Hook
Một dòng tweet từ tài khoản Iran không chính thức: "Chúng tôi sẽ thu phí công bằng qua eo biển Hormuz. Và chúng tôi thống nhất với Trump về bồi thường." Crypto Briefing đưa tin, giá Bitcoin không nhúc nhích. Nhưng với tôi, người đã audit hơn 200 smart contract, đây không phải tin chính trị. Đây là một vector tấn công mới đang hình thành.
Vội vàng: kẻ thù số một của DeFi. Nhưng lần này, kẻ thù có thể là một quốc gia.
Context
Eo biển Hormuz — 20% lượng dầu thế giới đi qua đây mỗi ngày. Iran tuyên bố sẽ tính phí "công bằng" cho mọi tàu thuyền, và bất ngờ hơn, họ nói rằng điều này "thống nhất với quan điểm của Trump về bồi thường". Nghe như một canh bạc địa chính trị. Nhưng nếu Iran thực sự dùng blockchain để thu phí? Nếu họ phát hành một token "Hormuz Pass" cho mỗi chuyến đi, hoặc yêu cầu thanh toán qua smart contract trên một chain nào đó?
Dựa trên kinh nghiệm audit của tôi, bất kỳ hệ thống thanh toán nào kết hợp giữa tài sản thế giới thực (dầu, vận tải biển) và blockchain đều tạo ra những lỗ hổng chưa từng có. Trong suốt 5 năm làm DeFi Security Auditor, tôi đã thấy những kịch bản tưởng như viễn tưởng trở thành hiện thực: NFT metadata bị giả mạo, oracle thanh lý sập trong bear market, reentrancy trong lending pool. Nhưng chưa có gì so với viễn cảnh một quốc gia sử dụng smart contract để thu thuế quốc tế.
Core
Hãy tưởng tượng: Iran triển khai một hợp đồng thông minh trên Ethereum hoặc một L2 nào đó. Mỗi tàu chở dầu muốn qua eo biển phải gửi một lượng ETH hoặc USDC tương đương phí. Hợp đồng ghi nhận, cấp một NFT chứng nhận đã thanh toán. Tàu trình NFT cho lực lượng hải quân Iran, họ xác minh trên chain rồi cho qua.
Nghe đơn giản. Nhưng trong mắt một auditor, đây là mớ hỗn độn.
Lớp 1: Lỗ hổng reentrancy trong contract thu phí
Nếu hợp đồng sử dụng pattern "gọi lại" (callback) khi chuyển token, một kẻ tấn công có thể lợi dụng reentrancy để rút nhiều lần chỉ với một lần thanh toán. Tôi đã tìm thấy lỗi này trong dự án ICO đầu tiên năm 2017 — SmartLending. Một contract cho vay đơn giản cũng có thể mất toàn bộ quỹ. Với hợp đồng thu phí Hormuz, lỗi tương tự sẽ cho phép tàu "gian lận" qua eo biển nhiều lần mà chỉ trả phí một lần. Hậu quả? Iran mất doanh thu, nhưng nghiêm trọng hơn: họ sẽ mất uy tín và khả năng kiểm soát.
Một lỗi nhỏ, một hệ thống sập.
Lớp 2: Oracle giá trị phí
Phí qua eo biển phải được định giá bằng USD, nhưng thanh toán có thể bằng ETH hoặc stablecoin. Điều này đòi hỏi một oracle để lấy giá ETH/USD. Oracle nào? Nếu là một oracle tập trung (như một node do Iran kiểm soát), họ có thể thao túng giá để tính phí cao hơn. Nếu là oracle phi tập trung (Chainlink), vẫn có nguy cơ giá bị flash loan tấn công trong một khoảng thời gian ngắn. Năm 2022, trong bear market, tôi đã audit giao thức lending SafeYield và phát hiện lỗ hổng oracle khi giá giảm mạnh — thanh lý hàng loạt xảy ra chỉ trong vài block. Với Hormuz, một cuộc tấn công flash loan có thể làm giá ETH giảm tạm thời, khiến phí tính bằng ETH tăng vọt, gây thiệt hại cho tàu thuyền. Hoặc ngược lại, giá ETH tăng ảo, Iran thu ít hơn.
Lớp 3: Metadata của NFT chứng nhận
Năm 2021, tôi audit marketplace ArtChain và phát hiện lỗi lưu trữ metadata off-chain có thể bị giả mạo URL. Nếu Hormuz dùng NFT làm vé qua eo, metadata (số hiệu tàu, ngày giờ, loại hàng) phải được lưu trữ an toàn. Một URL bị chiếm quyền có thể cấp vé giả cho tàu chở hàng cấm, hoặc từ chối vé hợp lệ. Tôi thiết kế framework dùng Merkle Tree để xác thực tính toàn vẹn. Nhưng Iran có áp dụng không? Nếu không, toàn bộ hệ thống sẽ sụp đổ chỉ vì một lỗi lưu trữ đơn giản.
