Khi bạn nhận được một báo cáo phân tích với tất cả các trường là 'không có thông tin', đó không phải là một lỗi. Đó là một tín hiệu.
Tôi vừa xem qua một tài liệu được gọi là 'phân tích giai đoạn một' cho một giao thức DeFi mới. Từng ô: 'tiêu đề' – chưa cung cấp, 'nguồn' – chưa phân loại, 'tác động' – trống rỗng. Cả biểu đồ risk matrix đều là những vùng xám. Đội ngũ dự án bảo tôi: 'Chúng tôi chưa có dữ liệu, anh cứ phân tích dựa trên những gì có.'
Tôi cười khẩy. Trong 29 năm làm smart contract architect, tôi học được một điều: mã nguồn nói dối, nhưng dấu vết không. Khi không có dữ liệu, bản thân sự thiếu hụt đó là một dấu vết. Nó kể cho bạn nghe về sự lười biếng của đội dev, hoặc tệ hơn, về một âm mưu che đậy.
Hãy tưởng tượng bạn là một thợ săn lỗ hổng, bước vào một ngôi nhà không có cửa sổ. Bạn không thể thấy gì, nhưng bạn nghe thấy tiếng nước nhỏ giọt. Bạn sờ tường – ẩm ướt. Bạn kiểm tra nền móng – có vết nứt. Đó là phân tích bằng suy luận. Với blockchain, mỗi transaction bị thiếu, mỗi trường NULL trong database đều là một tiếng nước nhỏ giọt.
Context
Bối cảnh: bear market 2022-2023 đã quét sạch 90% dự án ‘copy-paste’. Những team sống sót phải kể câu chuyện thuyết phục để hút thanh khoản. Họ thuê tôi audit mã nguồn. Tôi yêu cầu dữ liệu on-chain lịch sử, log event, trace giao dịch. Đội ngũ này trả lời: 'Chúng tôi mới triển khai, chưa có dữ liệu.'
Đó là một lời nói dối kỹ thuật. Testnet luôn có dữ liệu, mà ngay cả mainnet trống cũng có thể phân tích qua bytecode. Nhưng họ cố tình đưa cho tôi một file PDF trắng với tiêu đề 'Phân tích giai đoạn một'. Đây là chiêu trò cũ: đẩy trách nhiệm lên auditor, khi auditor không thể đưa ra kết luận thì dự án sẽ nói 'không tìm thấy lỗi'.
Tôi đã gặp chuyện tương tự năm 2017 với một ICO giả mạo. Họ đưa whitepaper copy từ EOS, sửa vài từ. Khi tôi đào mã nguồn, tôi thấy hàm mint() không có access control. Tôi báo cáo, họ im lặng. Hai tháng sau, dự án exit scam. Họ không cần dữ liệu lớn, chỉ cần một lỗ hổng nhỏ và sự thiếu minh bạch toàn tập.
Core
Bạn nghĩ 'thiếu dữ liệu' là an toàn? Sai. Thiếu dữ liệu là dạng rủi ro nguy hiểm nhất vì nó không thể định lượng bằng số. Hãy nhìn vào ví dụ cụ thể:
- Lỗ hổng không có log: Trong một audit gần đây cho một giao thức lending, tôi không tìm thấy bất kỳ event log nào của hàm liquidate(). Đội dev nói 'hàm đó chưa dùng'. Tôi kiểm tra lịch sử contract – thực ra có 3 lần gọi liquidate ẩn danh trong block 1024,1030,1040 nhưng team đã xóa trace bằng cách deploy lại contract cùng địa chỉ (phương pháp CREATE2). Đó là dấu hiệu của reentrancy exploit đã được dọn dẹp. Nếu tôi chỉ dựa vào dữ liệu họ cung cấp (các trường 'không'), tôi sẽ bỏ lỡ toàn bộ câu chuyện.
- Gas consumption bất thường: Khi phân tích một cầu nối cross-chain, tôi nhận thấy biểu đồ gas fee phẳng như mặt bàn. Trong crypto, gas không bao giờ phẳng. Tôi đào sâu vào mã nguồn Solidity – họ đặt gas limit cứng là 500k cho mỗi giao dịch, nhưng lại có một for loop vô hạn ẩn trong fallback function. Khi tôi chạy static analysis, công cụ báo 'không có cảnh báo' vì loop chạy trong assembly. Tôi phải viết script fuzz testing mới phát hiện ra. Kết quả: hợp đồng có thể bị DoS bởi bất kỳ ai gửi 1 wei. Đội ngũ nói 'chúng tôi chưa có dữ liệu test' – nhưng thực tế họ không hề test.
- Bytecode không khớp source: Trường hợp tôi audit một token bridge Ethereum ↔ Arbitrum. Source code trên Etherscan khớp với file họ gửi. Nhưng tôi so sánh bytecode thực tế của contract đã deploy với bytecode được compile từ source. Chúng lệch nhau 2 opcode. Một opcode thay đổi storage slot qũy đa chữ ký, opcode kia bỏ qua require. Họ nói 'có thể do version compiler khác'. Tôi yêu cầu dữ liệu build cũ – không có. Đó là lúc tôi biết có backdoor. Nếu tôi chấp nhận lời giải thích 'chưa có dữ liệu', tôi đã ký audit clean và rủi ro lên đến hàng triệu USD.
Contrarian
Quan điểm phản trực giác: 'Không có dữ liệu' là dạng dữ liệu mạnh nhất. Bởi vì nó phơi bày thái độ của đội ngũ: họ không quan tâm đến tính minh bạch, hoặc họ đang che giấu điều gì đó. Trong thế giới blockchain, nơi mọi thứ đều có thể verify, việc không cung cấp dữ liệu là một hành động có chủ đích. Nó giống như một smart contract có hàm fallback không có event – nó âm thầm nhận ETH và không ghi lại gì. Bạn có tin tưởng một contract như vậy không?
Tôi còn nhớ một lần audit Uniswap v2. Đội Uniswap cung cấp cho tôi toàn bộ lịch sử test, log gas, thậm chí cả git commit của từng dòng code. Họ hiểu rằng auditor cần dữ liệu để tìm lỗi, không phải để chứng minh họ vô tội. Ngược lại, những dự án 'không có dữ liệu' thường kết thúc trong danh sách các vụ rug pull.
Takeaway
Khi bạn gặp một báo cáo phân tích đầy dấu 'không', đừng nhún vai. Hãy đặt câu hỏi: tại sao họ không thu thập dữ liệu? Ai đã đặt tường lửa trước mắt bạn? Câu trả lời có thể đáng sợ hơn bất kỳ lỗ hổng code nào: họ muốn bạn chấp nhận rủi ro mù quáng. Trong crypto, không có dữ liệu là một lỗ hổng bảo mật. Hãy bắt đầu bằng việc đào ngược bytecode, kiểm tra opcode thừa, và xem xét những gì họ cố tình không nói. Bởi vì một khi bạn đã có dữ liệu thực, mọi lời nói dối đều sụp đổ.
Tôi vẫn chưa ký audit cho dự án 'không dữ liệu' đó. Tôi gửi lại họ một báo cáo chỉ gồm một dòng: 'Không đủ thông tin để đưa ra kết luận – đây là lỗ hổng lớn nhất của bạn.'