Hãy nhìn vào log này. Địa chỉ contract 0x7aB...5eF, method syncTransactionHistory được gọi mỗi khi người dùng mở ví VNEX. Không có opt-in, không có cảnh báo. Mặc định tải lên toàn bộ lịch sử giao dịch — từ swap đầu tiên năm 2021 đến claim airdrop hôm qua. VNEX vừa huy động 15 triệu USD từ quỹ đầu tư mạo hiểm. Tôi mất 2 ngày để kiểm tra contract của họ. Kết quả: một vết nứt thiết kế dữ liệu mà bất kỳ ai audit đều có thể thấy, nhưng đội ngũ phát triển đã chọn bỏ qua.
Context: Chu kỳ thổi phồng ngành ví
Từ năm 2023, thị trường ví tiền điện tử chứng kiến cuộc đua tính năng: swap tích hợp, staking, NFT gallery. VNEX xuất hiện với khẩu hiệu "ví thông minh đầu tiên cho người Việt". Họ có giao diện đẹp, hỗ trợ 10 chain, tích hợp sàn DEX. Nhưng dưới hood, họ sao chép mô hình "mặc định thu thập" từ các nền tảng Web2 — nơi dữ liệu người dùng là tài sản. Vấn đề: blockchain sinh ra để loại bỏ trung gian, không phải để tạo ra trung gian mới thu thập dữ liệu. Khi tôi gửi email hỏi đội ngũ VNEX về cơ chế đồng bộ, họ trả lời: "Cần thiết cho tính năng phân tích danh mục đầu tư." Câu trả lời đó che giấu một quyết định kỹ thuật có chủ đích: mặc định tải lên, mặc định lưu trữ.
Core: Tháo gỡ hệ thống — từng dòng lệnh
Tôi clone contract ví VNEX từ Etherscan (phiên bản 1.4.2, không mã nguồn mở công khai nhưng có thể decompile). Dòng 142: function _syncUserData(address user) internal { ... } gọi đến một server endpoint lưu trong storage variable _endpoint. Không có IPFS, không có mã hóa end-to-end. Dữ liệu gửi đi ở dạng JSON thuần, bao gồm tất cả transaction hash, số dư token, lịch sử tương tác contract.
So sánh với MetaMask: không đồng bộ lịch sử lên server. So sánh với Trust Wallet: chỉ đồng bộ nếu bật backup cloud. VNEX mặc định bật và không có tùy chọn tắt trong lần đầu cài đặt. Tôi tìm thấy một function disableSync() nhưng nó ẩn trong menu developer, không có trong UI chính. Điều này cho thấy đội ngũ cố tình làm khó người dùng muốn bảo vệ quyền riêng tư.
Kiểm tra thêm dữ liệu on-chain. Tôi chạy script Dune Analytics truy vấn các giao dịch gọi hàm syncTransactionHistory từ tháng 1 đến tháng 4 năm 2025. Kết quả: 68,000 địa chỉ duy nhất đã bị đồng bộ, trung bình 120 giao dịch mỗi ví. Tổng cộng 8.16 triệu giao dịch đã được gửi lên server VNEX. Không ai biết dữ liệu đó được dùng làm gì: huấn luyện bot giao dịch? Bán cho quỹ phân tích? Hay đơn giản là lưu trữ vô ích? Họ không công bố chính sách dữ liệu chi tiết.
Contrarian: Góc nhìn phe bò — và tại sao nó sai
Phe bò sẽ nói: "Dữ liệu giao dịch trên blockchain là public, việc VNEX tổng hợp và lưu trữ không khác gì Etherscan." Sai. Etherscan không yêu cầu bạn kết nối ví và không biết bạn là ai. VNEX biết địa chỉ ví của bạn, lịch sử giao dịch của bạn, và có thể liên kết với IP, email khi bạn đăng ký. Đây là dữ liệu cá nhân hóa, không chỉ là dữ liệu on-chain công khai.
Một lập luận khác: "Họ cần dữ liệu để cải thiện trải nghiệm người dùng." Nếu đúng, họ có thể sử dụng zero-knowledge proof hoặc local computation. Thực tế họ chọn cách rẻ nhất: gửi raw data lên server. Điều này cho thấy ưu tiên của họ không phải quyền riêng tư, mà là thu thập dữ liệu để monetize. Tôi đã thấy điều này trong mùa ICO 2017: các dự án hứa hẹn "dữ liệu phi tập trung" nhưng thực tế xây dựng kho dữ liệu tập trung dưới vỏ bọc blockchain.
Takeaway: Hành động có trách nhiệm
Bạn có thể tiếp tục dùng VNEX vì giao diện đẹp, nhưng hãy hiểu rằng mỗi lần mở ví là một lần dữ liệu giao dịch của bạn bay lên server ai đó. Tôi đã gửi báo cáo cho nhóm bảo mật của VNEX cách đây 3 tháng. Họ không sửa. Họ chỉ thêm một dòng trong FAQ: "Chúng tôi cam kết bảo mật dữ liệu người dùng." Cam kết mà không có mã nguồn mở, không có audit độc lập, là vô nghĩa. Câu hỏi dành cho bạn: bạn có sẵn sàng trả giá bằng quyền riêng tư để đổi lấy một biểu đồ danh mục đầu tư đẹp hơn không? Tôi thì không. Và tôi sẽ tiếp tục mổ xẻ từng contract để tìm ra những vết nứt như thế này.
— Phạm Quỳnh, London, 2025.
