Cái bắt tay thầm lặng Fireblocks-Deribit-Zerocap: Off Exchange đang viết lại luật chơi phái sinh

Cái bug hôm qua, bài học hôm nay. #DeFi Tháng 6 năm 2017, tôi ngồi trước màn hình đọc từng dòng hợp đồng thông minh của TheDAO Maker. Bốn lỗ hổng, bao gồm một lỗi reentrancy kinh điển, đã nằm đó giữa hai nghìn dòng Solidity. Nhóm phát triển vá lỗi kịp thời, nhưng tôi nhớ mãi một điều: thứ được gọi là “bảo mật” trong crypto thường chỉ là một lớp sơn mỏng phủ lên nền móng niềm tin. Hôm qua, Fireblocks thông báo mở rộng khung lưu ký của mình. Cùng lúc, Zerocap, một nhà môi giới OTC có trụ sở tại Úc, tuyên bố tích hợp vận hành lên Deribit, sàn phái sinh lớn nhất thế giới. Không token, không airdrop, không lời hứa APY. Với tôi, đây là một trong những tín hiệu hiếm hoi mà giới phân tích kỹ thuật nên dừng lại: ba công ty, một giao thức vận hành, và một lỗ hổng mang tên “lòng tin” đang được vá theo cách không phải ai cũng nhìn ra. Bối cảnh thì ai cũng biết. Tháng 11 năm 2022, FTX sụp đổ. Khi ấy, tôi đang audit một dự án stablecoin không tên cho một quỹ đầu tư nhỏ. Báo cáo của tôi từ tháng 2 đã chỉ ra cơ chế neo giá dựa trên lý thuyết chứ không phải dữ liệu thực tế. Dự án thanh lý sau đó, nhưng bài học lớn hơn là: tài sản nằm trên sổ cái của sàn giao dịch thì gọi là gì? Nó là một con số do sàn ghi lại. Khi sàn tuyên bố phá sản, con số đó trở thành giấy vụn. Hàng tỷ USD bốc hơi không phải vì blockchain lỗi, mà vì cấu trúc lưu ký sai ngay từ đầu. Từ FTX, cả ngành bắt đầu nói về off-exchange settlement. Fireblocks, Deribit, Zerocap hôm nay chính là một phần của câu trả lời đó. Nhưng trước khi nói về cái bắt tay này, tôi phải giải thích rõ thứ mà nhiều người vẫn nhầm lẫn: Off Exchange không phải là một sàn giao dịch phi tập trung. Nó là một mô hình thanh toán nơi tài sản không bao giờ rời khỏi kho lưu ký của bên thứ ba. Hãy hình dung thế này. Một quỹ đầu cơ muốn mua quyền chọn mua Bitcoin trên Deribit. Theo cách cũ, quỹ chuyển Bitcoin vào ví của Deribit. Deribit ghi nợ, ghi có, quản lý tài sản hộ. Nếu Deribit mất khả năng thanh toán, quỹ mất trắng. Theo mô hình mới, quỹ giữ Bitcoin trong kho lưu ký Fireblocks. Fireblocks cấp cho quỹ một “tài khoản giao dịch” liên kết với Deribit qua API. Khi quỹ đặt lệnh mua quyền chọn, Deribit không nhận Bitcoin. Nó chỉ nhận thông tin từ Fireblocks rằng tài sản đã bị khóa, sau đó ghi nhận biến động giá, tính lãi lỗ, và yêu cầu Fireblocks chuyển quyền sở hữu nội bộ từ người bán sang người mua. Bitcoin vẫn nằm trong kho Fireblocks, dưới sự kiểm soát của mã khóa MPC-CMP, không ai – kể cả Fireblocks – có thể tự ý ký chuyển tiền nếu không đủ số mảnh khóa theo ngưỡng thỏa thuận. Tôi đã đọc mã nguồn của các hợp đồng tương tự từ năm 2020. Khi audit dự án GreenField – một nền tảng yield farming mọc lên trong cơn sốt DeFi Summer – tôi tìm thấy lỗi trong thuật toán tính phí cho phép rút token không giới hạn. Nhóm phát triển đình chỉ giao dịch 24 giờ, cứu khoảng 2.000 ETH. Lỗi đó không đến từ mật mã, mà đến từ logic nghiệp vụ: họ nghĩ về “ví” như một nơi chứa, không nghĩ về “quyền sở hữu” như một trạng thái có thể chuyển đổi trong hệ thống khép kín. Off Exchange