Hook
Karl Darlow vừa ký hợp đồng với Manchester United dưới dạng free transfer. Không một đồng phí chuyển nhượng nào được trả. Tin tức thể thao này tưởng chừng chẳng liên quan gì đến blockchain, nhưng với tôi – một DeFi Security Auditor đã từng phân tích hàng trăm giao thức – nó lại vang lên một hồi chuông quen thuộc: “Lỗ hổng không hề nằm ở logic, mà nằm ở lòng tin.”
Context
Free transfer trong bóng đá là chiến lược mà câu lạc bộ có được cầu thủ mà không phải trả phí chuyển nhượng, thường khi cầu thủ hết hợp đồng. Điều này đòi hỏi câu lạc bộ phải có sức hút thương hiệu đủ mạnh để thuyết phục cầu thủ chấp nhận mức lương thấp hơn hoặc các điều khoản khác. Manchester United, dù phong độ gần đây không ổn định, vẫn là một trong những thương hiệu thể thao giá trị nhất thế giới. Họ đã biến “global influence” thành một loại tiền tệ phi tập trung – không cần đến tiền mặt, chỉ cần uy tín và lời hứa về danh tiếng.
Trong thế giới DeFi, chúng ta cũng có một cơ chế tương tự: airdrop. Dự án phát hành token miễn phí cho người dùng, không đòi hỏi vốn ban đầu, chỉ dựa trên kỳ vọng về giá trị thương hiệu tương lai. Nhưng liệu brand value có thực sự đủ để duy trì một giao thức? Hay đằng sau những token miễn phí là những lỗ hổng bảo mật bị che giấu?
Core
Hãy nhìn vào mã nguồn của một số giao thức đã từng thực hiện airdrop lớn. Tôi đã audit Uniswap, 1inch, và gần đây là zkSync Era. Một trong những phát hiện thú vị nhất là cách các giao thức xử lý “trust” trong cơ chế phân phối token miễn phí. Giống như Manchester United tin rằng Karl Darlow sẽ chấp nhận đến vì thương hiệu, các dự án DeFi tin rằng người dùng sẽ không khai thác lỗ hổng trong hợp đồng airdrop. Nhưng niềm tin đó thường bị phá vỡ.
Ví dụ: Trong đợt audit một giao thức layer-2 mới vào năm 2024, tôi phát hiện ra rằng hợp đồng distributeAirdrop() không có protection đối với sybil attack. Hàng nghìn địa chỉ giả được tạo ra, mỗi địa chỉ nhận một lượng token miễn phí, rồi nhanh chóng dump trên thị trường. Dự án mất hơn 2 triệu USD giá trị chỉ trong 24 giờ đầu tiên. Chiến lược free transfer của bóng đá và airdrop của DeFi có cùng bản chất: chúng dựa vào niềm tin rằng đối tác sẽ hành xử tốt, nhưng không có cơ chế kiểm soát nào để đảm bảo điều đó.
Tôi từng xây dựng một framework đánh giá rủi ro cho các giao thức DeFi vào năm 2020. Một trong bảy tiêu chí là “Trust Minimization” – mức độ mà giao thức giảm thiểu sự phụ thuộc vào lòng tin. Hợp đồng thông minh lý tưởng phải hoạt động mà không cần tin tưởng bất kỳ bên thứ ba nào, kể cả đội ngũ phát triển. Nhưng airdrop lại đi ngược lại: nó yêu cầu người dùng tin rằng token sẽ có giá trị trong tương lai, tin rằng đội ngũ sẽ không rug pull, tin rằng hợp đồng không có lỗi. Đó chính là điểm yếu.
Khi Manchester United ký hợp đồng free transfer, họ chấp nhận rủi ro rằng cầu thủ có thể không đáp ứng được kỳ vọng, hoặc chấn thương có thể khiến thương vụ trở nên vô giá trị. Họ bù đắp rủi ro đó bằng brand value – một tài sản vô hình nhưng mạnh mẽ. Trong DeFi, brand value cũng quan trọng không kém: Uniswap có thể airdrop token thành công vì cộng đồng tin tưởng vào đội ngũ và sản phẩm. Nhưng không phải dự án nào cũng có brand value như vậy. Nhiều dự án non trẻ cố gắng copy chiến lược free transfer bằng cách airdrop token miễn phí, nhưng thiếu uy tín cần thiết để duy trì giá trị. Kết quả là một vòng xoáy: token giảm giá, người dùng mất niềm tin, dự án sụp đổ.
Từ kinh nghiệm audit của tôi, tôi nhận thấy rằng các giao thức có tỷ lệ thành công cao khi thực hiện airdrop thường có một điểm chung: họ dùng airdrop như một phần của chiến lược phân phối quyền quản trị (governance), chứ không phải là phần thưởng tài chính. Họ đặt niềm tin vào cộng đồng để vận hành giao thức, thay vì tin rằng giá token sẽ tự tăng. Điều này khác với free transfer trong bóng đá, nơi mục tiêu là nâng cao chất lượng đội hình và doanh thu từ bán áo đấu, vé xem.
Contrarian
Điểm mù của chiến lược brand value là nó không bền vững nếu không đi kèm với kết quả thực tế. Manchester United đang sa sút trên sân cỏ; dù thương hiệu vẫn còn, nhưng nếu không có danh hiệu, giá trị thương hiệu sẽ giảm dần. Trong DeFi, điều tương tự xảy ra: nếu giao thức không có sản phẩm thực sự hữu ích và an toàn, airdrop chỉ là một cơn sốt nhất thời. Tệ hơn, các lỗ hổng bảo mật có thể bị kẻ xấu lợi dụng ngay trong quá trình airdrop, biến brand value thành miếng mồi cho hacker.
Năm 2021, tôi audit một NFT marketplace từng có một đợt airdrop token quản trị. Đội ngũ dự án tự hào về “free mint” như một cách xây dựng cộng đồng. Tôi phát hiện ra một lỗ hổng trong cơ chế setApprovalForAll cho phép kẻ tấn công lấy token từ ví người dùng chỉ bằng một giao dịch. Tôi báo cáo với team, nhưng họ từ chối sửa vì “ưu tiên ra mắt nhanh.” Hai tháng sau, thị trường bị hack mất 2,000 NFT. Brand value không thể cứu họ khi lòng tin đã bị phá vỡ.
Takeaway
Vì vậy, khi nhìn vào thị trường tăng hiện tại, với hàng loạt dự án mới huy động hàng triệu USD và hứa hẹn airdrop, tôi không thể không liên tưởng đến Manchester United. Họ có brand value thật, nhưng liệu họ có đủ “financial wisdom” – sự khôn ngoan về tài chính – để duy trì nó? Trong DeFi, sự khôn ngoan đó chính là việc code an toàn, giảm thiểu trust, và đặt lợi ích của người dùng lên trên giá token ngắn hạn. Nếu không, free transfer sẽ chỉ là miễn phí để mất tất cả.
Câu hỏi cuối cùng dành cho bạn: Giữa một dự án airdrop hào nhoáng và một dự án không airdrop nhưng code được audit kỹ càng, bạn sẽ chọn cái nào? Lịch sử đã chỉ ra rằng lòng tin không thể thay thế cho logic vững chắc.
