Ether.fi tách weETH thành hai token: Kỹ thuật phân tầng rủi ro hay chỉ là đòn bẩy thanh khoản?
Một lỗ hổng khác, một bài học cũ. Năm 2017, khi còn là nghiên cứu sinh Toán ứng dụng tại Zurich, tôi dành ba tháng cuối năm để kiểm tra từng dòng mã của hợp đồng thông minh Kyber Network. Tôi tìm thấy bốn lỗ hổng trong cơ chế quản lý tỷ giá, một trong số đó cho phép kẻ tấn công thao túng giá token thông qua giao dịch chen ngang. Whitepaper của họ viết rất thuyết phục, nhưng mã nguồn mới là nơi sự thật thực sự cư trú. Từ đó đến nay, mỗi khi một giao thức lớn công bố thay đổi cấu trúc sản phẩm, tôi không đọc thông cáo báo chí. Tôi đọc hợp đồng, tôi đọc mô hình rủi ro, và tôi đọc lịch sử những sự cố tương tự trong quá khứ.
Đó là lý do vì sao thông tin Ether.fi tách weETH thành hai token riêng biệt — weETH và weETHs — khiến tôi phải dừng lại. Về mặt truyền thông, đây là một bước đi có vẻ gọn gàng: weETH trở thành một liquid staking token thuần túy, không còn bất kỳ tiếp xúc nào với hoạt động restaking; toàn bộ phần tiếp xúc với restaking được chuyển sang weETHs, một token mới được hỗ trợ bởi giao thức Symbiotic. Đi kèm với đó là việc hợp tác với Steakhouse Financial để nâng cấp quản trị và bảo mật, với mục tiêu được nêu rõ: cải thiện hiệu quả sử dụng tài sản thế chấp của weETH trên các nền tảng cho vay phi tập trung.
Bối cảnh của sự thay đổi này không khó hiểu. Trong vài năm qua, thị trường liquid staking đã chứng kiến một cuộc cạnh tranh khốc liệt giữa những giao thức như Lido, Rocket Pool, và Ether.fi. Lido vẫn là người dẫn đầu với stETH trở thành tài sản thế chấp tiêu chuẩn trong hầu hết các giao thức DeFi lớn, từ Aave cho đến MakerDAO. Trong khi đó, làn sóng restaking bùng nổ từ EigenLayer đã tạo ra một tầng sản phẩm mới: liquid restaking token. Ether.fi đã tham gia sớm với weETH, một token vừa đại diện cho ETH đã stake, vừa tự động tham gia restaking, giúp người dùng nhận được cả phần thưởng staking lẫn phần thưởng bảo mật từ các dịch vụ bên ngoài.
Vấn đề nằm ở chỗ weETH — trong vai trò một tài sản thế chấp trong thị trường cho vay — mang hai loại rủi ro hoàn toàn khác nhau. Rủi ro thứ nhất là rủi ro đến từ giao thức staking: validator bị slashing, lỗi phần mềm, hoặc các vấn đề kỹ thuật khác. Rủi ro thứ hai là rủi ro đến từ restaking: một dịch vụ bên ngoài (AVS) có thể bị tấn công và kéo theo việc tài sản của người dùng bị cắt giảm. Với các giao thức cho vay, đây là hai mức độ rủi ro rất khác nhau và cần được định giá khác nhau. Việc Ether.fi tách weETH thành hai token về bản chất chính là một nỗ lực để tách bạch hai loại rủi ro này, để weETH có thể được định giá như một tài sản an toàn hơn, từ đó nâng cao hạn mức vay và giảm chi phí vốn cho người dùng.
