Một ý tưởng đơn giản đến mức đáng ngờ: Một tiện ích mở rộng trình duyệt cho phép bạn giao dịch trực tiếp từ các bài đăng trên X, Reddit, Bloomberg, và CNBC. Đó là lời hứa của Liquid, và nó giống như một giấc mơ đối với bất kỳ ai đang lướt web và cảm thấy FOMO. Nhưng với tư cách là một người đã kiểm tra hàng trăm hợp đồng thông minh, tôi có thể nói với bạn: sự tiện lợi này đi kèm với một cái giá. Và cái giá đó, rất có thể, là bảo mật của bạn. Tôi đã thấy điều này trước đây. Năm 2017, đó là một hợp đồng ICO với một lỗi đẹp đẽ, tinh vi trong logic phân phối token. Năm 2025, mối đe dọa không còn nằm trong mã byte nữa; nó đang ẩn nấp trong một tiện ích mở rộng Chrome.
Hãy cùng mổ xẻ điều này. Thông cáo báo chí, giống như hầu hết các thông báo sản phẩm, rất mơ hồ. Nó nói về việc "nhúng giao dịch" vào các trang web, nhưng nó không nói làm thế nào. Đây là một điểm mù quan trọng. Về mặt kỹ thuật, có hai cách để thực hiện việc này. Một là, tiện ích mở rộng có thể hoạt động như một lớp phủ, chèn một nút "Giao dịch" vào DOM của trang web bằng JavaScript. Điều này cho phép nó đọc nội dung của trang, chẳng hạn như một mã thông báo được đề cập trên Twitter, và sau đó tạo một giao dịch. Cách còn lại, phức tạp hơn, liên quan đến việc tiện ích mở rộng hoạt động như một proxy, chặn lưu lượng truy cập web và sửa đổi nó một cách linh hoạt. Cả hai cách đều yêu cầu các quyền rộng rãi. Để đọc một bài đăng trên X, tiện ích mở rộng cần quyền truy cập vào 2 .x.com. Để làm điều tương tự trên Reddit, nó cần .reddit.com. Điều này có nghĩa là nó có thể đọc mọi thứ* trên các trang đó: tin nhắn riêng tư, chi tiết thanh toán, dữ liệu nhạy cảm. Đây không phải là một vấn đề nhỏ. Đây là một lỗ hổng bảo mật đang chờ xảy ra. Điểm mấu chốt là: quyền càng lớn, bề mặt tấn công càng rộng. Nếu tiện ích mở rộng bị xâm phạm thông qua một cuộc tấn công vào chuỗi cung ứng hoặc một bản cập nhật độc hại, kẻ tấn công có thể dễ dàng đánh cắp khóa API hoặc thậm chí thao túng các giao dịch trực tiếp trong trình duyệt của nạn nhân.
Bây giờ, hãy nói về nơi mà tiền thực sự nằm: khóa riêng tư. Thông cáo báo chí không đề cập đến việc liệu Liquid có sử dụng ví tự quản lý hay không. Nếu nó là một tiện ích mở rộng kết nối với một tài khoản sàn giao dịch tập trung, thì rủi ro sẽ thấp hơn một chút, nhưng vẫn còn đó. Bạn đang giao phó tài sản của mình cho một bên thứ ba, và tiện ích mở rộng chỉ là một cổng vào. Nhưng nếu nó lưu trữ khóa riêng tư trong bộ nhớ cục bộ của trình duyệt? Đó là một thảm họa đang chờ xảy ra. Tôi đã kiểm tra vô số ví tiền điện tử, và tôi có thể nói với bạn rằng việc lưu trữ khóa trong localStorage hoặc IndexedDB của trình duyệt, mặc dù thuận tiện, vốn dĩ không an toàn. Mọi tiện ích mở rộng khác mà bạn đã cài đặt đều có thể đọc dữ liệu đó. Một tập lệnh độc hại được tiêm vào một trang web bạn truy cập có thể đánh cắp nó. Đây là lý do tại sao các tiện ích mở rộng ví như MetaMask hoặc Phantom yêu cầu bạn phê duyệt rõ ràng mọi giao dịch: chúng không tự động đọc khóa của bạn. Liquid, nếu nó cố gắng tự động hóa hoàn toàn quy trình này, sẽ phải đối mặt với một sự đánh đổi cơ bản giữa bảo mật và trải nghiệm người dùng. Và trong thế giới DeFi, sự đánh đổi đó thường kết thúc trong một cuộc tấn công.
Hãy nhìn vào bức tranh lớn hơn. Đây là một sản phẩm đang được ra mắt trong một thị trường tăng giá. Sự phấn khích và FOMO đang ở mức cao nhất mọi thời đại. Mọi người đang tìm kiếm lợi nhuận nhanh chóng, và sự tiện lợi của việc giao dịch ngay lập tức từ một dòng tweet là vô cùng hấp dẫn. Đây chính xác là loại môi trường mà các lỗ hổng bảo mật phát triển mạnh. Sự thật phản trực giác là: trong một thị trường tăng giá, các vấn đề bảo mật thường bị bỏ qua. Mọi người đều muốn trở nên giàu có một cách nhanh chóng, và họ ít có khả năng đặt câu hỏi về các chi tiết kỹ thuật. Tôi đã thấy điều này vào năm 2021 với các thị trường NFT. Các dự án đã huy động được hàng triệu đô la với các hợp đồng thông minh dễ vỡ như thủy tinh. Liquid, bằng cách nhắm vào sự bốc đồng này, đang tạo ra một kịch bản rủi ro hoàn hảo. Nó không chỉ là một tiện ích mở rộng; nó là một công cụ để khuếch đại các quyết định đầu tư tồi.
Và sau đó là vấn đề về quy định. Bằng cách nhúng giao dịch vào các trang web như Bloomberg và CNBC, Liquid đang bước vào một vùng xám pháp lý. Nếu các mã thông báo được giao dịch thông qua tiện ích mở rộng này được coi là chứng khoán, thì SEC có thể sẽ có tiếng nói. Hơn nữa, các nền tảng như X và Reddit có các điều khoản dịch vụ nghiêm ngặt chống lại việc tự động hóa và các tiện ích mở rộng thương mại trái phép. Liquid có thể thấy tiện ích mở rộng của mình bị vô hiệu hóa chỉ sau một đêm. Vì vậy, câu hỏi thực sự không phải là 'Liquid có hoạt động không?', mà là 'Liquid có tồn tại đủ lâu để trở thành một mối đe dọa thực sự không?' Từ góc độ kiểm toán, tôi sẽ không bao giờ khuyên bạn nên cài đặt một tiện ích mở rộng như vậy nếu không có báo cáo kiểm toán bảo mật độc lập, mã nguồn mở và một chính sách quyền tối thiểu rõ ràng. Cho đến lúc đó, nó chỉ là một câu chuyện cảnh báo khác được gói gọn trong một giao diện đẹp đẽ. Câu hỏi dành cho bạn là: bạn có sẵn sàng đánh đổi bảo mật của mình để lấy một vài giây tiết kiệm thời gian không?