Suyay

Somewhere between two physics problem sets this week I went down a rabbit hole on how Dusk's bridge actually confirms a lock happened before it mints anything on the other side.

On May 20, MAP Protocol's Butter Bridge minted 1 quadrillion MAPO out of nowhere, about 4.8 million times the real supply, after an attacker spoofed a cross-chain message through a flaw in the OmniServiceProxy contract. The bridge never verified the deposit actually happened, it just trusted the message saying it did. The token dropped nearly 30% before the dust settled.

That's the exact failure mode every lock-and-mint bridge is built to avoid, and it's also the pattern under Dusk's own ERC20/BEP20-to-native migration: lock the tokens on Ethereum or BSC, issue native DUSK once the lock event confirms. Zellic audited that migration contract specifically and found zero vulnerabilities, every branch of the mint function tested against exactly this class of forgery. Dusk's newer bridge, connecting DuskDS to DuskEVM, goes further and skips the pattern entirely: it's validator-run and trustless, no wrapped assets or locked reserves sitting there as a target at all.

What I'd still want spelled out: an audit that found nothing in 2024 isn't a permanent guarantee against a new class of forgery in 2026, and the older ERC20/BEP20 migration bridge is still architecturally the lock-and-mint shape that keeps getting broken elsewhere. Not every bridge Dusk runs carries the same risk profile, and that distinction matters more than "audited" as a blanket label.

#dusk $DUSK @Dusk #Ethereum #BSC

Tôi đã đọc về cách TermMax xử lý các lần thanh lý, vì hầu hết các giao thức chỉ mô tả logic thanh lý trong tài liệu mà chẳng ai đọc cho đến khi vị thế của chính họ bị đóng lại.

Cách triển khai này khác so với mô hình đấu giá trên chuỗi thông thường. Khi giá trị tài sản thế chấp của một Gearing Token giảm xuống dưới ngưỡng nợ, TermMax không chỉ buộc bán vào bất kỳ thanh khoản nào đang tồn tại tại thời điểm đó — nó hỗ trợ giao hàng vật chất, trong đó bản thân tài sản thế chấp có thể được giao trực tiếp để thanh toán nợ thay vì chuyển toàn bộ qua một đợt bán trên thị trường mở. Điều này đặc biệt quan trọng đối với những tài sản mà TermMax được thiết kế để hỗ trợ ngoài “blue-chip crypto” — tài sản ngoài đời thực và các token có thanh khoản thấp, chính là các loại tài sản thế chấp có thể bị phá giá trong một đợt bán cưỡng bức trên sổ lệnh mỏng.

Điều tôi vẫn muốn thấy là hiệu suất của nó trong một sự kiện căng thẳng đa tài sản, chứ không phải một lần thanh lý riêng lẻ. Giao hàng vật chất giải quyết vấn đề thanh khoản mỏng cho từng vị thế một, nhưng tôi vẫn chưa tìm được dữ liệu về việc cơ chế này vận hành ra sao khi một lượng lớn GT cần được tháo gỡ đồng thời trên nhiều loại tài sản thế chấp khác nhau.

#termmax @TermMax $TMX

Sáng nay tôi mở điện thoại thì thấy câu chuyện về Coldcard tràn khắp newsfeed: một lỗ hổng ví phần cứng được báo cáo trị giá 100 triệu USD trở lên, và tôi đi thẳng vào cách Dusk thực sự xử lý việc lưu ký cho tổ chức.

Vụ xâm nhập Coldcard, được công bố vào ngày 6 tháng 8, đang được nhìn ít hơn như một sự cố về lưu trữ và nhiều hơn như một vấn đề quản trị: một thiết bị, một nhân viên, một hệ thống có thể tự mình di chuyển tài sản. Khoảng trống này là điều mà việc tạo khóa độc lập, phê duyệt đa bên và nhật ký kiểm toán được cho là sẽ khép lại, và đây chính là câu hỏi thiết kế nằm dưới mọi tuyên bố về lưu ký cho đến tận thời điểm hiện tại.

Dusk định tuyến việc lưu ký cho tổ chức thông qua Cordial Systems, triển khai Dusk Vault trên hạ tầng kho bạc do Cordial tự lưu trữ, chứ không phải một khóa phần cứng đơn lẻ mà ai đó có thể mang đi. Đây cũng không phải một lần tích hợp thử nghiệm. Cordial đã đảm bảo hơn 20 tỷ USD tín dụng tư nhân được phát hành on-chain thông qua Figure Markets, và NPEX sử dụng đúng lớp lưu ký này như một khách hàng thực thụ, không chỉ là tên của một đối tác công nghệ được nhắc thêm trong một slide.

Điều tôi vẫn muốn được làm rõ: câu chuyện Coldcard hiệu quả vì “phê duyệt đa bên” nghe có vẻ thuyết phục, cho đến khi bạn hỏi cụ thể có bao nhiêu bên, mức độ độc lập của họ đến đâu, và ai có thể ghi đè ngưỡng trong trường hợp khẩn cấp. Tôi vẫn chưa tìm thấy Dusk hoặc Cordial công bố cấu trúc đó riêng cho Dusk Vault. Quy mô và việc đã có khách hàng hiện hữu là những tín hiệu thật, nhưng chúng không giống với việc được nhìn thấy trực tiếp mô hình quản trị của chính hệ thống.

#dusk $DUSK @Dusk

Tôi vẫn đang cố gắng hiểu chính xác TermMax thay thế một vòng lặp đòn bẩy nhiều bước như thế nào, vì hầu hết các tuyên bố “đòn bẩy một cú nhấp” trong DeFi đều hóa ra chỉ là giao diện đẹp hơn được bọc quanh cùng bốn hoặc năm giao dịch chạy bên dưới.

Điều xảy ra trên TermMax là khác: việc khóa tài sản thế chấp sẽ đúc hai token cùng lúc — một Fixed-Rate Token (Token Lãi Suất Cố Định) đại diện cho khoản nợ được rút ra, và một Gearing Token (Token Tỷ Lệ Đòn Bẩy), là một NFT ghi lại chính xác tài sản thế chấp và khoản nợ của vị thế cụ thể đó, được giới hạn bởi tỷ lệ cho vay trên giá trị (loan-to-value) tối đa của thị trường. Việc bán FT với mức chiết khấu theo giá thị trường mới là thứ thực sự tạo ra mức phơi nhiễm được đòn bẩy. Một lần đúc, một lần bán — thay vì lặp lại thao tác vay–đổi–tái gửi (loop-borrow-swap-redeposit) qua các giao thức khác nhau, với chi phí gas khác nhau và các điểm lỗi tiềm ẩn riêng ở từng bước.

