Sáng nay, khi tôi mở điện thoại, nhóm Telegram của những người vận hành node Bitcoin đã sục sôi như một tổ ong bị chọc. Không phải là một đợt tăng giá, không phải một dự án mới. Một dòng thông báo ngắn gọn từ BTCPay Server khiến tất cả chúng tôi phải ngồi thẳng dậy: "Một lỗ hổng nghiêm trọng đang bị khai thác tích cực. Vui lòng nâng cấp lên v2.4.2 hoặc tắt dịch vụ của bạn ngay lập tức." Trong vài giây, cảm giác bàng hoàng lan tỏa. Bởi vì BTCPay Server không phải là một sàn giao dịch xa lạ. Đó là công cụ mà nhiều người trong chúng tôi đã dành nhiều năm để tin tưởng, giới thiệu cho các chủ cửa hàng nhỏ, cho những tổ chức phi lợi nhuận, cho bất kỳ ai muốn thoát khỏi sự kiểm soát của ngân hàng và trung gian thanh toán. Và giờ đây, chính công cụ này đang khiến tiền của họ gặp rủi ro.
Tôi không thể không nhớ lại năm 2017, khi tôi 30 tuổi, đứng trong một quán cà phê ở quận Hải Điện, Bắc Kinh, hướng dẫn hơn 200 người mới lần đầu mua token qua Telegram. Không có lương, chỉ có niềm tin. Tôi nói với họ về tự do tài chính, về một hệ thống không cần ai cho phép. Họ nhìn tôi với ánh mắt tin tưởng. Và tôi đã học được một bài học quan trọng: niềm tin là tài sản quý giá nhất, nhưng cũng dễ vỡ nhất. Hôm nay, cảm giác đó lại trở về.
BTCPay Server là một máy chủ thanh toán Bitcoin mã nguồn mở, tự托管 (self-hosted), được ra đời từ năm 2017 bởi Nicolas Dorier và cộng đồng. Thay vì phải dựa vào các dịch vụ tập trung như OpenNode hay CoinGate, các merchant có thể tự chạy một máy chủ của riêng mình, nắm giữ private key, kiểm soát toàn bộ quy trình thanh toán. Không có phí tháng, không có bên thứ ba phải tin tưởng, không có ai có thể đóng băng tài khoản của bạn. Đó là lý do tại sao những người theo chủ nghĩa tự do, những người đề cao quyền tự chủ, và cả những ai đã trải qua sự khắc nghiệt của kiểm duyệt tài chính, đều coi BTCPay là một biểu tượng. Nhưng biểu tượng này giờ đã bị nứt.
Thông tin từ bản tin ban đầu cho biết lỗ hổng đang bị khai thác tích cực và có thể dẫn đến mất tiền. Phiên bản vá là v2.4.2, một bản vá nhỏ, nhưng khuyến cáo rất mạnh: nếu không thể nâng cấp, hãy tắt dịch vụ. Điều đó nói lên mức độ nghiêm trọng. Với một người đã vận hành cộng đồng DeFi từ mùa hè 2020, tôi biết rằng những dòng thông báo kiểu này thường là phần nổi của một tảng băng chìm. Chi tiết kỹ thuật về CVE, đường tấn công, và cách khai thác vẫn chưa được công bố. Nhưng dựa trên bản chất của một phần mềm thanh toán, tôi có thể phác thảo những kịch bản nguy hiểm nhất. Có thể là lỗ hổng injection hoặc bypass xác thực, cho phép kẻ tấn công giả mạo webhook, sửa đổi trạng thái hóa đơn, hoặc chuyển hướng thanh toán đến địa chỉ của chúng. Có thể là lỗ hổng cho phép truy cập trái phép vào giao diện quản trị, đánh cắp khóa mở rộng hoặc thậm chí là seed phrase. Cũng có thể là một lỗ hổng từ thư viện phụ thuộc, như NBXplorer - công cụ theo dõi UTXO mà BTCPay sử dụng. Bất kể kịch bản nào, một điều rõ ràng: kẻ tấn công đã tìm ra cách vượt qua ranh giới tin cậy của một hệ thống được xây dựng để không cần tin tưởng ai.
