BNY Mellon bắc cầu qua Galaxy: 62,6 nghìn tỷ USD và điểm mù của staking ETF
Ngày 4/8, một thông báo tưởng như tẻ nhạt xuất hiện trên trang tin CryptoSlate: BNY Mellon hợp tác với Galaxy Digital để cung cấp dịch vụ staking cho khách hàng tổ chức. Không có token bơm, không có APY hào nhoáng. Nhưng nếu đọc kỹ, đây là một trong những tín hiệu tập trung hóa nghiêm trọng nhất mà tôi từng thấy trong 28 năm quan sát ngành. Khi ngân hàng giữ 62,6 nghìn tỷ USD tài sản ký gửi nối thẳng vào một công ty tiền mã hóa niêm yết tại Mỹ, câu chuyện không còn là "ETF staking sắp ra mắt". Câu chuyện là ai đang nắm quyền kiểm soát phần lõi của hợp đồng xã hội blockchain.
Tôi bắt đầu với một con số từ cáo bạch SEC của quỹ ETHB. Quỹ ETF Ethereum của BlackRock có thể đưa từ 70% đến 95% tài sản vào staking. Điều đó nghĩa là gì? Nếu ETHB nắm giữ hàng tỷ đô la ETH, phần lớn trong số đó sẽ nằm trong tay ba nhà xác thực được chọn. Galaxy là một trong ba nhà xác thực đó. BNY Mellon nắm quyền giám hộ. Toàn bộ dòng tiền từ các quỹ hưu trí, ngân hàng tư nhân và quỹ tài sản có chủ quyền sẽ đi qua một đường ống hẹp.
Với một người từng dành ba tháng đọc mã nguồn 0x Protocol v2, tôi có một thói quen: không tin bất kỳ mô tả nào trước khi đọc code hoặc cấu trúc vận hành. Cá nhân tôi đã tìm ra bảy lỗ hổng trong cơ chế order matching của 0x v2, trong đó có một lỗi có thể dẫn đến tràn calldata. Lỗi đó đã được sửa. Nhưng bài học lớn hơn là: mọi thứ trông ổn định trên slide đều có thể sụp đổ ở tầng giao thức. Và ở đây, tầng giao thức không phải là smart contract, mà là sự phân bổ quyền lực giữa những nhà xác thực.
ETHB có một thiết kế đáng khen: tách quyền kiểm soát tài sản khỏi quyền vận hành xác thực. Theo cáo bạch, người giám hộ nắm private key của tài sản và kiểm soát việc rút tiền. Nhà xác thực chỉ nắm khóa xác thực, không thể di chuyển ETH. Đây là mô hình chuẩn của tài chính truyền thống: người giữ tiền không vận hành, người vận hành không giữ tiền. Nhưng thiết kế đúng không có nghĩa là hệ thống an toàn. Nó chỉ có nghĩa là loại bỏ một lớp rủi ro. Có một lớp rủi ro khác mà không ai trong cáo bạch nhắc tới: sự đồng nhất của hạ tầng.
Tôi đọc lại báo cáo Nakaflow về Solana. Tính đến ngày 5/8, hệ số Nakamoto của Solana là 10. Nghĩa là chỉ cần liên kết mười nhà xác thực lớn nhất, một thực thể có thể kiểm soát khoảng 33% tổng số SOL stake. Solana gọi nhóm này là "siêu thiểu số" – superminority. Mười nhà xác thực gặp sự cố đồng thời, mạng Solana ngừng sản xuất khối. Trên Ethereum, ngưỡng 33% có nghĩa là có thể chặn quá trình hoàn tất. Ngưỡng 66% có nghĩa là kiểm soát hoàn toàn chuỗi được chọn. Đây không phải lỗ hổng của riêng Solana hay Ethereum. Đây là bản chất toán học của đồng thuận Proof of Stake.