Điều tôi vẫn đang tìm hiểu là cách NFT Gearing Token hoạt động trong điều kiện chịu áp lực thực tế. Một NFT mang cả tài sản thế chấp và khoản nợ như một thực thể duy nhất tạo ra “mặt thanh lý” khác với một vị thế cho vay thông thường, và tôi chưa tìm được đủ chi tiết về việc cơ chế tuân thủ MLTV vận hành ra sao khi có một lượng lớn GT cần được giải tỏa cùng lúc, chứ không phải từng cái một.
@TermMax #TermMax #termmax

Đọc về việc Dusk xây dựng EURQ, đồng euro được quản lý của nó, cùng với Quantoz tuần này lại đưa tôi quay trở lại một công việc mùa hè ở một tiệm in nhỏ. Một tấm biển dán phía trên két ghi “cần hai chữ ký cho mọi lần rút tiền”. Khóa bên dưới chỉ cần một chìa, và có ba bản sao của chìa đó đang trôi nổi trong tiệm. Một tuần quỹ thu bị thiếu, ai đó đã mở két một mình. Không có gì sai trong các giấy tờ. Quy tắc đã tồn tại. Chỉ là nó chưa được “nhúng” vào trong cái khóa.

Gọi đó là “điểm tựa bằng giấy tờ”: một lời hứa được viết trong chính sách, nhưng cơ chế bên dưới thực tế không bao giờ thực thi.

Ngày 24 tháng 5, đúng khoảng trống ấy đã làm sụp một stablecoin euro được quản lý. StablR, một tổ chức phát hành được cấp phép tại Malta, tuân thủ MiCA, đã chạy hợp đồng đúc token của mình trên multisig 1-of-3, nghĩa là chỉ cần một chìa khóa riêng lẻ cũng có thể ủy quyền cho việc tạo nguồn cung mới. Một chìa khóa bị xâm phạm. Kẻ tấn công thêm chính mình vào danh sách chủ sở hữu, gỡ hai người ký hợp lệ, và đúc 8,35 triệu USDR cùng 4,5 triệu EURR “từ hư không”, tương đương khoảng 13,5 triệu đô la theo mệnh giá. EURR rơi xuống còn 0,85 đô la, USDR lao dốc xuống thấp tới 0,40 đô la. StablR đã được kiểm đủ mọi hạng mục MiCA: yêu cầu dự trữ, quyền đổi, bằng chứng dự trữ hằng tháng. Không có mục nào bao phủ việc cần bao nhiêu chìa khóa để đúc.

EURQ nằm trong cùng nhóm quy định: một Electronic Money Token do Quantoz phát hành theo MiCA, được tích hợp vào Dusk như là đồng tiền thanh toán cho đường truyền thanh toán được quản lý của Dusk Pay. Tầng giao dịch của chính Dusk tự thực thi tính toàn vẹn số dư và quyền sở hữu một cách mật mã trên mọi lần chuyển, thông qua Moonlight hoặc Phoenix, chứ không phải thông qua một văn bản chính sách.

Điều tôi chưa có tầm nhìn rõ ràng: liệu cấu hình đúc token và lưu ký EURQ của chính Quantoz—ngưỡng multisig, mô-đun bảo mật phần cứng (HSM), cơ chế time-lock—đã thực sự được công bố hay được kiểm toán đối chiếu đúng với sự cố đã làm sập StablR hay chưa. Giấy phép MiCA không ngăn được vụ đó. Câu hỏi không phải là liệu chuỗi của Dusk có vững chắc hay không, mà là liệu công tác quản lý khóa nằm phía trên nó có chắc chắn hay không.

#dusk $DUSK @Dusk

Tôi nhớ đã khóa tiền vào một pool cho vay DeFi vì APY hiển thị trên màn hình trông có vẻ hấp dẫn vào ngày tôi nạp. Ba tuần sau, tôi quay lại để kiểm tra lợi nhuận của mình thì lãi suất đã bị điều chỉnh hai lần, và cả hai lần đều đi theo hướng sai. Không có gì “xảy ra trục trặc” cả — chỉ là cơ chế lãi suất thả nổi. Nhưng tôi thực sự chưa từng đồng ý với con số đó. Tôi đã đồng ý với bất cứ điều gì mà pool quyết định sau này.

Tôi bắt đầu gọi đó là “vấn đề mục tiêu di động”: bạn cam kết vốn hôm nay, và các điều khoản thực tế của giao dịch cứ tiếp tục thay đổi sau khi bạn đã nói “đồng ý” rồi. Việc này được xem là bình thường trong DeFi, theo cách mà nó sẽ không bao giờ được coi là bình thường đối với một khoản thế chấp hay trái phiếu.

Điều khiến tôi bị cuốn vào @TermMax là việc thấy lãi suất cố định và kỳ hạn cố định được áp dụng đúng cho tình huống đó — bạn cho vay hoặc vay với một mức lãi suất được đặt ngay tại thời điểm bạn tham gia, và mức lãi suất đó giữ nguyên cho đến ngày đáo hạn mà bạn đã đồng ý, dứt khoát. Không có chuyện đàm phán lại giữa chừng vì mức sử dụng của pool thay đổi qua đêm.

Tôi vẫn nghĩ rằng lãi suất cố định sẽ đánh đổi một phần tiềm năng tăng giá để lấy sự chắc chắn đó, và trong một giai đoạn thị trường bò mạnh, một vị thế thả nổi có thể hoạt động tốt hơn. Nhưng con số tôi thấy ở ngày đầu tiên cuối cùng vẫn là con số tôi nhận được vào ngày quan trọng.
#TermMax #termmax @TermMax

#dusk $DUSK @Dusk
Đọc về tích hợp Chainlink CCIP của Dusk trong tuần này khiến tôi quay lại đúng quầy lễ tân nơi tôi từng tạm thời làm cách đây nhiều năm—nơi có bộ quét thẻ ở cửa ra vào khu vực nhận hàng. Thẻ courier kêu “bíp” màu xanh, cửa mở ra, chẳng ai đối chiếu tấm ảnh với khuôn mặt cầm nó. Chỉ là tiếng “bíp”.

Chỉ một tuần sau, có người đi ra cùng một lô hàng đã được xuất đi, thẻ kêu “bíp” xanh dưới một cái tên không phải của họ. Camera an ninh cuối cùng bắt được. Bộ quét đã làm đúng y như thứ nó được xây dựng để làm: tin vào tiếng “bíp”, không tin vào con người.

Gọi nó là “tiếng bíp đáng tin”: một hệ thống xác minh tín hiệu rằng một điều gì đó là đúng, chứ không phải tự bản thân điều đó. Hầu hết các cầu nối cross-chain đều chạy trên cùng một hình dạng, và Dusk là phần mà họ chọn không để hở. Một chuỗi gửi một thông điệp khẳng định quỹ đã bị khóa, chuỗi còn lại sẽ chi tiền ngay khi nghe được thông điệp đó đến một cách suôn sẻ.

Ngày 9 tháng 8, ai đó đã rút khoảng 199.916 XRP, tương đương khoảng 200.000 USD, từ cây cầu kết nối $XRP Ledger với chuỗi tx. Không có khóa riêng nào bị chạm vào, không có lỗi hợp đồng ở bất kỳ ledger nào. Kẻ tấn công đã giả mạo một thông điệp xác minh tiền gửi trong phần mềm relayer, và nó được chi trả thông qua 94 lần rút trong 97 phút—tất cả chỉ vì thông điệp kêu “bíp” màu xanh.