Trong thế giới blockchain, chúng ta thường nói về việc loại bỏ bên trung gian. Nhưng chúng ta quên rằng, tự托管 không có nghĩa là tự miễn nhiễm. Nó có nghĩa là chính bạn phải trở thành người bảo vệ cuối cùng. Khi tôi dẫn dắt nhóm "DeFi 101" với 300 thành viên vào năm 2020, tôi dành hàng giờ để soạn nội dung về Uniswap và Compound, tổ chức các buổi Zoom giải thích về rủi ro stablecoin. Tôi luôn nhấn mạnh một điều: không có hợp đồng thông minh nào là hoàn hảo, không có mã nguồn nào là bất biến trước sai lầm. Điều duy nhất có thể cứu bạn là sự cảnh giác và cộng đồng xung quanh bạn. Bài kiểm tra hàng tuần tôi giao cho họ không chỉ để kiểm tra kiến thức, mà để tạo ra một thói quen, một phản xạ: trước khi nhấn nút "approve", hãy dừng lại và suy nghĩ.
Ngày hôm nay, phản xạ đó đang được đưa vào thử nghiệm. Từ góc độ kỹ thuật, lỗ hổng trong BTCPay Server là một lời nhắc nhở rằng phần mềm nguồn mở không tự nhiên an toàn. Nó an toàn bởi vì có nhiều con mắt nhìn vào mã nguồn, nhưng cũng chỉ an toàn khi có đủ nguồn lực để kiểm tra và vá lỗi kịp thời. BTCPay Server là một dự án phi lợi nhuận, không có token, không có quỹ đầu tư mạo hiểm, không có đội ngũ an ninh chuyên trách. Nó dựa vào sự đóng góp của cộng đồng. Và điều đó khiến tôi nhớ đến một thực tế khác: trong khi nhiều dự án rao giảng phi tập trung nhưng lại có token được phân bổ cho team và foundation, và DAO chỉ là một lá chắn tuân thủ, thì BTCPay Server đứng ngoài tất cả những trò chơi đó. Nó không có token để đầu cơ, không có lời hứa về lợi nhuận. Nó chỉ có một mục tiêu duy nhất: giúp bạn giữ lấy tiền của chính mình.
Nhưng chính sự thuần khiết đó lại là con dao hai lưỡi. Một dự án không có nguồn thu sẽ luôn thiếu hụt nguồn lực cho an ninh mạng. Các cuộc kiểm toán định kỳ là một thứ xa xỉ. Và khi sự cố xảy ra, phản ứng của cộng đồng chính là tấm khiên đầu tiên. Tôi nhớ đến năm 2022, khi thị trường sụp đổ, tôi dừng viết bài kỹ thuật để mở podcast "Trụ vững mùa gấu". Mỗi tuần, tôi mời một thành viên trong cộng đồng chia sẻ câu chuyện vượt khó. Có những người mất gần hết tài sản. Có những người mất niềm tin vào chính bản thân mình. Tôi dành 10 giờ mỗi tuần để trả lời tin nhắn, an ủi hơn 80 người. Tôi hiểu rằng trong lúc khủng hoảng, thứ con người cần nhất không phải là lời khuyên kỹ thuật, mà là cảm giác rằng họ không đơn độc. Cộng đồng là vũ khí tối thượng.
Bây giờ, khi lỗ hổng BTCPay đang bị khai thác, vũ khí đó cần được sử dụng. Tôi đã thấy rất nhiều lời khuyên từ các chuyên gia bảo mật: hãy nâng cấp ngay lập tức, hãy sao lưu dữ liệu, hãy kiểm tra lịch sử hóa đơn của bạn. Nhưng tôi cũng nhận ra một khoảng trống lớn: không phải ai cũng có khả năng làm điều đó. Có những chủ cửa hàng nhỏ cài đặt BTCPay một lần và quên mất nó tồn tại. Họ không đọc GitHub, không theo dõi Twitter, không tham gia các nhóm Telegram. Khi một lỗ hổng được công bố, họ là những người cuối cùng biết tin. Và đó chính là vấn đề của tự托管 - nó đòi hỏi một trình độ vận hành mà không phải ai cũng có. Nó giống như việc tự xây nhà thay vì mua chung cư: bạn có toàn quyền kiểm soát, nhưng bạn cũng phải tự chịu trách nhiệm khi mái nhà dột.
Điều này dẫn tôi đến một góc nhìn phản trực giác. Thông thường, khi một công cụ tự托管 gặp sự cố, chúng ta sẽ nghe thấy những giọng nói chế giễu: "Đó là lý do vì sao bạn nên dùng dịch vụ tập trung. Hãy để người khác lo lắng về bảo mật." Nhưng tôi nghĩ đó là một cách nhìn sai lầm. Các dịch vụ tập trung cũng từng bị hack. Họ bị hack với quy mô lớn hơn nhiều, và khi họ bị hack, bạn thường không thể làm gì để tự bảo vệ mình. Với BTCPay, bạn có thể kiểm tra mã nguồn, bạn có thể nâng cấp, bạn có thể tắt máy chủ và giữ an toàn. Quyền năng đó không tồn tại trong thế giới tập trung. Lỗ hổng BTCPay không phải là bằng chứng cho thấy phi tập trung thất bại. Nó là bằng chứng cho thấy phi tập trung đang trưởng thành - với những vết sẹo chiến tranh thực sự.
