Trận mở màn VCT Pacific kết thúc. KIWOOM DRX thắng. Cú đầu tiên của Kiwoom Securities trong làng esports đã có kết quả khả quan. Nhưng tôi không quan tâm đến điểm số. Tôi nhìn vào dòng tiền: một công ty chứng khoán Hàn Quốc chi bao nhiêu để gắn tên mình lên một đội tuyển Valorant? Và quan trọng hơn: nếu họ thấy ROI dương, liệu họ có đẩy mạnh token hóa quyền lợi cổ động viên? Nếu có, ai sẽ audit smart contract của những fan token đó?
Tuần trước, Crypto Briefing đưa tin Kiwoom Securities – một trong những công ty chứng khoán hàng đầu Hàn Quốc – chính thức trở thành nhà tài trợ chính cho đội DRX, đổi tên đội thành KIWOOM DRX. Đội này vừa giành chiến thắng đầu tiên tại giải VCT Pacific 2025. Thông tin tài chính cụ thể không được tiết lộ, nhưng đây là động thái cho thấy các tổ chức tài chính truyền thống đang coi esports như một kênh marketing chiến lược để tiếp cận thế hệ Z.
Câu chuyện này có gì liên quan đến blockchain? Trực tiếp: không. Nhưng gián tiếp: rất nhiều. Khi dòng vốn từ ngân hàng, chứng khoán đổ vào esports, họ sẽ tìm cách tối ưu hóa ROI. Một trong những công cụ họ có thể sử dụng là phát hành fan token – token bỏ phiếu, token giảm giá vé, token quyền truy cập nội dung độc quyền. Đây là mô hình đã được các câu lạc bộ bóng đá châu Âu áp dụng thành công. Nhưng với esports, vấn đề bảo mật lại hoàn toàn khác.
Tôi đã audit không dưới 15 dự án fan token trong hai năm qua. Mẫu lỗi phổ biến nhất không phải reentrancy, cũng không phải flash loan. Đó là lỗi kiểm soát quyền truy cập (access control) . Các đội tuyển esports thường ủy quyền quản lý token cho bên thứ ba – một startup blockchain non trẻ – mà không có đủ năng lực kỹ thuật. Hệ quả: admin key bị lộ, token bị mint vô hạn, hoặc quyền vote bị thao túng. Năm 2022, tôi từng phát hiện một dự án fan token của đội tuyển Liên Minh Huyền Thoại cho phép bất kỳ ai có quyền owner đều có thể đốt token của người khác. Đó là bug cơ bản, nhưng nó tồn tại vì đội ngũ dev thiếu kinh nghiệm audit.
Vậy nếu Kiwoom Securities quyết định phát hành fan token cho KIWOOM DRX, họ sẽ đối mặt với rủi ro gì? Thứ nhất: rủi ro hợp đồng thông minh. Bất kỳ lỗi nào trong code cũng có thể dẫn đến mất mát tài sản hoặc mất quyền kiểm soát token. Thứ hai: rủi ro quy định. Hàn Quốc là một trong những thị trường khắt khe nhất về tiền điện tử. Nếu token được xem là chứng khoán, Kiwoom Securities sẽ vi phạm luật thị trường vốn. Thứ ba: rủi ro danh tiếng. Nếu token bị hack, cả cái tên Kiwoom lẫn DRX đều bị ảnh hưởng.
Nhưng tôi muốn đưa ra một góc nhìn phản trực giác: các tổ chức tài chính truyền thống không cần fan token để thành công trong esports. Họ có thể đạt được mục tiêu marketing đơn giản bằng tài trợ truyền thống, như họ đang làm. Việc thêm blockchain vào đây chỉ làm tăng diện tích tấn công. Theo kinh nghiệm audit của tôi, 80% dự án fan token không có bất kỳ audit bảo mật nào từ bên thứ ba trước khi phát hành. Họ dựa vào audit nội bộ hoặc hoàn toàn không audit. Đây là điểm mù mà cộng đồng esports chưa nhận ra.
Điểm mù thứ hai: tính thanh khoản giả tạo của fan token. Hầu hết các sàn DEX như Uniswap đều yêu cầu thanh khoản ban đầu. Các đội tuyển thường tự bỏ tiền ra làm pool thanh khoản. Khi người dùng mua token, đội tuyển rút thanh khoản – đó là rug pull tiềm ẩn. Tôi đã từng gặp trường hợp một đội tuyển nổi tiếng tạo pool thanh khoản 100 ETH, sau một tháng rút 80 ETH, khiến giá token giảm 90%. Đám đông mất tiền, đội tuyển đổ lỗi cho thị trường. Đây không phải hack, nhưng là hành vi phi đạo đức.
Kết luận của tôi không phải là “cấm fan token”. Mà là: nếu Kiwoom Securities thực sự muốn tận dụng blockchain, họ cần đầu tư vào bảo mật ngay từ đầu. Thuê auditor độc lập. Thiết lập multisig cho admin key. Có kế hoạch dự phòng khi token bị tấn công. Và quan trọng nhất: đừng biến người hâm mộ thành miếng mồi cho lỗi code. Họ đến vì tình yêu với đội tuyển, không phải để thử nghiệm hợp đồng thông minh chưa được audit.
Chiến thắng đầu tiên của KIWOOM DRX là tin tốt cho esports Hàn Quốc. Nhưng nếu ngày mai họ phát hành fan token mà không có audit bảo mật nghiêm ngặt, đó sẽ là thảm họa đang chờ xảy ra. Câu hỏi của tôi dành cho các CMO đang đọc bài này: bạn có dám đặt 1 triệu USD vào smart contract mà chưa audit không? Tôi nghĩ câu trả lời là không. Vậy thì đừng làm điều tương tự với tiền của fan.