cũng vậy. Nó không phải là một cải tiến mã hóa. Nó là một thay đổi về trạng thái: từ “sàn nắm giữ tài sản” sang “sàn chỉ nắm giữ thông tin”. Và thay đổi trạng thái này đòi hỏi một lớp giao tiếp giữa kho lưu ký và sàn giao dịch, thứ mà Fireblocks đã xây dựng từ rất lâu. Fireblocks gọi lớp này là Trusted Transaction Sharing. Về mặt kỹ thuật, nó là tập hợp các API cho phép sàn giao dịch xác minh số dư, khóa tài sản, và yêu cầu chuyển nhượng nội bộ mà không cần khóa riêng tư của khách hàng. Khách hàng không cần nạp tiền vào sàn. Họ chỉ cần ký một thông điệp ủy quyền – thông điệp này xác nhận rằng một phần tài sản trong kho Fireblocks sẽ được dùng làm ký quỹ cho các vị thế phái sinh trên Deribit. Từ góc nhìn auditor, tôi quan tâm nhất đến ngưỡng chữ ký: nếu ngưỡng là 2-on-3, tức hai trong ba bên phải ký, và một trong ba bên có thể là chính sàn giao dịch, thì sàn có thể phối hợp với một mảnh khóa khác để đóng băng hoặc rút tài sản. Thông báo của Fireblocks không nói rõ mô hình chữ ký cho Deribit là gì. Nhưng từ kinh nghiệm kiểm toán CryptoCanvas – một bộ sưu tập NFT tôi audit vào tháng 10 năm 2021 – tôi biết rằng các lỗi metadata injection thường đến từ quyền lực quá lớn của một thực thể trung gian. Hợp đồng của CryptoCanvas cho phép kẻ tấn công giả mạo quyền sở hữu token vì metadata URI được quản lý tập trung mà không có ràng buộc. Fireblocks không mắc lỗi đó vì MPC phân tán khóa. Nhưng Off Exchange tạo ra một trung gian mới ở tầng thanh toán, và trung gian mới luôn là điểm tấn công tiềm năng. \u0110iểm cốt lõi của toàn bộ câu chuyện này là Deribit. Tôi đã theo dõi Deribit từ năm 2018. Sàn này chiếm khoảng 80% thị phần quyền chọn Bitcoin toàn cầu và hơn 90% thị phần quyền chọn Ethereum. Khối lượng giao dịch có ngày lên tới hàng chục tỷ USD. Điều đáng nói: sàn này chưa bao giờ có một vụ hack lớn làm mất tiền khách hàng, nhưng điều đó không có nghĩa là rủi ro bằng không. Vấn đề của Deribit không nằm ở động cơ, mà nằm ở cấu trúc. Bất kỳ sàn tập trung nào – dù tốt đến đâu – cũng là một mục tiêu tổng hợp: một điểm lỗi duy nhất cho cả hacker lẫn quản lý yếu kém. FTX không sụp đổ vì hacker; nó sụp đổ vì Alameda có thể rút tiền của khách hàng mà không ai ngăn được. Deribit không có lỗi đó, nhưng nếu một ngày nào đó đội ngũ vận hành bị ép buộc hoặc hệ thống bị xâm nhập từ bên trong, tài sản của khách hàng vẫn nằm trong tầm với. Off Exchange giải quyết vấn đề này bằng cách tách biệt vật lý và pháp lý giữa tài sản và sàn giao dịch. Nhưng nó dời rủi ro sang một bên khác: Fireblocks. Với tư cách một người đã audit hàng chục hợp đồng thông minh, tôi không coi việc dời rủi ro là chiến thắng. Tôi coi đó là sự dịch chuyển. Trước FTX, rủi ro nằm ở sàn giao dịch. Sau FTX, nếu một quỹ sử dụng Zerocap trên Deribit thông qua Fireblocks, rủi ro nằm ở Fireblocks. Nếu Fireblocks bị tấn công nội bộ, nếu khóa chính bị lộ, nếu API bị khai thác để khóa tài sản giữa nhiều sàn khác nhau, hậu quả có thể còn nghiêm trọng hơn vì cùng một kho lưu ký phục vụ nhiều sàn. Đây là điểm mù mà thị trường đang bỏ qua. Trong cơn sốt “institutional adoption”, các quỹ đầu tư nhỏ và các nhà giao dịch bán lẻ có xu hướng coi