Nhìn bề ngoài, điều này nghe có vẻ hoàn toàn hợp lý. Nhưng chính sự hợp lý đó khiến tôi nhớ đến nhiều vụ tách rủi ro khác trong lịch sử tài chính và tiền mã hóa, nơi rủi ro không thực sự biến mất, mà chỉ được đóng gói lại và chuyển cho một nhóm người khác. Câu hỏi tôi đặt ra khi phân tích sự kiện này không phải là Ether.fi có làm đúng như những gì họ công bố hay không, mà là liệu việc tách này có tạo ra giá trị thực cho hệ sinh thái, hay chỉ là một cách để giữ chân thanh khoản trước áp lực cạnh tranh từ Lido và EigenLayer.
Hãy bắt đầu từ chi tiết kỹ thuật. Cơ chế hoạt động của weETH trước khi tách là một mô hình kết hợp: người dùng gửi ETH, nhận lại eETH, sau đó wrap thành weETH để sử dụng trong các giao thức DeFi. Phần thưởng staking và phần thưởng restaking được cộng dồn vào giá trị của token. Khi Ether.fi tách mô hình này, weETH sẽ chỉ còn đại diện cho ETH đã stake trên lớp đồng thuận Ethereum, trong khi weETHs sẽ đại diện cho toàn bộ phần tham gia restaking thông qua Symbiotic. Về lý thuyết, một người dùng muốn tiếp xúc với rủi ro staking đơn thuần sẽ chọn weETH, còn một người dùng chấp nhận rủi ro cao hơn để nhận thêm phần thưởng sẽ chọn weETHs.
Điểm mấu chốt tôi muốn nhấn mạnh là: weETH thuần túy không có nghĩa là phi rủi ro. Nó vẫn là một chứng nhận nắm giữ ETH thông qua hợp đồng thông minh của Ether.fi. Nếu hợp đồng của Ether.fi gặp lỗi, nếu quyền quản trị bị tấn công, hoặc nếu thanh khoản của weETH khô cạn — người dùng vẫn mất tiền. Trong quá trình kiểm toán các giao thức lớn suốt nhiều năm, tôi chưa từng thấy một giao thức nào thực sự an toàn tuyệt đối. Aave v2, dự án tôi kiểm toán vào năm 2020, đã có một lỗi logic trong cách tính lãi suất biến động — một lỗi mà chỉ xuất hiện trong điều kiện thị trường khắc nghiệt. Nếu một giao thức uy tín như Aave có thể có lỗ hổng, thì bất kỳ tuyên bố nào về sự an toàn tuyệt đối đều cần bị nghi ngờ.
Điều thú vị ở đây là cách mà Ether.fi sử dụng Symbiotic làm đối tác hạ tầng cho weETHs. Symbiotic là một giao thức restaking mới, sử dụng mô hình vault linh hoạt hơn so với EigenLayer. Nhưng càng linh hoạt, bề mặt tấn công càng lớn. Mỗi vault có thể có những quy tắc riêng về tài sản chấp nhận, quy tắc slashing, và cơ chế thanh toán. Điều này tạo ra một hệ sinh thái phức tạp, nơi một sai sót nhỏ trong cấu hình của một vault có thể dẫn đến hậu quả nghiêm trọng cho toàn bộ nhóm người dùng tham gia. Khi kiểm toán cầu nối LayerZero vào năm 2024, tôi đã phát hiện ba lỗi logic trong cơ chế xác thực chéo, một trong số đó có thể cho phép kẻ tấn công tạo ra token giả trên một chuỗi khác. Bài học tôi rút ra rất đơn giản: các hệ thống phức tạp luôn chứa đựng những tương tác không ai lường trước được.
Có một khía cạnh ít được nhắc đến trong câu chuyện này, đó là sự phân mảnh thanh khoản. Trước khi tách, weETH là một tài sản duy nhất, tập trung toàn bộ thanh khoản từ cả người dùng staking thuần túy lẫn người dùng restaking. Sau khi tách, chúng ta có hai token riêng biệt, mỗi token có một thị trường thanh khoản riêng. Điều này có nghĩa là độ sâu thanh khoản sẽ bị chia đôi, dẫn đến trượt giá cao hơn và chi phí giao dịch lớn hơn. Trong một thị trường mà hiệu quả vốn là yếu tố quan trọng nhất, việc chia nhỏ thanh khoản là một cái giá cần được cân nhắc kỹ lưỡng. Tôi từng viết trong một bài phân tích về Layer2 rằng có hàng chục chuỗi Layer2 nhưng lượng người dùng cơ sở là như nhau — đó không phải là mở rộng quy mô, mà là cắt nhỏ thanh khoản vốn đã khan hiếm. Sự tách token này cũng có một mùi hương tương tự.
