HTX và Poloniex: Khi Proof of Reserves trở thành trò ảo thuật

Trong smart contract, không có gọi là 'reserve' nếu bạn không thể tự verify nó trên chain. Ngày 12/6/2025, Protos công bố một cuộc điều tra khiến tôi nhớ lại lần audit ICO năm 2017: một dự án tuyên bố có 2 triệu USD trong ví multisig, nhưng thực tế chỉ là một contract reentrancy đang chờ khai thác. Lần này, HTX – sàn giao dịch của Justin Sun – bị phát hiện chuyển hàng tỷ USD tài sản dự trữ sang Poloniex, một sàn 'anh em' khác. Và Proof of Reserves (PoR) của họ? Một mớ sai sót và thiếu minh bạch. Hãy bắt đầu từ bối cảnh. HTX, trước đây là Huobi Global, nằm dưới các lệnh trừng phạt của EU và Anh từ đầu năm 2025. Để duy trì hoạt động, họ đã âm thầm chuyển một lượng lớn tài sản – bao gồm WBTC, stETH, sUSDS – sang Poloniex, một sàn giao dịch khác cũng thuộc hệ sinh thái Sun. Trong báo cáo PoR tháng 6, HTX thừa nhận đã chuyển 13 tỷ USD cho 'bên thứ ba không được tiết lộ' và tuyên bố rằng người dùng có thể gọi điện thoại để xác minh số dư. Nhưng ai sẽ gọi? Họ không hề cung cấp số điện thoại hay danh tính của bên thứ ba đó. Đây là một trò đùa với ngành bảo mật. Phân tích kỹ thuật là phần tôi thích nhất. Protos đã dùng dữ liệu on-chain để vạch ra con đường đi của tài sản. Ví dụ: một lượng WBTC đã di chuyển từ địa chỉ HTX sang Poloniex 7, rồi Poloniex 10, cuối cùng là Poloniex 9. stETH cũng theo một lộ trình tương tự. Điều đáng nói: tất cả các địa chỉ này đều được kiểm soát bởi cùng một thực thể – không có sự tách biệt thực sự giữa hai sàn. Về mặt kỹ thuật, đây là một pool tài sản chung, không phải 'chuyển giao cho bên thứ ba độc lập'. Trong smart contract, không có gọi là 'third-party custody' nếu bạn vẫn giữ private key. Thậm chí, báo cáo PoR của HTX còn mắc lỗi cơ bản: họ khai báo nắm giữ STEAK-USDC, nhưng trên thực tế địa chỉ đó lại chứa sUSDS. Một sai sót nhỏ? Có thể. Nhưng với một auditor, đó là dấu hiệu của sự cẩu thả hệ thống. Tôi từng gặp lỗi tương tự trong một dự án DeFi Summer 2020: họ công bố tổng cung token là 100 triệu, nhưng contract lại cho phép mint unlimited. Kết quả? 10 triệu USD bay hơi trong 30 phút. Điều khiến tôi ngạc nhiên không phải là việc chuyển tài sản, mà là cách HTX phản ứng. Khi TRM Labs chỉ ra rằng họ đang thay đổi địa chỉ ví với tốc độ 'đáng báo động' để tránh các công cụ sàng lọc tĩnh, HTX biện minh rằng đó là 'hành vi bảo mật mạng thông thường'. Trong smart contract, không có gọi là 'security routine' khi bạn thay đổi địa chỉ mỗi tuần một lần – đó là chạy trốn khỏi sự giám sát. Kinh nghiệm từ vụ hack NFT marketplace năm 2021 cho tôi thấy: những kẻ tấn công thường thay đổi địa chỉ liên tục để tránh blacklist. Ở đây, HTX đang hành xử giống hệt. Bây giờ, hãy nhìn từ góc nhìn phản trực giác. Một số người cho rằng việc chuyển tài sản sang Poloniex là vô hại, vì cả hai đều thuộc về Justin Sun, và tài sản vẫn nằm trong hệ sinh thái. Nhưng điểm mù ở đây là: Poloniex đã từng bị CFTC phạt vì vi phạm lệnh trừng phạt vào năm 2019. Nếu OFAC mở rộng điều tra, Poloniex có thể bị đóng băng, và tài sản của người dùng HTX sẽ bị mắc kẹt. Thậm chí, stablecoin issuer như Circle hay Tether có thể đóng băng các địa chỉ liên quan. Đây không chỉ là vấn đề kỹ thuật, mà là vấn đề pháp lý chồng chéo. Vậy takeaway là gì? Nếu bạn đang giao dịch trên HTX hoặc Poloniex, hãy tự hỏi: bạn có thể tự verify số dư của mình trên chain không? Bạn có biết tài sản của mình đang ở đâu không? Nếu câu trả lời là 'không', thì bạn đang đặt niềm tin vào một hệ thống đã chứng minh là không đáng tin. Tôi dự đoán: trong vòng 6 tháng tới, hoặc OFAC sẽ vào cuộc, hoặc người dùng sẽ rút tiền hàng loạt. Và khi đó, Proof of Reserves sẽ trở thành một trò ảo thuật đã hết thời.