Tuần trước, STON.fi thông báo hỗ trợ cross-chain swap giữa TON, TRON và EVM. Cộng đồng TON lập tức reo hò: cuối cùng thì stablecoin từ TRON và Ethereum có thể chảy vào hệ sinh thái TON một cách dễ dàng. Nhưng khi tôi nhìn vào thông báo đó, điều đầu tiên tôi thấy không phải là cơ hội, mà là một vấn đề an ninh đã cũ.
Context
TON đang nổi lên nhờ lượng người dùng Telegram khổng lồ, nhưng thiếu thanh khoản stablecoin trầm trọng. STON.fi, DEX hàng đầu trên TON, quyết định giải quyết vấn đề này bằng cross-chain swap. Dựa trên thông báo, tính năng này cho phép người dùng trao đổi USDT (TRC-20), USDC (EVM) trực tiếp sang token trên TON mà không cần qua sàn tập trung. Nghe có vẻ tuyệt vời, nhưng với 16 năm quan sát ngành, tôi biết rằng mỗi cross-chain bridge mới đều mang theo một rủi ro lớn: điểm tập trung hóa trong thiết kế.
Core
Hãy nhìn vào kỹ thuật. STON.fi không công bố chi tiết cơ chế cross-chain. Họ dùng bridge tập trung? Hay dùng layer-zero style? Hay optimistic verification? Không ai biết. Trong kinh nghiệm audit của tôi, bất kỳ cross-chain nào mà không có audit code công khai đều là red flag. Năm 2022, Wormhole mất 320 triệu USD vì một lỗi xác thực đơn giản. Nomad bị khai thác 190 triệu USD vì một dòng code sai. STON.fi làm gì để tránh điều đó?
Điều quan trọng hơn: độ trễ của oracle feed là gót chân Achilles của DeFi. Nếu STON.fi dùng oracle tập trung để lấy giá từ TRON và EVM, một kẻ tấn công có thể thao túng giá, rút cạn thanh khoản. Đây không phải là chuyện viễn tưởng – năm 2020, bZx bị tấn công flash loan chính xác vì oracle yếu. STON.fi có thể đã nghĩ đến điều này, nhưng không có bằng chứng.
Thêm vào đó, phần lớn các bài tập 'Proof of Reserves' của sàn giao dịch chỉ là vở kịch: chứng minh một phần nợ và thiếu audit liên tục. Tôi không tin rằng STON.fi sẽ minh bạch hơn. Họ có thể giữ private keys cho cross-chain pool, khiến người dùng phải tin tưởng hoàn toàn vào nhóm phát triển.
Contrarian
Điều phản trực giác: cross-chain swap không mở ra cánh cửa, mà mở ra cánh cửa cho hacker. Mọi người đều phấn khích vì stablecoin mới vào TON, nhưng họ quên rằng mỗi cây cầu mới là một bề mặt tấn công mới. Từ năm 2021 đến nay, các cross-chain bridge đã mất hơn 2 tỷ USD. TON là một hệ sinh thái trẻ, chưa có nhiều audit, chưa có security track record. Nếu STON.fi cross-chain bridge bị tấn công, nó không chỉ ảnh hưởng đến STON mà có thể kéo cả TON đi xuống.
Câu chuyện từ Bancor 2017 dạy tôi: lời hứa kỹ thuật không bằng audit code. Tôi đã kiếm 15 ETH từ ICO Bancor vì tôi hiểu cơ chế thanh khoản tự động, nhưng tôi cũng bán ngay khi thấy FOMO quá mức. Với STON.fi, FOMO đang hình thành, nhưng tôi chưa thấy audit.
Takeaway
Câu hỏi không phải là khi nào STON.fi cross-chain swap sẽ được dùng nhiều, mà là: họ có audit đến đâu? Nếu không có audit từ ít nhất hai công ty hàng đầu như Trail of Bits hay OpenZeppelin, đừng vội nạp tiền. Hãy nhìn vào dữ liệu on-chain sau một tháng: nếu TVL cross-chain pool đạt trên 10 triệu USD mà không có sự cố, thì hãy cân nhắc. Còn bây giờ, cross-chain swap của STON.fi là một canh bạc – và tôi không đặt cược.