Hãy tưởng tượng bạn là một lập trình viên, đang deploy hợp đồng thông minh lên Ethereum Sepolia testnet. Bạn copy địa chỉ Uniswap V2 Router từ một bài viết hướng dẫn, dùng nó để test. Mọi thứ đều hoạt động. Vài tuần sau, bạn chuyển sang mainnet, vẫn dùng địa chỉ đó – vì nó đã quen tay. Bạn gửi ETH vào, giao dịch hiện “Successful”. Nhưng tiền không bao giờ đến được đích. Nó nằm lại trong một smart contract trống rỗng, không thể lấy ra. Bạn vừa mất 5 ETH. Nghe quen không? Câu chuyện này không phải hiếm. Nó là một phần của một vấn đề lớn hơn nhiều: address misuse – hay còn gọi là “sử dụng sai địa chỉ” – một lỗ hổng mà hầu hết chúng ta đều mắc phải nhưng không ai nói tới. Một nghiên cứu mới đây từ các trường đại học hàng đầu Trung Quốc (中山大学, 浙江大学, 北京大学) đã phát hiện rằng chỉ riêng trên Ethereum và BNB Chain, có tới 65,340 trường hợp address misuse, gây thiệt hại lên tới 574.8 triệu USD. Con số này còn chưa tính đến các chuỗi khác. Và điều đáng sợ nhất: bạn có thể đang góp phần vào con số đó mà không hề hay biết.
Blockchain, với triết lý phi tập trung, trao quyền kiểm soát tài sản hoàn toàn cho người dùng. Nhưng chính quyền lực đó lại trở thành con dao hai lưỡi. Khi bạn là người duy nhất chịu trách nhiệm, mọi sai lầm đều phải trả giá bằng tiền thật. Nghiên cứu này phân tích hơn 2.5 triệu giao dịch, kiểm tra hơn 10 triệu địa chỉ và 16 triệu private key bị lộ. Họ phát hiện ra ba loại address misuse chính: Confusion between Contract Account (CA) and Externally Owned Account (EOA) – tức là nhầm lẫn giữa địa chỉ hợp đồng và địa chỉ người dùng; Testnet address reuse on mainnet – dùng địa chỉ testnet trên mạng chính; và Private key leakage – lộ private key qua GitHub, Stack Exchange, v.v. Mỗi loại đều có hậu quả riêng, nhưng chung quy lại: tiền biến mất không dấu vết, không thể khôi phục.
Hãy đi sâu vào từng loại. CA/EOA confusion chiếm phần lớn thiệt hại: 22,738 ETH và 8,681 BNB bị mất chỉ vì người dùng gửi token đến địa chỉ hợp đồng mà không kiểm tra code. Tưởng tượng bạn gửi USDT đến một địa chỉ ví nhưng thực chất đó là hợp đồng thông minh không có chức năng nhận – giao dịch thành công nhưng tiền mắc kẹt vĩnh viễn. Testnet address reuse là một câu chuyện kinh điển khác. Địa chỉ Uniswap V2 Router trên Sepolia được sử dụng trong hơn 102,000 bài viết hướng dẫn, và hàng nghìn người đã copy-paste nó lên mainnet, mất tổng cộng 3,446 ETH. Cá nhân tôi đã từng chứng kiến một đồng nghiệp làm điều tương tự với một địa chỉ WETH trên Goerli – anh ấy mất 2 ETH chỉ vì không kiểm tra chain ID. Private key leakage có vẻ hiển nhiên, nhưng nghiên cứu chỉ ra rằng có tới 15,996 trường hợp private key bị lộ qua public repositories, và 104,224 ETH đã bị đánh cắp ngay sau đó. Điều này cho thấy các nhà phát triển vẫn chưa có thói quen bảo vệ khóa riêng tư đúng cách.
Điểm đáng chú ý nhất là EIP-7702, một cơ chế mới cho phép tài khoản EOA ủy quyền thực thi cho smart contract. Nghiên cứu phát hiện 17,270 trường hợp lợi dụng EIP-7702 để tấn công các địa chỉ đã lộ private key. Kẻ tấn công có thể “chiếm quyền” tài khoản, tự động chuyển hướng mọi khoản tiền gửi vào đến một địa chỉ khác. Đây là một attack surface mới, rất nguy hiểm vì người dùng vẫn thấy tài khoản của mình hoạt động bình thường, nhưng thực chất mọi lệnh đều bị kiểm soát.
Nhưng đây mới là phần phản trực giác: “Transaction successful” không đồng nghĩa với “transaction successful”. Hầu hết người dùng đều nghĩ rằng nếu giao dịch hiện thành công trên Etherscan, thì tiền đã đến đúng nơi. Nhưng với address misuse, điều ngược lại mới đúng: giao dịch thành công nhưng tiền lại rơi vào hố đen. Sự khác biệt giữa “thành công về mặt kỹ thuật” và “thành công về mặt chức năng” là một khoảng cách chết người. Các sàn giao dịch, ví điện tử như MetaMask, Trust Wallet vẫn chưa có cảnh báo đầy đủ khi người dùng gửi tiền đến một địa chỉ không có code trên mainnet. Họ chỉ kiểm tra định dạng địa chỉ, không kiểm tra trạng thái on-chain. Một lỗ hổng trong UX mà nghiên cứu này đã vạch trần.
Tôi từng viết về một dự án NFT văn hóa Bắc Ninh, và trong quá trình đó, tôi đã chứng kiến không ít người mất tiền vì gửi ETH đến địa chỉ hợp đồng cũ. Họ nghĩ rằng “giao dịch thành công” là an toàn. Nhưng sự thật phũ phàng: blockchain không tha thứ cho sự bất cẩn. Nghiên cứu này, với độ chính xác lên tới 99.11%, đã cho thấy một thực tế rằng address misuse là một vấn đề có thể giải quyết bằng công nghệ – nhưng vẫn chưa được giải quyết. Họ đề xuất các ví nên tích hợp cảnh báo khi phát hiện địa chỉ không có code, hoặc địa chỉ đã từng bị lộ private key. Đây là một giải pháp khả thi, nhưng cần sự chung tay từ toàn bộ hệ sinh thái.
Cuối cùng, tôi muốn đặt ra một câu hỏi: Liệu chúng ta có đang tạo ra một thế hệ người dùng blockchain “mù chữ” về địa chỉ? Khi mà các công cụ ngày càng dễ dùng, nhưng kiến thức cơ bản về cách hoạt động của địa chỉ lại bị bỏ qua. Có lẽ đã đến lúc cần một tiêu chuẩn mới: “Address Health Check” – một bước bắt buộc trước mỗi giao dịch, giống như 2FA. Hoặc một DAO bảo hiểm cho address misuse, nơi cộng đồng cùng chia sẻ rủi ro. Nhưng trên hết, hãy nhớ: một giao dịch thành công không có nghĩa là tiền của bạn an toàn. Hãy kiểm tra địa chỉ, kiểm tra chain, và đừng bao giờ mù quáng copy-paste.