Câu chuyện quản trị của Ether.fi cũng đáng được xem xét dưới góc độ rủi ro. Việc hợp tác với Steakhouse Financial — một tổ chức từng tư vấn rủi ro cho hệ sinh thái MakerDAO — có thể được coi là một tín hiệu tích cực cho thấy Ether.fi đang hướng đến một mô hình quản trị chuyên nghiệp hơn. Nhưng tôi muốn chỉ ra một khía cạnh mà ít người chú ý: khi một tổ chức tư vấn bên ngoài tham gia vào quá trình quản trị và định hình các tham số rủi ro, điều đó đồng nghĩa với việc những quyết định quan trọng nhất bị kiểm soát bởi một nhóm nhỏ các chuyên gia. Trong ngắn hạn, điều này có thể giúp giao thức hoạt động hiệu quả hơn. Nhưng về lâu dài, nó tạo ra một điểm tập trung quyền lực mới, đi ngược lại những gì mà triết lý phi tập trung của blockchain hướng tới.
Bây giờ, hãy cùng nhìn vào bức tranh lớn hơn. Vụ sụp đổ của Terra vào tháng 5 năm 2022 là một bài học không thể quên về mối quan hệ giữa tăng trưởng và rủi ro. Khi Terra công bố những con số tăng trưởng ấn tượng và chiếm lĩnh thị trường stablecoin, hầu hết mọi người đều tin rằng điều đó sẽ tiếp tục mãi. Nhưng cơ chế chốt giá thuật toán của Terra phụ thuộc hoàn toàn vào thanh khoản bên ngoài, và khi thanh khoản đó biến mất, toàn bộ hệ thống sụp đổ chỉ trong vài ngày. Tôi đã dành ba tháng để nghiên cứu sự kiện này, vẽ lại luồng đúc và đốt token, và nhận ra rằng những điểm yếu cơ bản thường bị che giấu bởi câu chuyện tăng trưởng.
Điều tương tự có thể xảy ra với weETHs. Nếu Symbiotic gặp một sự cố slashing nghiêm trọng, người dùng weETHs sẽ mất một phần tài sản, nhưng câu chuyện của Ether.fi sẽ bị ảnh hưởng nặng nề hơn nhiều so với một lỗ hổng kỹ thuật đơn thuần. Nó sẽ trở thành một vết nứt trong niềm tin, và niềm tin là thứ khó xây dựng nhất trong thị trường tiền mã hóa. Người dùng sẽ bắt đầu đặt câu hỏi liệu weETH — mặc dù được tách biệt về mặt kỹ thuật — có thực sự an toàn hay không, khi mà cùng một đội ngũ đang vận hành một token khác dính dáng đến một giao thức chưa được kiểm chứng qua một chu kỳ thị trường đầy đủ.
Đây chính là điểm mù lớn nhất trong câu chuyện tách rủi ro này: sự tách biệt về mặt kỹ thuật không đồng nghĩa với sự tách biệt về mặt nhận thức. Trên thực tế, những gì Ether.fi đang làm — dù chủ đích hay không — là tạo ra một lớp cách ly rủi ro cho weETH. Nhưng trong tâm trí của cộng đồng DeFi, weETH và weETHs vẫn là hai sản phẩm của cùng một giao thức, cùng một đội ngũ, và cùng một hệ sinh thái. Nếu Symbiotic sụp đổ, người dùng sẽ đổ lỗi cho Ether.fi, không phải cho Symbiotic. Bài học từ sự sụp đổ của FTX và Alameda ngay trước đó cho chúng ta thấy rằng ranh giới giữa các thực thể pháp lý không bảo vệ được danh tiếng của một hệ sinh thái.
