Một dòng tin thị trường vỏn vẹn: “BIT dữ liệu, GOOG tăng hơn 5%, hiện báo 351,1 USD.” Không địa chỉ hợp đồng, không mã nguồn, không bằng chứng dự trữ, không thông tin kiểm toán. Vậy mà từ dòng tin đó, người ta có thể viết một bản phân tích chín chiều: kỹ thuật, tokenomics, thị trường, hệ sinh thái, tuân thủ, đội ngũ, rủi ro, câu chuyện, chuỗi công nghiệp. Đọc bản phân tích đó, tôi nhận ra một nỗi ám ảnh quen thuộc: chúng ta đang đọc quá sâu vào những thứ không có thông tin. Là một người theo nghề audit hợp đồng thông minh, tôi biết rằng không có dữ liệu nghĩa là không có gì để phân tích, chứ không phải là một mảnh ghép còn thiếu trong một bức tranh lớn. Đây là câu chuyện về một con số, một mô hình tài chính mới, và những điểm mù mà thị trường tăng giá đang cố tình che giấu.
Bối cảnh: RWA (Real World Asset) đang là một trong những câu chuyện lớn nhất của chu kỳ này. Đưa cổ phiếu, trái phiếu, bất động sản lên blockchain nghe có vẻ là bước tiến tất yếu của tài chính phi tập trung. Các nền tảng như Backed, Swarm, Ondo Finance, và mới đây là BIT (bit.com) đều tham gia. BIT vốn được biết đến như một sàn phái sinh tiền mã hoá có liên hệ với Matrixport, một ông lớn trong hệ sinh thái Bitmain. Việc BIT niêm yết cổ phiếu token hoá của Google (GOOG) là một tín hiệu nhỏ nhưng đáng chú ý. Nhưng trước khi nói về tiềm năng, hãy nói về bản chất. Một cổ phiếu token hoá không phải là một cổ phiếu thật; nó là một token đại diện cho một cổ phiếu thật, được một tổ chức phát hành đứng sau, một tổ chức giám sát nắm giữ, và một nhà tạo lập thị trường duy trì thanh khoản. Nói cách khác, đó là một chuỗi cam kết, không phải một tài sản kỹ thuật số độc lập.
Hãy cùng trace execution path của một token GOOG trên BIT. Bước đầu tiên, tổ chức phát hành (issuer) phải mua cổ phiếu Alphabet thật trên thị trường chứng khoán Mỹ thông qua một nhà môi giới chính (prime broker) có giấy phép. Bước thứ hai, số cổ phiếu đó được chuyển vào tài khoản lưu ký (custody account) dưới tên của một custodian - một ngân hàng lưu ký hoặc một tổ chức tài chính được quản lý. Bước thứ ba, issuer phát hành token ERC-20 trên blockchain, thường là Ethereum, với số lượng tương ứng với số cổ phiếu đã mua. Bước thứ tư, giá token được đồng bộ với giá NASDAQ qua oracle hoặc qua đội ngũ market maker của chính sàn. Bước thứ năm, người dùng mua token đó trên BIT, và toàn bộ quá trình diễn ra như một giao dịch chứng khoán phái sinh trong một môi trường được kiểm soát chặt chẽ bởi danh sách trắng KYC.
Bây giờ, hãy nhìn vào các bước đó từ góc độ một auditor. Bước một và bước hai nằm hoàn toàn ngoài blockchain. Chúng ta không thể kiểm tra bằng mã nguồn được, chỉ có thể tin tưởng vào báo cáo tài chính và giấy xác nhận của custodian. Bước ba mới là nơi blockchain xuất hiện, nhưng hợp đồng token thường có các chức năng đặc biệt: pause, freeze, blacklist, redeem. Những chức năng đó không tồn tại trong một ERC-20 thông thường, nhưng lại là tiêu chuẩn trong các token chứng khoán. Điều tinh tế (và đáng sợ) trong thiết kế này là: kẻ tấn công không cần phải phá vỡ mật mã hay tìm lỗi trong thuật toán đồng thuận. Kẻ tấn công chỉ cần chiếm quyền kiểm soát ví admin của issuer, hoặc thuyết phục custodian chuyển số cổ phiếu đó sang một tài khoản khác, hoặc khiến issuer lâm vào tình trạng phá sản. Tất cả những sự kiện đó đều không cần đụng đến một dòng code nào.