Câu hỏi tôi đặt ra không phải là Galaxy có ý đồ xấu. Câu hỏi là tại sao thị trường coi staking ETF là một sự kiện tích cực, trong khi cơ sở hạ tầng xác thực vẫn là một cụm dịch vụ đám mây tập trung. Hãy nhìn vào con số: Galaxy phục vụ BNY Mellon, phục vụ BlackRock, đồng thời là nhà xác thực cho nhiều chuỗi. Figment nắm khoảng 6,26% ETH stake và 6,96% SOL stake. Coinbase Custody vừa là nơi lưu ký vừa là nhà cung cấp staking cho quỹ ETF Solana của Invesco Galaxy. Ba tổ chức này có thể đang nắm một phần đáng kể trong dòng tiền tổ chức. Và cả ba đều sử dụng chung các dịch vụ hạ tầng như AWS, Google Cloud, hoặc các nhà cung cấp KMS – dịch vụ quản lý khóa. Một lỗi trong một thư viện phần mềm dùng chung cũng có thể làm sập nhiều nhà xác thực cùng lúc.
Năm 2023, Ethereum đã trải qua một sự cố finality, khiến chuỗi ngừng hoàn tất khoảng 25 phút. Cáo bạch của ETHB trích dẫn sự kiện này như một rủi ro. Nhưng nếu một sự cố xảy ra với ba nhà xác thực lớn cùng dùng chung hạ tầng, mức độ nghiêm trọng có thể lớn hơn nhiều. Một phần của vấn đề là không ai dùng DVT – Distributed Validator Technology – ở quy mô tổ chức. DVT chia khóa xác thực thành nhiều mảnh, phân tán cho các node độc lập, để không một thực thể nào có thể đơn phương ký khối. Đó là thứ tôi kỳ vọng sẽ xuất hiện khi các ngân hàng lớn bước vào. Nhưng thị trường hiện tại vẫn chạy theo mô hình cũ: thuê máy chủ, đặt càng nhiều ETH càng tốt, và trông chờ không có lỗi trong một hệ thống không được kiểm toán độc lập.
Tôi nhớ năm 2020, khi tôi làm auditor độc lập cho Uniswap v2, tôi phát hiện ra rằng công thức giá oracle có thể bị thao túng qua thanh khoản thấp. Tôi báo cáo, họ vá, và bài học là: ngay cả công thức đúng cũng có giả định ngầm về thanh khoản. Với staking ETF, giả định ngầm là "người giám hộ và nhà xác thực không thông đồng". Nhưng trong một thị trường giảm, khi lợi nhuận từ phí quản lý thu hẹp, các tổ chức có thể tìm cách tối ưu chi phí bằng cách giảm số nhà xác thực hoặc dồn tài sản vào một bên có phí rẻ hơn. Điều đó làm tăng tập trung, không giảm.
Zero knowledge cũng có điểm mù. Bằng chứng mật mã có thể chứng minh một phép tính là đúng, nhưng không chứng minh được rằng người vận hành hạ tầng không nằm dưới áp lực của chính phủ, hoặc không bị tấn công nội bộ. Khi tôi nghiên cứu sâu zk-SNARKs trong thị trường gấu năm 2022, tôi nhận ra rằng công nghệ này giải quyết vấn đề về tính toàn vẹn của bằng chứng, chứ không giải quyết vấn đề về tính phi tập trung của bên tạo bằng chứng. Một nhà sản xuất bằng chứng duy nhất vẫn là một điểm lỗi. Tương tự, một nhà xác thực có thể chạy đúng giao thức, nhưng nếu tất cả đều nằm trên cùng một mạng lưới điện, cùng một vùng địa lý, cùng một nhà cung cấp dịch vụ đám mây, thì rủi ro vẫn mang tính hệ thống.
Nhìn sâu hơn, tôi thấy một vấn đề cơ cấu lớn hơn nhiều: người nắm giữ ETHB không có quyền lực đối với nhà xác thực. Họ có rủi ro kinh tế nếu ETH bị phạt, bị cắt giảm hoặc nếu nhà xác thực gặp lỗi. Nhưng họ không có quyền bỏ phiếu về việc chọn phần mềm khách, chọn vùng máy chủ, hay chọn chính sách phản hồi khi mạng gặp sự cố. Quyền đó nằm ở người giám hộ và nhà xác thực. Đây là sự tách rời hoàn toàn giữa rủi ro và kiểm soát. Nếu một quỹ ETF bị lỗi vận hành, người nắm giữ chịu thiệt hại; người vận hành vẫn thu phí.
