Tôi từng kiểm toán một ICO huy động 10 triệu USD vào năm 2017. Mã nguồn Solidity của họ có lỗi reentrancy và integer overflow – hai lỗi kinh điển nhưng vẫn lọt qua audit của bên thứ ba. Khi tôi báo cáo, team đã vá ngay. Nhưng câu chuyện hôm nay không phải về smart contract. Nó về một thứ nguy hiểm hơn: số liệu tài chính được tô vẽ bằng toán học mờ ám.
Jack Mallers – CEO của Twenty One Corp – vừa từ chức. Ông ta công khai chất vấn Michael Saylor về tính bền vững của mô hình Digital Asset Treasury (DAT). Cổ phiếu Twenty One giảm 13,5% ngay trong ngày. Từ đỉnh, nó mất 85% giá trị. Câu hỏi của tôi: ai đang nắm giữ những con số ảo? Và tại sao cả ngành lại im lặng?
Context: DAT là gì? Digital Asset Treasury là công ty niêm yết chuyên mua và nắm giữ Bitcoin. Họ phát hành cổ phiếu, trái phiếu chuyển đổi, hoặc quyền chọn để huy động vốn, rồi dùng tiền đó mua BTC. Chỉ số quan trọng nhất là mNAV – tỷ lệ giữa giá trị thị trường trên giá trị tài sản ròng. Nếu mNAV > 1, thị trường đang trả premium cho mỗi Bitcoin mà công ty sở hữu. MicroStrategy (Strategy) của Saylor luôn duy trì mNAV cao nhờ câu chuyện "công ty Bitcoin thuần túy". Twenty One – từng là holder lớn thứ hai (~43.500 BTC) – cũng chơi trò đó.
Nhưng Mallers không chỉ là CEO. Ông là founder của Strike, một công ty thanh toán Bitcoin. Ông ta vào Twenty One với kỳ vọng biến nó thành "MicroStrategy 2.0". Thay vào đó, ông đối đầu với hội đồng quản trị do Tether kiểm soát. Cuộc chiến lên đến đỉnh điểm tại hội nghị Bitcoin 2025, nơi Mallers đứng dậy chất vấn Saylor trực tiếp: - "Các khoản tín dụng số (như Stretch) trả 11.5%/năm. Ai trả tiền đó? Công ty không có dòng tiền từ hoạt động kinh doanh." - "Quyền chọn hết hạn không được thực hiện (out-of-the-money warrants) lại được tính vào vốn chủ sở hữu. Điều đó làm tăng giả tạo NAV."
Core: Phân tích mã nguồn của báo cáo tài chính Hãy nhìn vào con số. Tôi đã từng kiểm toán một DeFi project dùng TVL ảo – họ tính cả token chưa phát hành vào tổng giá trị khóa. Twenty One cũng làm tương tự, nhưng trên bảng cân đối kế toán.
- Quyền chọn mua cổ phiếu (warrants): Hàng triệu warrants với giá thực hiện 13 USD/cổ phiếu. Giá cổ phiếu hiện tại là 4,6 USD. Chúng hoàn toàn vô giá trị. Nhưng Twenty One vẫn ghi nhận chúng như một phần của vốn chủ sở hữu, làm tăng NAV. Mallers gọi đó là "số học kỳ diệu". Tôi gọi đó là sai phạm kế toán có hệ thống.
- Stretch – trái phiếu vĩnh viễn 11.5%: Đây là sản phẩm "tín dụng số" với lãi suất cố định. Nhưng dòng tiền đâu ra? Công ty không sản xuất gì. Tiền lãi trả từ… vay mới? Nếu đúng vậy, đây là cấu trúc Ponzi thuần túy. Trong thế giới crypto, chúng ta gọi đó là "high-yield farming" trên blockchain. Nhưng ở đây, nó được bảo chứng bởi một công ty đại chúng, có kiểm toán, và… Tether.
- Tether kiểm soát hoàn toàn: Sau khi mua lại cổ phần của SoftBank, Tether nắm quyền chi phối. Điều này có nghĩa là mọi quyết định – kể cả thanh lý Bitcoin – đều do một thực thể off-shore, thiếu minh bạch đưa ra. Rủi ro hệ thống? Có.
Tôi đã từng phân tích Uniswap V2 – 2000 dòng Solidity, tôi vẽ biểu đồ tương tác từng contract. Ở đây, tôi vẽ biểu đồ dòng tiền của Twenty One: Bitcoin mua vào → phát hành cổ phiếu/trái phiếu → trả lãi từ vốn mới → vòng lặp. Nếu Bitcoin giảm, vòng lặp vỡ. Nếu niềm tin vào mNAV mất, vòng lặp cũng vỡ.
Contrarian: Mallers – kẻ phản bội hay người thổi còi? Truyền thông gọi Mallers là "kẻ bỏ rơi cổ đông". Nhưng hãy nhìn từ góc độ kỹ thuật: ông ta là người duy nhất trong phòng họp dám chỉ ra rằng mNAV > 2 là một ảo tưởng toán học. Khi tôi kiểm toán ICO năm 2017, tôi cũng bị gọi là "kẻ phá đám". Nhưng nếu không có người chỉ ra lỗi reentrancy, 10 triệu USD của nhà đầu tư đã bị hack.
Sự ra đi của Mallers để lại một khoảng trống: không ai dám đặt câu hỏi về tính bền vững của mô hình DAT nữa. MicroStrategy vẫn đang giao dịch ở mNAV ~3. Nhưng nếu Twenty One – với 43.500 BTC – có thể mất 85% giá trị chỉ vì một lời chất vấn, thì MicroStrategy cũng không an toàn. Sự khác biệt duy nhất là Saylor có khả năng kể chuyện tốt hơn, và ông ta chưa bị Tether kiểm soát.
Takeaway: Khi bạn nhìn vào bảng cân đối kế toán, hãy tự hỏi: con số này đến từ đâu? Tôi đã xây dựng một fuzzer để tự động tìm lỗ hổng smart contract. Nó phát hiện 15 lỗi mới trên 200 contract mẫu. Nếu có một "fuzzer" cho báo cáo tài chính của DAT, nó sẽ chỉ ra hàng loạt điểm mù: quyền chọn vô giá trị, trái phiếu không có dòng tiền, và một cổ đông kiểm soát không chịu trách nhiệm.
Thị trường tăng che giấu mọi tội lỗi. Nhưng một khi ai đó đặt câu hỏi đúng, đống đổ nát hiện ra nhanh hơn bạn nghĩ. Twenty One đã mất 85%. Ai tiếp theo? Và liệu bạn có dám kiểm tra mã nguồn của khoản đầu tư tiếp theo, hay chỉ tin vào câu chuyện?