Hồ sơ sụp đổ của đế chế FTX: Lỗ hổng backdoor 8 tỷ USD của Alameda và 72 giờ tháo chạy trên chuỗi blockchain

gikky.net

Đêm ngày 6 tháng 11 năm 2022, bên trong căn penthouse trị giá 40 triệu USD nhìn ra bờ biển Nassau, Bahamas, bầu không khí ngột ngạt bao trùm góc làm việc ngổn ngang lon nước ngọt và nhiều màn hình hiển thị dữ liệu tài chính. Sam Bankman-Fried (SBF) nhận tin nhắn khẩn từ các kỹ sư cốt cán khi một dòng tweet định mệnh từ Changpeng Zhao (CZ), nhà sáng lập sàn Binance, xuất hiện trên mạng xã hội Twitter: "Như một phần trong quá trình thoái vốn khỏi FTX năm ngoái, chúng tôi đã nhận được khoảng 2,1 tỷ USD giá trị bằng BUSD và FTT. Do những phát hiện gần đây vừa sáng tỏ, chúng tôi quyết định thanh lý toàn bộ lượng FTT còn lại trên sổ sách."

Hơn 580 triệu USD giá trị token FTT chuẩn bị bị tống ra thị trường tự do. Đó không chỉ là một đòn tấn công thanh khoản thông thường giữa hai kỳ phùng địch thủ lớn nhất giới tài sản số. Dòng tweet ấy chính là mồi lửa ném thẳng vào kho thuốc súng đã tích tụ hàng năm trời: một cơn hoảng loạn rút tiền (Bank Run) kinh hoàng bùng nổ tức thì trên chuỗi blockchain, phơi bày một trong những vụ lừa đảo tài chính chấn động nhất thế kỷ 21.

---

Căn hầm bí mật trong hệ thống khớp lệnh: Cờ allow_negative

Trái ngược hoàn toàn với hình ảnh một vị "thần đồng toán học" ăn chay trường, ngủ trên túi lười và sẵn sàng giải cứu thị trường bằng lòng vị tha vô điều kiện, đế chế FTX thực chất được dựng xây trên một trò bịp công nghệ tinh vi ngay từ những dòng mã nền tảng.

Tại một sàn giao dịch phái sinh tập trung bình thường, quy tắc thanh lý tự động là luật thép bất khả xâm phạm. Khi giá trị vị thế ký quỹ của người dùng chạm ngưỡng rủi ro, hệ thống khớp lệnh tự động cắt lỗ để bảo toàn nguồn vốn của toàn sàn. Không một ai được phép giao dịch vượt quá giới hạn chịu rủi ro ký quỹ.

Thế nhưng, từ tháng 8 năm 2019 — chỉ vài tháng sau khi FTX thành lập — theo chỉ thị trực tiếp từ Sam Bankman-Fried, hai cánh tay phải kỹ thuật là Gary Wang và Nishad Singh đã chèn một đoạn mã tùy chỉnh vào engine cốt lõi của sàn: gán thuộc tính allow_negative: True cho riêng tài khoản của quỹ phòng hộ Alameda Research.

• Khách hàng thông thường: Phải nộp đủ tài sản bảo đảm, chịu kiểm tra ký quỹ thời gian thực và bị thanh lý tự động không khoan nhượng khi thua lỗ chạm ngưỡng cảnh báo.
• Đặc quyền của Alameda: Được miễn trừ toàn bộ cơ chế thanh lý tự động, được phép vay thấu chi không hạn mức và có số dư âm không giới hạn. Tài khoản của Alameda thực chất đã biến thành một ống dẫn ngầm hút cạn tiền gửi của khách hàng.

Khi các nhà giao dịch trên khắp thế giới nạp Bitcoin, Ethereum hay USD vào tài khoản FTX, tiền của họ không được lưu trữ an toàn trong các kho lạnh độc lập. Thay vào đó, hàng tỷ USD được chuyển thẳng sang tài khoản ngân hàng của Alameda để phục vụ các thương vụ đầu tư mạo hiểm mạo hiểm, trả nợ cho bên thứ ba, mua bất động sản xa hoa tại Bahamas và tài trợ chính trị. Đến mùa thu năm 2022, lỗ hổng backdoor này đã phình to thành khoản thâm hụt khổng lồ lên tới hơn 8 tỷ USD tiền gửi của người dùng.

---

Vòng xoáy định giá ảo: Khi lâu đài xây bằng token tự in sụp đổ

Để che giấu khoản thâm hụt hàng tỷ USD nói trên, Sam Bankman-Fried và Caroline Ellison — Giám đốc điều hành của Alameda — đã kiến tạo một mô hình định giá dựa hoàn toàn trên ảo ảnh sổ sách: Token FTT.

FTT là token tiện ích do chính sàn FTX tự đúc ra từ hư không và nắm giữ phần lớn lượng cung lưu hành. Về mặt bản chất, FTX có thể định đoạt giá thị trường của FTT bằng cách hạn chế nguồn cung trôi nổi ngoài thị trường và sử dụng các thuật toán giao dịch nội bộ để nâng đỡ mức giá trên bảng điện tử. Với khối lượng giao dịch thật mỗi ngày chỉ vài triệu USD, mức giá 22 USD của FTT thực chất chỉ là một lớp vỏ bọc mỏng manh.