Phần lớn phân tích sai về tokenized stock vì họ đối xử với nó như một công nghệ mới, trong khi thực chất nó là một hợp đồng phái sinh được bọc trong blockchain. Mọi người nhìn thấy dòng chữ “Google tăng 5%” trên một sàn crypto và nghĩ rằng RWA đang bùng nổ. Nhưng nếu bạn đọc kỹ whitepaper của hầu hết các nền tảng token hoá cổ phiếu, bạn sẽ thấy một câu nằm ở phần chân trang hoặc phụ lục: token này không phải là cổ phiếu, mà là một quyền yêu cầu (claim) đối với tổ chức phát hành. Bạn không sở hữu Alphabet. Bạn sở hữu một lời hứa rằng ai đó đang nắm giữ cổ phiếu Alphabet cho bạn. Và lời hứa đó có giá trị chỉ khi tổ chức phát hành còn tồn tại, có khả năng thanh toán, và tuân thủ pháp luật.
Trong quá trình hành nghề, tôi đã audit rất nhiều hợp đồng tài chính phi tập trung. Tôi từng dành ba tháng để audit một giao thức sau đó bị hack 180 triệu USD. Lỗi không nằm ở toán học, mà nằm ở phân quyền. Một hàm admin không được bảo vệ đúng cách, và kẻ tấn công chỉ cần gọi một hàm. Với tokenized stock, rủi ro còn lớn hơn, vì có nhiều admin hơn: admin của hợp đồng token, admin của sàn giao dịch, admin của custodian, và admin của chính cổ phiếu - tức là ban điều hành Alphabet, bởi vì đó là một công ty thật có thể pha loãng, mua lại, hoặc huỷ niêm yết. Mỗi một “admin” như vậy là một vectơ tấn công tiềm năng.
Insight ở cấp độ giao thức mà hầu hết mọi người bỏ lỡ: với một tokenized stock, tính thanh khoản không đến từ blockchain mà đến từ một bên trung gian bảo trì sổ lệnh và thanh toán. Nếu BIT là nơi duy nhất bạn có thể mua bán GOOG token, thì BIT nắm quyền quyết định giá. Con số 351,1 USD có thể không phải là giá NASDAQ, mà là giá hình thành trên một cuốn sổ lệnh mỏng với vài nghìn token. Sự khác biệt giữa “giá thị trường” và “giá trị tài sản ròng” sẽ ngày càng rộng, đặc biệt khi thị trường biến động mạnh. Đã từng có nhiều trường hợp token hoá vàng hoặc cổ phiếu giao dịch với mức premium hoặc discount lên tới 10-20% so với tài sản cơ sở, và không một cơ chế arbitrage nào có thể san bằng khoảng cách đó nếu issuer không cho phép tạo và đổi lại token một cách trơn tru.
Điều mà các dev không nói với bạn: nhiều tokenized stock contract có một hàm tên là setPriceFeed hoặc updatePrice. Hàm này cho phép admin thay đổi nguồn cung cấp giá. Nếu admin bị tấn công hoặc nếu chính admin cố tình thao túng, giá token có thể bị bơm hoặc xả mà không cần bất kỳ lệnh mua bán nào trên sàn. Trong một thị trường tăng giá, nơi ai cũng vội vàng tìm kiếm lợi nhuận, ít người dừng lại để hỏi: “Ai đang cung cấp con số 351,1 USD này?” Người cung cấp con số đó chính là người nắm một phần quyền lực định giá tài sản của bạn. Và nếu bạn không thể kiểm chứng nó bằng dữ liệu trên chuỗi, bạn đang chấp nhận một rủi ro không được bồi thường.
Trong một thị trường tăng giá, nỗi sợ bỏ lỡ không chỉ ảnh hưởng đến nhà đầu tư mà còn ảnh hưởng đến cả người phân tích. Chúng ta cũng đói nội dung, cũng muốn trở thành người đầu tiên đưa ra nhận định, và vì vậy chúng ta quên rằng “không có dữ liệu” cũng là một dữ liệu. Một dòng tin không có địa chỉ hợp đồng, không có bằng chứng dự trữ, không có tên custodian - đó không phải là một vấn đề kỹ thuật cần giải quyết, mà là một dấu hiệu rõ ràng rằng thông tin không đủ để đưa ra bất kỳ kết luận nào. Nếu một dự án vừa huy động được 100 triệu USD nhưng không công bố địa chỉ ví dự trữ, tôi sẽ coi đó là một rủi ro, không phải là một cơ hội. Cũng giống như vậy, một nền tảng niêm yết tokenized stock mà không công bố custodian và proof of reserve không phải là một nền tảng đang “phát triển”, mà là một nền tảng đang “thử nghiệm vận may” với người dùng của mình.