Có một động cơ chiến lược khác mà tôi tin rằng nằm bên dưới quyết định này. Ether.fi đang cố gắng tách mình khỏi nhóm liquid restaking token để trở thành một giao thức staking thuần túy, cạnh tranh trực tiếp với Lido. Khi mà các giao thức cho vay lớn như Aave và Morpho ngày càng chú trọng đến quản trị rủi ro, việc sở hữu một token thế chấp sạch sẽ và dễ định giá hơn sẽ trở thành một lợi thế cạnh tranh rõ ràng. weETH có thể được nâng hạn mức vay (LTV) cao hơn, trong khi weETHs sẽ bị xếp vào nhóm tài sản rủi ro cao hơn. Điều này tạo ra một ma trận sản phẩm thú vị: một token dành cho người dùng bảo thủ và một token dành cho người dùng thích rủi ro, tất cả được quản lý dưới cùng một thương hiệu.
Nhưng sẽ ra sao nếu các nền tảng cho vay không chấp nhận nâng hạn mức thế chấp cho weETH? Đây là câu hỏi then chốt mà không ai nhắc đến. Việc Steakhouse Financial tham gia quản trị không tự động dẫn đến việc Aave nâng LTV cho weETH. Quy trình quản trị của Aave bao gồm nhiều bước, từ thảo luận công khai, kiểm toán rủi ro, bỏ phiếu, và cuối cùng là thực thi. Nếu các đề xuất nâng hạn mức không được chấp thuận, hoặc nếu các nhà phân tích rủi ro của Aave đưa ra kết luận rằng việc tách weETH không làm giảm đáng kể rủi ro tương quan với toàn bộ hệ sinh thái Ether.fi và Symbiotic, thì lợi ích của việc tách gần như bằng không. Tôi đã thấy quá nhiều trường hợp các giao thức thực hiện những thay đổi lớn với kỳ vọng rằng thị trường sẽ tự động đánh giá lại, chỉ để rồi phải thất vọng.
Một khía cạnh khác cần được đặt lên bàn cân là rủi ro thanh khoản của chính weETH trong các bể thanh khoản tập trung. Ethereum là một tài sản có tính thanh khoản cao, nhưng các dẫn xuất như weETH không có cùng tính chất đó. Sau khi tách, một phần lớn thanh khoản từ weETH có thể bị hút sang weETHs nếu phần thưởng restaking tiếp tục hấp dẫn. Điều này tạo ra một vòng lặp phản hồi: càng nhiều người rời bỏ weETH để chuyển sang weETHs, thanh khoản của weETH càng mỏng, và giá trị của weETH càng dễ bị biến động khi thị trường gặp căng thẳng. Những tình huống như vậy từng xảy ra với nhiều tài sản tổng hợp trong quá khứ, và không một ai có thể dự đoán chính xác điểm thanh khoản sẽ khô cạn ở đâu.
Trong quá trình kiểm toán thủ công các dự án ICO năm 2017, tôi đã học được rằng cách tốt nhất để đánh giá một giao thức là nhìn vào các tình huống biên. Điều gì xảy ra khi Symbiotic trục trặc? Điều gì xảy ra khi Ether.fi nâng cấp hợp đồng mà không báo trước? Điều gì xảy ra khi một validator của Ether.fi bị slashing? Mỗi tình huống biên này đều là một kịch bản có thể xảy ra, và chúng ta cần phải kiểm tra xem ai là người gánh chịu tổn thất trong từng trường hợp. Trong mô hình tách token này, người nắm giữ weETH sẽ không bị slashing trực tiếp từ hoạt động restaking, nhưng họ vẫn phải chịu rủi ro từ hoạt động staking cơ bản — rủi ro mà họ đã phải chịu trước đây. Trong khi đó, người nắm giữ weETHs phải chịu toàn bộ rủi ro restaking mà không có một lớp bảo vệ nào. Đây có thể là một sự phân bổ rủi ro công bằng, nhưng cũng có thể tạo ra một tầng rủi ro mới mà những người tham gia không nhận thức đầy đủ.
