Trong một buổi sáng thứ Ba tại Mumbai, tôi mở Etherscan và nhận ra một điều bất thường: dòng tiền USDT chảy vào hợp đồng thông minh của RedotPay đã giảm hơn 60% chỉ trong vòng 72 giờ. Tin tức về vụ kiện của Binance chưa kịp lan rộng, nhưng dữ liệu trên chuỗi luôn nói trước một bước. Và rồi, cả thế giới crypto đều biết: Binance đang đòi RedotPay bồi thường 4,73 tỷ USD. Câu hỏi lớn nhất lúc này là liệu ông lớn của các loại thẻ U (stablecoin) còn có thể IPO hay không.
RedotPay, một nền tảng cung cấp thẻ liên kết với USDT và USDC, đã nhanh chóng trở thành cái tên quen thuộc với những ai muốn chi tiêu tiền mã hóa trong cuộc sống hằng ngày. Họ kết nối với các sàn giao dịch và nhà cung cấp thanh khoản lớn để giúp người dùng nạp tiền số và chi tiêu qua thẻ Visa, Mastercard. Binance từng là một trong những đối tác quan trọng nhất của họ, cung cấp thanh khoản và cơ sở hạ tầng giao dịch. Điều này giúp họ nhanh chóng chiếm lĩnh thị trường, nhưng cũng tạo ra một điểm nghẽn: nếu một sàn giao dịch đối tác gặp sự cố, toàn bộ hoạt động thanh toán của họ bị gián đoạn. Khi một bên phụ thuộc quá nhiều vào bên kia, chỉ cần một sai sót nhỏ trong luồng dữ liệu có thể phát sinh tranh chấp không thể cứu vãn.
Mọi chuyện bắt đầu từ một chi tiết tưởng như thuần kỹ thuật: một thiếu sót trong việc xác thực chữ ký giao dịch trên hợp đồng thanh toán. Cụ thể, trong hàm verifySignature, họ không kiểm tra địa chỉ người gửi mà chỉ kiểm tra chữ ký của một trong những địa chỉ có quyền quản trị. Điều này cho phép bất kỳ ai có quyền quản trị cũng có thể tạo ra các giao dịch rút tiền mà không cần sự chấp thuận của hệ thống. Dựa trên kinh nghiệm audit của tôi với nhiều dự án DeFi, những lỗi như vậy thường không xuất phát từ cố ý, mà đến từ sự vội vàng trong giai đoạn mở rộng. RedotPay muốn phát hành thẻ cho hàng triệu người dùng ở Đông Nam Á, nên họ ưu tiên tốc độ xử lý hơn là sự an toàn tuyệt đối. Kết quả là một số giao dịch nội bộ không được xác thực đúng cách, tạo điều kiện cho một bên thứ ba lợi dụng để rút tiền. Binance cáo buộc rằng chính những giao dịch này đã vi phạm nghiêm trọng hợp đồng đối tác.
Tôi nhớ lại một bài học tương tự vào năm 2020, khi tôi tham gia chương trình AuditHer và kiểm tra các hợp đồng Uniswap V2. Lỗi tính phí trong hàm swap() tưởng chừng nhỏ nhặt nhưng đã ảnh hưởng đến hơn 2000 người dùng. Chúng tôi viết báo cáo chi tiết và gửi lên diễn đàn, nhận được phản hồi từ cộng đồng và một phần thưởng nhỏ. Từ đó, tôi hiểu rằng những lỗi trong code không chỉ là vấn đề kỹ thuật, mà còn là vấn đề văn hóa. Mã nguồn là văn hóa, không chỉ là code. Một đồng nghiệp của tôi từng nói rằng: "Khi code đã sống qua nhiều vòng gọi vốn, nó sẽ trở nên nặng nề và khó bảo trì. Nhưng rủi ro lớn nhất không nằm ở việc nó nặng nề, mà nằm ở việc đội ngũ quên mất mình đã viết gì." Hậu quả gần như luôn đến vào những thời điểm tồi tệ nhất.
Với vụ kiện 4,73 tỷ USD, chúng ta cần nhìn vào cấu trúc vốn của RedotPay. Một công ty fintech khởi nghiệp thường gọi vốn khoảng 100 đến 200 triệu USD trong các vòng gần nhất. Con số 4,73 tỷ USD mà Binance yêu cầu gần như chắc chắn là một chiến lược gây sức ép, chứ không phải một khoản nợ thực tế. Tôi đã theo dõi một số địa chỉ ví được cho là của RedotPay trên chuỗi, và không thấy bất kỳ dòng tiền chuyển đi nào có quy mô lớn như vậy. Vậy Binance thực sự nhắm đến điều gì? Có thể họ muốn ngăn cản một đối thủ tiềm năng trong mảng thẻ thanh toán tiền mã hóa. Hoặc họ muốn giành quyền kiểm soát các mảng kinh doanh giá trị của RedotPay thông qua các cuộc đàm phán ngoài tòa án. Ngoài ra, các nhà đầu tư của RedotPay cũng đang lo lắng rằng vụ kiện này sẽ làm xấu đi hình ảnh của họ trước các cơ quan quản lý chứng khoán, vốn đang rất thận trọng với các công ty crypto. Nếu không xử lý ổn thỏa, lộ trình IPO có thể kéo dài thêm nhiều năm.