Đây là cấu hình single-relayer mà Dusk bỏ qua khi tích hợp Chainlink CCIP mà họ đang xây dựng cùng NPEX. Nhiều mạng oracle độc lập đồng thuận trước khi một hành động cross-chain được thực thi, được hỗ trợ bởi một Risk Management Network riêng biệt theo dõi các mẫu như 94 lần rút nhanh. Đối với bản thân $DUSK , chuẩn CCT sẽ đốt token trên chuỗi gửi và mint trên chuỗi nhận, nên sẽ không có một “bể thanh khoản” bị khóa nằm đó như một chiếc quét thẻ chờ bị giả mạo.

Điều không biến mất ngay cả với cách thiết lập của Dusk: nhiều bên kiểm tra nó không giống như việc không ai có thể giả mạo. Nó chuyển rủi ro từ mã của một relayer sang việc liệu đủ nhiều trong số các mạng đó có thể bị xâm phạm hoặc bắt tay cùng lúc hay không—một dạng khác của cùng câu hỏi về niềm tin.

Tôi vẫn nghĩ về chiếc thẻ đó—kêu “bíp” xanh cho một khuôn mặt mà nó chưa bao giờ nhìn tới. @Dusk

3 giờ sáng theo giờ Thái Bình Dương, ngày 28 tháng 1 năm 2021. Đội vận hành (ops) của Robinhood nhận được một lá thư từ NSCC—cùng một lá thư hằng ngày mà khoảng 100 công ty môi giới nhận được—trừ lá thư này yêu cầu 3 tỷ đô la tiền ký quỹ (collateral) vào sáng hôm sau. Không có gì về các nguyên tắc cốt lõi của GameStop thay đổi qua đêm. Thứ thay đổi là quy mô của “khoảng trống” mà trung tâm thanh toán bù đắp: giao dịch được thanh toán sau hai ngày kể từ khi được đặt, và trong khoảng thời gian đó, ai đó phải đảm bảo tiền sẽ có mặt. Với sự biến động (volatility) của GME tăng vọt, sự đảm bảo đó trở nên đắt đỏ nhanh chóng. Robinhood không có sẵn 3 tỷ đô la, nên nó làm điều duy nhất còn lại: tắt nút mua đối với các cổ phiếu đang tạo ra mức phơi nhiễm.

Hãy gọi đó là “thuế T+2”. Mọi giao dịch trên một sàn giao dịch truyền thống đều mang một khoản phí vô hình trong hai ngày giữa lúc “tôi đã mua” và “thực sự tôi sở hữu cái này”, và khi biến động tăng, ai đó phải ứng trước khoản phí đó bằng tiền mặt, tài sản ký quỹ, hoặc khả năng truy cập. Các nhà đầu tư cá nhân phát hiện ra điều này một cách khó khăn: họ bị lấy mất nút mua, nên khoản phí được thanh toán bằng cách đó.

Đó là khoảng trống mà Dusk Trade được xây dựng để đóng ở phía thanh toán. Bởi vì chuỗi cơ sở được thanh toán với tính chung cuộc tất định trong vài giây thông qua cơ chế đồng thuận Xác nhận Gọn (Succinct Attestation) của Dusk, một giao dịch “giao hàng-kèm-thanh toán” (delivery-versus-payment) không bị treo phơi nhiễm trong hai ngày chờ thất bại. Dusk Trade đã và đang đưa các sản phẩm thực vào hoạt động theo mô hình này: Quỹ thanh khoản ICS Euro của BlackRock, Sterling và quỹ chính phủ US Treasury, cùng với MembersCap Fund I—thông qua quy trình onboarding tiêu chuẩn tuân thủ KYC, AML và GDPR, thay vì luồng đăng ký kiểu “crypto-native”.

Điều tôi không chắc là phần nào được giải quyết gọn gàng: thanh toán nhanh hơn sẽ loại bỏ lý do kỹ thuật để có một “cuộc gọi ký quỹ” (collateral call) như NSCC, nhưng các trung tâm thanh toán và cơ quan quản lý vẫn định giá rủi ro theo các quy tắc được xây cho thế giới T+2. Liệu cách xử lý vốn quản lý (regulatory capital treatment) có thực sự bắt kịp thanh toán gần như tức thì, hay mức phơi nhiễm chỉ được tính lại ở nơi khác trong hệ thống—thì công nghệ tự nó không quyết định điều đó.

#dusk $DUSK @Dusk

Ngày 19 tháng 5 năm 2020. Overstock's tZERO đã phân phối đợt airdrop 4,37 triệu token OSTKO cho các cổ đông, cứ mỗi mười cổ phiếu nắm giữ thì nhận được một token. Lý do được nêu thẳng từ phía công ty là nhằm tăng tính thanh khoản cho chính sàn giao dịch token bảo mật của họ. Nghe có vẻ đáng để ngồi lại cân nhắc: tZERO đã nộp hồ sơ lên SEC từ tận năm 2015 để vận hành một hệ thống giao dịch dựa trên blockchain, phát hành chứng khoán blockchain được SEC đăng ký đầu tiên trên thế giới vào năm 2016, và đến năm 2020 vẫn tiếp tục phát token miễn phí vì chính nơi giao dịch đó không thể tự tạo đủ lượng giao dịch. Ngày nay, các token đó vẫn chủ yếu được giao dịch thông qua một số kênh của các broker-dealer cụ thể và thị trường OTC xám, chứ không phải trên sàn công khai.

Gọi đó là căn phòng trống được cấp phép. Bạn có thể xây dựng những “đường ray” tuân thủ nhất trong ngành và vẫn kết thúc với việc chẳng ai bước vào, vì giấy phép chỉ chứng minh bạn được phép giao dịch, không chứng minh rằng sẽ có ai đó giao dịch.

NPEX giải quyết phần còn lại của bài toán đó trước cả khi Dusk xuất hiện. Đây không phải một startup xin phép. Mà là một sàn giao dịch của Hà Lan đã được quản lý bởi AFM, có giấy phép MTF, giấy phép Broker, và giấy phép ECSP, đồng thời đang trong quá trình xin giấy phép DLT-TSS. Sàn đã tài trợ hơn 200 triệu euro cho hơn 100 SME và kết nối mạng lưới hơn 17.500 nhà đầu tư đang hoạt động—một căn phòng đã đầy từ trước khi ai nhắc đến blockchain. Kế hoạch được nêu ra là đưa 300 triệu euro hoạt động đó lên on-chain thông qua Dusk. Như CEO của Dusk đã nói: các giao thức RWA khác đang cạnh tranh giành chỗ trên kệ, và Dusk đang trở thành cấu trúc để “chứa” bộ sưu tập.

Điều tôi vẫn chưa hoàn toàn thuyết phục: NPEX là một sàn giao dịch quy mô vừa trong nhóm SME, không phải Euronext hay LSE. Mô hình gắn hạ tầng được quản lý vào một tệp nhà đầu tư sẵn có rõ ràng thắng thế so với việc xây một sàn tuân thủ rồi hy vọng người ta sẽ đến, nhưng liệu một sàn giao dịch lớn hơn và đã được thiết lập sẽ chọn cắm vào chuỗi của người khác thay vì tự xây vẫn là câu hỏi mở ở đây—không nằm ở công nghệ.

