Về "sự cố 50 BTC" đang thu hút sự chú ý rộng rãi gần đây, tôi đã rút khỏi các hoạt động vận hành hàng ngày của Solv và không tham gia vào mảng kinh doanh BTC+. Khi sự việc xảy ra, tôi hoàn toàn không hay biết. Sau đó, người dùng tự nhận là nạn nhân đã liên hệ với tôi, nhờ tôi trao đổi với đội ngũ phụ trách nghiệp vụ. Ban đầu, tôi không hiểu rõ tại sao tài sản này lại bị treo lâu đến vậy, thậm chí còn thay mặt người dùng chất vấn đội ngũ. Tuy nhiên, sau khi tìm hiểu sâu hơn, tôi nhận thấy vấn đề khá phức tạp và không thể đánh giá một cách hời hợt.
Khi sự việc này gây tranh cãi gay gắt trên mạng, việc công chúng muốn biết thêm thông tin là điều hoàn toàn hợp lý. Do đó, sau khi trao đổi với các bộ phận chịu trách nhiệm liên quan và đảm bảo không vi phạm các quy định bảo mật, tôi xin chia sẻ một số thông tin mà mình nắm được.
Solv đã công bố sự cố bảo mật BTC+ vào tháng 7, nhiều người hẳn đã biết chuyện này. Nhưng điều ít ai biết là việc nạp 50 BTC này cùng chuỗi thao tác tiếp theo chính là những điều kiện quan trọng bị lợi dụng trong đường hướng tấn công của sự cố bảo mật đó.
Chỉ ba ngày sau các thao tác này, cuộc tấn công nói trên đã diễn ra. May mắn thay, Solv đã phát hiện và chặn đứng kịp thời, bảo vệ an toàn nguồn vốn của người dùng BTC+.
Riêng điều này chưa đủ chứng minh mối liên hệ tất yếu giữa hai sự việc, nhưng hoàn toàn đủ để kích hoạt một đợt rà soát bảo mật ở cấp độ cao hơn. Không một dự án có trách nhiệm nào lại cho phép thực hiện thao tác rút tiền khi rủi ro bảo mật vẫn chưa được giải quyết. Vì vậy, đội ngũ kiểm soát rủi ro của Solv đã phong tỏa khoản tiền này và yêu cầu người dùng giải trình về tài sản đó.
Nếu mọi thứ dừng lại ở đây, vấn đề sẽ không hề phức tạp. Thế nhưng, trong quá trình rà soát sau đó, nhiều tình tiết rắc rối hơn bắt đầu xuất hiện.
Xin lưu ý rằng trong suốt quá trình rà soát và trao đổi, Solv chưa bao giờ yêu cầu người dùng này thực hiện bất kỳ hình thức KYC nào, cũng như không đòi hỏi xác minh danh tính thật đối với người dùng BTC+ thông thường. Mục đích của đợt rà soát này là xác minh xem danh tính và lời giải thích về tài khoản do người dùng cung cấp có khớp nhau không, các tài khoản liên quan có thực sự do người này kiểm soát không, và lời giải thích về những thao tác then chốt có trùng khớp với dữ liệu khách quan không. Nói cách khác, câu hỏi đặt ra không phải là "ngoài đời bạn là ai", mà là "những thông tin bạn cung cấp cho đội ngũ kiểm soát rủi ro có bổ trợ cho nhau để tạo thành một yêu cầu xác nhận quyền sở hữu tài sản đáng tin cậy và có thể kiểm chứng hay không".
Vấn đề nảy sinh chính từ đây. Đội ngũ kiểm soát rủi ro cho tôi biết, trong các lần trao đổi sau đó với người tự nhận là nạn nhân, cá nhân này đã sử dụng nhiều tên gọi và danh tính trực tuyến khác nhau, khẳng định tất cả đều là mình. Đồng thời, lời giải thích về việc sử dụng các tài khoản liên quan và một số tình tiết quan trọng lại thiếu nhất quán.
Đội ngũ đã đưa cho tôi một ví dụ cụ thể, qua đó hé lộ phần nào bức tranh tổng thể.
Khi giải thích về các thao tác vào ngày 18 tháng 7, người dùng này nói rằng họ hành động vì thấy người khác thực hiện giao dịch tương tự. Tuy nhiên, qua xác minh, giao dịch mà họ nhắc đến thực chất diễn ra vào ngày 20 tháng 7; họ không thể nào biết trước điều đó hai ngày. Sau đó, họ lại nói rằng mình làm theo nội dung trên trang web chính thức của Solv. Nhưng thông tin trên trang web lúc đó không hề có nội dung mà họ tuyên bố đã thấy, và lời giải thích này cũng không khớp với lịch sử thao tác hay các tài liệu liên quan khác cùng thời điểm.
Những mâu thuẫn tương tự xuất hiện ở nhiều chỗ, khiến lệnh kiểm soát rủi ro được kích hoạt từ sự cố bảo mật không những không được gỡ bỏ mà còn dấy lên nhiều nghi ngờ mới, buộc đội ngũ kiểm soát rủi ro phải mở một cuộc điều tra sâu hơn.