Tôi nhớ lại lỗi năm 2017 trong 0x Protocol v2. Tôi đã báo cáo một lỗi có thể ảnh hưởng đến khớp lệnh, và họ đã sửa. Nhưng nếu một lỗi tương tự nằm trong phần mềm xác thực dùng cho ETF, ai là người phát hiện? Không có chương trình bug bounty đủ lớn, không có nhóm kiểm toán bảo mật thường trực cho toàn bộ hạ tầng của Galaxy, Figment hay Coinbase Custody. Họ có thể thuê kiểm toán viên riêng, nhưng không có một tiêu chuẩn chung nào về đánh giá rủi ro tập trung hóa. Mọi người kiểm tra smart contract, nhưng không ai kiểm tra ma trận tương quan giữa các nhà xác thực.
Bài toán này còn đáng ngại hơn với Solana. Tỷ lệ stake trên Solana khoảng 68% tổng cung, cao hơn Ethereum. Khi quỹ ETF Solana của Invesco Galaxy đi vào hoạt động, Coinbase vừa là custodian vừa là staking provider. Điều này giống như một ngân hàng vừa là người giữ tiền, vừa là người phát hành cổ phiếu, vừa là người điều hành sàn giao dịch của chính cổ phiếu đó. Không có gì sai với Coinbase với tư cách một công ty. Nhưng về cấu trúc, đó là một vòng khép kín.
Chúng ta có thể nhìn vào sự kiện BNY–Galaxy như một mảnh ghép nữa trong xu hướng "permissioned validation". Các tổ chức tuân thủ KYC/AML không thực sự muốn chạy node trên một mạng không được phép. Họ muốn có một đối tác quen thuộc, có giấy phép, có trụ sở rõ ràng. Vì vậy họ chọn Galaxy, chọn Coinbase, chọn Figment. Những đối tác này trở thành cánh cửa duy nhất. Dòng vốn tổ chức bị ép vào một số ít ống dẫn. Điều đó vô tình tạo ra một lớp kiểm soát tập trung ngay trên một lớp phi tập trung. Mạng vẫn chạy, nhưng quyền lực thực sự không nằm trong số lượng validator – nó nằm trong số ít công ty mà các tổ chức tài chính tin tưởng.
Theo tôi, điểm mù lớn nhất không nằm ở việc Galaxy có thể bị hack hay không. Mà nằm ở việc toàn bộ ngành đang đi theo hướng tối ưu chuyện vận hành, chứ không tối ưu chuyện phân quyền. Các nhà cung cấp staking tập trung giành được khách hàng vì họ chạy nhanh, có SLA, có bảo hiểm, quen thuộc với tài chính truyền thống. Nhưng blockchain sinh ra để loại bỏ trung gian. Khi các tổ chức đổ tiền vào ETH, họ không loại bỏ trung gian. Họ chỉ chuyển trung gian từ dạng phi tập trung sang dạng siêu tập trung.
Nếu giá ETH tiếp tục giảm, áp lực lên lợi nhuận của các quỹ ETF sẽ tăng. Phí quản lý 0,25% có thể không đủ hấp dẫn. Staking yield 3–5% trở thành cứu cánh cho các nhà phát hành quỹ khi muốn khoe lợi suất với nhà đầu tư. Họ sẽ đẩy tỷ lệ staking lên mức tối đa, tức 95% như cáo bạch cho phép. Điều đó có nghĩa là dòng ETH bị khóa sẽ tăng, càng làm tăng tầm quan trọng của các nhà xác thực. Một cú trượt ngã của Galaxy lúc đó không chỉ là tin xấu cho Galaxy – nó là tin xấu cho toàn bộ mạng lưới Ethereum.
