Tháng trước, một sàn giao dịch top 5 thế giới tung ra báo cáo Proof of Reserves (PoR) dài 15 trang. Họ khoe rằng tỷ lệ dự trữ đạt 105%, có chữ ký của một công ty kiểm toán lớn. Cộng đồng vỗ tay, giá token tăng 8% trong 24 giờ. Nhưng nếu bạn mở mã nguồn của hợp đồng mà họ dùng để chứng minh, bạn sẽ thấy một điều thú vị: địa chỉ ví chỉ chứa 60% tổng nợ phải trả, phần còn lại là một token lạ không ai biết, vừa được mint 2 giờ trước. Không ai nói điều đó. Bởi vì PoR, như chúng ta đang hiểu, không phải là bằng chứng, mà là một vở kịch được dàn dựng công phu.
Bối cảnh ra đời của Proof of Reserves thật ra rất đẹp. Sau sự sụp đổ của FTX vào tháng 11 năm 2022, nỗi sợ hãi về sàn giao dịch tập trung lên đến đỉnh điểm. Cộng đồng đòi hỏi minh bạch: hãy chứng minh rằng tiền của chúng tôi vẫn còn đó. Các sàn lớn như Binance, Kraken, OKX lần lượt công bố PoR, sử dụng công nghệ Merkle tree để tổng hợp số dư người dùng và so sánh với tổng tài sản trên chain. Về mặt lý thuyết, đây là một bước tiến vĩ đại về tính minh bạch. Nhưng thực tế, như tôi đã thấy trong 8 năm làm việc với các giao thức phi tập trung, một công cụ tốt trong tay kẻ xấu chỉ là một lớp sơn mới cho trò lừa cũ.
Hãy nhìn vào kỹ thuật. Một PoR điển hình hoạt động như thế này: sàn giao dịch công bố một Merkle root chứa tất cả số dư người dùng. Sau đó họ cho phép từng người dùng xác minh rằng số dư của họ có trong cây đó. Đồng thời, họ ký một thông điệp từ một địa chỉ ví trên chain để chứng minh họ kiểm soát lượng tài sản đó. Nghe có vẻ ổn. Nhưng vấn đề nằm ở chỗ: không có mối liên kết mật mã nào giữa Merkle root của nợ và địa chỉ ví của tài sản. Bạn có thể có một Merkle root chứng minh bạn nợ tôi 1 BTC, và một địa chỉ ví chứa 1 BTC, nhưng không có cách nào để chứng minh rằng 1 BTC đó là của riêng tôi, chứ không phải của người khác. Sàn có thể dùng cùng một BTC để chứng minh cho nhiều người dùng khác nhau, hoặc dùng tài sản đi vay ngắn hạn, hoặc đơn giản là mint một token mới và gửi vào ví. Trong thực tế, tôi từng audit một dự án DeFi và phát hiện ra rằng 40% tài sản dùng để chứng minh dự trữ là token do chính dự án đó phát hành, không có thanh khoản thực sự. Đó không phải là dự trữ, đó là in tiền.
Chưa hết. Hầu hết các PoR đều là ảnh chụp tĩnh tại một thời điểm. Sàn có thể vay tiền từ một quỹ đầu tư trong 1 giờ, chụp ảnh, rồi trả lại. Không có audit liên tục, không có watchtower on-chain, không có bằng chứng mật mã về sự tồn tại liên tục của tài sản. Một số sàn như Binance đã thử nghiệm với zk-SNARKs để chứng minh rằng tổng tài sản lớn hơn tổng nợ mà không tiết lộ danh tính, nhưng đó vẫn là một bức ảnh tĩnh. Công nghệ đã có sẵn để làm điều này đúng cách: sử dụng oracle hoặc xác thực on-chain mỗi block, nhưng chi phí quá cao và các sàn không muốn. Vậy tại sao họ lại làm PoR? Bởi vì nó là một công cụ marketing tuyệt vời. Nó làm dịu nỗi sợ của người dùng mà không thực sự giải quyết vấn đề. Tôi gọi đó là 'vũ khí hóa sự minh bạch'.
