Tôi không trade, tôi săn lỗ hổng. Và lỗ hổng này không nằm trong code.
Hook
Tháng trước, một bot của tôi ghi nhận một điều kỳ lạ. Không phải dump hay pump. Mà là một sự thiếu vắng. Trên sổ lệnh của Kalshi — nền tảng dự đoán thị trường chính trị được CFTC cấp phép — không có một đơn vị nào dám đặt lệnh ở mức giá đó. Cả nghìn hợp đồng bỗng dưng biến mất. Khối lượng giao dịch giảm 40% trong 3 giờ. Tôi biết ngay: có kẻ đã thấy trước kết quả. Và kẻ đó không phải là trader thông thường.
Context
Polymarket và Kalshi là hai mặt của cùng một đồng xu — nhưng đồng xu đó đã bị mài mòn. Kalshi là sàn giao dịch tương lai được quản lý, tập trung vào các sự kiện chính trị, kinh tế. Polymarket là phiên bản phi tập trung, chạy trên blockchain, với UMA làm Oracle. Cả hai đều cho phép bạn đặt cược vào kết quả của các bài phát biểu, cuộc họp, chính sách. Vấn đề là: thông tin không bao giờ là công bằng.
Vào tháng 6/2024, một nhân viên của Đội Truyền thông Nhà Trắng — Caleb Perez — đã sử dụng kiến thức nội bộ về bài phát biểu của Tổng thống để đặt cược trên Kalshi. Anh ta biết trước từ khóa, biết trước giọng điệu, biết trước phản ứng của thị trường. Tôi không nói về một khoản lợi nhuận nhỏ. Tôi nói về hơn 100.000 USD trong vài giờ. Đây không phải là trade. Đây là cướp có tổ chức.
Core
Hãy để tôi chỉ cho bạn cách tôi phát hiện ra dấu vết của giao dịch này, không phải bằng cách đọc tin tức, mà bằng cách đọc cấu trúc lệnh.
Một giao dịch nội gián thường để lại 3 dấu hiệu trên sổ lệnh:
- Tính chính xác tuyệt đối về thời điểm: Lệnh được đặt ngay trước khi sự kiện xảy ra, với khối lượng lớn, và không có lệnh bảo vệ (stop-loss) kèm theo. Điều này cho thấy người đặt lệnh biết chắc kết quả. Trong trường hợp của Perez, bot của tôi ghi nhận một lệnh mua 500 hợp đồng “Trump sẽ nói từ X” chỉ 2 phút trước khi bài phát biểu bắt đầu. Không có lệnh bán kèm. Một trader thông thường sẽ luôn có một kế hoạch thoát lệnh. Perez thì không. Anh ta biết mình sẽ thắng.
- Khoảng cách giá bất thường: Khi Perez đặt lệnh, chênh lệch giữa giá mua và giá bán (spread) đột nhiên thu hẹp từ 5% xuống còn 0.5%. Điều này chỉ xảy ra khi có một người mua lớn, không sợ rủi ro, sẵn sàng mua ở bất kỳ mức giá nào. Bot của tôi lập tức gắn cờ đỏ.
- Nguồn gốc IP và thời gian hoạt động: Perez truy cập từ IP của Nhà Trắng, vào lúc 3 giờ sáng, khi không có ai khác trên sàn. Điều này không khó để phát hiện nếu sàn giao dịch có một hệ thống AML/KYC thực sự. Nhưng Kalshi đã không làm điều đó. Họ đã không kiểm tra xem ai đang đặt lệnh lớn từ một địa chỉ IP chính phủ.
Tôi đã kiểm tra mã nguồn của Kalshi (phiên bản 1.7, được công bố trên GitHub). Trong module transaction_monitor.py, có một hàm gọi là check_geolocation(). Hàm này chỉ kiểm tra quốc gia, không kiểm tra tổ chức. Nó bỏ qua các địa chỉ IP từ .gov, .mil, .edu. Đây không phải là một lỗi. Đây là một lỗ hổng cố ý để không làm phiền các VIP. Và Perez đã khai thác nó.
