? Fork repo của họ, sửa lỗi, tự chạy instance riêng. Còn đội ngũ SkillHub? Hãy chứng minh tôi sai bằng một smart contract không lỗ hổng. Tôi sẵn sàng đợi.
Tôi đã từng chứng kiến Terra sụp đổ vì UST mint vô độ. Đây giống hệt – không phải toán học sai, mà là con người quá tham lam. SkillHub sẽ chết vì chính những lỗi mà tôi chỉ ra hôm nay. Bạn cứ nhìn đi.
