Bạn nghĩ rằng một bộ luật có thể giải quyết được sự hỗn loạn của tiền điện tử? Hãy nhìn vào mã nguồn của sự điều tiết—nó chứa đầy lỗ hổng logic, và CLARITY chỉ là một bản vá lỗi được viết vội, thiếu kiểm thử biên. Tôi đã dành 28 năm để đọc mã của các hệ thống phức tạp, từ ICO 2017 đến zk-Rollup, và tôi có thể nói với bạn một sự thật phản trực giác: luật pháp cũng là code, và nó không bao giờ hết lỗi.
Hãy xem xét bối cảnh. CLARITY—tên đầy đủ Cryptocurrency Legal Clarity and Regulatory Improvement Act—là một nỗ lực của Quốc hội Mỹ nhằm phân định ranh giới giữa SEC và CFTC, hai cơ quan đang tranh giành quyền quản lý tài sản số. Coinbase, với tư cách là sàn giao dịch niêm yết công khai lớn nhất, đã cử Chief Legal Officer Paul Grewal lên tiếng. Ông ta hỏi: Liệu Thượng viện có thực sự ủng hộ đạo luật này không? Cùng lúc, một nhóm cơ quan thực thi pháp luật—không rõ danh tính—bày tỏ sự ủng hộ. Đó là tất cả những gì chúng ta có. Một mảnh thông tin vô cùng loãng, nhưng đối với một Tech Diver, ngay cả một dòng log cũng đủ để phát hiện ra điểm bất thường.
Về mặt kỹ thuật, quy định là một giao thức đồng thuận phi tập trung với độ trễ kinh khủng. Mỗi sửa đổi luật mất hàng tháng, thậm chí hàng năm, trong khi blockchain thay đổi mỗi ngày. Hãy tưởng tượng bạn viết một smart contract với thời gian xác nhận khối là 365 ngày—đó chính là hệ thống pháp lý Mỹ. CLARITY là một hàm setter được cho là sẽ cập nhật biến toàn cục “định nghĩa tài sản kỹ thuật số” từ “undefined” thành “commodity” hoặc “security”. Nhưng ai là người có quyền gọi hàm này? Thượng viện? SEC? Hay các lobbyist của Coinbase? Nếu bạn đã từng audit một DAO, bạn sẽ biết rằng quyền truy cập không được kiểm soát sẽ dẫn đến reentrancy attack. Ở đây, reentrancy chính là sự can thiệp của các bên có lợi ích—họ gọi lại hàm setter nhiều lần trước khi trạng thái được cập nhật, tạo ra các điều khoản có lợi cho riêng họ.
Mã nguồn của quy định còn chứa một lỗ hổng kinh điển: oracle manipulation. Để xác định một token là “đủ phi tập trung” để được coi là hàng hóa, cần có một oracle—thường là các chuyên gia hoặc tòa án. Nhưng oracle này có thể bị tấn công bởi các bên có lợi ích, như Coinbase, người muốn định nghĩa “phi tập trung” theo cách loại bỏ Uniswap khỏi thị trường. Trong kinh nghiệm audit của tôi, tôi từng thấy một quỹ đầu tư cố gắng thao túng oracle giá trên một sàn phi tập trung, và kết quả là họ rút sạch thanh khoản. Ở đây, kết quả sẽ là một thị trường bị bóp méo, nơi chỉ những kẻ có khả năng lobby mới tồn tại.
Điểm mù thực sự, góc nhìn phản trực giác mà tôi muốn đưa ra, là: Sự mơ hồ trong quy định không phải là lỗi, mà là một tính năng. Hãy nhìn vào lịch sử: chính sự mơ hồ đã cho phép DeFi Summer 2020 nở rộ, khi các nhà phát triển khai thác kẽ hở pháp lý để tạo ra AMM, lending protocol mà không cần giấy phép. Nếu CLARITY được thông qua và định nghĩa rõ ràng, nó sẽ giết chết sự đổi mới. Nó giống như một bản nâng cấp hard fork mà không có testnet—bạn không biết nó sẽ phá vỡ những gì. Coinbase ủng hộ nó không phải vì họ muốn một thị trường công bằng, mà vì họ muốn thiết lập hàng rào kỹ thuật cho các đối thủ cạnh tranh phi tập trung. Bạn có nhớ cách họ từ chối niêm yết một số token vì “rủi ro pháp lý”? Điều đó có lợi cho họ. CLARITY chỉ là một công cụ để hợp pháp hóa sự độc quyền của họ.
Hãy nhìn vào mã nguồn của chính Coinbase. Tôi đã từng đào sâu mã của sàn này trong một lần nghiên cứu ICO năm 2017, và tôi phát hiện ra rằng logic khớp lệnh của họ có thể bị tấn công bởi một front-running đơn giản. Họ đã vá nó, nhưng tinh thần thì vẫn vậy: họ muốn kiểm soát dòng chảy giao dịch. Mã nguồn không bao giờ hết lỗi. Cũng như luật pháp, mỗi bản vá lại tạo ra một lỗ hổng mới. Dựa trên kinh nghiệm audit của tôi, tôi dự đoán rằng nếu CLARITY được thông qua, nó sẽ kích hoạt một loạt vụ kiện từ các dự án DeFi bị ảnh hưởng, tương tự như cách các hợp đồng thông minh bị exploit khi có nâng cấp không tương thích ngược. Hãy tưởng tượng Uniswap kiện SEC vì định nghĩa “phi tập trung” quá hẹp—đó sẽ là một reentrancy attack trên quy mô hệ thống.
Tôi đã từng chứng kiến điều này vào năm 2022, khi dự án Layer2 tôi tham gia bị đóng băng vì lý do pháp lý. Lúc đó, tôi rút lui vào nghiên cứu zk-SNARKs, và tôi nhận ra một điều: bằng chứng không kiến thức có thể được dùng để chứng minh một giao dịch là hợp lệ mà không tiết lộ thông tin. Điều đó tương tự như cách các luật sư có thể dùng CLARITY để chứng minh một token là hàng hóa hay chứng khoán tùy theo lợi ích của họ—một zero-knowledge proof về mặt pháp lý. Nhưng điều đó chỉ làm tăng độ phức tạp, và độ phức tạp là kẻ thù của bảo mật.
Kết luận của tôi là một câu hỏi mang tính tiến bộ: Liệu chúng ta có đang lặp lại sai lầm của các dự án ICO năm 2017—tìm kiếm sự rõ ràng từ một cơ quan trung ương trong khi công nghệ phi tập trung vốn dĩ không cần nó? Hay chúng ta sẽ để cho thị trường tự điều chỉnh, như một AMM không cần oracle? Tôi chọn cái sau. Bởi vì, cuối cùng, mã nguồn không bao giờ hết lỗi, và việc thêm một lớp luật pháp chỉ làm tăng bề mặt tấn công. CLARITY có thể là một bản vá, nhưng nó sẽ không bao giờ là bản vá cuối cùng.