Khi CEO 'hi sinh' 1,5 triệu quyền chọn: Bài học từ vụ Twenty One

Khi một CEO 'từ bỏ' 1,5 triệu quyền chọn mua cổ phiếu, bạn nghĩ đó là hành động cao thượng hay một màn ly kỳ? Hãy nhìn vào dòng chữ nhỏ: giá thực hiện $14.43, cổ phiếu Twenty One đang giao dịch ở mức $5. Những quyền chọn này đã 'hết hạn' từ lâu – vô giá trị như tờ giấy cũ. Dòng mã im lặng – nơi niềm tin bắt đầu sụp đổ. Bối cảnh đơn giản: Twenty One, một công ty Bitcoin Treasury niêm yết qua SPAC, với CEO Jack Mallers khoe khoang về đối thủ Coinbase, hứa hẹn lợi nhuận mỗi cổ phiếu dựa trên BTC. Nhưng sau một năm, không có dòng tiền, không có lợi nhuận – chỉ có một CEO rời đi với 2,2 triệu đô la tiền mặt, và một đám đông cổ đông nắm giữ cổ phiếu đã giảm 91% so với đỉnh. Protos đã phơi bày toàn bộ câu chuyện: Mallers 'từ bỏ' quyền chọn vô giá trị, gọi việc rời đi là 'tự nguyện' không có trợ cấp thôi việc, nhưng thực tế đã vẽ các khoản thanh toán dưới dạng 'bồi thường hợp đồng' và 'mua lại cổ phiếu hạn chế'. Từ góc nhìn kiểm toán viên DeFi với 24 năm kinh nghiệm, tôi thấy điều này quen thuộc. Năm 2017, khi kiểm tra hợp đồng thông minh ICO TokenX, tôi phát hiện một lỗi trong hàm transfer cho phép attacker tăng số dư tùy ý – đó là một lỗ hổng rõ ràng ngay trong dòng mã. Còn đây, lỗ hổng không nằm trong mã nguồn Solidity, mà nằm trong 'hợp đồng con người': điều khoản thù lao được thiết kế tinh vi, cho phép CEO rút tiền ngay cả khi công ty thất bại thảm hại. Trong các giao thức DeFi, chúng tôi gọi đó là 'vector tấn công' – nơi một bên có thể khai thác cơ chế để trục lợi bất chấp tổn thất của bên kia. Ở Twenty One, vector đó là điều khoản 'không có trợ cấp thôi việc' nhưng lại bổ sung 'các khoản thanh toán thỏa thuận tự nguyện'. Hãy phân tích kỹ thuật: Mallers nhận 160,000 đô la trong 'các khoản thanh toán thỏa thuận tự nguyện' và 420,000 đô la tiền mặt từ việc mua lại cổ phiếu hạn chế và các điều khoản hợp đồng khác. Tổng cộng 667,000 đô la tiền lương năm 2025, cộng 1,6 triệu đô la bồi thường khi rời đi – tất cả được che đậy bằng ngôn ngữ 'tốt cho công ty'. Nhưng thực tế, công ty không có doanh thu, không có lợi nhuận, chỉ có BTC làm tài sản duy nhất. Mallers vẫn trích quỹ để tự trả thưởng, tương tự như một lập trình viên khai thác lỗ hổng trong hợp đồng thông minh để rút tiền về ví riêng. Sự khác biệt duy nhất là anh ta làm điều đó thông qua hội đồng quản trị – một cơ chế bảo vệ hoàn hảo hợp pháp. Cây cầu chỉ mạnh đến điểm yếu cuối cùng của nó – và điểm yếu ở đây là lòng tin mù quáng vào một 'thiên tài'. Có một góc nhìn phản trực giác: thất bại của Twenty One không phải lỗi của CEO, mà là lỗi của hệ thống SPAC và cơ chế quản trị. Khi tôi kiểm toán Wormhole năm 2021, tôi phát hiện lỗ hổng trong hàm validateSignatures – nhưng ít ai chú ý đến lỗ hổng tương tự trong xác thực niềm tin giữa các bên liên quan. SPAC cho phép CEO nói dối về tương lai (hứa lợi nhuận từ BTC) mà không bị kiểm soát chặt chẽ, giống như một smart contract không có kiểm toán hậu kỳ. Và khi thất bại, CEO vẫn ra đi với túi đầy, để lại cổ đông 'dính bẫy' – một mô hình exploit hoàn hảo. Điểm mù bảo mật không phải ở mã nguồn, mà ở thiết kế kinh tế: khi quyền lợi của người quản lý không gắn với kết quả dài hạn, thảm họa là tất yếu. Takeaway đơn giản: Các dự án crypto đừng chỉ kiểm toán smart contract – hãy kiểm toán cả hợp đồng quản trị. Khi một CEO tuyên bố 'hi sinh', hãy tìm dòng chữ nhỏ: quyền chọn vô giá trị là gì, các khoản thanh toán thỏa thuận có thực sự là từ thiện? Lần tới bạn nhìn vào dự án mới nổi với lời hứa từ BTC, hãy nhớ rằng: kẻ thù đang chờ trong chân lý ẩn. Niềm tin của bạn thật đẹp – tiếc là nó được xây trên dòng mã im lặng.