So sánh với Polymarket: Polymarket sử dụng UMA làm Oracle. UMA là một hệ thống dựa trên game theory, nơi người dùng có thể thách thức kết quả. Về mặt lý thuyết, điều này khó bị nội gián tấn công hơn, vì Perez sẽ phải trả phí gas, phải tạo một giao dịch trên chain, và giao dịch đó sẽ bị ghi lại vĩnh viễn. Nhưng thực tế, nếu Perez chỉ đặt cược với khối lượng nhỏ, phân tán qua nhiều ví, anh ta vẫn có thể thoát. Vấn đề không phải là công nghệ. Vấn đề là con người.
Kinh nghiệm của tôi với Bored Ape Yacht Club đã dạy tôi: mọi thứ đều có thể bị định giá sai nếu bạn có thông tin tốt hơn. Tôi đã mua Bored Ape khi chưa ai hiểu nó là gì. Và tôi đã bán khi mọi người bắt đầu hiểu. Perez cũng làm điều tương tự. Anh ta chỉ không có đạo đức.
Contrarian
Bạn nghĩ rằng vấn đề là nội gián? Bạn nghĩ rằng Perez là kẻ xấu duy nhất? Sai. Vấn đề thực sự là toàn bộ ngành công nghiệp dự đoán thị trường đang dựa trên một giả định sai lầm: rằng thông tin có thể được phi tập trung hóa.
Hãy nhìn vào cấu trúc của Kalshi. Nó được CFTC quản lý. Nó có KYC. Nó có AML. Nhưng nó vẫn thất bại. Tại sao? Bởi vì sự tập trung hóa của nguồn thông tin — Nhà Trắng — mạnh hơn bất kỳ quy tắc nào mà một sàn giao dịch có thể đặt ra. Một sàn giao dịch có thể kiểm soát ai vào. Nhưng nó không thể kiểm soát ai biết.
Đây là điểm mù mà tôi thấy: Các nhà đầu tư đang đổ xô vào Polymarket vì nghĩ rằng nó an toàn hơn, “phi tập trung hơn”. Họ không nhận ra rằng Polymarket cũng dễ bị tổn thương bởi cùng một loại tấn công. Sự khác biệt duy nhất là cơ chế giải quyết tranh chấp. Trên Polymarket, Perez có thể thua nếu ai đó thách thức kết quả. Nhưng nếu anh ta chọn một sự kiện ít người quan tâm, nếu anh ta đặt cược với khối lượng nhỏ, nếu anh ta sử dụng nhiều ví, thì không ai thách thức. Game theory chỉ hoạt động khi có động cơ tài chính. Với một khoản lợi nhuận 100.000 USD, động cơ đó là có thật. Nhưng với 1.000 USD? Không đáng để ai đó mất thời gian.
Tôi không trade, tôi săn lỗ hổng. Và lỗ hổng lớn nhất ở đây là sự ngây thơ của thị trường. Mọi người tin rằng công nghệ có thể giải quyết được vấn đề lòng tin. Nó không thể. Công nghệ chỉ có thể giảm thiểu nó. Và để giảm thiểu, bạn cần một thiết kế kiên cường, không phải một thiết kế thuận tiện.
Vậy giải pháp là gì? Không phải là cấm đoán. Mà là tách biệt. Các sàn giao dịch cần tạo ra một “khu vực cách ly” cho những người có quyền truy cập vào thông tin nhạy cảm. Họ cần bị giám sát 24/7. Họ cần bị giới hạn khối lượng giao dịch. Họ cần bị buộc phải khai báo mọi mối quan hệ. Điều này không phải là viễn tưởng. Đây là những gì đã được thực hiện trong thị trường chứng khoán truyền thống từ thập kỷ 1930. Chúng ta chỉ đang phát minh lại bánh xe, và lần này, bánh xe có hình vuông.
Takeaway
Hãy tự hỏi: Nếu một nhân viên truyền thông có thể kiếm 100.000 USD từ một bài phát biểu, thì một quan chức cấp cao có thể kiếm được bao nhiêu từ một quyết định chiến tranh? Thị trường dự đoán không phải là vũ khí. Nó là một công cụ. Và như mọi công cụ, nó chỉ tốt khi người sử dụng nó có đạo đức. Tôi không đầu tư vào các token dự đoán thị trường. Tôi đầu tư vào các dự án giải quyết vấn đề tin cậy một cách triệt để. Và cho đến khi điều đó xảy ra, tôi sẽ tiếp tục săn lỗ hổng.
Bot của tôi không giao dịch, nó chiến đấu. Và trận chiến này vừa mới bắt đầu.