Ngày 27 tháng 3 năm 2024, một nhân viên vận hành máy chiếu chữ tại Nhà Trắng đã kiếm được 107.000 USD chỉ trong vài giờ. Anh ta không hack, không khai thác lỗi smart contract. Anh ta chỉ đơn giản là đọc trước nội dung bài phát biểu của Tổng thống Trump và đặt cược vào nó trên Kalshi – nền tảng dự đoán thị trường được CFTC cấp phép. Đây không phải là một vụ tấn công mạng hay một exploit DeFi. Đây là một vụ giao dịch nội gián thuần túy, và nó đã phơi bày điểm mù lớn nhất của toàn bộ ngành công nghiệp dự đoán: niềm tin vào con người.
Bối cảnh: Kalshi và Polymarket – hai thế giới
Kalshi là một sàn giao dịch dự đoán có trụ sở tại Mỹ, được quản lý bởi Ủy ban Giao dịch Hàng hóa Tương lai (CFTC). Nó hoạt động như một sàn giao dịch tập trung, nơi mọi giao dịch đều được ghi nhận và giám sát. Polymarket, ngược lại, là một nền tảng phi tập trung trên blockchain, sử dụng hợp đồng thông minh và oracle để giải quyết kết quả. Cả hai đều cho phép người dùng đặt cược vào các sự kiện chính trị, thể thao, kinh tế. Nhưng sự khác biệt về mô hình trust chính là chìa khóa dẫn đến vụ bê bối lần này.
Nhân vật chính, Perez, là một nhân viên cấp thấp trong đội ngũ hỗ trợ kỹ thuật của Nhà Trắng. Công việc của anh ta là vận hành máy chiếu chữ trong các bài phát biểu quan trọng. Điều đó có nghĩa là anh ta biết trước nội dung bài phát biểu vài giờ trước khi công chúng nghe thấy. Với kiến thức đó, anh ta đã đăng nhập vào tài khoản Kalshi của mình và đặt cược vào các kết quả mà chỉ có người trong cuộc mới biết. Kết quả: 107.000 USD lợi nhuận ròng.
Phân tích dòng chảy thông tin: Trace execution path
Hãy cùng trace execution path của vụ này. Thông tin bắt đầu từ bàn phím của người viết diễn văn, được truyền qua hệ thống nội bộ của Nhà Trắng. Perez, với quyền truy cập vào hệ thống đó, đọc được thông tin và chuyển nó thành quyết định giao dịch. Anh ta mở ứng dụng Kalshi, chọn thị trường dự đoán tương ứng, và đặt lệnh mua. Toàn bộ quá trình diễn ra trong vòng vài phút. Không có smart contract nào bị khai thác, không có oracle nào bị thao túng. Chỉ có một con người với đặc quyền thông tin.
Nếu bạn lọc Smart Money trên Kalshi trong khung thời gian đó, bạn sẽ thấy một mô hình giao dịch bất thường: một tài khoản mới, chỉ giao dịch một thị trường duy nhất, với số tiền lớn bất thường so với lịch sử. Đó là dấu hiệu kinh điển của nội gián. Nhưng hệ thống giám sát của Kalshi đã không phát hiện ra, hoặc có phát hiện nhưng không hành động kịp thời. Đây là lỗi của con người, không phải của máy móc.
Tương quan không phải nhân quả: Nội gián vs. Thao túng thị trường
Phần lớn phân tích sai về rủi ro của thị trường dự đoán. Họ cho rằng mối đe dọa lớn nhất là thao túng thị trường bởi những kẻ có nhiều tiền, những người có thể đặt cược lớn để làm lệch giá. Nhưng thực tế, kẻ thù nguy hiểm hơn nhiều là người trong cuộc – những người có quyền truy cập vào thông tin chưa công bố. Và điều trớ trêu là, chính nền tảng được quản lý chặt chẽ nhất (Kalshi) lại là nơi dễ bị tấn công nhất, vì nó tập trung hóa hoàn toàn quy trình xác định kết quả. Trên Kalshi, kết quả được xác định bởi một đội ngũ nhân viên, dựa trên các nguồn tin tức chính thống. Nếu những nhân viên đó có thể bị mua chuộc hoặc bị rò rỉ thông tin, toàn bộ hệ thống sẽ sụp đổ. Trên Polymarket, oracle dựa trên cơ chế giải quyết tranh chấp phi tập trung (UMA), nơi người dùng có thể thách thức kết quả. Mặc dù không hoàn hảo, nhưng nó ít phụ thuộc vào một điểm duy nhất hơn.
