Hook
Hai ETH, tương đương 600 đô thời đó, bay sạch sau 3 ngày. Dự án Proton huy động 20.000 ETH trong 24h, nhóm dev biến mất. Tôi 21 tuổi, sinh viên Toán ứng dụng, mất trắng nửa năm làm thêm. Không phải vì tôi ngu, mà vì tôi chưa từng tự tay đọc một dòng bytecode trên blockchain.
Context
Năm 2017, ICO là cơn sốt. Ai cũng có thể tạo token ERC-20, viết một whitepaper đẹp, thuê KOL quảng cáo trên Telegram. Nhà đầu tư bán lẻ như tôi chỉ nhìn vào website, đội ngũ ảo và lời hứa "moon soon". Tôi không biết rằng smart contract có thể được deploy với một hàm withdraw đã cố tình omit điều kiện kiểm tra balance. Thực tế, 90% ICO thời đó không qua audit độc lập, hoặc audit chỉ là hình thức – trả tiền để được dán logo lên trang chủ. Tôi học được bài học đắt nhất: tin vào front-end là tự sát.
Core
Sau khi mất 2 ETH, tôi không bỏ cuộc. Tôi lấy địa chỉ contract của Proton, mò lên Etherscan, đọc bytecode thô. Mất ba ngày để hiểu cấu trúc: contract có một hàm withdraw() được public, nhưng trong thân hàm, lệnh kiểm tra require(balance[msg.sender] > 0) bị "quên". Đúng vậy, dev cố tình xóa dòng đó. Họ deploy, kêu gọi đầu tư, khi đủ tiền họ gọi withdraw() với địa chỉ ví của họ – không cần token nào – rút toàn bộ ETH về. Đây là kỹ thuật cơ bản, nhưng tôi đã mất 600 đô để hiểu.
Tôi bắt đầu tự audit contract fork Uniswap v1 năm 2020. Deploy trên testnet, chạy giao dịch thử, phát hiện công thức impermanent loss trong blog phổ biến sai vì thiếu điều kiện lấy mẫu liên tục. Tôi đăng chứng minh lên Reddit, bị gọi là "girl trader vừa làm vừa học". Im lặng, tôi release tool tính IL tự động trên Github – 500 star sau một tháng. Bài học rõ ràng: audit cá nhân là vũ khí của kẻ cô độc. Không ai cứu bạn, chỉ có code mới nói sự thật.
Contrarian
Bạn nghĩ KYC bảo vệ bạn? Sai. Hầu hết KYC dự án chỉ là vở kịch. Mua vài ví đã qua KYC trên dark web dễ dàng bypass – chi phí tuân thủ chuyển hoàn toàn cho người dùng trung thực. Năm 2022, tôi build bot short floor NFT bằng cách mint fake CryptoPunks, pump rồi dump, thu về 50 ETH. Cộng đồng gọi tôi là kẻ phá hoại. Tôi publish bài phân tích thanh khoản ảo: whale có thể thao túng floor price qua smart contract mà không cần KYC. Cái gọi là "bảo vệ nhà đầu tư" thực chất là tấm bình phong cho tổ chức thu phí, còn người dùng vẫn mù quáng.
Takeaway
Thị trường tăng hiện tại che giấu lỗi kỹ thuật. Mỗi dự án huy động trăm triệu đô đều có thể chứa lỗ hổng như Proton năm xưa. Bạn có hai lựa chọn: học cách đọc bytecode, hoặc trở thành nạn nhân tiếp theo. Tôi chọn con đường cô độc với công cụ audit tự build. Còn bạn?