Tuy nhiên, tôi cũng không muốn tô hồng bức tranh. Sự thật là mô hình tự托管 hiện tại không bền vững cho những người không có kỹ năng kỹ thuật. Nếu chúng ta thực sự muốn mang tự do tài chính đến cho mọi người, chúng ta cần xây dựng các lớp trừu tượng, các công cụ tự động hóa, và hơn hết, một mạng lưới hỗ trợ cộng đồng mạnh mẽ. Tôi đã thấy điều này xảy ra trong thế giới WordPress - một nền tảng mã nguồn mở khổng lồ, nhưng có cả một hệ sinh thái các công ty cung cấp dịch vụ quản trị, bảo mật, sao lưu. BTCPay cũng cần điều đó. Thực tế, một số dịch vụ bên thứ ba đã bắt đầu cung cấp "BTCPay Server được quản lý", nơi họ lo phần vận hành trong khi bạn vẫn giữ private key. Xu hướng này có thể sẽ tăng tốc sau sự cố này. Và đó không phải là một sự đầu hàng - đó là một sự tiến hóa.
Nhưng có một điều mà tôi muốn nhấn mạnh hơn hết: trong bất kỳ cuộc khủng hoảng nào, thứ mạnh mẽ nhất không phải là công nghệ. Nó là con người. Công nghệ chỉ là công cụ. Khi tôi phát hành bộ sưu tập NFT "Tương lai phi tập trung" vào năm 2021 cùng các họa sĩ địa phương, tôi nhận ra rằng việc bán được 120 NFT và thu về 20 ETH không quan trọng bằng việc chúng tôi đã tạo ra một không gian để 200 phụ huynh đến trường học và lắng nghe về blockchain. Công nghệ có thể thất bại, nhưng các mối quan hệ con người được xây dựng xung quanh nó có thể tồn tại. Chính vì thế, trong lúc này, tôi không chỉ khuyên bạn nâng cấp BTCPay. Tôi khuyên bạn hãy liên hệ với những người cùng vận hành node, chia sẻ thông tin, giúp đỡ những ai chưa kịp nắm bắt. Nếu bạn là một người có kinh nghiệm, hãy viết một bài hướng dẫn ngắn. Nếu bạn mới bắt đầu, hãy hỏi một câu hỏi trước khi quá muộn.
Tôi vẫn nhớ lần đầu tiên tôi ngồi trước một máy tính để cài đặt BTCPay cho một người bạn làm nghề bán cà phê. Anh ấy không biết gì về Linux, không biết gì về Docker. Tôi ngồi cạnh anh, chỉ cho anh từng dòng lệnh, giải thích tại sao chúng ta cần một máy chủ riêng, tại sao chúng ta nên giữ private key trên một thiết bị lạnh. Mất gần ba giờ đồng hồ. Khi mọi thứ hoạt động, anh nhìn tôi với vẻ ngạc nhiên và nói: "Thật sự là bây giờ tôi có thể nhận tiền mà không cần một ngân hàng?" Tôi gật đầu. Lúc đó tôi cảm thấy mình đã làm được một điều có ý nghĩa. Nhưng hôm nay, tôi tự hỏi: liệu anh ấy đã nâng cấp hệ thống của mình lên v2.4.2 chưa? Liệu anh ấy có biết về lỗ hổng này không? Và tôi nhận ra rằng, trách nhiệm của tôi không dừng lại ở việc cài đặt. Nó kéo dài đến tận khi anh ấy thực sự trở nên độc lập.
Các nhà phát triển BTCPay đã phản hồi nhanh chóng. Họ đưa ra một bản vá trong ngày, một hành động cho thấy phản ứng chuyên nghiệp. Nhưng họ cũng không công bố chi tiết kỹ thuật, điều này khiến những quản trị viên hệ thống trong cộng đồng bối rối. Làm thế nào để biết liệu hệ thống của mình đã bị xâm nhập hay chưa? Điều này cho thấy một khoảng trống trong quy trình tiết lộ lỗ hổng. Khi một bản vá được phát hành, nó thường tạo ra một nghịch lý: bằng cách công bố rằng một lỗ hổng tồn tại, bạn cung cấp cho kẻ tấn công một bản đồ để tìm kiếm các hệ thống chưa vá. Đây là cuộc chạy đua giữa các bên vá lỗi và các bên khai thác. Và tôi biết rằng, trong cuộc đua này, những người yếu nhất là những người không nghe tin tức.
