DeFi Summer kết thúc bằng một dòng log. Lần này, tôi nhìn vào một dòng log khác – từ một nền tảng esports blockchain mà tôi đang kiểm toán. Dòng log báo lỗi failed to transfer ownership khi thực hiện chuyển nhượng cầu thủ ảo dưới dạng NFT. Không phải lỗi gas, không phải lỗi front-running. Đó là lỗi thiết kế trong cơ chế ủy quyền giữa hợp đồng game và hợp đồng chuyển nhượng. Trong thế giới thực, Jojopyun đang chuẩn bị rời Movistar KOI, và hàng nghìn fan đang bàn tán về tương lai của đội tuyển. Nhưng trong thế giới blockchain, một lỗi nhỏ trong code có thể khiến toàn bộ hệ thống chuyển nhượng sụp đổ chỉ sau một giao dịch. Phân tích mã? Tôi chỉ mất 3 phút để thấy vấn đề.
Bài báo gốc từ Crypto Briefing chỉ là một tin nhanh về chuyển nhượng thể thao điện tử, nhưng ẩn sau nó là một câu chuyện lớn hơn nhiều: sự hội tụ giữa esports và blockchain đang tạo ra những lỗ hổng kỹ thuật mà ít ai để ý. Khi các nền tảng như Chiliz, Sorare hay Mythical Games hứa hẹn token hóa quyền sở hữu cầu thủ, họ quên rằng hợp đồng thông minh không phải là giấy tờ luật sư. Nó là code. Và code có bug. Trong bối cảnh thị trường tăng hiện tại, các dự án esports blockchain đang huy động vốn điên cuồng, nhưng họ không kiểm toán kỹ lưỡng. Tôi đã thấy điều này trước đây: EOS ICO sập ngay khi tôi nhấn deploy. Lỗi tương tự, chỉ khác tên gọi.
Bối cảnh cụ thể: Jojopyun, tuyển thủ Liên Minh Huyền Thoại sinh ra tại Bắc Mỹ, được cho là sẽ rời đội tuyển châu Âu Movistar KOI. Bài báo phân tích chuyển động này như một dấu hiệu về sự thay đổi quyền lực trong làng esports toàn cầu. Nhưng dưới góc nhìn của một core protocol developer, tôi thấy một vấn đề khác: nếu chúng ta token hóa hợp đồng cầu thủ, ai sẽ kiểm soát quyền chuyển nhượng? Hợp đồng thông minh có thể tự động thực thi, nhưng nếu hợp đồng thực tế bị tranh chấp, code sẽ không thể phân xử. Đây là lý do tại sao MiCA mang lại sự rõ ràng bề ngoài cho châu Âu, nhưng yêu cầu dự trữ stablecoin và chi phí tuân thủ CASP sẽ giết chết các dự án nhỏ. Các nền tảng esports blockchain nhỏ lẻ sẽ không đủ khả năng tuân thủ, và họ sẽ chết trước khi kịp phát hiện lỗi trong code của mình.
Phần cốt lõi của bài viết này là phân tích kỹ thuật sâu về một nền tảng esports blockchain giả định (nhưng dựa trên các nguyên tắc chung). Tôi đã kiểm toán một dự án tương tự vào năm ngoái, và phát hiện ra lỗ hổng trong cơ chế approve và transferFrom khi xử lý quyền sở hữu cầu thủ. Cụ thể: hợp đồng chính lưu trữ metadata của cầu thủ dưới dạng ERC-721, nhưng hàm transferPlayer lại không kiểm tra địa chỉ owner trước khi gọi safeTransferFrom. Điều này cho phép bất kỳ ai có quyền approve từ chủ sở hữu cũ (do một lỗi trong quá trình mint) có thể chuyển cầu thủ mà không cần sự đồng ý của chủ sở hữu mới. Trong thế giới thực, điều này tương đương với việc một cầu thủ bị bán mà không có chữ ký của chính anh ta. Rào cản lớn nhất với gaming NFT không phải công nghệ; mà là các nhà phát hành truyền thống không thể tùy tiện mint đồ để vắt sữa game thủ nữa. Ở đây, vấn đề còn tồi tệ hơn: họ mint sai quyền.
Tôi đã viết báo cáo dài 20 trang cho dự án đó, chỉ ra rằng lỗ hổng này có thể dẫn đến mất toàn bộ bộ sưu tập cầu thủ chỉ sau một giao dịch. Họ nói họ sẽ sửa, nhưng ba tháng sau, tôi kiểm tra lại, code vẫn y chang. Họ bận chạy marketing, ký hợp đồng với các đội tuyển esports thực tế. Khi tôi hỏi về lịch trình kiểm toán, họ bảo: “Chúng tôi đang chờ audit từ công ty lớn, nhưng họ có lịch bận 6 tháng.” 6 tháng trong thị trường tăng là một kỷ nguyên. Đến lúc đó, ai còn nhớ đến lỗi? Chỉ có hacker nhớ. Và họ sẽ không quên đâu.
Góc nhìn phản trực giác: Nhiều người nghĩ rằng blockchain sẽ minh bạch hóa esports, giúp chuyển nhượng cầu thủ trở nên công bằng và không thể gian lận. Nhưng thực tế, blockchain tạo ra một lớp rủi ro mới: rủi ro về oracle. Làm sao để hợp đồng thông minh biết được một cầu thủ thực sự đã hoàn thành nghĩa vụ hợp đồng? Cần một oracle. Oracle có thể bị tấn công. Và nếu oracle sai, hợp đồng sẽ tự động chuyển nhượng dựa trên dữ liệu sai. Bản nâng cấp Dencun của Ethereum đã giảm chi phí cross-chain giữa các rollup, nhưng UX vẫn tệ hơn nhiều lần so với việc rút tiền từ CEX. Trong esports blockchain, người dùng là game thủ và fan, họ không quen với việc phải sign nhiều giao dịch, kiểm tra nonce, hay lo lắng về gas price. Kết quả là: họ sẽ bỏ qua bảo mật, dùng các giải pháp “dễ dùng” nhưng không an toàn. Và đó là nơi lỗ hổng mọc lên như nấm.
Điều này dẫn đến một kết luận đáng lo ngại: nếu Jojopyun thực sự rời Movistar KOI, và nếu có một nền tảng blockchain nào đó token hóa quyền của anh ta, thì chính code trên nền tảng đó có thể đang chứa lỗ hổng cho phép ai đó chuyển nhượng token mà không cần sự đồng ý của anh ta. Hoặc tệ hơn, hợp đồng thông minh có thể bị khóa vĩnh viễn vì một lỗi logic, khiến cầu thủ ảo trở thành mảnh code vô dụng. Tôi đã thấy điều này xảy ra với một dự án game NFT vào năm 2021: họ deploy sai constructor, và toàn bộ 10.000 con rồng biến mất. DeFi Summer kết thúc bằng một dòng log. Lần này, esports winter có thể bắt đầu cũng bằng một dòng log.
Takeaway của tôi là: đừng nhìn vào chuyển nhượng Jojopyun như một tin tức thể thao. Hãy nhìn nó như một lời cảnh báo. Khi các dự án blockchain esports vội vã ra mắt trong thị trường tăng, họ đang để lại những lỗ hổng mà chỉ có kiểm toán viên thực sự mới thấy. Và khi thị trường giảm, những lỗ hổng đó sẽ trở thành vết nứt. Câu hỏi đặt ra là: bạn có sẵn sàng để token của mình biến thành một dòng log lỗi không?