Có một góc nhìn phản trực giác mà tôi muốn đưa ra. Nhiều người coi tokenized stock là cách để đưa tài sản truyền thống vào DeFi, nhưng thực chất nó lại là bước lùi về mặt bảo mật so với một stablecoin có dự trữ được công khai. Lấy ví dụ, một wrapper coin như wBTC có một địa chỉ ví công khai, một quy trình kiểm toán thường xuyên, và cộng đồng có thể giám sát lượng BTC dự trữ. Tokenized stock hiếm khi có mức minh bạch đó. Bạn phải tin rằng custodian đang nắm giữ cổ phiếu, tin rằng issuer đã mint đúng số token, tin rằng sàn không bán token trần (token không có dự trữ) để thu phí, và tin rằng cơ quan quản lý sẽ không tuyên bố toàn bộ giấy tờ đó là vô hiệu. Bốn tầng niềm tin đó không phải là một “bridge” tới tài chính truyền thống; nó giống một cây cầu bấp bênh hơn, nơi chỉ một nhịp cầu gãy là toàn bộ hành trình kết thúc.
Dựa trên kinh nghiệm audit của tôi, tôi tin rằng một thị trường tăng giá sẽ che giấu những rủi ro này rất hiệu quả. Khi giá GOOG token tăng 5%, người ta sẽ nói về cơ hội, về việc RWA đang được chấp nhận, về việc các nhà đầu tư truyền thống đang tham gia. Rất ít người hỏi về số lượng token đang lưu hành, về việc ai chịu trách nhiệm nếu custodian phá sản, hay về khả năng token bị đóng băng bởi lệnh của toà án. Tôi đã thấy những mô hình tương tự trong quá khứ, nơi mà một lớp phái sinh được xây dựng trên một tài sản, rồi lớp phái sinh đó được giao dịch với giá cao hơn tài sản gốc, cuối cùng tất cả sụp đổ vì một bên trung gian duy nhất bị vỡ nợ. Cấu trúc có thể khác, nhưng bản chất vẫn vậy.
Điều mà tôi muốn nói với các bạn hôm nay không phải là hãy tẩy chay tokenized stock. Trái lại, tôi tin rằng RWA là một hướng đi quan trọng, và việc đưa cổ phiếu lên blockchain có thể mang lại lợi ích thực sự: thanh toán nhanh hơn, vận hành tự động, giảm chi phí trung gian. Nhưng để làm được điều đó, các nền tảng phải xây dựng lòng tin bằng dữ liệu, không phải bằng khẩu hiệu. Cụ thể, họ cần công bố địa chỉ custodian, công bố bằng chứng dự trữ định kỳ, công bố mã nguồn hợp đồng token để cộng đồng có thể kiểm tra xem có tồn tại hàm freeze bất thường hay không. Nếu một nền tảng làm được điều đó, tôi sẽ vui vẻ xem xét lại. Còn với BIT, với dòng tin chỉ có một con số 351,1 USD và không có bất cứ thông tin nào khác, tôi chỉ có thể kết luận một điều: đây là một câu chuyện đang được kể, không phải một câu chuyện đã được chứng minh.
Vậy câu hỏi cuối cùng dành cho bạn, nhà đầu tư đang muốn mua GOOG token trên BIT: bạn có biết ai thực sự đang nắm giữ cổ phiếu Alphabet mà token của bạn được neo vào không? Nếu câu trả lời là “không”, thì con số 351,1 USD chỉ là một con số trên màn hình, không hơn không kém. Hãy để nó trôi qua. Trong một thị trường tăng giá đầy tiếng ồn, kỷ luật phân tích bắt đầu bằng việc nói rằng: “Tôi không đủ dữ liệu để kết luận.” Và câu nói đó, vào một ngày nào đó, có thể cứu bạn khỏi một vụ sụp đổ mà không ai nhìn thấy trước.