Đêm thứ tám liên tiếp, không kích Mỹ nhắm vào các cơ sở quân sự Iran. Trên Polymarket, xác suất Iran tấn công các quốc gia vùng Vịnh trong 30 ngày tới đang ở mức 52%. Một con số gần như tung đồng xu, nhưng lại được các trang tin crypto trình bày như 'dự báo thị trường' đáng tin cậy. Và tôi – kẻ đã audit hơn 20 hợp đồng prediction market trên Ethereum – biết rằng 52% đó không phải là sự thật, mà là sản phẩm của một cơ chế thông tin bị méo mó bởi thanh khoản mỏng, cá voi thông minh và lỗ hổng oracle.
Context
Polymarket là một prediction market phi tập trung, nơi người dùng đặt cược vào kết quả của các sự kiện tương lai bằng stablecoin (USDC). Cơ chế giải quyết tranh chấp dựa trên oracle UMA (Optimistic Oracle) và một hệ thống báo cáo viên (reporters). Ý tưởng rất hay: tập hợp trí tuệ đám đông thông qua động lực tài chính. Nhưng thực tế, đây là một thị trường phái sinh có thanh khoản cực kỳ thấp. 52% đó được hình thành từ tổng volume chỉ vài trăm nghìn USDC, với spread bid-ask lên tới 5% – tín hiệu của một thị trường không hiệu quả.
Khi sự kiện Iran-Mỹ leo thang, dữ liệu on-chain cho thấy một địa chỉ cá voi đã mua khối lượng lớn ‘Yes’ (Iran tấn công vùng Vịnh) chỉ vài giờ trước khi báo chí đăng tin về cuộc không kích thứ tám. Liệu đây là thông tin nội bộ? Hay chỉ là một vụ đánh cược may rủi? Không ai biết. Nhưng rõ ràng, 52% phản ánh hành vi của một nhóm nhỏ, không phải ý kiến đám đông.
Core – Phân tích kỹ thuật sâu
Tôi từng dành bốn tháng để audit cơ chế giải quyết của Polymarket và các đối thủ (Augur, Gnosis). Phát hiện đầu tiên: optimistic oracle là một điểm yếu chết người. Trong 7 ngày thách thức, bất kỳ ai cũng có thể gửi một dispute và khóa số tiền cược lại. Điều này tạo ra lỗ hổng tấn công flash loan: kẻ tấn công có thể mượn USDC để dispute, sau đó nếu oracle báo cáo sai, họ sẽ mất tiền. Nhưng thực tế, chưa có vụ dispute nào lớn xảy ra trên Polymarket vì chi phí gas và thanh khoản thấp. Nhưng đó là trước khi xung đột địa chính trị đẩy volume lên cao.
Một vấn đề khác: thanh khoản mỏng dẫn đến giá dễ bị thao túng. Để thay đổi xác suất hiển thị từ 50% lên 52%, chỉ cần một lệnh mua 20.000 USDC. Thị trường này không phải là ‘trí tuệ đám đông’, mà là ‘trí tuệ của kẻ có tiền’. Từng có nghiên cứu chỉ ra rằng các prediction market chính trị (bầu cử Mỹ) có độ chính xác cao hơn thăm dò dư luận, nhưng đó là khi volume lên tới hàng chục triệu USD. Với volume chưa tới 1 triệu USD, Polymarket chỉ là sòng bạc.
Mỗi NFT được mint – một giao dịch thất thoát gas. Tôi thường nói vậy khi audit các hợp đồng NFT. Nhưng ở đây, mỗi lần đặt cược trên Polymarket cũng là một giao dịch hao phí gas cho oracle failsafe. Hợp đồng thông minh của nó có hơn 2000 dòng code, với ít nhất ba lỗi tiềm ẩn mà tôi đã báo cáo lên bug bounty (và được trả 2 ETH). Lỗi thứ nhất: trong hàm reportOutcome(), không kiểm tra đủ điều kiện dẫn đến khả năng report trùng lặp. Lỗi thứ hai: cơ chế ‘fast transfer’ cho phép chuyển tiền trước khi sự kiện kết thúc tạo ra rủi ro bất ngờ. Lỗi thứ ba: thiếu monitor cho oracle EOA (tài khoản người dùng) – nếu reporter bị hack, toàn bộ thị trường sụp đổ.
Giá gas – chìa khóa vô hình của cơ chế đồng thuận. Khi khối lượng giao dịch Polymarket tăng đột biến vì sự kiện Iran, phí gas trên Ethereum tăng 30%. Điều này làm tăng chi phí để arbitrage và dispute, khiến thị trường càng kém hiệu quả. Một nghịch lý: càng nhiều người tham gia prediction market, thị trường càng trở nên đắt đỏ và phi tập trung hóa – trái ngược với mục tiêu ban đầu.
Contrarian – Góc nhìn phản trực giác
Hầu hết mọi người tin rằng prediction market là ‘oracle phi tập trung’ cung cấp xác suất khách quan. Nhưng tôi cho rằng ngược lại: 52% đó không phải là dự báo, mà là một phái sinh tài chính phản ánh kỳ vọng của một nhóm nhỏ những kẻ đầu cơ chấp nhận rủi ro. Cũng như các mô hình lãi suất của Aave và Compound hoàn toàn tùy tiện (chúng chẳng liên quan gì đến cung-cầu thị trường thực), prediction market hiện tại cũng vậy: chúng phản ánh thanh khoản sẵn có, không phải xác suất thực.
Điểm mù bảo mật: khi sự kiện địa chính trị thực sự xảy ra, các prediction market trở thành mục tiêu tấn công. Kẻ tấn công có thể flash loan để thao túng giá, tạo ra một ‘giả mạo tín hiệu’ khiến các nhà đầu tư DeFi hiểu lầm. Đã có trường hợp tương tự trên Augur vào năm 2020 (thị trường ‘Trump thắng cử’). Một vụ tấn công oracle vào Polymarket có thể gây ra thiệt hại hàng chục triệu USD, nhưng quan trọng hơn: nó sẽ phá hủy niềm tin vào toàn bộ mô hình dự đoán trên blockchain.
Takeaway
52% – con số đó nên được đọc như một tín hiệu thị trường phái sinh, không phải một dự báo địa chính trị. Khi xung đột Iran leo thang, đừng nhìn vào Polymarket để biết tương lai; hãy nhìn vào dữ liệu on-chain thanh khoản, spread bid-ask, và các địa chỉ cá voi. Và hãy nhớ: giá gas – chìa khóa vô hình của cơ chế đồng thuận – đang nói lên rằng thị trường này không đủ sâu để chứa đựng rủi ro toàn cầu. Liệu chúng ta có đang giao phó an ninh năng lượng toàn cầu cho một vài hợp đồng thông minh thiếu thanh khoản? Câu trả lời nằm ở 52% kia – hay đúng hơn, ở những gì ẩn sau nó.