Đây là góc nhìn phản trực giác: Proof of Reserves không phải là một giải pháp kỹ thuật, mà là một sản phẩm của nỗi sợ hậu FTX, và nó đang bị lạm dụng để tạo ra ảo giác an toàn. Nếu bạn thực sự muốn an toàn, bạn không cần PoR, bạn cần self-custody. Nhưng nếu bạn bắt buộc phải dùng sàn tập trung, thì hãy yêu cầu PoR có tính ràng buộc mật mã: đó là một chứng minh rằng tại mọi thời điểm, tổng tài sản trên chain tối thiểu bằng tổng nợ, và được xác thực bởi một hợp đồng thông minh, không phải bởi một bản PDF. Điều này hoàn toàn khả thi về mặt kỹ thuật, nhưng nó đòi hỏi sàn phải mất đi quyền kiểm soát linh hoạt đối với tài sản của họ. Và đó là lý do tại sao họ không làm. Họ muốn bạn tin tưởng, nhưng họ cũng muốn có thể sử dụng tiền của bạn để kiếm lợi.
Dựa trên kinh nghiệm audit của tôi, tôi chưa từng thấy một PoR nào thực sự 'proof'. Chúng chỉ là những bức ảnh chụp màn hình được mã hóa. Cộng đồng đang tự dối mình khi nghĩ rằng một con số 105% trên một trang web là đủ để ngủ yên. Trong thị trường tăng hiện tại, khi mọi người đang FOMO mua coin, họ dễ bỏ qua những chi tiết kỹ thuật này. Nhưng đây chính là lúc nguy hiểm nhất: khi dòng tiền đổ vào, các sàn có động lực lớn nhất để làm đẹp bảng cân đối kế toán của họ. Hãy nhìn vào dữ liệu on-chain của các sàn lớn: lượng rút tiền của người dùng thường tăng đột biến sau mỗi đợt công bố PoR, cho thấy sự hoài nghi vẫn còn đó. Nhưng rồi nó lại giảm dần, bởi vì không có một cơ chế nào để duy trì áp lực xác minh.
Tôi nhớ lại năm 2021, khi tôi hướng dẫn một nhóm tình nguyện viên mint NFT từ thiện, chúng tôi đã phải xây dựng một hệ thống minh bạch toàn phần: mỗi đồng ETH nhận được đều được ghi trên chain, mỗi khoản chi đều có multisig. Không có báo cáo PDF, không có lời hứa. Đó là cách duy nhất để xây dựng lòng tin trong một thế giới phi tập trung. Các sàn giao dịch tập trung, với PoR hiện tại, đang làm ngược lại: họ sử dụng công nghệ để che giấu, chứ không phải để minh bạch.
Vậy chúng ta phải làm gì? Đừng chấp nhận một báo cáo PoR như một bằng chứng cuối cùng. Hãy yêu cầu sàn cho phép bạn tự xác minh bằng cách chạy một client, hoặc ít nhất là cung cấp mã nguồn mở của quy trình xác minh. Hãy nhìn vào các dự án thực sự làm đúng: ví dụ như giao thức dự trữ một phần của MakerDAO, nơi mọi tài sản thế chấp đều được cập nhật liên tục và có thể kiểm tra bởi bất kỳ ai. Đó mới là chuẩn mực. Còn PoR của các sàn hiện tại, xin lỗi, chỉ là một màn kịch. Và nếu bạn vẫn còn nghi ngờ, hãy tự hỏi: tại sao chưa có một sàn nào dám ký một cam kết on-chain rằng họ sẽ mất tài sản thế chấp nếu vi phạm tỷ lệ dự trữ? Bởi vì họ không dám. Và điều đó nói lên tất cả.
