Tôi đã từng kiểm toán hợp đồng thông minh cho Gnosis năm 2017. Tôi phát hiện ba lỗ hổng oracle có thể gây thất thoát 1,2 triệu USD. Nhưng lỗ hổng kỹ thuật thì có thể vá. Lỗ hổng con người thì không. Và BitMart vừa cho chúng ta thấy một lỗ hổng con người kinh điển: founder báo cảnh sát về cáo buộc nhân viên, giữa lúc sàn đóng cửa. Không audit code nào phát hiện được cái ôm chết người của centralization.
Context: Một sàn giao dịch không phải là một giao thức
BitMart ra đời năm 2017, founder Sheldon Xia, từng mất 2 tỷ USD trong vụ hack tháng 12/2021. Họ có token BMX, có KYC, có đội ngũ. Nhưng như tất cả CEX khác, họ là một black box. Bạn gửi tiền, họ hứa hẹn. Bạn tin tưởng, họ quản lý. Đến khi founder nói 'tôi sẽ đi báo cảnh sát về cáo buộc của nhân viên', và đồng thời sàn đóng cửa, black box bắt đầu rò rỉ khí độc. Không ai biết cáo buộc là gì. Không ai biết tiền đang ở đâu. Chỉ biết một điều: trust đã vỡ.
Tôi đã chứng kiến điều này nhiều lần. Từ Cryptopia 2019, QuadrigaCX, đến FTX 2022. Mỗi lần, câu chuyện đều giống nhau: một điểm kiểm soát duy nhất, một con người, một quyết định. Và khi điểm đó gãy, toàn bộ hệ thống sụp đổ. BitMart không phải là FTX, nhưng bài học thì giống: Nhìn vào cấu trúc, đừng chỉ nhìn giá.
Core: Cấu trúc nào sinh ra rủi ro đó?
BitMart là CEX điển hình: sổ lệnh tập trung, ví tập trung, quản trị tập trung. Khi bạn gửi tài sản lên sàn, bạn không còn quyền kiểm soát. Bạn sở hữu một IOU trong database của họ. Nếu database đó bị thao túng, nếu nhân viên có quyền truy cập và lạm dụng, nếu founder phải báo cảnh sát, thì IOU của bạn trở thành mảnh giấy vụn.
Năm 2019, tôi xây dựng framework quản trị cho Aragon. Tôi học được rằng: trong bất kỳ tổ chức nào, quyền lực tập trung là mối nguy hiểm lớn nhất. Aragon dùng DAO để phân tán quyền quyết định. BitMart thì không. Họ có một founder, một đội ngũ, và không có cơ chế nào để người dùng kiểm tra xem tiền có còn trong ví không. Giáo dục không phải đặc quyền, là quyền. Nhưng giáo dục về self-custody thì chưa bao giờ được ưu tiên trong thế giới CEX.
Hãy nhìn vào dữ liệu: BitMart từng bị hack 2 tỷ USD, nhưng vẫn hoạt động. Họ không công bố proof-of-reserves. Họ không có multi-sig độc lập. Khi một nhân viên bị cáo buộc, founder không giải thích, không minh bạch, mà chọn báo cảnh sát. Đó là dấu hiệu của một hệ thống quản trị yếu kém, nơi mà niềm tin được đặt vào một vài con người, không phải vào code hay giao thức.
Tôi từng thấy điều này trong audit của mình. Các dự án có quản trị tốt thường có nhiều lớp kiểm soát: multi-sig, timelock, vesting, và đội ngũ kiểm toán độc lập. BitMart, theo thông tin công khai, không có những lớp đó. Và bây giờ, họ đang trả giá.
Contrarian: Đây không phải là tin xấu cho crypto
Nghe có vẻ phản trực giác, nhưng sự kiện BitMart thực sự là một tín hiệu tốt cho toàn ngành. Tại sao? Vì nó xác nhận một lần nữa rằng: self-custody là con đường duy nhất. Mỗi lần một CEX sụp đổ, thị trường lại trưởng thành hơn. Người dùng học được bài học. Vốn dịch chuyển từ CEX sang DEX, sang self-custody, sang hardware wallet.
Năm 2020, tôi ra mắt ChainLearn, nền tảng giáo dục blockchain. Tôi thấy rõ ràng: những người hiểu về private key, về cold storage, về DeFi, họ không bao giờ bị ảnh hưởng bởi sự kiện như BitMart. Họ đã tự bảo vệ mình. Còn những người không được giáo dục, họ tiếp tục gửi tiền vào CEX và hy vọng. Và hy vọng không phải là một chiến lược.
BitMart đóng cửa không làm thay đổi cấu trúc thị trường. Nó chỉ là một viên gạch nữa trong bức tường 'Not your keys, not your coins'. Thị trường sẽ không sụp đổ. BMX sẽ mất giá, nhưng Bitcoin và Ethereum vẫn đứng vững. CEX khác sẽ tạm thời bị ảnh hưởng tâm lý, nhưng nếu họ có proof-of-reserves và quản trị tốt, họ sẽ vượt qua.
Điều thú vị là: sự kiện này có thể thúc đẩy một làn sóng kiểm toán minh bạch hơn. Các CEX sẽ buộc phải công bố bằng chứng dự trữ, hoặc mất người dùng. Đây là cơ hội cho các sàn như Coinbase, Kraken, hay thậm chí các DEX như Uniswap. Cộng đồng mạnh hơn bất kỳ sàn nào. Nhưng cộng đồng chỉ mạnh khi họ hiểu và kiểm soát tài sản của mình.
Takeaway: Bài học từ BitMart là gì?
Tôi kết thúc bằng một câu hỏi: bạn có muốn tiếp tục gửi tiền vào một black box, nơi mà nhân viên có thể bị cáo buộc, founder báo cảnh sát, và bạn không biết gì? Hay bạn muốn học cách tự giữ chìa khóa của mình?
Giáo dục không phải đặc quyền, là quyền. Tôi đã dành 25 năm để quan sát ngành này. Tôi đã audit, tôi đã xây dựng DAO, tôi đã dạy hàng nghìn người. Và tôi nói với bạn: tương lai của crypto nằm ở self-custody, ở phi tập trung, ở sự minh bạch. BitMart chỉ là một trạm dừng trên hành trình đó. Đừng nhìn vào giá BMX. Nhìn vào cấu trúc, đừng chỉ nhìn giá. Và hãy tự hỏi: ai đang giữ chìa khóa của bạn?