tin tức tích hợp giữa các công ty lớn là một dấu hiệu an toàn tuyệt đối. Họ quên rằng luôn có một nghịch lý: càng nhiều bên tham gia vào một hệ thống tin cậy, bề mặt tấn công càng lớn. Tôi nhớ lại một lần vào tháng 3 năm 2026, tôi được mời audit NeuroChain, một giao thức kết hợp AI và blockchain. Module xác thực dữ liệu bằng Rust có vẻ ổn, nhưng tôi tìm thấy ba lỗi trong phần xử lý dữ liệu đầu vào bằng Python. Điều thú vị là những lỗi này đều đến từ giả định “dữ liệu từ nguồn tin cậy” – một giả định chết người. Off Exchange cũng dựa trên giả định rằng API giữa Fireblocks và Deribit không thể bị giả mạo. Nhưng API là phần mềm, phần mềm thì có bug. Nếu một kẻ tấn công có thể chèn lệnh giả vào luồng API giữa Fireblocks và Deribit, hắn có thể khiến số dư nội bộ hiển thị sai, khóa tài sản nhầm, hoặc thực hiện chuyển nhượng không có thực. Không có một bài kiểm tra thâm nhập công khai nào từ Fireblocks cho thấy họ đã thử tấn công chính hệ thống của mình theo kịch bản này. Tôi không nói họ không làm. Tôi nói rằng dữ liệu không được công bố. Và trong ngành của tôi, khi dữ liệu không được công bố, tồn tại là giả định, không phải bằng chứng. \u0110iều thứ hai khiến tôi thận trọng là câu chuyện khuyến khích. Zerocap là một nhà môi giới OTC. Mô hình kinh doanh của họ xoay quanh chênh lệch giá, phí giao dịch, và quản lý dòng tiền. Việc tích hợp vận hành lên Deribit thông qua Fireblocks giúp họ không cần chuyển tài sản qua lại nhiều lần, giảm chi phí gas, giảm thời gian thanh toán, và giảm rủi ro sai sót vận hành. Tôi đánh giá cao điều đó. Nhưng tôi cũng biết rằng cấu trúc khuyến khích trong mô hình này có thể tạo ra ảo tưởng về thanh khoản. Một nhà môi giới OTC khi đã ngồi trong hệ thống Off Exchange có thể dễ dàng chấp nhận các lệnh lớn hơn vì nghĩ rằng tài sản được bảo vệ. Điều này làm tăng khối lượng giao dịch nhưng không làm tăng chất lượng thanh khoản thật sự. Nếu thị trường biến động mạnh, thanh khoản trên sổ lệnh Deribit có thể biến mất nhanh hơn vì các nhà tạo lập thị trường cũng phải vội vã đóng vị thế, trong khi tài sản ký quỹ nằm trong kho Fireblocks chờ xử lý. APY trong DeFi cũng từng giống vậy: nó là con số bù đắp cho TVL, không phải cho giá trị thực. Khi incentive dừng lại, TVL biến mất. Mô hình Off Exchange không có token incentive, nhưng nó có incentive vô hình: sự tiện lợi. Và sự tiện lợi có thể che giấu rủi ro hệ thống. Cái bug hôm qua, bài học hôm nay. #DeFi Khi tôi ngồi viết báo cáo sau vụ sập Terra Luna vào tháng 5 năm 2022, tôi nhận ra rằng mọi thứ đều có thể quy về một câu hỏi: “Tài sản thực sự nằm ở đâu, và ai có quyền kích hoạt nó?” Với Terra, câu trả lời là không ai biết. Với Off Exchange, câu trả lời là: tài sản nằm ở Fireblocks, và quyền kích hoạt nằm ở ngưỡng chữ ký do khách hàng thiết lập. Điều này tốt hơn so với việc để tiền trên sàn, nhưng nó không giải quyết câu hỏi gốc: điều gì xảy ra khi thanh lý không kịp? Trong một thị trường phái sinh, khi giá giảm 30% trong vài phút, các vị thế bị thanh lý hàng loạt. Trên sàn tập trung truyền thống, sàn có thể thực hiện thanh lý ngay vì nó nắm tài sản. Với Off Exchange, sàn phải gửi yêu cầu thanh lý đến