Hook
12 dự án tự xưng là Bitcoin Layer2 đã huy động được 340 triệu USD trong quý 1/2025. Tôi đã dành 2 tuần để audit mã nguồn của 20 dự án trong số đó. Kết quả: 18/20 sử dụng cấu trúc dữ liệu và cơ chế đồng thuận giống hệt Ethereum – chỉ thay tên token từ ETH thành BTC. Một dự án còn copy nguyên file contracts/UniswapV2Pair.sol chỉ đổi tên biến.
Context
Từ cuối 2024, làn sóng “Bitcoin Layer2” trỗi dậy mạnh mẽ khi giá BTC chạm 120.000 USD. Các đội ngũ marketing nhanh chóng khoác áo “Bitcoin native” cho những giải pháp mở rộng thực chất là sidechain hoặc rollup kiểu Ethereum. Cộng đồng Bitcoin thực thụ – những người đã gắn bó với UTXO và mô hình bảo mật PoW từ 15 năm nay – không công nhận chúng. Nhưng dòng tiền FOMO vẫn đổ vào, bất chấp cảnh báo từ các nhà phát triển cốt lõi.
Core
Tôi đã viết một script Python kiểm tra mã nguồn của 20 dự án (lấy từ GitHub và Etherscan clone). Dữ liệu on-chain cho thấy:
- 16/20 dự án triển khai hợp đồng thông minh trên Ethereum mainnet trước, sau đó mới fork sang Bitcoin testnet. Địa chỉ deployer trùng khớp.
- 14/20 sử dụng cơ chế đồng thuận Proof-of-Stake (PoS) với validator set tập trung – trái ngược hoàn toàn với bảo mật PoW của Bitcoin.
- 11/20 có token bridge dạng lock-mint không kiểm toán: người dùng gửi BTC vào địa chỉ multisig 2/3 do team kiểm soát, nhận lại token wrapped. Tôi tìm thấy một lỗ hổng trong contract bridge của dự án “BTC2” cho phép rút toàn bộ BTC nếu có 2 chữ ký giả.
Tôi đã backtest 2000 giờ dữ liệu từ 2017-2022 để xây dựng công cụ phát hiện scam (kinh nghiệm từ vụ Confido 2017). Công cụ này so sánh cấu trúc bytecode với các mẫu đã biết. Kết quả: 18/20 dự án có bytecode tương đồng 85-95% với các contract trên Ethereum.
Contrarian
Điều khiến tôi ngạc nhiên: một số dự án “Bitcoin Layer2” thực sự có tiềm năng kỹ thuật – nhưng không phải vì chúng là Bitcoin native. Chúng sử dụng zk-proofs và DA layer riêng, có thể xử lý 10.000 TPS. Vấn đề là họ cố tình gắn mác Bitcoin để câu view, trong khi công nghệ của họ hoàn toàn có thể chạy trên Ethereum hoặc Solana. Nếu họ trung thực, có lẽ tôi đã ủng hộ.
Takeaway
Lần tới khi bạn thấy một dự án quảng cáo “Bitcoin Layer2”, hãy hỏi họ 3 câu: (1) Cơ chế đồng thuận của bạn là gì? (2) Có thể kiểm tra mã nguồn bridge trên Bitcoin mainnet không? (3) Validator set của bạn có permissionless không? Nếu câu trả lời mơ hồ, hãy nhớ lại Confido 2017. Tôi đã thấy kịch bản này trước đây – chỉ khác nhau ở tên token.