Rạng sáng, một con tàu của Tập đoàn năng lượng hạt nhân Rosatom bị drone cảm tử Ukraine đánh chìm trên Biển Đen. Thủy thủ đoàn an toàn, nhưng đây là lần đầu tiên một tài sản thuộc ngành hạt nhân Nga trở thành mục tiêu trên biển. Trong khi các nhà phân tích địa chính trị gọi đây là bước leo thang, tôi lại nhìn thấy một câu chuyện khác: không một hợp đồng thông minh nào trên thị trường bảo hiểm phi tập trung hiện tại có thể bồi thường cho Rosatom chỉ bằng dữ liệu trên chuỗi.
Bảo hiểm tham số không chờ giám định viên. Nó trả tiền khi một điều kiện khách quan được đáp ứng, ví dụ cơn bão đạt cấp 12, hoặc tàu mất tín hiệu AIS 48 giờ. Trên blockchain, mô hình này gần như là smart contract thuần khiết – đưa tiền vào escrow, gọi oracle là xong. Nhưng vấn đề luôn nằm ở oracle. Chainlink, API3, Tellor đều cung cấp dữ liệu từ thế giới thực, nhưng ai đảm bảo nguồn dữ liệu đó là sự thật? Với bảo hiểm thiên tai, ta có thể dùng dữ liệu vệ tinh, nhưng với một vụ drone tấn công vào ban đêm, tín hiệu AIS có thể bị tắt trước khi con tàu tiếp cận.
Khi tôi còn audit hợp đồng ICO năm 2017, tôi nhận ra các nhóm phát triển thường đặt oracle là một black box. Họ tin rằng chỉ cần lấy giá từ một API là đủ. Đến năm 2020, tôi fork một AMM thử nghiệm trên Ropsten và phát hiện độ trễ của nguồn giá có thể khiến nhà tạo lập bị sấy khô thanh khoản chỉ sau vài khối. Từ ICO đến NFT: mỗi lần tôi audit một hợp đồng, tôi đều thấy những điểm mù của các nhà phát triển tin vào oracle một cách mù quáng. Bây giờ, hãy tưởng tượng một hợp đồng bảo hiểm hàng hải cho vùng Biển Đen. Điều kiện kích hoạt có thể là: tàu mang cờ Nga, hoạt động trong khu vực 30 hải lý quanh Odessa, và tín hiệu AIS mất hơn 24 giờ. Nếu tín hiệu mất, hợp đồng tự động chuyển USDC cho chủ tàu. Nghe có vẻ tiện, nhưng hãy nhìn vào dữ liệu. Các hệ thống AIS có thể dễ dàng bị spoofing, và trong chiến tranh, cả Nga và Ukraine đều tắt AIS ở vùng biển này. Nếu không có AIS, oracle phải dựa vào hình ảnh vệ tinh radar – nhưng các vệ tinh này do chính phủ vận hành, chỉ chia sẻ dữ liệu khi họ muốn. Vậy trong 24 giờ mất tín hiệu, hợp đồng có trả tiền không? Nó sẽ trả cho cả người cố tình tắt máy để trục lợi lẫn nạn nhân của một cuộc tấn công. Mọi cuộc khủng hoảng đều để lại dấu chân trong code, và dấu chân này dẫn thẳng vào một lỗ hổng logic.
Nếu tôi viết một hợp đồng bảo hiểm như vậy, tôi sẽ xây dựng nó bằng một hàm kích hoạt đơn giản. Ví dụ:
function triggerClaim(bytes32 shipId) public onlyOracle {
require(isInConflictZone(shipId), "Not in zone");
require(aissignalLost(shipId, 24 hours), "AIS still active");
payout(shipId);
}Nhưng ai viết isInConflictZone? Có phải dựa vào một danh sách tọa độ được cập nhật bởi một bên thứ ba tập trung? Và aissignalLost có dựa trên dữ liệu từ một công ty cung cấp AIS duy nhất? Khi tôi chạy thử nghiệm trên testnet vào năm 2020, tôi đo được chi phí gas cho một oracle feed là khoảng 150,000 gas, tương đương vài đô la ở thời điểm đó. Nhưng chi phí thực sự không nằm ở gas, mà nằm ở độ trễ và rủi ro thao túng dữ liệu. Một kẻ tấn công có thể tấn công nhà cung cấp AIS, hoặc phát tín hiệu giả khiến hợp đồng tưởng rằng tàu đã rời vùng an toàn. Với một giao thức bảo hiểm phi tập trung, khả năng kháng nghị gần như bằng không. Một khi oracle xác nhận, tiền sẽ rời khỏi smart contract vĩnh viễn.