Quan điểm của đội ngũ kiểm soát rủi ro là: bất chấp áp lực dư luận trên X, họ không thể phớt lờ những rủi ro đã hiển hiện rõ ràng khi các nghi ngờ và nguy cơ này chưa được làm sáng tỏ. Các hạn chế bảo mật không thể được dỡ bỏ. Đây là nghĩa vụ và trách nhiệm nghề nghiệp của họ.
Trên đây là tình hình tôi vừa xác nhận lại với đội ngũ Solv. Vì cuộc điều tra đang đi vào chiều sâu theo đúng quy trình chuẩn, có nhiều chi tiết tôi không còn nắm rõ. Cá nhân tôi rất quan tâm đến sự việc này và mong nó sớm được giải quyết thỏa đáng.
Theo tôi được biết, đội ngũ kiểm soát rủi ro của Solv chưa bao giờ từ chối giải quyết vấn đề thông qua các kênh chính thống như thủ tục pháp lý. Hoặc cách khác, nếu bên liên quan không muốn tiết lộ danh tính thật trực tiếp với Solv, họ có thể ủy quyền cho các đại diện đáng tin cậy như luật sư để liên hệ chính thức với Solv.
Ngoài ra, cá nhân tôi hy vọng các tổ chức bảo mật thực sự chuyên nghiệp và độc lập sẽ quan tâm đến vụ việc này, đồng thời đưa ra những đánh giá và khuyến nghị khách quan. Solv sẽ hết sức tôn trọng những ý kiến đó.
Nhân đây, tôi cũng muốn nói thêm vài lời. Những chia sẻ dưới đây là góc nhìn cá nhân của tôi, không đại diện cho Solv.
Thời gian qua, tôi nhận được rất nhiều tin nhắn, từ công kích, lăng mạ đến đe dọa, có thể nói đã chạm ngưỡng "bạo lực mạng". Nhiều người bạn liên hệ với tôi không chỉ để hỏi về vụ việc mà còn lo lắng cho tinh thần của tôi.
Nhưng mọi người đã lo xa rồi. Thực tế, tôi cảm thấy thế hệ người dùng Crypto Twitter Trung Quốc hiện nay tràn đầy tinh thần trượng nghĩa, đó là điều đáng mừng. Tôi sẵn sàng dành cho họ một lời khen. Suốt mấy năm qua, nói về việc "chửi bới", tôi luôn thấy cộng đồng crypto Trung Quốc chưa đủ mạnh tay, để những hành vi lừa đảo — dù trắng trợn, tinh vi hay biến tướng — dễ dàng trục lợi. Tôi mong mọi người tiếp tục căm ghét cái xấu và gây áp lực mạnh mẽ hơn lên những kẻ lừa đảo, điều đó sẽ giúp ngành này sớm hồi sinh. Lần này, tâm điểm chú ý lại rơi vào chúng tôi. Dù còn nhiều hiểu lầm, điều đó cho thấy tiếng nói chính nghĩa trong ngành đang ngày một lớn mạnh.
Tuy nhiên, đối mặt với một khu rừng tối crypto đầy phức tạp và những tình huống bất thường như vậy, những người dùng Twitter trượng nghĩa cần học cách đặt câu hỏi "tại sao" nhiều hơn.
Tôi luôn cho rằng tiểu thuyết Tam Thể của Lưu Từ Hân, ngoài những thành tựu về khoa học viễn tưởng, còn có một đóng góp quan trọng khác: tạo ra một câu cửa miệng mới cho người Trung Quốc hiện đại — "Sự xuất hiện tất có yêu quái" (Chuyện gì bất thường thì chắc chắn có uẩn khúc). Câu này đặc biệt phù hợp với thế giới crypto, nơi có quá nhiều chiêu trò. Nếu thấy điều gì vô lý, đừng vội kết luận. Hãy lùi lại một bước, cho bản thân thời gian quan sát và suy ngẫm kỹ lưỡng, bạn sẽ tránh được những sai lầm nghiêm trọng.
Nhiều người dùng Twitter lao vào cáo buộc Solv biển thủ, chiếm đoạt hoặc nuốt trọn tiền của khách hàng lớn. Tôi muốn hỏi, chẳng lẽ các bạn không thấy "điểm bất thường" sao?
Thứ nhất, Solv không phải là một dự án nhỏ. Dự án đã hoạt động sáu năm, token được niêm yết trên hơn 30 sàn giao dịch lớn. Ngay cả trong thị trường gấu khắc nghiệt hiện tại, Solv vẫn vận hành bình thường và ra mắt các mảng kinh doanh mới. Liệu một dự án như vậy có đánh đổi danh tiếng và tương lai chỉ vì 50 BTC không?