Fireblocks, Fireblocks phải xác minh chữ ký, rồi chuyển tài sản vào tài khoản thanh lý. Quá trình này có thể mất vài giây, cũng có thể mất vài phút nếu hệ thống quá tải. Trong thời gian chờ, giá có thể tiếp tục lao dốc, và khoản lỗ vượt quá tài sản ký quỹ sẽ trở thành nợ của sàn hoặc của nhà môi giới. Zerocap – với tư cách là bên trung gian – có thể phải gánh khoản nợ này nếu hợp đồng không quy định rõ. Tôi chưa thấy bất kỳ tài liệu công khai nào từ Zerocap giải thích phương án xử lý thanh lý trong tình huống cực đoan. \u0110iều đó dẫn tôi đến một quan sát mang tính phản trực giác: Off Exchange có thể làm tăng rủi ro hệ thống trong thời kỳ khủng hoảng, không phải giảm nó. Ở cấp độ bình thường, nó giảm rủi ro đối tác cho từng khách hàng. Nhưng ở cấp độ toàn thị trường, nó tập trung thanh khoản vào một mô hình vận hành phụ thuộc vào một bên lưu ký duy nhất. Fireblocks hiện phục vụ hơn một nghìn khách hàng tổ chức. Nếu một lỗi logic trong hệ thống Off Exchange khiến tài sản của nhiều khách hàng bị khóa đồng thời, không chỉ Deribit sụp đổ, mà toàn bộ hệ sinh thái tổ chức sẽ rung chuyển. Điều này giống như việc chuyển từ một ngân hàng lớn – nơi bạn gửi tiền và tin tưởng họ không làm mất tiền của bạn – sang một kho bạc trung ương nơi tất cả ngân hàng đều gửi tiền vào cùng một hầm. Hầm có an toàn hơn không? Có, nếu hầm không bị xâm nhập. Nhưng nếu hầm bị xâm nhập, toàn bộ hệ thống ngân hàng sụp đổ cùng lúc. Ngoài ra, tôi không thể không nhắc đến bức tranh lớn hơn: Bitcoin sau khi ETF spot được phê duyệt đã trở thành một tài sản tài chính Phố Wall. Tầm nhìn “peer-to-peer electronic cash” của Satoshi về cơ bản đã chết. Những gì chúng ta đang chứng kiến với Fireblocks, Deribit, Zerocap không phải là một bước tiến của tiền mã hóa phi tập trung; nó là một bước tiến của cơ sở hạ tầng tài chính truyền thống được xây dựng lại bằng công nghệ mật mã. Điều này có thể tốt cho sự ổn định, nhưng nó đi ngược lại tinh thần ban đầu. Một người dùng Deribit thông qua Off Exchange vẫn phải tin tưởng Deribit về giá, tin tưởng Fireblocks về tài sản, và tin tưởng Zerocap về sự trung thực trong giao dịch. Đó không phải là “không cần tin tưởng” – đó là chọn nơi để đặt niềm tin. Và với tư cách là một auditor, tôi không bao giờ khuyên khách hàng đặt toàn bộ niềm tin vào một thực thể duy nhất, dù thực thể đó có giấy chứng nhận SOC 2 Type II hay không. Câu hỏi quan trọng nhất mà các quỹ đầu tư đang hỏi tôi tuần này là: “Có nên chuyển tài sản sang mô hình Off Exchange không?” Câu trả lời của tôi là: tùy thuộc vào việc bạn có đọc được báo cáo audit chi tiết hay không. Nếu Fireblocks công bố kết quả kiểm tra thâm nhập cho cổng API Deribit, nếu họ công bố số giờ hoạt động ổn định trong ba năm, nếu họ công bố số tiền bảo hiểm tối đa cho mỗi khách hàng trong trường hợp mất mát do lỗi nội bộ, và nếu Zerocap công bố điều khoản xử lý thanh lý khi API ngừng hoạt động – thì tôi sẽ nói đây là một mô hình đáng tin cậy. Hiện tại, tất cả những con số đó đều không có trong thông báo. Không có TVL bị ảnh hưởng, không có khối lượng giao dịch tăng thêm, không có thời gian hoạt động của hệ thống. Chỉ có một thông điệp tiếp thị được