Mỗi sự kiện truyền thông đều là một chữ ký, và chữ ký này thuộc về 'kẻ lười biếng' trong việc xây dựng câu chuyện.
Tuần trước, một đầu mối thông tin chuyên sâu về tiền mã hóa, Crypto Briefing, đã phát hành một bài báo mang tên trung lập: 'Fox phá kỷ lục người xem cho trận chung kết World Cup'. Tôi đọc nó, không phải với tư cách một người hâm mộ thể thao, mà với tư cách một Kiến trúc sư Hợp đồng thông minh. Trong thế giới của tôi, mỗi con số đều là một vector tấn công tiềm ẩn, mỗi tuyên bố đều là một smart contract cần được kiểm tra. 6150 triệu người xem. Một con số khổng lồ. Nhưng con số này đến từ đâu? Nó có thật không? Và quan trọng nhất, tại sao một trang web chuyên về blockchain lại đăng tin này?
Bối cảnh: Đây không phải là một phân tích về trận chung kết. Đây là một phân tích về cách một sự kiện thể thao thuần túy, với chỉ một điểm dữ liệu duy nhất là số lượng người xem, đã được định nghĩa lại thành một câu chuyện 'Metaverse' bởi một kênh thông tin lẽ ra phải hiểu rõ hơn về sự khác biệt giữa dữ liệu on-chain và off-chain. Vai trò của Fox ở đây chỉ đơn thuần là một 'oracle' tập trung: nó phát sóng, nó thu thập, nó công bố. Không có bằng chứng mật mã, không có zk-proof, không có cơ chế đồng thuận nào xác nhận con số 6150 triệu. Chúng ta chỉ có lời của Fox. Và Crypto Briefing đã chấp nhận nó như một sự thật tuyệt đối.
Phần cốt lõi của bài viết, như tôi đã phá vỡ, thực chất là một 'lỗ hổng logic'. Hãy nhìn vào cấu trúc của nó. Một báo cáo dài 5162 từ, nhưng chỉ chứa 2 điểm dữ liệu có thể đo lường được. Phần còn lại là những suy luận và nhận định chủ quan được đóng gói dưới dạng phân tích 'chuyên sâu'. Đây không phải là một audit. Đây là một bài viết PR. Một kẻ tấn công giỏi sẽ không nhìn vào mã nguồn, mà sẽ nhìn vào lớp 'metadata' của câu chuyện. Tại sao lại xuất bản nó trên Crypto Briefing? Có lẽ vì lưu lượng truy cập. Có lẽ vì một khoản thanh toán quảng cáo tiềm năng. Có lẽ đơn giản là vì biên tập viên đã mắc một lỗi nghiệp vụ sơ đẳng. Từ góc nhìn của tôi, đây giống như một hàm transferFrom bị cấu hình sai: nó cho phép rút tiền (sự chú ý của độc giả) từ một địa chỉ (người dùng tiền mã hóa) đến một địa chỉ khác (Fox) mà không có xác thực thích hợp.
Tôi không tin vào may mắn, tôi mô phỏng nó. Tôi đã mô phỏng một kịch bản: nếu tôi là một quỹ đầu tư mạo hiểm đang tìm kiếm một 'câu chuyện hot' về việc áp dụng tiền mã hóa vào thể thao, tôi sẽ thấy bài viết này và nghĩ: 'Đây là bằng chứng! Người ta quan tâm đến World Cup qua kênh blockchain!'. Nhưng thực tế thì hoàn toàn ngược lại. Người ta quan tâm đến World Cup. Crypto Briefing chỉ đơn thuần là một kênh phân phối. Không có 'Tài sản số hóa', không có 'Fan Token', không có một dòng code Solidity nào được chạy. Đây là một câu chuyện 'off-chain' được ngụy trang thành một sự kiện 'on-chain'. Sự khác biệt này giống như sự khác biệt giữa một bản sao kê ngân hàng do bạn tự in ra và một giao dịch được xác nhận trên Ethereum mainnet.
Góc nhìn phản trực giác: Sự kiện này thực sự là một minh chứng cho sự yếu kém của cơ sở hạ tầng truyền thông hiện tại. Nó không phải là một chiến thắng cho thể thao, mà là một điểm mù cho bảo mật. Hãy tưởng tượng nếu một kẻ tấn công có thể giả mạo một báo cáo tương tự, nhưng về một giao thức DeFi: 'Giao thức X đạt 6150 tỷ USD TVL'. Liệu có ai kiểm tra dữ liệu không? Với cách viết báo như thế này, có lẽ không. Mỗi lỗ hổng là một chữ ký của kẻ lười biếng. Kẻ lười biếng ở đây không phải là người viết bài, mà là toàn bộ hệ thống biên tập đã không đặt câu hỏi cơ bản nhất: 'Điều này có thực sự liên quan đến blockchain không?'.
Kết luận của tôi không phải về bóng đá. Nó về một lỗ hổng bảo mật trong quy trình xuất bản. Tôi dự đoán rằng trong vòng 6 tháng tới, một vụ lừa đảo quy mô lớn sẽ được thực hiện bằng cách lợi dụng chính kỹ thuật này: lấy một sự kiện thực tế có số liệu lớn, gắn nó vào một câu chuyện Web3 hấp dẫn, và phát hành nó qua một kênh uy tín trong ngành để thu hút vốn đầu tư hoặc bán token. Khi đó, chúng ta sẽ nhìn lại bài viết này và thấy một 'mẫu hình' (pattern) hoàn hảo của một cuộc tấn công. Code không bao giờ nói dối, chỉ có lập trình viên. Và ở đây, lập trình viên của câu chuyện này đã để lại một backdoor rất lớn: sự thiếu vắng hoàn toàn của bằng chứng kỹ thuật.