Khi bạn đọc một dòng tweet từ CEO của Move Industries, Torab, cố gắng giải thích rằng công ty của ông ta không liên quan gì đến vụ phá sản của Movement Labs, điều đầu tiên tôi nghĩ đến là: trong 29 năm làm bảo mật, tôi chưa bao giờ thấy một thương hiệu nào lại cố tình gây nhầm lẫn đến mức này. Nếu Move Industries thực sự đã hoạt động với một kênh thanh toán stablecoin được cấp phép, tại sao họ lại chọn một cái tên dễ bị gán ghép với một dự án đang chết dần? Câu chuyện này không chỉ là một PR; nó là một case study về thông tin bất đối xứng trong thị trường crypto.
Bối cảnh: Khi phá sản và thương hiệu gặp nhau
Movement Labs, một dự án từng gọi vốn hàng chục triệu USD, đã nộp đơn phá sản vào tháng 7/2024. Trong quá trình tố tụng, cái tên “Move Industries” xuất hiện — không phải với tư cách bị đơn, nhưng như một thực thể được nhắc đến trong các tài liệu tòa án. Điều này lập tức kích hoạt một làn sóng FUD trên Twitter: “Move Industries có liên quan đến Movement Labs? Nó sẽ bị kéo xuống cùng?”. Ngay lập tức, CEO Torab lên tiếng: “Chúng tôi không liên quan. Move Industries sở hữu kênh thanh toán stablecoin được cấp phép, đang vận hành, và đã thảo luận với Ngân hàng Trung ương Ethiopia về việc áp dụng stablecoin.”
Nghe có vẻ như một câu chuyện đẹp: một công ty fintech châu Phi, tập trung vào stablecoin tuân thủ, muốn cách mạng hóa kiều hối. Nhưng với tư cách là một kiểm toán viên bảo mật DeFi đã từng đọc từng dòng Solidity của EOS và phân tích sự sụp đổ của Terra Luna tôi biết: trong crypto, không có gì đáng tin cậy hơn mã nguồn và dữ liệu. Lời nói suông chỉ là nhiễu.
Phân tích cốt lõi: Kênh thanh toán ‘được cấp phép’ thực sự là gì?
Chúng ta hãy cùng mổ xẻ tuyên bố của Torab. “Kênh thanh toán stablecoin được cấp phép, đang vận hành” — đó là một cụm từ mạnh mẽ, nhưng nó thiếu hoàn toàn chi tiết kỹ thuật. Trong quá trình xây dựng công cụ kiểm toán tự động AuditFlow, tôi đã tích hợp 15 mẫu tấn công phổ biến. Một trong số đó là “dependency injection” — nơi mà kẻ tấn công lợi dụng các thành phần bên ngoài không được xác minh. Ở đây, Move Industries đang thực hiện “dependency trust injection”: họ yêu cầu chúng ta tin vào “sự cấp phép” và “cuộc thảo luận với ngân hàng trung ương” mà không có bất kỳ bằng chứng nào.
- Giấy phép từ đâu? Ở Mỹ, có giấy phép chuyển tiền (MTL) từ từng bang. Ở châu Âu, có giấy phép tổ chức tiền điện tử (EMI). Ở châu Phi, mỗi quốc gia có quy định riêng. Torab không nói rõ Move Industries được cấp phép ở đâu. Nếu là ở Ethiopia, thì đó là một dấu hiệu tích cực — nhưng ngay cả điều đó cũng cần được kiểm chứng qua hồ sơ công khai.
- Kênh thanh toán đang vận hành nghĩa là gì? Trong thế giới kiểm toán, một kênh “đang vận hành” có nghĩa là có giao dịch thực, có hợp đồng thông minh trên mainnet, có địa chỉ ví, có logs. Tôi muốn thấy một explorer liên kết, một API documentation, bất cứ thứ gì cho thấy dòng tiền đang chảy. Nhưng không có gì cả.
- Cuộc thảo luận với Ngân hàng Trung ương Ethiopia: Đây có thể là một tín hiệu lớn, nhưng cũng có thể là một cuộc họp giới thiệu thông thường. Ethiopia là một quốc gia có kiểm soát vốn chặt chẽ, và stablecoin vẫn chưa được hợp pháp hóa. “Thảo luận” khác xa “ký kết MoU” hay “thí điểm”.
Tôi nhớ lại năm 2020, khi tôi phát hiện lỗ hổng trong smart contract của Polymath Network. Tôi đã gửi một báo cáo 30 trang với mã nguồn và proof-of-concept. Đây là sự khác biệt giữa một dự án thực sự minh bạch và một tuyên bố mơ hồ. Move Industries đang ở phía đối diện của quang phổ minh bạch.
Góc nhìn phản biện: Nguy cơ thương hiệu “ăn theo” và hiệu ứng zombie
Mặc dù CEO đã cố gắng cắt đứt mối liên hệ, nhưng sự thật là: tên “Move Industries” và “Movement Labs” quá giống nhau. Đây không phải là một tai nạn. Trong lịch sử crypto, chúng ta đã thấy vô số vụ “name squatting” hoặc “copycat” để hưởng lợi từ sự chú ý. Liệu Move Industries có cố tình chọn cái tên này để “ăn theo” hệ sinh thái Movement (Aptos/Sui) hay không? Nếu có, đó là một sai lầm chiến lược nghiêm trọng, bởi vì bây giờ họ đang bị gắn với một vụ phá sản. Ngay cả sau khi tách ra, tâm lý nhà đầu tư sẽ luôn đặt câu hỏi: “Liệu có ẩn tình gì không?”
Hơn nữa, việc chỉ đăng trên Twitter (X) mà không có thông cáo báo chí, không có cập nhật website, càng làm tăng sự nghi ngờ. Một công ty fintech thực thụ, với kênh thanh toán đang hoạt động, nên có một đội ngũ PR chuyên nghiệp. Hành động này giống như một startup nhỏ đang cố gắng dập lửa hơn là một tổ chức tài chính có uy tín.
Kết luận: Đừng tin vào lời nói, hãy tin vào mã nguồn
Nếu có một bài học từ 29 năm quan sát của tôi, đó là: lỗ hổng bảo mật lớn nhất thường không nằm trong code, mà nằm trong kỳ vọng của con người. Chúng ta muốn tin vào những câu chuyện đẹp về stablecoin ở châu Phi, về việc ngân hàng trung ương chấp nhận crypto. Nhưng cho đến khi Move Industries công bố địa chỉ hợp đồng, đưa ra mã nguồn (hoặc ít nhất là danh sách giấy phép có thể kiểm chứng), tôi sẽ coi tuyên bố này như một nỗ lực thanh minh chứ không phải sự thật.
Cộng đồng crypto cần phải duy trì tư duy “don’t trust, verify”. Tôi từng nói với các bạn trong podcast AuditVerse của mình: một lỗi trong vài dòng code có thể mất đi 100 triệu USD, nhưng một lời hứa suông sẽ mất đi lòng tin mãi mãi. Hãy nhìn vào Move Industries và tự hỏi: liệu họ có dám mở mã nguồn kênh thanh toán của mình không? Câu trả lời nằm ở tương lai — nhưng nếu không có hành động, nó sẽ chìm vào quên lãng như một làn sóng FUD khác.
