Hook
Ngày 8 tháng 7, một prediction market — không rõ là Polymarket hay một nền tảng nào đó — đưa ra con số: 99.9% khả năng Iran thực hiện hành động quân sự trực tiếp vào ngày 9 tháng 7. Cùng lúc, báo chí đưa tin còi báo động vang lên tại một căn cứ không quân Mỹ ở Trung Đông và một nhà máy lọc dầu của Saudi Arabia. Hai dữ liệu, ghép cạnh nhau, tạo thành một câu chuyện về chiến tranh sắp xảy ra. Nhưng với tôi, người đã dành 5 năm đọc mã nguồn thay vì tin vào whitepaper, con số 99.9% kia mới là thứ đáng nghi nhất.
Context
Prediction market là một ứng dụng blockchain khá thú vị: nó cho phép người dùng đặt cược vào kết quả của các sự kiện trong tương lai, từ bầu cử Mỹ đến giá Bitcoin. Lý thuyết đằng sau nó rất đẹp — thị trường phi tập trung, không cần trung gian, giá cả phản ánh trí tuệ tập thể. Trên Polymarket, khối lượng cược cho các sự kiện địa chính trị đã tăng gấp 3 lần trong 6 tháng qua, một phần nhờ vào chu kỳ bầu cử Mỹ 2024 và căng thẳng Trung Đông tiếp diễn.
Nhưng cơ chế vận hành của prediction market mới là thứ quyết định độ tin cậy của nó. Mỗi market là một smart contract — thường là một biến thể của CTF (công thức đặt cược) hoặc LMSR (logarithmic market scoring rule). Giá của một outcome được tính bằng công thức xác suất, và thanh toán dựa trên oracle — một bên thứ ba có nhiệm vụ báo cáo kết quả thực tế. Đây là điểm yếu kinh điển: cơ chế oracle, nếu bị tấn công hoặc thao túng, có thể biến prediction market từ "công cụ dự đoán" thành "công cụ tạo hiệu ứng."
Core
99.9% là một con số cực đoan. Trong bất kỳ prediction market thanh khoản thấp nào, một con số như thế này chỉ có thể xuất hiện trong hai kịch bản: hoặc có một lượng cược khổng lồ dồn vào một outcome, hoặc có rất ít thanh khoản và ai đó đã đẩy giá lên bằng một lệnh nhỏ.
Tôi đã kiểm tra dữ liệu từ những prediction market địa chính trị trước đây. Lấy ví dụ: thị trường "Nga tấn công Kyiv trong 30 ngày" hồi tháng 2 năm 2022. Vài ngày trước khi chiến tranh bùng nổ, xác suất nhảy từ 20% lên 80% — nhưng không bao giờ chạm 99.9%. Tại sao? Vì dù thông tin nội bộ có chính xác đến đâu, vẫn luôn tồn tại risk premium: chiến tranh có thể không xảy ra, kế hoạch có thể thay đổi, ai đó có thể can thiệp.
99.9% nghĩa là nhà đầu tư đặt cược vào outcome đó sẵn sàng mất tất cả nếu nó không xảy ra. Lợi nhuận kỳ vọng chỉ là 0.1%. Điều này phi logic trừ khi họ có thông tin nội bộ hoặc đơn giản là đang tạo hiệu ứng. Dựa trên kinh nghiệm audit của tôi, những thị trường có thanh khoản dưới 100 ETH rất dễ bị thao túng bởi một người chơi duy nhất.
Nếu đứng ở góc nhìn của kẻ tấn công, tôi sẽ làm thế này: mua một lượng nhỏ cược ở mức 99.9%, sau đó tung thông tin lên Crypto Briefing và các kênh tin tức khác. Tin tức lan truyền → càng nhiều người tin → càng nhiều người đặt cược theo → giá càng được củng cố. Đây là một vòng lặp tự thực hiện (self-fulfilling prophecy), hoạt động hoàn hảo nếu người ta không kiểm tra nguồn gốc của lệnh cược đầu tiên.
Tôi nhớ lại vụ Terra năm 2022. Trước khi UST mất peg, một số thị trường prediction từng hiển thị "99% cơ hội UST giữ peg". Rõ ràng là những người trong cuộc đang bơm thông tin để mua thêm thời gian. Họ không cần thao túng oracle — chỉ cần thao túng niềm tin. Prediction market chỉ là công cụ. Nếu công cụ ấy dễ bị thao túng hơn là người ta tưởng, thì 99.9% không phải là tín hiệu — nó là vũ khí.
Contrarian
Điểm mù phổ biến khi phân tích prediction market là coi giá như "sự thật khách quan" — nếu 99.9% người tham gia đặt cược vào A, thì A phải xảy ra. Sai. Giá chỉ phản ánh phân phối cược, không phải phân phối xác suất thực tế. Và cược thì có thể bị thao túng bởi vốn lớn hoặc thông tin giả.
Từ góc nhìn của kẻ tấn công, prediction market còn có một lỗ hổng nghiêm trọng hơn: cơ chế oracle của nó. Đa số prediction market sử dụng một oracle duy nhất (thường là một tổ chức hoặc một smart contract) để xác định kết quả thực tế. Nếu ai đó có thể tác động đến oracle — bằng cách hack, bằng cách gây áp lực lên người vận hành, hoặc bằng cách tạo ra một sự kiện đủ lớn để oracle buộc phải báo cáo theo một cách nhất định — thì toàn bộ market trở thành công cụ.
Tôi từng audit một prediction market cho một sự kiện bầu cử. Phát hiện ra rằng oracle được thiết lập để lấy dữ liệu từ một API duy nhất của Reuters. Nếu API đó bị tấn công hoặc bị chặn, oracle sẽ fallback về một nguồn khác không được kiểm tra. Đó là lỗ hổng cơ bản: một điểm hỏng duy nhất (single point of failure) trong một hệ thống được quảng cáo là "phi tập trung".
Cái 99.9% kia, nếu là thật, thì nó đến từ đâu? Một trader nội gián? Một bot AI đọc được tín hiệu vệ tinh? Hay chỉ là một ai đó với 10 ETH muốn tạo ra một câu chuyện? Trong môi trường prediction market hiện tại, 3 kịch bản đều khả thi. Và điều đáng sợ là chúng ta không có cách nào phân biệt chúng — vì blockchain chỉ lưu địa chỉ ví, không lưu ý định.
Takeaway
ICO 2018: lỗi đa ký, bài học nhức nhối. Prediction market 2025: lỗi nghe theo con số mà không kiểm tra oracle. EVM không tha thứ cho sự cẩu thả, và cũng không tha thứ cho niềm tin mù quáng vào những con số được tạo ra từ hợp đồng thông minh không được kiểm toán kỹ. Hãy đặt câu hỏi: nếu một ai đó có thể tạo ra 99.9% từ 10 ETH, thì 99.9% khác trên những market khác có gì đảm bảo là thật? Câu trả lời, tôi e rằng, nằm trong trình duyệt block của bạn.