Thế nhưng, trên sổ sách kế toán, Alameda đã sử dụng hàng trăm triệu token FTT này theo đúng mức giá niêm yết để làm "tài sản bảo đảm", qua đó thế chấp vay ngược lại tiền mặt và các đồng stablecoin thật từ người gửi tiền. Đó là một vòng lặp tử thần: lấy tài sản tự in từ không khí làm vật thế chấp để bòn rút tiền thật của hàng triệu khách hàng.

Màn kịch chính thức vỡ vụn vào ngày 2 tháng 11 năm 2022, khi chuyên trang tài chính CoinDesk rò rỉ bảng cân đối kế toán nội bộ của Alameda Research. Toàn bộ giới đầu tư ngỡ ngàng nhận ra phần lớn tài sản trị giá 14,6 tỷ USD của Alameda không phải tiền mặt hay trái phiếu chính phủ, mà là một đống token nội bộ thiếu thanh khoản trầm trọng do chính sàn mẹ phát hành. Khi Caroline Ellison đăng đàn tuyên bố sẵn sàng mua lại toàn bộ FTT của Binance với giá 22 USD để bảo vệ mức hỗ trợ, thị trường lập tức ngửi thấy mùi máu. Bức tường giá 22 USD tan biến chỉ sau một đêm.

---

72 giờ tháo chạy trên chuỗi blockchain

Khi niềm tin sụp đổ, sổ cái blockchain trở thành nhân chứng trung thực và tàn nhẫn nhất cho cuộc tháo chạy lớn chưa từng thấy trong lịch sử tiền mã hóa.

Dữ liệu on-chain từ Etherscan và Nansen trong 72 giờ định mệnh từ ngày 6 đến ngày 8 tháng 11 năm 2022 ghi nhận dòng tiền tháo chạy hỗn loạn. Hơn 6 tỷ USD bị người dùng điên cuồng rút ròng khỏi các địa chỉ ví nóng của FTX. Các giao dịch rút tiền xếp hàng dài vô tận trong mempool khi số dư stablecoin trên ví sàn giảm dốc đứng từ hàng tỷ USD về gần bằng 0:

• Ngày 7 tháng 11: SBF vẫn đăng tweet trấn an dư luận: "FTX vẫn ổn. Tài sản vẫn ổn." Nhưng các node mạng blockchain lại kể một câu chuyện hoàn toàn trái ngược: các ví nóng của FTX đã cạn sạch tiền, buộc họ phải điều chuyển những đồng tiền cuối cùng từ Alameda sang để cầm cự.
• Ngày 8 tháng 11: FTX chính thức đóng băng toàn bộ tính năng rút tiền. Cùng ngày, tin tức Binance ký biên bản ghi nhớ (LOI) giải cứu FTX xuất hiện chớp nhoáng nhưng nhanh chóng tiêu tan chỉ sau 24 giờ khi đội ngũ thẩm định của CZ nhận thấy quy mô thất thoát tài sản vượt quá khả năng kiểm soát.
• Ngày 11 tháng 11: Sam Bankman-Fried từ chức Giám đốc điều hành. FTX, Alameda Research và hơn 130 công ty con liên kết chính thức nộp đơn xin bảo hộ phá sản theo Chương 11 tại Delaware. Đêm hôm đó, một vụ tấn công mờ ám tiếp tục bòn rút thêm hơn 400 triệu USD ra khỏi các ví còn lại của FTX, khép lại tấn bi kịch bằng sự hỗn loạn cùng cực.

---

Chiêm nghiệm sau cơn địa chấn: Bài học muôn thuở về lòng tham và sự minh bạch

Sự sụp đổ của FTX không bắt nguồn từ một lỗi kỹ thuật thuật toán như thảm họa Terra Luna 40 tỷ USD, cũng không phải một cuộc tấn công bảo mật bằng mã nguồn đệ quy như vụ tấn công The DAO năm 2016. Nó là một vụ lừa đảo tài chính truyền thống mang màu sắc thế kỷ 19 núp bóng công nghệ hiện đại.

Trong khi những định chế phát hành tài sản bảo chứng như chiếc két 120 tỷ USD của Tether liên tục phải đối mặt với các đợt kiểm toán khắt khe từ thị trường để chứng minh năng lực thanh khoản, FTX đã lợi dụng bóng tối của một cơ sở dữ liệu đóng để chiếm đoạt tài sản của hàng triệu người gửi tiền.

Bản án 25 năm tù giam dành cho Sam Bankman-Fried đã khép lại một chương đen tối của giới tài chính số, nhưng bài học để lại vẫn còn nguyên giá trị định hình tương lai: Mọi lời cam kết hoa mỹ từ các trung gian tập trung đều vô nghĩa nếu thiếu vắng cơ chế kiểm chứng độc lập. Trong một thế giới phi tập trung, chân lý tối thượng chưa bao giờ thay đổi qua năm tháng: "Not your keys, not your coins" — Không nắm giữ khóa cá nhân, bạn không thực sự sở hữu tài sản.