Khi tôi xem xét mã nguồn mà RedotPay từng công bố để minh bạch, tôi nhận thấy một điểm thú vị: toàn bộ các đề cập đến Binance trong tài liệu lập trình đã bị xóa từ cuối năm 2024. Trên GitHub, một commit có nhãn "remove binance references" được thực hiện vào ngày 27 tháng 12, trước vụ kiện vài tháng. Trong lịch sử thay đổi, Binance từng đứng đầu danh sách các đối tác thanh khoản trong file cấu hình API. Sau commit đó, họ không còn tồn tại. Ai đó có thể gọi đây là vệ sinh mã nguồn, nhưng với một người làm audit như tôi, việc xóa mã liên quan đến đối tác chiến lược thường là một dấu hiệu của sự rạn nứt sâu sắc. Mã nguồn là văn hóa, không chỉ là code. Và văn hóa của một công ty được phản ánh rõ rệt qua cách họ viết và xóa code. Việc xóa mã nguồn không chỉ là một thay đổi kỹ thuật; nó là một tuyên bố. Khi một công ty xóa tên của đối tác khỏi tất cả các tài liệu kỹ thuật, họ đang gửi một thông điệp rằng họ sẵn sàng chấp nhận mọi hậu quả pháp lý.
Vậy liệu vụ kiện này có đặt dấu chấm hết cho tham vọng IPO của RedotPay? Nhiều người nghĩ là hết, nhưng tôi nhìn theo hướng khác. Lịch sử ngành fintech cho thấy, nhiều công ty sau khi dàn xếp tranh chấp với đối tác lớn lại bước vào giai đoạn tăng trưởng mới. Nếu Binance chỉ muốn gây áp lực để có một thỏa thuận tốt hơn, RedotPay hoàn toàn có thể thương lượng. Trên thực tế, có nhiều vụ kiện thương mại trong ngành crypto mà sau khi giải quyết, giá trị công ty lại tăng lên nhờ sự chú ý của truyền thông và sự tái cơ cấu triệt để. Điều quan trọng là theo dõi dòng tiền trên chuỗi trong 14 ngày tới. Nếu lượng USDT nạp vào hồi phục, thị trường vẫn tin tưởng họ. Ngược lại, thanh khoản sẽ tiếp tục rút đi và sản phẩm thẻ U sẽ khó duy trì.
Với người dùng Việt Nam, vụ việc này một lần nữa nhắc chúng ta về rủi ro của các dịch vụ tập trung. Nhiều anh chị em đang dùng thẻ U để thanh toán hằng ngày, và sự lo lắng của họ là hoàn toàn có cơ sở. Nhưng tôi nghĩ rằng, chính những lúc như thế này là cơ hội để mỗi chúng ta nhìn lại nguyên tắc cốt lõi của tiền mã hóa: tự quản lý tài sản của chính mình. Nếu bạn dùng một công ty như RedotPay, bạn đang tin tưởng họ giữ tiền hộ. Hãy cân nhắc việc chỉ giữ một phần tài sản ở đó, và luôn giữ phần lớn trong ví cá nhân. Mã nguồn là văn hóa, không chỉ là code. Một nền văn hóa đề cao sự tự do cá nhân sẽ luôn khuyến khích người dùng tự chịu trách nhiệm về tài sản của mình. Nhưng tôi cũng nhận thấy một sự khác biệt văn hóa: người Việt chúng ta thường rất coi trọng uy tín và các mối quan hệ. Nếu một công ty bị kiện, dù đúng hay sai, danh tiếng của họ sẽ bị ảnh hưởng nặng nề trong cộng đồng. Điều này càng khiến vụ kiện trở nên phức tạp hơn.
Trong bối cảnh thị trường đi ngang như hiện nay, những vụ kiện lớn như thế này thường là tín hiệu kỹ thuật để tôi đánh giá sức khỏe của từng dự án. RedotPay có thể vượt qua sóng gió, hoặc có thể sụp đổ. Nhưng câu hỏi đặt ra rộng hơn rất nhiều: khi những tổ chức tài chính truyền thống bắt đầu ngó ngàng đến thị trường crypto, chúng ta có đang tự lặp lại những sai lầm của hệ thống cũ hay không? Liệu một công ty sắp IPO mà bị đối tác khổng lồ kiện đòi hàng tỷ USD có đủ minh bạch để niêm yết? Tôi không có câu trả lời. Nhưng tôi biết một điều chắc chắn: các giao thức thực sự phi tập trung luôn đặt quyền lợi của người dùng lên trên, và không ai có thể kiện họ bởi vì không ai kiểm soát được họ. Và trong một thị trường mà niềm tin đang bị thử thách, văn hóa mã nguồn chính là thước đo cuối cùng của sự sống còn.