#dusk $DUSK @Dusk

Tháng 11 năm 2022. Một người cầm token hóa của FTX đối với “cổ phiếu” Tesla, GME hoặc Apple lần đầu mở phần điều khoản chi tiết, vì sàn đang phá sản và họ cần biết thực sự họ đang sở hữu cái gì. Câu trả lời nằm trong tài liệu thông tin quan trọng của CM-Equity AG: đây là các hợp đồng phái sinh OTC song phương theo dõi giá của một cổ phiếu, chỉ thanh toán bằng tiền mặt. Không có quyền yêu cầu giao nhận tài sản cơ sở. Không có quyền cổ đông, không có quyền bỏ phiếu, và không có gì. Bạn không sở hữu một phần nhỏ của Tesla. Bạn sở hữu một lời hứa từ một bên đối tác vừa phá sản, nằm trong cùng hàng đợi với mọi yêu cầu đòi nợ không có tài sản bảo đảm khác.

Đó là ảo tưởng về quyền sở hữu: một token trông giống tài sản, giao dịch như tài sản, nhưng pháp lý thì không phải là tài sản. Điều này xảy ra bất cứ khi nào token hóa bọc lấy một chứng khoán thay vì thay thế quy trình tạo ra nó. Chuỗi sẽ có một giao diện mới. Lưu ký, sổ đăng ký và thanh toán vẫn giữ nguyên ở phía ngoài chuỗi (off-chain), với đúng những người có thể đóng băng, mặc định (không thanh toán), hoặc phá sản.

Phát hành gốc (native issuance) là điểm phân biệt @Dusk vẫn tiếp tục được nhắc đến, nhưng thực chất là một yêu cầu hẹp hơn so với cách nó nghe. Thay vì một token đại diện cho một tài sản đang được nắm giữ ở nơi khác, chính tài sản được tạo ra và quản lý trực tiếp trên chuỗi (on-chain), với phát hành, chuyển nhượng và thanh toán vận hành qua DuskDS, kèm tính tất định về việc hoàn tất. Dusk Trade, được xây dựng với NPEX (một sàn giao dịch tại Hà Lan được AFM quản lý), là nơi điều này trở thành một quy trình: kiểm tra điều kiện đủ, thanh toán có khả năng DvP nơi tài sản và phần thanh toán đi cùng nhau, các lộ trình công bố thông tin được tích hợp sẵn thay vì gắn thêm sau. Nếu nó được thanh toán trên chuỗi, thì nó không phải chờ bản điều khoản chi tiết của một trung gian đang phá sản để nói với bạn rằng bạn thực sự đang nắm giữ gì.

Điều tôi không nghĩ kiến trúc (riêng nó) đã trả lời: phát hành gốc vẫn cần một khu vực pháp lý sẵn sàng khẳng định rằng việc thanh toán trên chuỗi là quyền sở hữu hợp pháp, chứ không chỉ là một bản ghi kỹ thuật. NPEX có điều đó theo Cơ chế Thí điểm DLT của EU. Việc sự công nhận đó có lan rộng ra ngoài một vài địa điểm được quản lý hay không là một câu hỏi pháp lý, không phải là câu hỏi về mật mã.
#dusk $DUSK @Dusk

Khối 22450093, ngày 10 tháng 5 năm 2025. Ai đó gửi một lệnh hoán đổi ETH–RATO khá đơn giản trên Uniswap. Vị trí 10 trong khối: 1,58 ETH đi vào. Vị trí 11: một ví khác mua trước, đúng cặp đó, nhưng trả nhiều gas hơn để nhảy hàng. Vị trí 12: chính cái ví đó bán quay trở lại vào cái bể mà họ vừa đẩy giá lên. Người giao dịch ban đầu kết thúc với ít hơn khoảng 10 triệu RATO so với lẽ ra họ phải nhận. Không ai bị hack. Mempool chỉ đơn giản là cho mọi người thấy giao dịch trước khi nó được khớp, và có ai đó hành động dựa trên những gì họ nhìn thấy.

Tôi cứ quay lại khối đó, vì nó không phải một vụ hack giật tít—mà là mạng lưới đang làm đúng những gì nó được xây để làm. Mempool công khai, ý định công khai, hệ quả công khai. Gọi đó là “bài toán sổ cái thủy tinh”: mọi tổ chức muốn chuyển quy mô thật trên chuỗi đang phải giao dịch trong một căn phòng bật đèn sáng trưng và cửa sổ bị xé toang.

Đó là bức tường mà @Dusk đang xây dựng cùng Hedger—công cụ quyền riêng tư đổ bộ lên DuskEVM. Không giống thiết kế chỉ UTXO của Zedger, Hedger kết hợp mã hóa đồng hình với các bằng chứng không tri thức ngay tại lớp EVM, vì vậy số dư, số lượng và đối tác vẫn được mã hóa xuyên suốt quá trình thực thi; và chỉ có tiết lộ chọn lọc dành cho người thực sự được ủy quyền kiểm tra—một bên kiểm toán, cơ quan quản lý, hoặc đối tác. Cùng bộ công cụ Solidity, cùng ví EVM, quyền riêng tư “mặc định bật” thay vì “vô tình mà có”.

Đây là điều tôi vẫn chưa thấy có ai trả lời. DuskEVM chạy như một rollup, nghĩa là sequencer sắp xếp các giao dịch trước khi chúng được gom vào DuskDS. Việc mã hóa payload sẽ che khỏi mempool công khai đã tạo ra khối 22450093, nhưng sequencer bản thân nó thấy gì trước khi đặt thứ tự, và ai kiểm tra rằng chiếc ghế này không chỉ là một phiên bản nhỏ hơn và riêng tư hơn của đúng cùng vấn đề? Mã hóa cho chúng ta không tự động có nghĩa là được mã hóa cho bất kỳ ai đang nắm giữ hàng đợi. Đáng theo dõi khi mainnet DuskEVM đến gần.
#dusk $DUSK @Dusk

Bốn mươi năm trước, cách đây mười bốn bài tôi mở đầu bằng chiếc đồng hồ của ông tôi — cất trong két ký thác, cần hai chìa khóa chưa từng “ở chung một phòng”. Lúc đó tôi chưa biết liệu TBV có thực sự lấp được khoảng trống đó hay không. Tôi chỉ biết đó là thiết kế đầu tiên tôi từng thấy, đã thực sự cố gắng làm điều đó.