Lỗi đầu tiên là bài học cuối cùng.
Lớp 4: Tấn công từ chối dịch vụ (DoS) lên contract
Eo biển Hormuz là huyết mạch năng lượng. Nếu contract bị spam giao dịch (mỗi giao dịch tốn gas), hoặc bị tấn công DoS làm nghẽn mạng, tàu thuyền không thể thanh toán và bị mắc kẹt. Ai sẽ trả gas cho hàng ngàn tàu mỗi ngày? Nếu Iran dùng một L2 với phí thấp (như Arbitrum hay Optimism), vấn đề gas giảm nhưng vẫn tồn tại rủi ro sequencer tạm dừng. Tôi đã thấy những cuộc tấn công DoS vào các DEX nhỏ khiến pool thanh khoản bị đóng băng. Với Hormuz, hậu quả là toàn bộ chuỗi cung ứng dầu toàn cầu bị gián đoạn.
Lớp 5: Vấn đề quyền riêng tư và tuân thủ
Mọi giao dịch trên blockchain đều công khai. Hàng ngàn tàu chở dầu với thông tin chi tiết (chủ tàu, loại hàng, điểm đến) sẽ bị phơi bày. Đây là món quà cho tình báo đối thủ. Iran có thể dùng zk-proof để ẩn thông tin, nhưng điều đó làm tăng độ phức tạp và mở ra vector tấn công mới (lỗi trong proof generation). Trong audit NeuralChain năm 2025, tôi phát hiện lỗi trong thuật toán đồng thuận khi AI đưa ra quyết định sai dựa trên dữ liệu không đầy đủ. Với zk-proof, một lỗi nhỏ trong việc tạo proof có thể khiến toàn bộ hệ thống mất hiệu lực.
Contrarian
Nhiều người cho rằng Iran sẽ không bao giờ dùng blockchain cho việc này. Họ sẽ giữ phương pháp truyền thống: thanh toán qua ngân hàng, hải quan giấy tờ. Nhưng tôi cho rằng chính xác vì áp lực trừng phạt, Iran có động lực cực lớn để tìm kênh thanh toán thay thế. Crypto là công cụ hoàn hảo để né tránh SWIFT. Và khi một quốc gia bắt đầu xây dựng hệ thống thanh toán trên blockchain, họ sẽ không thuê auditor chuyên nghiệp — họ sẽ tự code. Kết quả? Một smart contract chứa đầy lỗ hổng, được triển khai vội vàng, trở thành mục tiêu cho hacker toàn cầu.
Điểm mù bảo mật thực sự không nằm ở code, mà nằm ở giả định rằng "quốc gia có thể tự bảo vệ mình". Không ai có thể. Tôi đã thấy các dự án hàng triệu USD sụp đổ chỉ vì một lỗi reentranry đơn giản. Với Iran, quy mô sẽ lớn hơn gấp ngàn lần.
Và còn một điểm mù nữa: Trump. Việc Iran nói "thống nhất với Trump về bồi thường" cho thấy họ đang muốn sử dụng blockchain như một công cụ đàm phán. Họ có thể phát hành token "Bồi thường Trump" — một loại stablecoin được neo vào thỏa thuận chính trị. Nếu điều đó xảy ra, chúng ta sẽ chứng kiến một loại attack vector hoàn toàn mới: tấn công vào hợp đồng thông minh dựa trên sự kiện chính trị. Một tweet từ Trump có thể làm sập toàn bộ hệ thống.
Takeaway
Khi các quốc gia bắt đầu dùng blockchain để thu phí, thuế hay bồi thường, chúng ta sẽ bước vào kỷ nguyên mới của attack vector. Lỗ hổng không còn chỉ là reentrancy hay oracle, mà còn là sự phụ thuộc vào sự kiện ngoài chuỗi — chiến tranh, bầu cử, tuyên bố chính sách. Với tư cách auditor, tôi đang chuẩn bị cho một loại hình kiểm toán mới: Audit chính trị - kỹ thuật. Đến lúc đó, câu hỏi không phải "code có an toàn không?", mà là "liệu một cuộc tấn công tên lửa có làm hỏng node xác thực không?".
Iran chưa làm gì cả. Nhưng tín hiệu đã rõ. Và tôi, với 16 năm quan sát ngành, tin rằng: khi tiền và chính trị gặp nhau trên blockchain, không có gì là viễn tưởng.