Đó là lý do tại sao tôi tin vào các cộng đồng nhỏ, gắn bó. Tôi đã thấy những nhóm WeChat, những máy chủ Discord, những buổi gặp mặt địa phương nơi mọi người cùng nhau học cách bảo vệ tài sản của mình. Năm 2017, tại Bắc Kinh, sau meetup của NEO, tôi chứng kiến 30% số người tham gia sau đó đã trở thành nhà phát triển dApp. Không phải vì họ thông minh hơn, mà vì họ có một cộng đồng để nương tựa. Khi một người mắc kẹt, những người khác sẽ giúp đỡ. Đó là sức mạnh của sự cộng hưởng. Cộng đồng là vũ khí tối thượng, không phải vì nó đánh bại kẻ thù, mà vì nó khiến mỗi cá nhân trở nên mạnh mẽ hơn rất nhiều so với khi đứng một mình.
Bây giờ, hãy nói về những hành động cụ thể. Nếu bạn đang chạy BTCPay Server, hãy dừng việc đọc bài viết này sau câu tiếp theo: nâng cấp lên v2.4.2 ngay lập tức, hoặc tắt dịch vụ của bạn. Đã có một lỗ hổng đang bị khai thác, và mỗi phút chờ đợi là một phút bạn đặt tiền của mình vào rủi ro. Sau khi nâng cấp, hãy kiểm tra các hóa đơn chưa được xác nhận, xem xét các địa chỉ thanh toán bất thường. Nếu bạn phát hiện bất kỳ dấu hiệu bất thường nào, hãy tạo một ví mới, chuyển tất cả tiền, và thiết lập lại toàn bộ máy chủ. Và quan trọng nhất, hãy chia sẻ kiến thức này với những người xung quanh. Có thể bạn bè của bạn cũng đang dùng BTCPay mà không hề hay biết về lỗ hổng.
Tôi muốn kể cho bạn nghe một câu chuyện từ mùa hè năm 2020, khi tôi dẫn dắt nhóm DeFi 101. Có một thành viên tên là Minh, một nhân viên văn phòng bình thường, đã từng bị lừa bởi một trang web giả mạo Uniswap. Anh ấy mất toàn bộ số tiền tiết kiệm ban đầu. Khi tôi gặp anh trong buổi Zoom, anh gần như muốn bỏ cuộc. Nhưng nhóm của chúng tôi đã không để anh đi. Chúng tôi cùng nhau phân tích trang web lừa đảo, tìm ra dấu hiệu nhận biết, và tuần sau anh quay lại với một ví mới, một sự thận trọng mới. Năm 2024, khi tôi thiết kế giáo trình blockchain cho sinh viên đại học, tôi đã mời Minh đến chia sẻ câu chuyện của anh. Anh đứng trước 200 sinh viên và nói: "Cộng đồng đã cứu tôi." Tôi nhìn anh và biết rằng đó là điều tôi muốn truyền đạt trong suốt 23 năm quan sát ngành này.
Trong thị trường gấu, người ta thường nói về sự sống còn. Nhưng tôi muốn nói về sự trưởng thành. Lỗ hổng BTCPay này là một bài kiểm tra. Nó kiểm tra cách chúng ta phản ứng trước nghịch cảnh, cách chúng ta hỗ trợ lẫn nhau, và cách chúng ta học hỏi từ những sai lầm. Nếu chúng ta chỉ trích một dự án nguồn mở vì lỗ hổng của nó, chúng ta đang quên rằng chính sự cởi mở của mã nguồn là thứ cho phép cộng đồng phát hiện và vá lỗi. Nếu chúng ta vội vã chuyển sang các dịch vụ tập trung, chúng ta đang quay lưng lại với những giá trị mà chúng ta đã theo đuổi suốt bao nhiêu năm.
Hãy nhìn vào bức tranh lớn hơn. Hệ sinh thái Bitcoin đang phát triển, và các công cụ thanh toán là một phần quan trọng của sự phát triển đó. Nhưng sự phát triển không thể đến từ một vài nhà phát triển tài năng. Nó đến từ một mạng lưới những người dùng có ý thức, sẵn sàng học hỏi, sẵn sàng chia sẻ. Khi tôi phỏng vấn trên TV về cuốn sách "Blockchain: Triết lý phi tập trung" vào năm 2025, tôi thường nói về sự hội tụ giữa AI và crypto. Nhưng thực ra, điều làm tôi hào hứng nhất không phải là công nghệ. Nó là con người. Những con người bình thường đang dần nhận ra rằng họ không cần phải là nô lệ của các định chế tài chính.
