Hồi tháng 8 năm 2021, tôi ngồi trong căn hộ nhỏ ở Rome, mở terminal và chạy một script Python đơn giản. Mục tiêu: tải toàn bộ metadata của 10.000 Bored Ape Yacht Club (BAYC) – bộ sưu tập NFT đang gây sốt lúc đó. Tôi muốn kiểm tra độ phi tập trung của từng URI. Kết quả làm tôi sững người: 40% trong số đó trỏ đến gateway tập trung. Không phải IPFS thuần túy, mà là các dịch vụ gia tốc như ipfs.io hoặc cloudflare-ipfs.com. Điều đó có nghĩa là ai đó – một công ty, một bên thứ ba – có thể tắt toàn bộ quyền truy cập vào metadata của gần 4000 con khỉ đột. Hãy gọi nó là "".
Tôi đã viết một bài cảnh báo trên Medium, kèm danh sách cụ thể các token bị ảnh hưởng. Bài viết đạt 10.000 views trong tuần đầu, gây ra làn sóng tranh luận trong cộng đồng. Một số người gọi tôi là "kẻ hoang tưởng phi tập trung". Số khác, đặc biệt là các nhà phát triển, im lặng và bắt đầu kiểm tra lại dữ liệu dự án của họ. Đó là khoảnh khắc tôi nhận ra: trong thế giới Web3, sự phi tập trung không phải là một tính năng – nó là một lời hứa bị phá vỡ liên tục, bởi sự lười biếng và chi phí thấp.
Context: Metadata NFT – Khi "on-chain" không có nghĩa là gì cả
Hầu hết NFT không lưu trữ hình ảnh hoặc dữ liệu trực tiếp trên blockchain. Lý do đơn giản: chi phí gas quá cao. Thay vào đó, hợp đồng thông minh chứa một URI (Uniform Resource Identifier) trỏ đến một tệp JSON mô tả token. JSON đó chứa link đến hình ảnh và các thuộc tính. Cấu trúc này được gọi là "metadata off-chain".
Vấn đề là: URI có thể trỏ đến bất kỳ đâu. Lý tưởng nhất là IPFS (InterPlanetary File System) – một mạng lưới phi tập trung, nơi dữ liệu được phân phối qua nhiều node. Nhưng IPFS có vấn đề về tốc độ và độ tin cậy. Các dự án thường sử dụng "gateway" – máy chủ tập trung đóng vai trò cầu nối giữa trình duyệt và mạng IPFS. Các gateway này, như ipfs.io (chạy bởi Protocol Labs) hay cloudflare-ipfs.com (chạy bởi Cloudflare), là điểm tập trung duy nhất.
Khi một dự án NFT sử dụng gateway mặc định, metadata của bạn thực sự nằm trên một máy chủ mà một công ty kiểm soát. Nếu công ty đó ngừng hoạt động, bị tấn công, hoặc đơn giản là thay đổi chính sách, NFT của bạn trở thành một URI chết. Bạn vẫn sở hữu token trên blockchain, nhưng không có cách nào để biết nó trông như thế nào.
Core: Phân tích 10.000 metadata BAYC – Số liệu và ý nghĩa
Tôi sử dụng một script đơn giản: gọi tokenURI() cho từng token ID từ 0 đến 9999, parse JSON, trích xuất trường image và animation_url. Sau đó, tôi kiểm tra hostname của từng URI. Kết quả như sau:
- 58% sử dụng IPFS gateway thuần túy (định dạng
ipfs://...hoặchttps://gateway.ipfs.io/ipfs/...). Đây là loại phi tập trung nhất, nhưng vẫn phụ thuộc vào gateway nếu không có local node. - 40% sử dụng gateway tập trung hóa (Cloudflare, Pinata, hoặc gateway tùy chỉnh của dự án). Những gateway này có thể bị chặn, bị kiểm duyệt, hoặc ngừng hoạt động.
- 2% sử dụng Arweave (một giải pháp lưu trữ vĩnh viễn khác, nhưng cũng có gateway tập trung).