Thứ hai, nói Solv "biển thủ tài sản khách hàng" là sai lệch hoàn toàn so với sự thật. Bạn có thể cho rằng khâu kiểm soát rủi ro của Solv quá khắt khe, nhưng gọi đó là "biển thủ" ư? Biển thủ là gì? Theo tôi hiểu, tài sản này vẫn nguyên vẹn, hiển thị rõ ràng trên on-chain, chưa hề bị chuyển đi, thế chấp hay xử lý. Việc nạp rút của những người dùng BTC+ khác vẫn diễn ra bình thường và không bị ảnh hưởng. Ai lại biển thủ tài sản khách hàng theo kiểu đó? Chỉ khóa tiền ở đó, mọi thứ minh bạch trên on-chain, không ai chuyển đi, không trộn lẫn, không mở rộng phạm vi, không ai đút túi riêng — chỉ hứng chịu mắng chửi mà chẳng thu được đồng nào — đó là cách người ta biển thủ sao? Thử thách một dự án bằng một khoản tiền bị phong tỏa dưới sự giám sát của công chúng — có dự án nào chịu nổi bài test đó?
Thứ ba, với tư cách là một dự án sáu năm tuổi, Solv có quan hệ hợp tác công khai với vô số tổ chức trong ngành. Điều đó có nghĩa là Solv phải chịu sự ràng buộc đa chiều từ đối tác, người dùng, pháp luật và các thủ tục tư pháp. Bạn có thể kiểm tra tên và số lượng các tổ chức này trên trang web chính thức của Solv. Hơn nữa, mô hình kinh doanh của Solv không thuần túy hướng đến người dùng cá nhân (2C) mà phụ thuộc rất lớn vào mạng lưới hợp tác này. Thành bại đều nằm ở đó. Các tổ chức này tạo nên một lực lượng giám sát và kiềm chế mạnh mẽ. Nếu Solv nuốt tiền của khách hàng, bạn nghĩ các đối tác này sẽ bỏ qua sao?
Thứ tư, Solv là dự án công khai danh tính ngay từ ngày đầu tiên. Nếu chúng tôi thực sự biển thủ tiền của khách hàng, liệu chúng tôi có chạy thoát được không? Khi Solv khởi động vào mùa hè DeFi năm 2020, nhiều dự án ẩn danh trở thành trào lưu, một số KOL còn cho rằng các dự án DeFi chuẩn mực phải ẩn danh. Nhưng chúng tôi chọn hoạt động công khai danh tính ngay từ đầu để thể hiện thái độ có trách nhiệm. Xin hãy dùng lẽ thường: những dự án công khai danh tính như Solv bắt buộc phải tuân thủ các quy định pháp luật và phán quyết của tòa án. Chúng tôi không phải kiểu dự án ẩn danh hay dùng biệt danh có thể bốc hơi vào khu rừng tối. Chúng tôi không thể bỏ trốn, nên sẽ không làm những việc đánh đổi nhân phẩm để sinh tồn.
Tóm lại, sự phẫn nộ chính đáng của các bạn rất đáng trân trọng, nhưng các bạn đã đơn giản hóa vấn đề rồi.
Cuối cùng, tôi muốn nói vài lời với người bạn này. Vài tuần trước, bạn đã nhắn tin riêng (DM) cho tôi, nhờ tôi thúc đẩy vụ việc. Tôi có lắng nghe cẩn thận không? Tôi có chuyển toàn bộ tài liệu bạn cung cấp cho đội ngũ không? Ban đầu, do chưa hiểu rõ ngọn ngành, tôi đã thay mặt bạn hối thúc đội ngũ, thậm chí thắc mắc tại sao họ lại thận trọng đến vậy. Bạn biết rõ điều này mà.
Chính vì sau đó tìm hiểu thêm, tôi càng hiểu tại sao đội ngũ kiểm soát rủi ro không dám giải ngân.
Tôi nghĩ việc bạn cần làm rất đơn giản: phối hợp với đội ngũ kiểm soát rủi ro để làm rõ các tình tiết liên quan. Khó khăn gì đâu?
Nếu tài sản này thực sự là của bạn và những lời giải thích của bạn là sự thật, điều bạn nên làm nhất không phải là ngày ngày phát động chiến tranh dư luận chống lại Solv trên X. Thay vào đó, hãy tìm một luật sư và dùng một danh tính uy tín, có thể kiểm chứng và chịu trách nhiệm pháp lý về lời nói để giải thích mọi chuyện một lần cho dứt khoát, chứ không phải liên tục thay đổi lời khai về các tình tiết quan trọng rồi đơn giản hóa sự việc phức tạp này thành "Solv vô cớ giữ 50 BTC của tôi".
Theo những gì tôi biết, đó không phải là sự thật.
Những ai theo dõi tôi trên Twitter đều biết trọng tâm thực sự của tôi trong một hai năm qua là AI, RWA và các quy định quản lý mới của Mỹ. Hoạt động kinh doanh của Solv không thuần túy hướng đến người dùng cá nhân mà phụ thuộc rất lớn vào mạng lưới hợp tác này.