Vậy, tương lai sẽ ra sao sau sự cố BTCPay này? Tôi tin rằng sẽ có ba xu hướng rõ rệt. Việc nâng cấp và bảo trì các nút tự托管 sẽ trở nên dễ dàng hơn, với các công cụ tự động hóa và các bản phân phối được đóng gói sẵn để người dùng không cần phải là chuyên gia Linux. Các dịch vụ quản lý BTCPay chuyên nghiệp sẽ mọc lên, giúp những người không có kỹ năng kỹ thuật vẫn có thể hưởng lợi từ việc tự nắm giữ khoá riêng, bằng cách thuê một bên vận hành hạ tầng nhưng không bao giờ chạm vào quyền ký. Và các cộng đồng sẽ trở nên gắn kết chặt chẽ hơn, tổ chức các buổi gặp mặt, các buổi đào tạo định kỳ, và các kênh hỗ trợ khẩn cấp để mọi người luôn được cập nhật. Nhưng tôi không dùng cách liệt kê khô khan để nói về điều này, bởi vì điều tôi muốn bạn cảm nhận không phải là một danh sách, mà là một bức tranh. Một cánh đồng tự do tài chính đang được chăm bón bởi những người nông dân cần mẫn. Khi cơn bão ập đến, họ không chạy trốn từng người một. Họ đứng thành vòng tròn, dựng lên một tấm khiên bằng chính những hiểu biết và sự sẻ chia của mình.
Cuối cùng, tôi muốn quay lại lý do tại sao tôi làm những việc này. Tôi không làm vì danh tiếng, không làm vì tiền. Tôi làm vì tôi tin rằng một hệ thống tài chính phi tập trung có thể mang lại sự công bằng hơn cho những người bị bỏ lại phía sau. Tôi đã thấy những người phụ nữ bán hàng rong ở vùng nông thôn Việt Nam chưa bao giờ có tài khoản ngân hàng, nhưng họ có thể nhận được tiền từ con cái ở nước ngoài qua Bitcoin nếu họ có một chiếc điện thoại thông minh và một người hướng dẫn tận tình. BTCPay Server có thể là một công cụ trong tay họ. Nhưng công cụ này chỉ có ý nghĩa nếu nó an toàn, và sự an toàn đó đến từ cộng đồng.
Vậy nên, hãy hành động. Nâng cấp ngay. Chia sẻ tin tức. Giúp đỡ những người xung quanh bạn. Và khi bạn đã làm xong, hãy tự hỏi: làm thế nào để chúng ta - một cộng đồng - có thể xây dựng một hệ thống không chỉ mạnh mẽ về mặt kỹ thuật mà còn nhân văn trong cách vận hành? Lỗ hổng sẽ được vá. Nhưng câu hỏi về sự bền vững của tự do tài chính sẽ còn ở lại. Và câu trả lời, tôi tin, nằm trong tay của chính chúng ta.
Tôi đã giảng giải về BTCPay, về lỗ hổng, về kỹ thuật. Nhưng trên hết, tôi muốn bạn nhớ một điều: cộng đồng là vũ khí tối thượng. Không phải vì nó là một thứ vũ khí để tấn công, mà vì nó là tấm khiên bảo vệ lẫn nhau trong những ngày đen tối nhất. Hãy là một phần của tấm khiên đó. Khi bạn nâng cấp hệ thống của mình, bạn không chỉ bảo vệ bản thân. Bạn trở thành một mắt xích trong chuỗi tin cậy, một ví dụ cho những người khác noi theo. Và đến lượt mình, họ sẽ giúp người tiếp theo. Đó là vẻ đẹp của phi tập trung: không có ai lãnh đạo, nhưng tất cả đều dẫn đường.
Tôi sẽ kết thúc bằng một câu hỏi, không phải một lời tổng kết. Ngày hôm nay, bạn đã làm gì để bảo vệ không chỉ tài sản của mình, mà còn tài sản của cộng đồng? Nếu câu trả lời là "chưa gì", hãy bắt đầu ngay bây giờ. Hãy nâng cấp BTCPay, viết một bài chia sẻ, nhắn tin cho một người bạn đang vận hành node. Hành động nhỏ tạo ra thay đổi lớn. Và khi chúng ta đứng cùng nhau, không có lỗ hổng nào có thể đánh bại chúng ta.