Tuần trước, tôi đang đào sâu vào hợp đồng của một dự án prediction market thì nhận ra một lỗi gas kỳ quặc. Nó không liên quan đến security, nhưng cho thấy codebase đã được copy-paste nhiều lần mà không kiểm tra kỹ. Một lỗi gas nhỏ có thể làm sập cả một hệ thống – và tôi thấy cùng một pattern này trong làn sóng cảnh báo mới nhất từ CFTC.
Không phải là lỗi trong smart contract, mà là lỗi trong ‘hợp đồng tuân thủ’ với cơ quan quản lý. CFTC vừa phát đi cảnh báo lần thứ hai về ‘cookie-cutter self-certifications’ (tự chứng nhận theo khuôn mẫu) cho các hợp đồng sự kiện. Đây không phải là tin tức thông thường. Đây là tín hiệu rõ ràng nhất cho thấy lớp ‘compliance layer’ của các nền tảng prediction market đang chứa một lỗ hổng chết người.
Hãy nhìn vào Context. CFTC là cơ quan quản lý phái sinh tại Mỹ. Mọi nền tảng cho phép người dùng đặt cược vào kết quả của các sự kiện (bầu cử, thể thao, giá cả) đều nằm trong tầm ngắm của họ. Các nền tảng này thường dùng cơ chế ‘self-certification’: họ tự kiểm tra và tuyên bố hợp đồng của mình tuân thủ luật pháp, mà không cần CFTC phê duyệt trước. Đó là một đặc quyền, nhưng cũng là một cái bẫy.
Cảnh báo lần này không phải là ngẫu nhiên. Năm 2020, CFTC đã có động thái tương tự với Kalshi. Lần này, họ nhắm vào toàn bộ ngành. Vấn đề không phải là ‘có nên quản lý prediction market hay không’, mà là các nền tảng đang lạm dụng một cơ chế được thiết kế cho các sản phẩm tài chính truyền thống, vào các hợp đồng sự kiện có tính đầu cơ thuần túy.
Đây là phần Core của tôi: phân tích kỹ thuật của vấn đề tuân thủ này, như thể tôi đang audit một smart contract vậy.
Thứ nhất, hãy nhìn vào ‘cookie-cutter’ (khuôn mẫu). Trong lập trình, dùng template là chuyện bình thường. Nhưng trong compliance, dùng cùng một template cho mọi hợp đồng sự kiện – từ bầu cử tổng thống Mỹ đến trận chung kết Super Bowl – là một sai lầm nghiêm trọng. Mỗi hợp đồng có một cấu trúc rủi ro khác nhau. Một template duy nhất không thể đánh giá được liệu hợp đồng đó có vi phạm Đạo luật Giao dịch Hàng hóa (CEA) hay không, đặc biệt là các điều khoản về ‘cờ bạc’ và ‘lợi ích công cộng’.
Hãy tưởng tượng bạn viết một contract cho phép người dùng swap token. Bạn không thể dùng cùng một logic cho ETH-USDC và cho một memecoin rác với thanh khoản 5 USD. Điều tương tự cũng xảy ra với ‘self-certification’. Một hợp đồng về kết quả bầu cử Mỹ có tác động hệ thống hoàn toàn khác so với một hợp đồng về việc liệu một ca sĩ có thắng giải Grammy hay không. CFTC đang nói rằng các nền tảng đã bỏ qua sự khác biệt này.
Thứ hai, cơ chế ‘self-certification’ vốn dĩ đã là một ‘security assumption’ yếu. Nó dựa trên lòng tin rằng nền tảng sẽ tự đánh giá một cách trung thực và chính xác. Nhưng trong thực tế, áp lực doanh thu và khối lượng giao dịch có thể khiến các nền tảng ‘bỏ qua’ các rủi ro pháp lý để ra mắt sản phẩm nhanh hơn. Đây không phải là lỗi code, mà là lỗi incentive.