Và ở đây, tôi muốn nói về câu chuyện lớn hơn của ngành. Sự phát triển của restaking đã mở ra một kỷ nguyên mới về mở rộng bảo mật kinh tế, nhưng nó cũng kéo theo một vấn đề được giới kỹ thuật gọi là sự phức tạp không thể giảm — không thể giảm bớt phức tạp mà không hy sinh an toàn. Mỗi lớp trừu tượng mới, mỗi cơ chế chuyển giao rủi ro mới đều tạo ra những tương tác mới khó lường. Khi tôi kiểm toán các giao thức DeFi mới, tôi luôn tự hỏi: lập trình viên của giao thức này có thực sự hiểu toàn bộ hệ thống mà họ đang xây dựng hay không? Trong hầu hết các trường hợp, câu trả lời là: họ hiểu phần mà họ viết, nhưng không ai hiểu hết các tương tác giữa các phần với nhau.
Lại một bài học cũ: Một lỗ hổng khác, một bài học cũ. Về bản chất, việc Ether.fi tách weETH có thể được nhìn nhận như một hành động thừa nhận rằng một token không thể phục vụ tốt hai mục đích với hai mức độ rủi ro khác nhau. Đó là một quyết định kỹ thuật thông minh trong một thị trường đang cần sự rõ ràng. Nhưng đồng thời, nó cũng làm lộ ra một thực tế khó chịu: toàn bộ ngành công nghiệp restaking vẫn đang ở giai đoạn thử nghiệm, và chưa có một bộ khung chuẩn nào để định giá rủi ro một cách nhất quán. Việc tạo ra một token mới có tên là weETHs để gánh phần rủi ro restaking cho những ai muốn chấp nhận nó, trong khi weETH trở thành một tài sản sạch hơn cho thị trường cho vay, có thể là một bước đi khôn ngoan. Nhưng nó cũng có thể là một cách để trì hoãn cuộc đối thoại khó khăn về an toàn của restaking — một cuộc đối thoại mà chúng ta không thể tránh né mãi.
Nhìn từ góc độ dài hạn, tôi tin rằng loại hình sản phẩm này sẽ ngày càng phổ biến. Sự tách biệt rủi ro sẽ trở thành một chuẩn mực trong ngành, và chúng ta sẽ thấy nhiều giao thức khác làm theo mô hình tương tự. Điều này tốt cho thị trường, bởi vì nó buộc các nhà phát triển phải nghĩ về rủi ro một cách nghiêm túc hơn. Nhưng nó cũng đặt ra một câu hỏi: làm sao để người dùng cuối — những người không đọc mã nguồn, không tham gia diễn đàn quản trị — có thể hiểu được sự khác biệt giữa weETH và weETHs? Trong một thị trường mà hầu hết người dùng tương tác với các giao thức thông qua giao diện mạng xã hội và meme, sự khác biệt kỹ thuật tinh tế có thể bị bỏ qua cho đến khi quá muộn.
Đây là lúc vai trò của những người làm bảo mật như tôi trở nên quan trọng hơn bao giờ hết. Chúng tôi cần viết rõ ràng hơn, phân tích sâu hơn, và chỉ ra những vấn đề mà người khác không muốn nhìn thấy. Khi Ether.fi công bố tách weETH, các nhà đầu tư bán lẻ sẽ thấy một cơ hội mới. Những người làm bảo mật sẽ thấy một loạt các rủi ro cần được kiểm chứng: Symbiotic có được kiểm toán bởi các công ty uy tín hay không? Cơ chế slashing nào đang được áp dụng cho weETHs? Ai là người có quyền nâng cấp hợp đồng? Và quan trọng nhất — liệu Aave và Morpho có thực sự coi weETH là một tài sản thế chấp đáng tin cậy trong dài hạn hay không?