Góc nhìn phản trực giác: Vụ nội gián này thực ra là tin tốt cho Kalshi?
Nghe có vẻ nghịch lý, nhưng việc Perez bị phát hiện nhanh chóng và CFTC vào cuộc ngay lập tức cho thấy hệ thống giám sát của Kalshi – dù thất bại trong việc ngăn chặn – lại hoạt động hiệu quả trong việc truy vết. Trong vòng 48 giờ, Perez đã bị sa thải, tài khoản của anh ta bị đóng băng, và CFTC đã bắt đầu đàm phán dàn xếp. Điều này cho thấy Kalshi có khả năng phản ứng nhanh với các vi phạm. Ngược lại, nếu một vụ tương tự xảy ra trên Polymarket, việc truy vết danh tính kẻ nội gián sẽ khó khăn hơn nhiều, bởi vì giao dịch diễn ra trên blockchain với danh tính ẩn danh. Vụ việc này có thể trở thành một lợi thế cạnh tranh cho Kalshi: “Chúng tôi bị hack nhưng chúng tôi có thể tìm ra thủ phạm.” Điều đó giúp củng cố niềm tin của nhà đầu tư vào nền tảng được quản lý.
Tác động đến thị trường dự đoán: Những con số TVL thực sự đại diện cho
Sau vụ bê bối, người dùng có thể rút tiền khỏi Kalshi vì lo ngại rủi ro pháp lý. Tuy nhiên, điều thú vị là TVL của Polymarket cũng có thể bị ảnh hưởng, vì hai thượng nghị sĩ lưỡng đảng đã yêu cầu CFTC điều tra Polymarket về vấn đề quảng cáo sai sự thật. Điều này cho thấy áp lực quản lý đang gia tăng lên toàn bộ ngành. Những con số TVL thực sự đại diện cho niềm tin của người dùng vào tính công bằng của thị trường. Một khi niềm tin đó bị lung lay, dòng tiền sẽ chảy đi nơi khác. Vì vậy, trong ngắn hạn, cả Kalshi và Polymarket đều có thể chứng kiến sự sụt giảm thanh khoản.
Phán đoán mang tính tiến bộ: Tuần tới, hãy theo dõi hành động của CFTC
Kết quả của cuộc đàm phán dàn xếp giữa CFTC và Perez sẽ định hình tương lai của thị trường dự đoán. Nếu Perez chỉ bị phạt tiền và cấm giao dịch, thông điệp gửi đi sẽ là: “Nội gián có lời, miễn là bạn sẵn sàng trả tiền phạt.” Điều đó sẽ khuyến khích nhiều người trong cuộc hơn thử vận may. Nếu CFTC truy tố hình sự, đó sẽ là một lời cảnh báo rõ ràng: nội gián là tội phạm. Hãy để mắt đến các thông báo của CFTC trong vòng 30 ngày tới. Đó sẽ là tín hiệu quyết định cho toàn bộ ngành.
Kết luận: Khi niềm tin vào con người thất bại
Tôi đã theo dõi thị trường dự đoán từ những ngày đầu, và tôi luôn tin rằng công nghệ có thể giải quyết vấn đề niềm tin. Nhưng vụ này nhắc nhở tôi rằng, dù bạn có xây dựng hệ thống kỹ thuật hoàn hảo đến đâu, vẫn luôn có một lỗ hổng không thể vá: con người. Perez không phải là một hacker. Anh ta chỉ là một người bình thường, có cơ hội và đã nắm lấy nó. Vấn đề không nằm ở code, mà nằm ở quy trình kiểm soát truy cập thông tin. Nếu Nhà Trắng không thể bảo vệ nội dung bài phát biểu của tổng thống, thì bất kỳ nền tảng dự đoán nào cũng sẽ phải đối mặt với rủi ro tương tự. Thị trường dự đoán không chỉ cần oracle phi tập trung, mà còn cần một hệ thống quản lý thông tin phi tập trung ngay từ nguồn. Đó là bài học lớn nhất từ vụ việc lần này.