Những gì tôi phát hiện ở phần còn lại: một cơ chế tự-ủy quyền cho phép người gửi ký thác tự rút lại BTC của mình bằng một chữ ký được cam kết vào đúng ngày két được mở, không cần xin phép. Một Hội đồng An ninh có thể đóng băng một yêu cầu (claim) xấu, nhưng lại không có địa chỉ riêng để nhận BTC — nếu thỏa hiệp nó, bạn sẽ mất khả năng khôi phục, không phải quyền “giữ” (custody). Và, trong tháng này, 0.01 sBTC của chính tôi quay trở lại ví ở mốc ba ngày mà màn hình rút tiền đã hứa. Không phải là “gần”. Đúng là như vậy. Các két được ràng buộc với một ứng dụng tại thời điểm tạo, nên một lỗi trong một tích hợp không thể lan sang ứng dụng khác. Tài sản thế chấp không thể được tái thế chấp, không được đem cho vay, hay bị bất kỳ ai thay đổi mục đích — về mặt cấu trúc, chứ không phải chỉ bằng chính sách.

Không phải mọi thứ đều “khớp” một cách hoàn hảo. Việc thanh lý của TBV vẫn phụ thuộc vào một oracle giá — đúng nhóm rủi ro đã làm xói mòn Balance Protocol vào mùa hè này. Tốc độ headline của BABE chỉ áp dụng trong trường hợp cấu hình trung thực; còn việc bảo vệ an ninh theo kiểu “malicious-security” tốn chi phí hơn. Liệu một stablecoin được bảo đảm bằng BTC có thực sự đủ điều kiện theo các quy tắc mà cơ quan quản lý vẫn chưa kịp hoàn thiện hay không — vẫn chưa có câu trả lời dứt khoát. Tôi thà kết thúc bằng những điểm còn đang bỏ ngỏ đó hơn là giả vờ rằng tôi không thấy gì.

Tuần này, tôi đã điền vào form phản hồi testnet của Babylon — mọi câu trả lời đều trung thực. Không có gì trong hai tuần thử đủ mọi thứ để tìm xem chỗ nào vỡ mà có lý do để tôi đánh dấu “hỏng”.

Tôi vẫn còn hình ảnh chiếc đồng hồ trong đầu. Điểm khác bây giờ là tôi biết điều gì cần phải đúng để thiết kế này thực sự thất bại — và trong suốt mười bốn ngày, khi cho BTC của chính tôi đi qua nó, tôi vẫn chưa tìm được nơi mà nó có thể gãy.

@BabylonLabs_io $BABY #baby

Một công ty giữ xe (valet) gần văn phòng cũ của tôi đã từng bị phát giác cách đây nhiều năm vì cho một dịch vụ giao hàng mượn những chiếc xe đang đậu trong giờ thấp điểm. Bị kiện, họ sửa đổi, đóng cửa rồi mở lại với bảng hiệu mới: được bảo hiểm, được giám sát, chuyên nghiệp. Lần này tôi đọc hợp đồng — được giấu kín trong đó, họ vẫn có thể cho mượn xe của bạn cho một “đội xe đối tác” khi bạn đang ở bên trong, được ghi nhận và tách doanh thu theo quãng đường (mileage-split). Không phải vụ bê bối giống hệt nhau. Cùng một chiếc xe, vẫn là rời đi khi bạn chưa có mặt, chỉ là được ký sẵn.

Gọi đó là “lỗ hổng đã được công bố”: đúng hành vi gây rắc rối ngày trước vẫn được giữ nguyên, được bọc trong đủ giấy tờ để nó không còn là bê bối mà thành một tính năng. Cho vay dựa trên Bitcoin theo mô hình tổ chức (institutional Bitcoin-backed lending) hiện cũng đang đi qua phiên bản của chuyện này.

Ngân hàng Silicon Valley (SVB) gọi đó là “một kỷ nguyên thể chế mới” cho hoạt động cho vay được bảo đảm bằng Bitcoin trong một báo cáo hồi tháng Sáu — các khoản vay được hỗ trợ bằng crypto đạt 67 tỷ USD trong Q1, tăng 49% so với cùng kỳ năm trước. Báo cáo cho rằng các biện pháp kiểm soát rủi ro mạnh hơn, rút kinh nghiệm từ các sự sụp đổ của Celsius, BlockFi và Genesis vào năm 2022 — chính xác vì điều này: tái thế chấp (rehypothecating) tài sản thế chấp của khách hàng. Tài liệu của chính ngành vẫn mô tả việc tái thế chấp — đem BTC đã cam kết đi cho người vay tổ chức để trợ giá lãi suất của bạn — như một chuẩn mực hiện nay.

Tài liệu của TBV loại trừ điều đó về mặt cấu trúc, không phải chỉ bằng chính sách: “tài sản thế chấp không thể được chuyển nhượng, tái thế chấp, đem cho mượn, hoặc được dùng lại bởi bất kỳ người tham gia nào.” Mỗi kho (vault) là một đầu ra Bitcoin đã được ký sẵn (pre-signed) — không có bảng cân đối nội bộ cho bất kỳ ai để chuyển nó đi, dù đã công bố hay không.

Điều tôi không biết: chưa ai so sánh lãi suất trên testnet của TBV với lãi suất sản xuất thực tế của Ledn hay Strike — không tái thế chấp không tự động đồng nghĩa với chi phí thấp hơn. Nghiên cứu riêng của Ledn phát hiện có khoảng chênh lệch từ 88% xuống còn 14% giữa những người nắm giữ crypto sẵn sàng cân nhắc vay và những người thực sự có khoản vay. Niềm tin có thể là trở ngại lớn hơn, nhưng chẳng ai vay chỉ dựa vào niềm tin.

Vẫn chưa rõ chương trình chia quãng đường (mileage-split) của công ty giữ xe đó đã thành ra thế nào. Tôi đã ngừng sử dụng nhà để xe — có lẽ đó mới là câu trả lời thật sự cho câu hỏi “công bố” có khác “an toàn” không.

So sánh các con số testnet của chính tôi với những gì Ledn và Strike công bố trong tuần này.

@BabylonLabs_io $BABY #baby

Tòa nhà cũ của tôi dùng các thẻ từ dạng key fob — cùng một cơ chế mã hóa từ khi nó được xây dựng. Khi một người đam mê chứng minh rằng anh ta có thể sao chép một chiếc bằng một bộ đọc chỉ 40 đô la, ban quản trị không lo về những chiếc fob đã tồn tại ngoài kia. Họ lo việc làm sao để mọi cư dân đều có mặt cùng một cuối tuần để đổi chúng — một nửa tòa nhà không đọc danh sách gửi thư, nửa còn lại lại không muốn thay đổi thứ vẫn đang hoạt động.

Gọi đó là việc đổi khóa trên toàn tòa: một giải pháp tồn tại, nhưng chỉ thực sự có ý nghĩa khi tất cả những người đang dùng khóa cũ đều chuyển sang khóa mới — đó là vấn đề phối hợp, không phải vấn đề mật mã. Giờ Bitcoin cũng có phiên bản riêng. Tháng Ba, nhóm Quantum AI của Google cắt giảm ước tính tài nguyên cần để bẻ gãy sơ đồ chữ ký của Bitcoin xuống khoảng 20 lần — từ chừng 9 triệu qubit xuống dưới 500.000. Phần cứng hiện tại vẫn chưa tới mức đó: chip tốt nhất của IBM chạy 156 qubit. Nhưng hơn một phần ba số BTC đang lưu hành đã lộ khóa công khai trên chuỗi, có thể bị truy cập khi tồn tại một máy đủ năng lực. Đề xuất địa chỉ chống lượng tử của chính Bitcoin, BIP-360, đã nằm trên testnet từ tháng Hai — việc triển khai đồng nghĩa với việc cần một mạng lưới đồng thuận thống nhất về thời điểm. Vẫn là bài toán đổi key fob, nhưng ở quy mô hành tinh.