Trong ba tháng tới, tôi sẽ theo dõi sát sao các đề xuất tham số rủi ro trên các nền tảng cho vay lớn. Nếu chúng ta thấy một loạt các đề xuất nâng LTV cho weETH được thông qua, điều đó sẽ chứng minh rằng chiến lược tách token của Ether.fi đang hoạt động đúng như thiết kế. Ngược lại, nếu các nền tảng cho vay giữ nguyên lập trường thận trọng và xem weETH chỉ như một tài sản tương đương với các liquid staking token khác, thì toàn bộ phần trình bày về hiệu quả thế chấp sẽ chỉ là một lời hứa suông. Thị trường DeFi không tha thứ cho những lời hứa suông.
Câu chuyện của Ether.fi không phải là một câu chuyện về một lỗ hổng cụ thể, mà là câu chuyện về cách một giao thức phản ứng trước áp lực của thị trường. Đó là câu chuyện về việc phân loại lại rủi ro, về việc tạo ra những khuôn khổ mới để định giá tài sản, và về việc cố gắng làm cho một thị trường ngày càng phức tạp trở nên dễ hiểu hơn. Nhưng trong quá trình đó, chúng ta cần nhớ rằng: các token có thể được tách rời, hợp đồng thông minh có thể được nâng cấp, nhưng niềm tin là một thứ duy nhất không thể được tách ra hay sao chép. Khi một giao thức hứa hẹn tách biệt rủi ro, hãy tự hỏi: liệu rủi ro đó có thực sự được loại bỏ, hay chỉ được chuyển sang một nơi mà chúng ta chưa nhìn thấy?
Bài học từ những năm tôi làm kiểm toán viên bảo mật là: mọi hệ thống đều có nợ kỹ thuật, và mọi giao thức đều có những góc khuất. Điều khác biệt giữa một giao thức tốt và một giao thức kém không phải là không có rủi ro, mà là cách họ xử lý rủi ro đó khi nó xảy ra. Ether.fi đang xử lý rủi ro của thị trường restaking bằng cách tạo ra một token mới. Liệu Symbiotic có thể gánh vác trọng trách đó? Liệu người dùng weETHs sẽ hiểu rõ họ đang tham gia vào một thị trường có rủi ro cao hơn nhiều so với staking truyền thống? Và liệu tất cả những thay đổi này có thực sự giải quyết được vấn đề gốc rễ — hay chỉ là một cách để giữ chân người dùng trong một cuộc chơi mà thanh khoản ngày càng trở nên khan hiếm?
Tôi không có câu trả lời chắc chắn, nhưng tôi có một niềm tin: các giao thức tốt nhất là những giao thức khiêm tốn nhất — những giao thức thừa nhận rằng chúng không thể kiểm soát mọi thứ, rằng chúng cần thời gian để kiểm chứng, và rằng chúng ưu tiên an toàn hơn tốc độ. Nếu Ether.fi thực sự muốn đưa weETH lên một vị thế thống trị trong thị trường thế chấp DeFi, họ cần làm nhiều hơn là tách một token thành hai. Họ cần chứng minh trong thực tế rằng mô hình an toàn của họ có thể đứng vững trước biến động thị trường và trước các cuộc tấn công tinh vi nhất.
Cho đến lúc đó, hãy nhớ một nguyên tắc cũ: một lỗ hổng khác, một bài học cũ. Và bài học hôm nay là — không có sự tách rời nào là hoàn toàn sạch sẽ; và không có tài sản nào là an toàn tuyệt đối, ngay cả khi nó được trình bày như một giải pháp kỹ thuật hoàn hảo.