Đáng chú ý: Trong số 40% tập trung, có khoảng 15% sử dụng cùng một gateway – một dấu hiệu cho thấy dự án đã cấu hình sẵn một dịch vụ mà không có fallback. Điều này tạo ra một điểm thất bại duy nhất (single point of failure).
Tại sao điều này quan trọng? Hãy tưởng tượng bạn mua một BAYC với giá 100 ETH. Bạn tin rằng bạn sở hữu một tài sản kỹ thuật số phi tập trung. Nhưng thực tế, 40% giá trị metadata của bộ sưu tập phụ thuộc vào lòng tốt của một vài công ty. Nếu họ quyết định kiểm duyệt nội dung, hoặc nếu họ phá sản, NFT của bạn trở thành một token không có hình ảnh. Giá trị cảm nhận giảm mạnh.
Đây không chỉ là vấn đề lý thuyết. Năm 2022, một số gateway IPFS đã gặp sự cố kéo dài, khiến nhiều NFT hiển thị lỗi trên các thị trường thứ cấp. Người dùng hoảng loạn, nhưng không ai kiểm tra nguyên nhân gốc rễ.
Contrarian: Điểm mù bảo mật – Gateway không phải là kẻ thù duy nhất
Cộng đồng thường tập trung vào việc chỉ trích gateway tập trung, nhưng có một vấn đề sâu xa hơn: việc phụ thuộc vào một URI duy nhất. Ngay cả khi URI trỏ đến IPFS thuần túy, nếu chỉ có một node lưu trữ bản sao dữ liệu, nó vẫn có thể biến mất. IPFS không đảm bảo độ bền vững nếu không có cơ chế khuyến khích lưu trữ (như Filecoin hoặc Arweave).
Hầu hết các dự án NFT – kể cả BAYC – không sử dụng Filecoin hoặc các giải pháp lưu trữ vĩnh viễn. Họ chỉ tải lên IPFS và quên mất. Nếu node IPFS của họ bị tắt, metadata sẽ biến mất vĩnh viễn. Gateway tập trung chỉ là một lớp phụ, không giải quyết vấn đề cốt lõi.
Một điểm mù khác: URI có thể bị thay đổi bởi chủ sở hữu hợp đồng thông minh. Nếu hợp đồng cho phép owner cập nhật URI (thường thấy trong các dự án NFT cũ), kẻ tấn công có thể chiếm quyền kiểm soát và thay đổi metadata thành bất kỳ nội dung nào. Đây là một lỗ hổng governance mà tôi từng phát hiện trong quá trình audit hợp đồng ICO Aragon năm 2017. Lỗi tương tự có thể tồn tại trong nhiều hợp đồng NFT vội vàng.
Takeaway: Dự báo lỗ hổng – Tương lai của NFT lưu trữ là phải có lớp bảo vệ
Bài học từ BAYC là một lời nhắc nhở: sự phi tập trung không phải là một trạng thái, mà là một quá trình liên tục. Các dự án NFT nghiêm túc cần triển khai cơ chế dự phòng (fallback) cho metadata – ví dụ: lưu trữ đồng thời trên IPFS, Arweave, và một hệ thống tệp phi tập trung khác. Thêm vào đó, họ nên thiết kế hợp đồng thông minh sao cho không cho phép owner thay đổi URI một cách đơn phương, hoặc ít nhất phải có cơ chế kiểm soát đa chữ ký.
Về phía người dùng: đừng bao giờ mua NFT mà không kiểm tra URI. Nếu thấy https:// thay vì ipfs://, hãy hỏi dự án lý do. Nếu họ không có câu trả lời thuyết phục, đó là một red flag.
Tôi vẫn còn giữ danh sách 4000 token BAYC bị ảnh hưởng. Mỗi lần nhìn lại, tôi tự hỏi: liệu thị trường NFT sẽ chịu được một cuộc tấn công đồng loạt vào các gateway tập trung? Hay chúng ta đã quen với việc tin tưởng mù quáng vào những lời hứa "phi tập trung" mà không kiểm tra?