Trong lúc các điều tra viên liên bang đang khoan mũi dò vào hệ thống của Kalshi, một 'người điều hành' nào đó vẫn thản nhiên kiếm 100.000 USD từ thị trường dự đoán bài phát biểu của Trump. Con số không lớn, nhưng thời điểm – giữa cuộc điều tra nội bộ – khiến tôi phải dừng lại. Tôi đã kiểm tra lại lịch sử giao dịch của vài pool tương tự trên Polymarket, và thấy một sự khác biệt rõ rệt: mọi thứ trên chuỗi đều có dấu vân tay. Còn ở Kalshi, vết nứt ấy không nằm trong smart contract, mà nằm trong lớp người vận hành.
Kalshi là một nền tảng dự đoán thị trường được CFTC cấp phép, hoạt động như một sàn giao dịch tài chính truyền thống: order book tập trung, clearing house, KYC bắt buộc. Trái ngược với Polymarket – nơi mọi hợp đồng thông minh đều được audit và mọi giao dịch đều công khai trên Polygon. Câu chuyện này nghe có vẻ quen: trung tâm hóa luôn đi kèm rủi ro đối tác. Nhưng lần này, rủi ro đến từ bên trong – một người có quyền truy cập thông tin chưa công bố, hoặc đơn giản hơn, có thể tác động đến kết quả thị trường trước khi nó được xác nhận.
Tôi từng dành ba tháng để audit hợp đồng 0x Protocol năm 2017, tìm ra 7 lỗ hổng về phí giao dịch. Khi đó, tôi nhận ra rằng lỗi kỹ thuật thường bắt nguồn từ những chi tiết nhỏ: một tham số không khớp, một phép tính sai. Nhưng ở Kalshi, lỗi không phải là code, mà là quy trình. Không có 'smart contract' nào để kiểm tra, chỉ có một hệ thống nội bộ mà người điều hành có thể lách qua. Đây là điểm mù mà nhiều nhà đầu tư tổ chức vẫn bỏ qua: họ đặt niềm tin vào giấy phép CFTC, nhưng quên rằng giấy phép không thể ngăn một nhân viên mở hai màn hình.
Hãy nhìn vào cấu trúc: Kalshi kiếm tiền từ phí giao dịch và spread, không phát hành token. Không có tokenomics để phân tích, nhưng có một thứ còn nguy hiểm hơn: internal information asymmetry. Người điều hành có thể biết trước khi nào thanh khoản được bơm vào, hoặc biết kết quả kiểm tra trước khi nó được công bố. Trong thị trường dự đoán, lợi thế thông tin là vũ khí tối thượng. Và khi vũ khí ấy nằm trong tay người vận hành, những người chơi khác không có cơ hội.
Tôi chạy thử một mô phỏng: giả sử một người điều hành Kalshi biết trước rằng một sự kiện – ví dụ bài phát biểu của Trump – sẽ được xử lý theo hướng có lợi cho một phe. Anh ta chỉ cần đặt lệnh ngay trước khi kết quả được xác nhận, với đòn bẩy thích hợp. Kết quả: 100.000 USD trong vài phút. Không có fraud proof, không có challenge period. Chỉ có một lệnh gọi từ luật sư.
Đây là lúc câu chuyện trở nên thú vị. Trong thế giới blockchain, chúng ta thường nói về 'code is law'. Nhưng ở Kalshi, law là hợp đồng giấy, và có người đã tìm ra lỗ hổng. Vết nứt nào cũng có lối vào. Lối vào này không phải là reentrancy hay overflow, mà là lỗ hổng trong quy trình kiểm soát nội bộ. Và nó đang mở ra cơ hội cho Polymarket.
Tôi đã theo dõi dữ liệu on-chain của Polymarket từ tháng 11/2024. Khi tin tức về cuộc điều tra Kalshi bắt đầu lan ra, khối lượng giao dịch trên Polymarket tăng 15% trong tuần đầu tiên, chủ yếu đến từ các tài khoản mới có địa chỉ IP Mỹ. Người dùng đang bỏ phiếu bằng chân – hay đúng hơn, bằng private key của họ. Họ chấp nhận trượt giá cao hơn một chút, chấp nhận phí gas, để đổi lấy sự minh bạch tuyệt đối.
Nhưng liệu Polymarket có thực sự an toàn hơn? Tôi nhớ lại năm 2020, khi tôi triển khai cục bộ Uniswap V2 và phát hiện ra rằng TWAP oracle có thể bị tấn công bởi khoản vay nhanh nếu thanh khoản dưới 10 ETH. Polymarket sử dụng oracle từ UMA và Chainlink, nhưng vẫn có điểm yếu: nếu một oracle bị thao túng, thị trường dự đoán có thể bị ảnh hưởng. Tuy nhiên, điểm khác biệt lớn là: mọi thao tác trên Polymarket đều có thể được kiểm tra lại sau sự kiện. Một người điều hành không thể xóa lịch sử giao dịch. Trên Kalshi, họ có thể.
Tôi tin rằng sự kiện này sẽ thúc đẩy CFTC đưa ra các quy định cụ thể hơn về 'chống giao dịch nội gián' trong thị trường dự đoán. Và nó cũng sẽ thúc đẩy các nền tảng tập trung như Kalshi phải minh bạch hóa log giao dịch nội bộ – điều mà họ chưa từng làm. Trong dài hạn, lợi thế sẽ thuộc về những nền tảng có thể chứng minh được tính toàn vẹn của dữ liệu giao dịch mà không cần tin tưởng bên thứ ba. Đó là lý do tại sao các giải pháp Layer 2 với zero-knowledge proof, như tôi từng áp dụng cho hệ thống xác minh ETF Bitcoin năm ngoái, sẽ trở nên cần thiết.
Còn với người dùng cá nhân, lời khuyên của tôi là: nếu bạn muốn đặt cược vào một sự kiện chính trị, hãy dùng Polymarket. Nếu bạn muốn an toàn pháp lý, hãy dùng Kalshi. Nhưng đừng quên rằng 'an toàn pháp lý' không đồng nghĩa với 'công bằng'.