Lộ trình tranh chấp của TBV chưa bao giờ phải có cuộc tranh luận đó. Các chữ ký dùng để đảm bảo Assert và ChallengeAssert — những giao dịch biến một tuyên bố thành ràng buộc — là chữ ký Lamport: dựa trên băm, chỉ dùng một lần, vốn đã kháng lại cuộc tấn công đang đe dọa các chữ ký dạng đường cong elliptic-curve vốn bảo vệ phần lớn Bitcoin. Nó không được xây dựng như một bản sửa để chống lượng tử — mà là thứ mà một bộ kiểm tra Groth16 cho script của Bitcoin tình cờ cần.

Điều tôi không biết: việc lưu giữ BTC của chính TBV vẫn được thanh toán thông qua các output Taproot thông thường của Bitcoin — đúng những chữ ký đường cong elliptic-curve mà ai cũng đang bị phơi bày. “Chống lượng tử” ở lớp tranh chấp không đồng nghĩa với việc lớp nền Bitcoin cũng chống lượng tử. Khóa mới vẫn nằm trong tòa nhà cũ.

Chưa chắc liệu điều này có quan trọng với bất kỳ ai chưa thực sự đi sâu vào vấn đề này hay không. Nó giống kiểu chuyện đáng để trả lời trước khi nó cần đến, chứ không phải sau.

@BabylonLabs_io $BABY #baby

Ban đầu tôi cho rằng tuyên bố hiệu suất của BABE so với BitVM3 chỉ là một bước tiến kỹ thuật mang tính gia công — mạch garbled gọn hơn, không có gì mang tính cấu trúc. Nhưng khi tôi xem các con số thực tế, mọi thứ đã thay đổi.

Mạch garbled của bộ xác minh Groth16 trong BitVM3 chạy 40,5 GiB. Phiên bản của BABE cho cùng một công việc: 22,2 MiB. Đây không phải là một tệp nhỏ hơn — mà là một nhóm mức độ khác: 40,5 gigabyte đòi hỏi một máy được thiết kế để lưu trữ và garble nó; còn 22,2 megabyte vừa khít với phần cứng mà chẳng ai gọi là chuyên dụng. Thời gian thiết lập giảm từ 353,7 giây xuống 174,9 mili giây, còn thời gian giải mã giảm từ 352,1 giây xuống 126,5 mili giây. Bất kỳ ai chạy phía Verifier trong một tranh chấp kiểu BitVM giờ không còn cần phải là nhà vận hành hạ tầng.

Đó là phần tôi cứ nghĩ mãi: chi phí của BitVM3 thực chất đang chọn lọc xem ai đủ khả năng để Verify. Hạ ngưỡng phần cứng xuống ba bậc độ lớn và nhiều người có thể tự làm một cách đáng tin cậy, thay vì tin vào một vài nhà vận hành ít ỏi đã có bộ nhớ để bận tâm tới việc đó.

Dưới đây là lời cảnh báo thẳng thắn, được giấu trong vài mục của bài báo: các con số đó là trường hợp thiết lập trung thực (honest-setup). Để đạt an ninh thực sự trước một Prover hoặc Verifier gian dối cần cơ chế cut-and-choose — nhiều phiên bản dự phòng được garble và kiểm tra chéo lẫn nhau. Ở các tham số mà BABE thực sự dùng cho bảo mật chống gian lận (malicious security), thời gian thiết lập tăng lên khoảng 49 giây, và một bước tùy chọn để thu gọn dấu vết trên chuỗi (on-chain footprint) trở lại còn cộng thêm 12 phút nữa. Tỉ lệ 2.022x gây chú ý vẫn đúng đối với nguyên ngữ cốt lõi. Chỉ là nó không còn là con số nhận được khi ai đó thật sự đang cố gắng gian lận.

Tôi chưa biết liệu 49 giây cộng thêm một bước 12 phút tùy chọn có “đủ rẻ” theo cách tương tự như $37,82 đã đủ rẻ để thay cho việc phải tin một cây cầu (bridge). Đây là một loại chi phí khác — chi phí thời gian thiết lập thay vì phí trên chuỗi — và tôi chưa thấy ai lập luận thuyết phục rằng cái nào quan trọng hơn khi chạy ở quy mô thực tế.

@BabylonLabs_io $BABY #baby

Tòa nhà nơi tôi sống từng có việc tái chứng nhận an toàn cháy nổ hằng năm — vòi phun được kiểm tra, một giấy chứng nhận được dán ở tầng dưới. Một năm nọ đến rồi đi, mà không có ngày nào “đúng hạn” diễn ra. Không ai kiểm tra gì cả. Dù vậy, tờ giấy chứng nhận vẫn cứ ở lại trên tường.

Tôi hỏi người quản lý một lần. Anh ấy nhún vai — thanh tra bị dồn lịch, có thể phải mất vài tháng. Không ai chuyển đi. Tòa nhà vẫn vận hành như thể giấy chứng nhận hiện hành còn hiệu lực — trông vẫn “y như” một giấy chứng nhận còn hiệu lực.

Tôi gọi đó là con dấu quá hạn: bằng chứng được treo lên sau hạn chót, vẫn làm cùng một việc dựa vào niềm tin theo bất kỳ cách nào. Stablecoin cũng mang một phiên bản của điều này — một neo tỷ giá một đô la chỉ “thật” bằng phần dự trữ đứng sau nó. Luật của Mỹ đặt ra để buộc các nhà phát hành phải chứng minh dự trữ đó, được công bố hằng tháng, và báo cáo theo đúng thời điểm luật quy định chính xác một năm sau khi chúng được ký.

Khoảng thời gian đó kết thúc vào ngày 18 tháng 7. Đạo luật GENIUS đã trao cho năm cơ quan liên bang mười hai tháng để hoàn thiện các quy định về dự trữ stablecoin và việc hoàn trả. Mười đề xuất được đưa ra; không có đề xuất nào được hoàn tất. Thị trường thì không chờ — lượng stablecoin đang lưu hành tăng từ khoảng 260B USD lên hơn 300B USD trong năm đó, theo một đạo luật mà chi tiết về cách thực thi vẫn chưa được viết.

Bạch thư của TBV phác họa một mô hình khác cho một stablecoin dựa trên BTC: BTC được khóa trong một vault Bitcoin Taproot, có thể kiểm tra on-chain ngay khoảnh khắc nó chống đỡ cho bất kỳ thứ gì, kèm theo một bằng chứng “đốt và hoàn trả” (burn-and-redeem proof) cần thiết trước khi nó được mở khóa — việc xác minh được tích hợp sẵn trong cơ chế, chứ không phải một báo cáo đến hạn theo lịch của người khác.