Điều phản trực giác là blockchain khiến vấn đề này tệ hơn. Trong bảo hiểm truyền thống, bạn có thể gọi điện cho giám định viên, họ có thể cử người ra hiện trường, và nhà bảo hiểm có thể sử dụng phán đoán chủ quan. Hợp đồng thông minh thì không. Nó mù quáng tuân theo dữ liệu. Nếu oracle nói 'mất tín hiệu', nó trả tiền. Nếu oracle nói 'nghe đài BBC đưa tin tàu chìm', nhưng thực tế tàu chỉ bị hỏng thiết bị liên lạc, bạn mất tiền. Sự phi tập trung của blockchain chỉ làm cho sự ngu ngốc này trở nên minh bạch và không thể kháng nghị. Trong giao dịch DeFi, chúng ta chấp nhận rủi ro oracle để đổi lấy hiệu quả. Nhưng bảo hiểm là một lĩnh vực mà sự công bằng quan trọng hơn tốc độ. Ép một hợp đồng bảo hiểm phi tập trung vào một thế giới đầy mơ hồ chiến tranh, nơi không có ai nắm giữ chân lý tuyệt đối, là một thiết kế sai lầm.
Điều tôi quan tâm hơn là nhóm các nhà phát triển đang cố gắng giải quyết vấn đề này bằng cách kết hợp nhiều oracle và cơ chế đặt cọc. Họ tin rằng nếu có 5 nguồn dữ liệu vệ tinh, và 4 trong số đó xác nhận tàu đã chìm, thì sự thật được xác lập. Nhưng tôi đã thấy trong những lần kiểm tra cầu nối xuyên chuỗi của mình rằng các cuộc tấn công không nhắm vào từng oracle, mà nhắm vào lớp tổng hợp dữ liệu chung. Một kẻ tấn công chỉ cần một lỗ hổng trong module aggregation. Từ ICO đến NFT: mỗi lần một chiếc tàu khuất dạng trên màn hình radar, đều để lại dấu chân trong code. Và mã này, nếu không được thiết kế để phản ứng với sự không chắc chắn, sẽ tạo ra một thị trường phái sinh rủi ro mới mà ở đó người bán bảo hiểm không bao giờ ngủ, còn người mua không bao giờ được bảo vệ thực sự.
Trong bối cảnh thị trường crypto đang giảm, sự sống còn của các giao thức bảo hiểm phi tập trung như Nexus Mutual hay Cover vốn đã mong manh. Nếu họ cố gắng bán bảo hiểm cho các tàu của Rosatom – một công ty Nga đang chịu trừng phạt – họ sẽ đối mặt với rủi ro pháp lý và danh tiếng. Nhưng ngay cả khi bỏ qua yếu tố trừng phạt, hạ tầng oracle hiện tại không đủ khả năng xác minh một sự kiện vật lý phức tạp như một vụ drone tấn công. Tôi tin rằng trong tương lai, chúng ta cần các mạng oracle xác thực bằng bằng chứng không kiến thức (zero-knowledge) từ nhiều nguồn có thể kiểm chứng độc lập, thay vì một API duy nhất. Nhưng điều đó vẫn chưa tồn tại ở quy mô thương mại. Hiện tại, nếu tàu của bạn bị chìm, tốt hơn hết nên gọi cho công ty bảo hiểm truyền thống.
Vậy khi nghe tin tàu Rosatom chìm, tôi không nghĩ về dầu hay khí đốt. Tôi nghĩ về những smart contract bảo hiểm đang chờ đợi một oracle đủ thông minh. Nhưng chúng ta đang xây dựng chúng trên cát. Một hợp đồng chỉ tự động hóa thanh toán, không thể tự động hóa sự thật. Và nếu không có sự thật, blockchain chỉ là một cái máy in tiền cho những kẻ may mắn và bi kịch cho những người cần bảo vệ. Câu hỏi đặt ra cho các nhà phát triển là: chúng ta có nên xây dựng các hợp đồng thông minh cho những rủi ro mà chính chúng ta không thể xác minh trên chuỗi? Hay chúng ta cần một hạ tầng oracle mới, có khả năng xác thực đa nguồn và có cơ chế tranh chấp bất khả tri? Tôi để ngỏ, nhưng con tàu Rosatom là một lời cảnh báo rằng nếu chúng ta không trả lời, biển Đen sẽ không phải là nơi duy nhất đóng băng.