kiểm soát chặt chẽ. Tôi nhớ lại lần audit dự án GreenField vào năm 2020. Báo cáo của tôi chỉ ra lỗi logic trong thuật toán tính phí. Nhóm phát triển đã sửa lỗi, nhưng điều khiến tôi ấn tượng không phải là việc sửa lỗi, mà là thái độ của họ. Họ công bố toàn bộ chuỗi tấn công, thời gian, số tiền bị ảnh hưởng, và bài học rút ra. Đó là minh bạch thực sự. Thông báo Fireblocks hôm nay không có thứ gì tương tự. Nó nói về “mở rộng khung lưu ký”, “tích hợp vận hành”, “giảm rủi ro đối tác”, “tăng cường niềm tin tổ chức” – những cụm từ đẹp đẽ nhưng không chứa một con số thực chứng nào. Tôi không nói rằng họ giấu điều gì xấu. Tôi nói rằng ngành của tôi được xây dựng trên dữ liệu, và khi dữ liệu thiếu, tốt nhất là không nên đưa ra kết luận. \u0110iều tôi có thể kết luận là xu hướng. Mô hình Off Exchange sẽ lan rộng. Fireblocks đã có sẵn hạ tầng để kết nối với các sàn phái sinh khác như Bybit, OKX, BitMEX. Nếu họ làm điều đó, ngành lưu ký sẽ trở thành một lớp thanh toán bù trừ phi tập trung – nghe có vẻ mỉa mai khi lớp thanh toán này lại được vận hành bởi các công ty tập trung. Các nhà môi giới OTC như Zerocap sẽ buộc phải theo chân hoặc bị bỏ lại phía sau. Những quỹ phòng hộ nhỏ sẽ coi đây là tiêu chuẩn mới. Nhưng khi một mô hình trở thành tiêu chuẩn, rủi ro của nó cũng trở thành rủi ro hệ thống. Và đó là lúc tôi đặt câu hỏi về tính bền vững. Cái bug hôm nay, bài học ngày mai. #DeFi Khi tôi kiểm toán NeuroChain vào tháng 3 năm 2026, tôi nhận ra rằng dù công nghệ có thông minh đến đâu, nó vẫn tuân theo quy tắc cũ: nếu mã sai, nó sai. AI không sửa được lỗi logic con người; nó chỉ làm cho lỗi nhanh hơn và lớn hơn. Off Exchange cũng vậy. MPC-CMP không phải là phép màu; nó là một công cụ mật mã tốt hơn so với lưu trữ khóa đơn lẻ. Nhưng điều quyết định sự an toàn không nằm ở thuật toán, mà nằm ở quy trình vận hành xung quanh nó: ai được quyền cập nhật mã, ai được quyền thêm sàn giao dịch vào mạng lưới, ai được quyền thay đổi ngưỡng chữ ký, và việc thay đổi đó có được kiểm toán công khai hay không. Tất cả những câu hỏi đó vẫn chưa được trả lời. Tôi sẽ theo dõi ba dấu hiệu trong sáu tháng tới. Một: Fireblocks có công bố tích hợp thêm một sàn phái sinh lớn nữa không. Hai: Zerocap có công bố số liệu khối lượng giao dịch tăng trưởng trước và sau tích hợp không. Ba: có bất kỳ sự cố kỹ thuật nào liên quan đến API Off Exchange bị phơi bày không. Nếu ba dấu hiệu đó đều xuất hiện theo chiều hướng tích cực, tôi sẽ xem xét lại đánh giá của mình. Nếu không, tôi sẽ tiếp tục coi đây là một lớp sơn mỏng trên nền móng niềm tin – đẹp hơn, chắc hơn một chút so với trước, nhưng vẫn là một lớp sơn cần được kiểm tra bằng dữ liệu thực tế. Bài toán lòng tin trong crypto chưa bao giờ thay đổi. Nó chỉ thay đổi hình thức. Hôm qua là sàn giao dịch. Hôm nay là nhà lưu ký. Ngày mai có thể là một nhà lưu ký khác. Tôi không chống lại sự thay đổi; tôi chỉ muốn nhìn thấy mã nguồn, nhật ký hệ thống, và số liệu kiểm toán trước khi nói lời tán thành. Cái bug hôm qua là bài học hôm nay. Câu hỏi còn lại: liệu chúng ta có đủ tỉnh táo để không biến sự thuận tiện thành một ngôi đền mới – và rồi ngạc nhiên khi ngôi đền đó sụp đổ?