Điều tôi không biết: liệu stablecoin được thế chấp bằng BTC có thậm chí đủ tư cách là “permitted payment stablecoin issuer” (nhà phát hành stablecoin thanh toán được phép) hay không, theo các quy định được xây cho tiền mặt và dự trữ kho bạc. Giải bài toán chứng minh chưa có nghĩa là giải xong bài toán về định nghĩa.

Tôi vẫn không biết tòa nhà đó có bao giờ được tái chứng nhận hay không. Tôi chuyển đi trước khi kịp tìm hiểu — có lẽ là điều trung thực nhất tôi có thể nói về những hạn chót như vậy. Hầu hết chúng ta không ở lại đủ lâu để xem liệu chúng có được giữ nguyên hay không.

Chu kỳ testnet của tôi thì đã khép lại sạch sẽ — nạp tới rút, hoàn tất vào tuần trước. Không biết có bao nhiêu người đang thử nghiệm cái này thực sự đi đến bước hoàn tất vòng lặp, thay vì dừng lại ở khâu vay.

@BabylonLabs_io $BABY #baby

Sau tám bài trong chiến dịch này, tôi đã dành nhiều thời gian để tìm cách niềm tin có thể vỡ trong Bitcoin DeFi hơn là thật sự sử dụng bất kỳ thứ nào trong đó. Các tổ chức lưu ký có thể đóng băng. Các oracles có thể nói dối. Cơ chế quản trị có thể bị mua chuộc. Thế nên cuối cùng tôi đã tự chạy trọn vẹn chu trình TBV từ đầu đến cuối, chủ yếu để xem những nghi ngờ của chính tôi sẽ cái nào lộ ra trước.

Tôi đã nạp 0.01 sBTC. Tài liệu khuyên nên chia thành hai vault — một vault hi sinh và một vault được bảo vệ — để làm mềm cái mà họ gọi là hiệu ứng “cạnh vực” trong quá trình thanh lý. Tôi không làm vậy. Tôi chọn một vault duy nhất, "Không tách," vì tôi muốn phiên bản đơn giản nhất của quy trình, chứ không phải bản an toàn hơn. Lựa chọn này là do tôi, không phải do giao thức.

Thời gian peg-in mất khoảng hai giờ, phần lớn là chờ xác nhận block trên Signet để vault có thể hoàn tất kích hoạt. Tài sản thế chấp được chuyển về tương đương 649.22 USD cho 0.01 sBTC đó. Tôi vay 100 USDC dựa trên khoản này, rồi trả lại vài ngày sau đó kèm một phần lãi rất nhỏ, sau đó bấm Withdraw.

Đó là lúc con số mà tôi hoài nghi nhất trong suốt chiến dịch lại xuất hiện: màn hình rút tiền hiển thị một “cửa sổ thử thách” khoảng ~3 ngày trước khi BTC thực sự rời khỏi vault và quay trở lại ví của tôi. Ba ngày, đúng chính xác như vậy — không hơn không kém — và sBTC cũng xuất hiện trên UniSat đúng lịch.

Tổng chi phí cho toàn bộ hành trình — nạp, vay, trả, rút — là 0.00033939 BTC và 0.0181 ETH cho chữ ký và phí, bao gồm cả khoản hoa hồng 1% của Vault Provider. Dù còn điều gì khác tôi vẫn nghi ngờ về hệ thống này, con số đó không phải là kiểu được “bơm” để làm testnet trông đẹp hơn.

Tôi vẫn đang nghĩ tới việc mình đã bỏ qua việc tách thành hai vault như tài liệu khuyến nghị. Nếu rủi ro thanh lý thực sự có hiệu lực đối với vị thế này, thì chính kiểu “shortcut” đó là thứ tôi đã phải gạch ra trong bài của người khác.

Chưa rõ việc tự chạy nó có làm tôi thay đổi suy nghĩ về bất kỳ rủi ro nào mà tôi đã viết ở đây hay không. Nhưng việc rút tiền hoạt động đúng như cam kết — đúng ba ngày tính theo giờ, và điều đó không phải là không có gì.

@BabylonLabs_io $BABY #baby

Phòng gym tôi từng dùng có tủ khóa mà bạn thuê bằng chìa khóa của chính bạn—túi xách của bạn, khóa của bạn, không ai khác có quyền truy cập. Một mùa xuân nọ, họ thông báo rằng một “nâng cấp hệ thống” được yêu cầu để tiếp tục sử dụng tủ của bạn.

Tôi chỉ biết nâng cấp thực sự làm gì khi một buổi chiều, chìa khóa của tôi ngừng xoay. Mỗi khóa cá nhân đã bị thay bằng một hệ thống chìa khóa tổng dành cho nhân viên trong đợt “nâng cấp”. Túi của tôi vẫn còn đó. Chỉ là nó không còn “chỉ của tôi” để mở nữa.

Nói bằng một câu, nâng cấp đó thực chất là: nâng cấp không phải là nâng cấp—quyền kiểm soát lặng lẽ bị tước đi dưới một cái tên nghe như một sự cải tiến. Mùa thu năm ngoái, mảng cho vay Bitcoin cũng có phiên bản của điều này. Lava, một ứng dụng cho vay dựa trên các hợp đồng ghi log kín đáo, được thiết kế để người dùng có thể vay mà không phải giao quyền giám hộ, đã đẩy một bản cập nhật ứng dụng vào tháng 9. Người dùng cần cập nhật để tiếp tục truy cập các khoản vay mà họ đã từng rút ra.

Bản cập nhật không chỉ thêm tính năng. Nó chuyển quyền giám hộ Bitcoin của người dùng sang một mô hình lưu trữ lạnh mang tính tổ chức—một nhà nghiên cứu on-chain đã lần ra dòng tiền tới Kraken. CEO của Lava sau đó cũng nói thẳng: “không dịch vụ nào hoàn toàn không cần tin cậy”. Điều này diễn ra vài tuần sau khi công ty đóng một vòng gọi vốn 200 triệu USD.

Cược của TBV là phiên bản trung thực sẽ không bao giờ trở nên đắt đến mức phải từ bỏ. Toàn bộ chu trình đường đi hạnh phúc—gửi tiền, yêu cầu, rút—tốn 2,66 USD trong bài testnet mainnet của Babylon; không ai phải đổi quyền giám hộ để lấy một sản phẩm có khả năng mở rộng, trong khi phiên bản không cần tin cậy thì chưa hề là phiên bản đắt đỏ.

Mâu thuẫn thẳng thắn là: 2,66 USD là đường đi hạnh phúc. Nếu một yêu cầu bị phản đối và đường đi tranh chấp được kích hoạt, các con số của chính BABE đưa con số đó lên gần 37,82 USD—vẫn rẻ, nhưng quy mô thực sự cuối cùng sẽ gặp chi phí thực sự, đúng cái áp lực đã đẩy Lava hướng tới việc nắm giữ ngay từ đầu.

Một ngày, chìa khóa của tôi chỉ ngừng xoay, và đó là hình ảnh còn lại—không phải thông báo, mà là khoảnh khắc tôi thực sự thử ổ khóa.

