Năm 2020, trong một buổi chiều nóng nực ở Buenos Aires, tôi vừa deploy xong contract Uniswap V2 fork lên testnet Ropsten. Pool thanh khoản giả lập 10 ETH và 40,000 USDC, tôi chạy 50 giao dịch mô phỏng rồi ghi lại kết quả. Lúc đó, tôi chưa từng nghĩ rằng vài năm sau, chính những con số slip 0.3% trên testnet ấy sẽ là thứ giúp tôi đánh giá một dự án Việt Nam đang gọi vốn.
Đó là câu chuyện về cách tôi – một kỹ sư giao thức người Việt xa xứ – nhìn vào sự phát triển của blockchain tại Việt Nam. Và lần này, tôi muốn kể lại bằng tiếng Việt, cho chính những người đang xây dựng ở quê nhà.
Context
Blockchain Việt Nam đang ở giai đoạn nào? Từ cơn sốt ICO 2017 với những dự án như TomoChain (thực ra là Singapore nhưng có founder Việt) cho đến NFT mùa hè 2021 với Axie Infinity – một sản phẩm đình đám của Sky Mavis (Việt Nam). Nhưng đỉnh cao rồi cũng qua. Bear market 2022–2023 đã quét sạch nhiều đội ngũ non trẻ.
Hiện tại, cuối năm 2025, thị trường đang trong một đợt giảm nhẹ. Lãi suất DeFi trên các giao thức chính như Aave hay Compound chỉ còn 2–4% APR. Nhiều dự án Layer 2 vẫn đang hứa hẹn "decentralized sequencer" mà chưa thấy gì ngoài slide. Tại Việt Nam, các team đang âm thầm xây dựng: nào là các DEX mới, nào là các cầu nối cross-chain, nào là các ứng dụng game on-chain.
Nhưng liệu họ có đang đi đúng hướng? Tôi không tin vào lời PR. Tôi chỉ tin vào bytecode. Và đây là thứ tôi nhìn thấy từ kinh nghiệm audit 6 năm của mình.
Core: Phân tích kỹ thuật từ mã nguồn
Hồi đầu năm 2025, tôi được một team Việt Nam nhờ audit contract của một DEX mới. Họ fork từ Uniswap V3, thêm tính năng limit order qua một contract phụ. Mã nguồn public trên GitHub. Tôi clone về, chạy local node bằng Hardhat, deploy lên môi trường mô phỏng.
Vấn đề đầu tiên tôi gặp là reentrancy trong pool initialization. Khi tạo pool mới, contract chưa set owner, nhưng hàm initialize() lại không có modifier onlyOwner. Bất kỳ ai cũng có thể gọi hàm này và chiếm quyền kiểm soát pool. Đây là lỗi kinh điển từ ICO 2017 mà tôi từng phát hiện trong contract DataChain. Tôi đánh dấu lỗi mức critical.
Lỗi thứ hai: khoảng cách giá trung bình (TWAP) được implement sai. Họ muốn chống front-running bằng cách lấy trung bình giá trong 30 block, nhưng lại lưu block.timestamp kiểu uint32. Vào năm 2025, block.timestamp thường > 2^32 (khoảng 4 tỷ giây từ epoch). Giá trị của nó vượt quá uint32 dẫn đến overflow khi so sánh. Tôi phát hiện lỗi này khi test với block height già lấy từ một node lịch sử. Kết quả là trader có thể lợi dụng overflow để đặt lệnh với giá sai.
Thứ ba: phí gas không tối ưu. Họ dùng Solidity 0.8.19, không bật optimizer hoặc chỉ bật 200 runs. Mỗi lần swap tốn thêm 15,000 gas so với Uniswap gốc. Với fee 10 gwei, mỗi giao dịch mất thêm $0.03 tương đương. Không nhiều, nhưng với 100,000 giao dịch mỗi ngày, đội ngũ đang đốt $3,000 phí gas không cần thiết.
Sau audit, tôi gửi báo cáo chi tiết kèm code fix. Team phản hồi nhanh, sửa lỗi trong vòng 1 tuần. Họ thậm chí còn gửi tặng token làm quà. Nhưng câu chuyện không dừng lại ở đó.
Tôi tiếp tục theo dõi dự án thêm 3 tháng. Vào tháng 6 năm 2025, trên mạng xã hội, họ thông báo "đã audit bởi công ty an ninh hàng đầu" (không nêu tên). Họ không đề cập đến lỗi critical mà tôi tìm thấy. Trên thực tế, code đã sửa, nhưng cách truyền thông khiến tôi nghi ngờ: liệu có còn lỗi nào khác mà họ không công bố? Tôi quyết định self-host một node lại, chạy test thêm 200 giao dịch ngẫu nhiên. Kết quả: không có reentrancy, không overflow. Nhưng xuất hiện một vấn đề mới: oracle feed bị lag. Họ dùng Chainlink ETH/USD, nhưng vì Block time không ổn định, oracle price được cập nhật chậm hơn 1–2 block. Khi thị trường biến động mạnh, điều này có thể gây chênh lệch giá. Tôi báo lại lỗi này, nhưng họ bảo "đã biết" và sẽ sửa sau.
Đây là gót chân Achilles của DeFi: độ trễ oracle. Năm 2021, tôi từng chứng kiến một dự án mất $2 triệu vì oracle cập nhật chậm. Dự án Việt Nam này chưa có TVL đáng kể, nhưng nếu họ phát triển, vấn đề sẽ lớn dần.
Contrarian: Điểm mù của các team Việt
Tôi thấy nhiều team Việt giỏi về sản phẩm và marketing, nhưng lại yếu về bảo mật cơ bản. Họ thường fork code mà không hiểu sâu logic, dẫn đến các lỗi như block.timestamp overflow. Họ dùng Chainlink nhưng không hiểu latency. Họ chạy testnet nhưng chỉ chạy vài giao dịch rồi kết luận "OK".
Một quan điểm phản trực giác của tôi: Layer 2 không giải quyết hết vấn đề. Ở Việt Nam, nhiều team nhảy vào building Layer 2 (Optimistic Rollup, ZK-rollup) nhưng thực chất chỉ là sidechain tập trung. Họ gọi là "Layer 2" vì nghe hay hơn. Nhưng từ góc nhìn kỹ thuật, một sequencer đơn lẻ (centralized sequencer) có thể bị tấn công, và nếu không có fraud proof hoặc validity proof, không khác gì một server bình thường. Tôi đã kiểm tra code của một dự án ZK rollup Việt Nam: họ dùng snarkjs nhưng không chạy prover riêng, mà gửi chứng minh về một server trung tâm. Vậy cái gì là trustless? Chỉ là "trust me" thôi.
Điểm mù thứ hai: quá phụ thuộc vào Binance Smart Chain. Nhiều team Việt chọn BSC vì fee rẻ, user đông. Nhưng BSC có 21 validator tập trung, và lịch sử cho thấy họ từng dừng chain để "bảo trì". Nếu bạn xây dựng một DEX trên BSC, bạn không chỉ đối mặt với rủi ro contract, mà còn rủi ro chain-level. Tôi từng audit một dự án BSC Việt Nam: họ sử dụng PancakeSwap fork, thêm vào cơ chế referral. Khi tôi hỏi "nếu BSC dừng chain thì sao