Mười bảy tỷ đô la – đó là con số mà các nhà phân tích ước tính dòng tiền crypto chảy vào các nền tảng cá cược trong suốt kỳ World Cup 2022. Hai mươi tỷ nếu tính cả các kênh ngầm. Nhưng con số ấn tượng ấy không đến từ sự bùng nổ của một giao thức DeFi mới, mà từ một thứ cổ điển hơn nhiều: cá cược thể thao. Và giống như mọi sòng bạc, người ta bắt đầu nghe thấy tiếng leng keng của đồng xu rơi vào túi kẻ tổ chức, xen lẫn tiếng kêu cứu từ những kẻ thua cuộc.
Bối cảnh khô khan: World Cup luôn là thánh địa của cá cược. Trước đây, dòng tiền chảy qua các nhà cái truyền thống với tỷ lệ cược do họ ấn định. Crypto xuất hiện, hứa hẹn một thị trường mở, không biên giới, nơi bất kỳ ai cũng có thể đặt cược mà không cần KYC, không bị giới hạn bởi ngân hàng. Các nền tảng prediction market như Polymarket (dù bị CFTC phạt), Augur, hay các sàn cá cược phi tập trung khác đã nhanh chóng tận dụng cơn sốt. Chỉ trong vòng hai tuần cuối của giải đấu, khối lượng cược trên các hợp đồng thông minh liên quan đến World Cup tăng vọt 400%, theo dữ liệu từ Dune Analytics.
Nhưng đào sâu vào lớp code, tôi thấy một câu chuyện khác. Hầu hết các nền tảng này không thực sự "phi tập trung" như lời quảng cáo. Hãy nhìn vào kiến trúc của một prediction market điển hình: người dùng gửi USDC vào một smart contract, contract đó sử dụng oracle (thường là Chainlink) để lấy kết quả trận đấu, sau đó phân phối tiền cho người thắng. Nghe có vẻ đơn giản, nhưng vấn đề nằm ở khâu oracle. Độ trễ của oracle feed là gót chân Achilles của DeFi, và trong bối cảnh cá cược thể thao, nó trở thành vũ khí hủy diệt hàng loạt. Một trận đấu kết thúc, nhưng oracle mất 5 phút để cập nhật tỷ số – trong 5 phút đó, kẻ gian có thể lợi dụng front-running trên mempool để đặt cược với tỷ lệ cược chưa được điều chỉnh. Tôi đã từng audit một giao thức prediction market vào năm 2021, và phát hiện ra rằng họ không hề có cơ chế chống front-running cho oracle update. Kết quả? Một bot đã rút sạch pool thanh khoản chỉ trong 3 block.
Thú vị thay, chính cái bug đó lại hé lộ một nghịch lý: các nền tảng càng "phi tập trung" (không có admin ngừng khẩn cấp) thì càng dễ bị tấn công bởi các giao dịch có thời gian. Trong khi các sàn tập trung có thể tạm dừng rút tiền khi phát hiện bất thường, một prediction market trên Ethereum chỉ có thể trông chờ vào... không ai cả. Khi tôi trình bày phát hiện này với nhóm phát triển, họ bảo: "Chúng tôi ưu tiên tính bất biến, không thể thêm pause function." Đó là lúc tôi nhận ra rằng tính bất biến, trong nhiều trường hợp, là cái cớ để trốn tránh trách nhiệm.
Hãy quay lại với World Cup. Con số 20 tỷ USD nghe có vẻ khủng khiếp, nhưng nếu chia nhỏ ra, phần lớn đến từ vài nền tảng tập trung có trụ sở tại Curacao hoặc Malta, nơi luật pháp về crypto còn mơ hồ. Những nền tảng này tích hợp crypto như một phương thức thanh toán, không khác gì một nhà cái truyền thống chấp nhận thẻ tín dụng. Họ không có smart contract, không có proof of reserves, không có audit công khai. Bạn gửi tiền, họ ghi nợ vào sổ cái nội bộ, và nếu họ biến mất, bạn chỉ còn cách khóc.
Tuy nhiên, góc nhìn phản trực giác ở đây là: chính sự thiếu minh bạch của các nền tảng tập trung lại khiến chúng an toàn hơn một chút so với các prediction market phi tập trung? Nghe có vẻ vô lý, nhưng hãy suy nghĩ: một sàn tập trung có động cơ giữ uy tín để tiếp tục kinh doanh – họ sẽ không ôm tiền bỏ trừ khi số tiền quá lớn. Trong khi đó, một smart contract không có cảm xúc, nếu có lỗi, nó sẽ trừ toàn bộ số dư của bạn trong một giao dịch. Và không ai có thể can thiệp. Vậy cái nào đáng sợ hơn? Một tên cướp có mặt hay một cỗ máy vô tri vô giác? Câu trả lời tùy thuộc vào khẩu vị rủi ro của bạn.
Kết lại, World Cup 2022 đã phơi bày một thực tế: crypto cá cược vẫn là một miền đất hứa đầy cạm bẫy, nơi những kẻ mạnh (có kiến thức kỹ thuật, có bot, có insider) ăn thịt kẻ yếu. Và khi mùa giải kết thúc, hàng nghìn người dùng lần đầu tiên thử crypto betting sẽ rời đi với hai cảm xúc: hoặc phấn khích vì thắng lớn, hoặc cay đắng vì mất trắng. Nhưng liệu họ có quay lại? Hay họ sẽ đổ lỗi cho crypto, cho blockchain, cho cái gọi là "tương lai tài chính"? Tôi không có câu trả lời, nhưng tôi biết rằng mỗi lần một người mới mất tiền vì một lỗi smart contract, niềm tin vào toàn bộ hệ sinh thái lại giảm đi một chút. Và đó là cái giá đắt nhất.