Chi phí duy nhất mà bài testnet của tôi phải trả khi nạp vào là phí 1% của Vault Provider—không có sự chuyển giao quyền giám hộ chờ sẵn ở phía bên kia của bản cập nhật.

@BabylonLabs_io $BABY #baby

Căn hộ đầu tiên của tôi, bà chủ nhà giữ tiền đặt cọc của tất cả người thuê trong một tài khoản — đúng như cách bà vẫn làm từ trước đến nay. Mười hai căn hộ, một “hồ tiền” chung, không có bức tường nào ngăn cách giữa bất kỳ phần nào trong đó.

Khi bà bị kiện về một căn cho thuê khác mà bà sở hữu ở khu khác, tòa án đã phong tỏa tài khoản đó trong lúc vụ việc được giải quyết. Tiền đặt cọc của tôi chẳng liên quan gì đến tòa nhà kia. Dù vậy, nó vẫn bị đóng băng suốt bốn tháng — vì nó chưa từng có “phòng riêng” để mà tồn tại.

Tôi cứ mãi quay lại với một cụm từ cho chuyện này: cái ngăn kéo dùng chung — tiền của bạn về mặt danh nghĩa, nhưng lại được gom chung với tiền của những người khác trong thực tế; nên chuyện gì xảy ra với phần tiền của bất kỳ ai thì sẽ ảnh hưởng đến tất cả. Sàn giao dịch tập trung cũng vận hành tương tự: một bảng cân đối kế toán, toàn bộ tiền của mọi người dùng nằm chung trong một “hồ”, bất kể thị trường nào đã chạm vào họ.

Ngày 26 tháng 7, BitMart công bố một “kế hoạch ngừng hoạt động có trật tự” sau chín năm — giao dịch kết thúc vào ngày 26 tháng 8, và đóng cửa hoàn toàn vào tháng Giêng năm sau. Về mặt chính thức: không có lỗ hổng bảng cân đối, không có gian lận, không có hồ sơ phá sản. Nhưng dữ liệu on-chain kể từ đó lại cho thấy chỉ có một dòng rút tiền rất nhỏ, thấp xa so với điều bạn kỳ vọng khi người dùng đổ xô rời đi — ba tuần sau khi AscendEX đóng cửa hẳn, dự trữ được cho là gần như cạn kiệt. Hai sàn, hai lời giải thích, và vẫn là “cái ngăn kéo dùng chung” nằm ở bên dưới.

Các vault TBV không chia chung một ngăn kéo. Mỗi vault được tạo cho đúng một ứng dụng tại thời điểm peg-in và không thể chuyển sang ứng dụng khác — kể cả nếu ở nơi khác trong giao thức xảy ra một lỗi thảm họa thì cũng không thể rút BTC từ kịch bản đã ký sẵn của vault sang một ứng dụng khác. Điều gì hỏng ở một tích hợp thì không thể “tràn” sang một vault chưa từng bị ràng buộc với nó.

Một điều mà điều này không giải quyết: việc cô lập chỉ bảo vệ “bức tường” giữa các ứng dụng, chứ không bảo vệ những gì diễn ra bên trong ứng dụng mà bạn đã chọn. Nếu chính Aave v4 gặp rắc rối thật sự, thì việc nó được cô lập khỏi các tích hợp khác cũng không cách ly bạn khỏi nó.

Bốn tháng đó đã dạy tôi phải chùn bước một chút mỗi lần ai đó nói rằng một vấn đề đã được kiểm soát.

Hiện tại tôi đang ở giữa chu kỳ trên mạng testnet Aave v4 — tiền gửi đã được xác nhận, đang chờ xác nhận cuối cùng để tôi có thể vay. Tôi đang ghi lại từng bước khi thực hiện.

@BabylonLabs_io $BABY #baby

Ban quản trị hợp tác xã mà tôi ngồi trong đó đã quản lý một quỹ sửa chữa dùng chung, được giải phóng theo đa số phiếu. Điều lệ cho phép chỉ cần đa số đơn giản là có thể phê duyệt bất kỳ khoản rút nào, không có thời gian chờ nguội, không cần chữ ký thứ hai.

Một quý nọ, có người mua một vài đơn vị ngay trước cuộc họp thường niên đã xuất hiện với đủ số phiếu ủy quyền để tạo thành đa số. Một cuộc bỏ phiếu để giải phóng 40.000 USD cho "dịch vụ tư vấn" đã được thông qua trong chưa đầy mười phút. Khoản chuyển tiền đã rời đi trước khi bất kỳ ai kịp đặt câu hỏi.

Cách rõ ràng nhất tôi có thể nói: tính đủ điều kiện biểu quyết cho tiền thuê — thứ quyền lực không cần có lợi ích trong kết quả, chỉ cần đủ phiếu được tập hợp trong đủ lâu để vượt ngưỡng. Kho bạc DAO cũng mang cùng mức phơi nhiễm: bất kỳ ai tích lũy đủ token để thông qua một đề xuất thì sẽ có quyền chuyển tiền.

Ngày 6 tháng 7, một người đã chi khoảng 4,4 triệu USD để mua token BONK nhằm chi phối một cuộc bỏ phiếu quản trị — tỉ lệ chấp thuận 99,9% từ bảy ví, so với hơn 18.000 thành viên không hề bỏ phiếu. Không có timelock, không có kiểm tra multisig, không có rà soát bất thường đứng giữa cuộc bỏ phiếu và lệnh chuyển. 20 triệu USD rời khỏi kho bạc của BonkDAO một cách tự động.

Hội đồng An ninh của Babylon có quyền hạn hẹp hơn một cách có chủ đích: một quorum 3 trên 5 chỉ có thể phát đi một giao dịch "không chi trả" để đóng băng một yêu cầu gian lận — nó không có địa chỉ nào có thể nhận BTC, không có đường dẫn nào để chuyển hướng quỹ đi bất cứ nơi nào. Tài liệu rủi ro của TBV cũng nói rằng một hội đồng bị xâm phạm sẽ làm giảm năng lực khôi phục khẩn cấp; nó không tạo ra cách để ăn cắp từ một kho tiền. Nó không thể làm điều mà kẻ tấn công của BonkDAO đã làm — biến các phiếu đã tích lũy thành một lệnh chuyển.

Điều tôi cứ phải quay lại suy nghĩ: khối đó chỉ hoạt động bên trong bất kỳ khung thời gian nào mà một yêu cầu gian lận để ngỏ. Nếu Hội đồng An ninh mất nhiều thời gian hơn để phối hợp ba chữ ký so với khung thời gian cho phép, thì khối sẽ đến quá muộn — dù có chắc về mặt cấu trúc hay không.

Mười phút vẫn là con số ám ảnh tôi — chỉ cần ít thời gian đến mức nào để đa số có thể thông qua khi mọi thứ không được thiết kế để làm chậm quá trình.

Vẫn đang tìm hiểu việc vay mượn dựa trên Bitcoin gốc trên testnet Aave v4 — rất sẵn lòng trao đổi ghi chú với bất kỳ ai khác ở đó trong tuần này.

@BabylonLabs_io $BABY #baby