Tôi đã chứng kiến nhiều kịch bản tương tự. Năm 2021, khi phân tích OpenZeppelin v4.3 cho NFT, tôi tìm ra một lỗ hổng reentrancy tiềm ẩn trong metadata extension khi kết hợp với hook. Lỗi đó sau này được ghi nhận là CVE-2021-41271. Ngay cả thư viện an toàn nhất, được dùng rộng rãi nhất cũng có lỗi. Vậy điều gì sẽ xảy ra với hạ tầng staking vận hành bởi một công ty tư nhân, không bị bắt buộc công bố mã nguồn, không có quy trình kiểm toán công khai? 0x v2 lỗi – bài học nhớ mãi. Thị trường cần nhớ rằng chữ "institutional grade" không đồng nghĩa với chữ "không thể sụp đổ".
Câu hỏi còn lại là: liệu các nhà đầu tư ETH, những người đang nắm giữ tài sản trong ví cá nhân, có nên lo lắng về sự tập trung của ETF staking? Tôi nghĩ họ nên lo lắng. Không phải vì quỹ sẽ sụp đổ ngay lập tức, mà vì nó đổi một cách âm thầm mô hình tin cậy của Ethereum. Một blockchain được cho là phi tập trung, nhưng dòng tiền lớn nhất đang chảy vào ba hoặc bốn nhà xác thực. Đến một lúc nào đó, cấu trúc này có thể khiến Ethereum không còn là một giao thức mở, mà là một hệ thống thanh toán do một nhóm công ty Mỹ vận hành.
Sự kiện BNY Mellon và Galaxy chỉ là bề nổi. Tôi đang theo dõi những gì xảy ra bên dưới: Galaxy mở rộng qua bao nhiêu vùng đám mây? Họ dùng chung client với Figment? Nhà xác thực thứ hai và thứ ba của ETHB là ai, và họ có cùng nhà cung cấp KMS không? Những chi tiết này không bao giờ xuất hiện trong cáo bạch SEC, nhưng chúng quyết định liệu một lỗi nhỏ có lan thành một sự kiện finality toàn mạng hay không. Đây là nơi các nhà phân tích kỹ thuật nên đào sâu, thay vì chỉ nói về TVL hay APY.
Nếu tôi có một thông điệp duy nhất, nó là: đừng để cụm từ "ETF staking" làm lóa mắt khỏi một sự thật không thoải mái – càng nhiều tổ chức tham gia, càng ít thực thể kiểm soát hạ tầng cốt lõi. Từ chuyện BNY–Galaxy tới Solana ETF, chúng ta thấy cùng một khuôn mẫu. Các tổ chức không muốn phi tập trung, họ muốn một người chịu trách nhiệm. Và trong tiền mã hóa, người chịu trách nhiệm chính là điểm hỏng duy nhất.
Công nghệ đã giải quyết bài toán niềm tin bằng toán học? Không hẳn. Zero knowledge cũng có điểm mù. Nó chứng minh một câu lệnh đúng, nhưng không chứng minh rằng câu lệnh đó là điều mà cộng đồng mong muốn. Trong trường hợp này, bằng chứng mật mã không thể thay thế việc kiểm tra xem ai đang giữ quyền sinh sát trên chuỗi. Trách nhiệm nằm ở các nhà phát triển, nhà phân tích và người dùng: phải yêu cầu minh bạch hơn về hạ tầng, phải yêu cầu sử dụng DVT, phải đặt câu hỏi với mọi trung gian vận hành.
Khi thị trường đang điều chỉnh, dòng tiền tìm tới nơi trú ẩn. Các tổ chức sẽ chọn staking ETF vì sự tiện lợi. Nhưng sự tiện lợi này có cái giá. Giá đó là sự tập trung hóa thầm lặng của một lớp mà không một ai trong số những người mua ETF nhìn thấy. Liệu cộng đồng có sẵn sàng đánh đổi sự phi tập trung để lấy một chút lợi suất từ 3% đến 5%? Tôi không chắc họ biết mình đang đánh đổi điều gì. Nhưng khi một sự cố xảy ra, câu hỏi đó sẽ được trả lời không phải bằng lời nói, mà bằng số dư giảm mạnh trong các tài khoản staking.