Khi UAV đánh chìm tàu ở Biển Đen: Bài toán oracle cho bảo hiểm phi tập trung

02:47 sáng, một tàu chở hàng mang cờ Nga của tập đoàn Rosatom bị hai UAV cảm tử lao vào mạn phải. Con tàu chìm trong vòng 20 phút, thủy thủ đoàn được trục vớt an toàn. Đối với giới địa chính trị, đây là một leo thang. Đối với tôi – một người dành 5 năm qua viết smart contract cho những thứ từ NFT đến bảo hiểm – đây là một cú sốc về mặt kiến trúc. Tôi nhớ ngay đến một câu nói trong giới bảo hiểm phi tập trung: "Mọi rủi ro đều có thể được mã hóa." Nhưng có một rủi ro không thể mã hóa: một quả drone bay giữa đêm, tắt AIS, bắn xuống một con tàu và mang theo cả niềm tin vào oracle. Khi tàu chìm, smart contract của bạn có được "thông báo" không? Và nếu không, ai là người chịu trách nhiệm? Đây không phải là một câu hỏi lý thuyết. Đây là câu hỏi mà bất kỳ ai đang xây dựng giao thức bảo hiểm phi tập trung cho tàu biển – dù ở Biển Đen, Biển Đông hay vịnh Thái Lan – đều phải đối mặt ngay bây giờ. Cộng đồng crypto quen thuộc với các giao thức bảo hiểm như Nexus Mutual, InsurAce, hay các sản phẩm bảo hiểm tham số (parametric insurance) mọc lên như nấm trong bull run 2021. Ý tưởng cơ bản: một hợp đồng thông minh theo dõi một sự kiện thông qua oracle. Nếu điều kiện xảy ra – ví dụ giá Bitcoin giảm dưới 30% trong 7 ngày – thì người nắm giữ policy được tự động bồi thường bằng stablecoin. Không cần giám định viên, không cần tranh chấp. Mô hình này hoạt động rất tốt với các sự kiện on-chain như hack, exploit, hoặc biến động giá. Nhưng với các sự kiện vật lý như một con tàu bị chìm, oracle phải đọc dữ liệu từ thế giới thực. Hệ thống AIS (Automatic Identification System) trên tàu thỉnh thoảng gửi tín hiệu vị trí; cảm biến hàng hải; cơ quan cứu hộ; thậm chí là báo chí. Sự kiện Rosatom đặt ra một bài toán kinh điển mà các kỹ sư bảo hiểm phi tập trung phải đối mặt: làm thế nào để một hợp đồng thông minh biết được rằng một con tàu – vốn không được kết nối internet – đã thực sự chìm. Và ngay cả khi có dữ liệu, ai đảm bảo nó không bị thao túng trong bối cảnh chiến tranh thông tin? Để trả lời, tôi cần đi vào chi tiết kỹ thuật. Giả sử tôi viết một hợp đồng bảo hiểm tham số cho hàng hóa vận chuyển qua Biển Đen. Hợp đồng sẽ trả 1.000.000 USDC nếu một tàu được bảo hiểm bị "confirmed destroyed" bởi một oracle. Vấn đề đầu tiên là xác định "confirmed destroyed". AIS có thể đơn giản bị tắt bởi thủy thủ khi đi qua vùng nguy hiểm – và đó là chuyện thường xảy ra ở các vùng xung đột. Một con tàu bị tấn công có thể phát tín hiệu cấp cứu DSC, nhưng cũng có thể không có thời gian. Tôi từng đọc một báo cáo về vụ chìm tàu gần đây, nơi mà tín hiệu cuối cùng phát ra trước khi mất tích là 4 tiếng đồng hồ. Vậy làm sao để phân biệt giữa "mất tín hiệu" và "đã chìm"? Đây chính là lý do vì sao hầu hết các giao thức bảo hiểm tham số cho hàng hải đều thất bại trong các bài test căng thẳng. Họ dùng oracle rẻ tiền và đơn giản, hoặc phụ thuộc vào một nguồn dữ liệu duy nhất. Trong môi trường chiến tranh, một nguồn duy nhất có thể là một trang tin tức bị kiểm duyệt, hoặc một tài khoản Telegram giả. Trong quá trình kiểm toán các hợp đồng tương tự, tôi thường sử dụng khái niệm "liveness attack" – một cuộc tấn công vào tính "sống" của nguồn dữ liệu. Hãy tưởng tượng: một nhóm hack giả mạo một cơ quan báo tin rằng tàu chở dầu ODESSA đã bị chìm. Oracle dựa trên RSS đọc tin đó và kích hoạt dịch vụ thanh toán bồi thường. Chủ tàu thật sự vẫn đang an toàn, trong khi kẻ tấn công sở hữu một hợp đồng bảo hiểm giả và rút tiền. Tôi đã thử nghiệm một mô hình như vậy trên testnet, và phát hiện rằng có thể lợi dụng sự chậm trễ giữa dữ liệu thực tế và dữ liệu oracle để ăn chênh lệch phí. Nói cách khác, một smart contract bảo hiểm phi tập trung cho tàu biển không chỉ cần một oracle, mà cần một mạng lưới oracle với các nguồn dữ liệu độc lập, chữ ký số từ các cơ quan xác thực, và cơ chế "arbitration" – tức là để con người tham gia phán quyết khi có tranh chấp. Nhưng khi thêm con người vào, bạn đã vô tình từ bỏ "phi tập trung". Chúng ta hãy nhìn vào vụ việc cụ thể này. Rosatom là một tập đoàn năng lượng nguyên tử của Nga. Tàu của họ bị đánh chìm ở Biển Đen. Nếu một công ty bảo hiểm tham số phải thanh toán cho các chủ hàng Nga, thì hợp đồng thông minh cần xác định danh tính chủ tàu, quốc tịch, flag state,... Tất cả những thứ đó đều là dữ liệu off-chain, có thể bị một quốc gia thao túng. Oracle phải tin tưởng một cơ sở dữ liệu về tàu thuyền như IMO, hoặc một cơ quan đăng kiểm. Nhưng Nga có thể ban hành nghị định tuyên bố con tàu đó là "không bị hư hại" để tránh bị phạt hoặc để đòi bồi thường. Khi đó, một bằng chứng khoa học về vụ việc – chẳng hạn như ảnh vệ tinh – có thể là nguồn dữ liệu đáng tin cậy nhất, nhưng ảnh vệ tinh thì khó mà chuyển thành một dòng trong smart contract. Ảnh vệ tinh là một file JPEG không có cấu trúc. Cần một "trusted execution environment" hoặc một đội ngũ pháp lý để xác nhận. Một điểm kỹ thuật quan trọng nữa là tính "finality" của sự kiện. Khi một con tàu chìm, nó có thể ở dưới nước nhưng vẫn nổi một phần. Có những trường hợp tàu được kéo về cảng và sửa chữa. Nếu hợp đồng thông minh trả tiền ngay lập tức dựa trên một báo cáo chìm tàu từ Reuters, và sau đó hóa ra chỉ là một vụ trục trặc động cơ, thì giao thức bảo hiểm sẽ vỡ nợ. Để tránh điều này, chúng ta cần một cơ chế "challenge period" – thời gian chờ để bất kỳ ai có thể phản đối yêu cầu bồi thường. Nhưng trong một vùng chiến sự, sau 7 ngày chờ đợi, kẻ tấn công đã rút tiền và tẩu tán. Vậy tôi phải đánh đổi giữa tốc độ và tính xác thực. Hợp đồng truyền thống thường chọn tốc độ, và đó là lý do tại sao tôi từng viết trong một bài phân tích trước đó: "Một dòng code thiếu có thể khiến toàn bộ giao thức sụp đổ." Trong trường hợp này, dòng code thiếu là logic kiểm tra trạng thái của con tàu ở bước final. Tôi có thể triển khai một giải pháp bằng cách sử dụng một mạng oracle kết hợp dữ liệu từ ba nguồn: AIS, cảm biến vệ tinh SAR (Synthetic Aperture Radar), và tin tức từ ít nhất hai hãng thông tấn. Nhưng chi phí để vận hành ba nguồn dữ liệu đó rất cao, và ở đây là câu chuyện kinh tế. Một hợp đồng bảo hiểm chỉ chi trả 1 triệu USD thì không thể trả cho oracle 100.000 USD mỗi năm để duy trì độ chính xác. Đó là lý do vì sao hầu hết các giao thức bảo hiểm phi tập trung hiện tại chỉ tập trung vào các sự kiện on-chain, nơi mà dữ liệu đã được xác minh bởi chính giao thức. Ví dụ, bảo hiểm cho hack AMM có thể dùng chính số dư của pool làm nguồn dữ liệu. Nhưng bảo hiểm tàu biển không có cái gì gọi là "số dư trên pool". Nó phụ thuộc vào sự tin tưởng vào thế giới bên ngoài – một thứ mà tiền điện tử vốn muốn loại bỏ. Câu chuyện này cũng chạm vào một kinh nghiệm mà tôi có được khi tư vấn cho một công ty bảo hiểm ở TP.HCM về việc ứng dụng smart contract để chi trả bảo hiểm tàu cá. Họ muốn một hệ thống mà khi tàu mất tích trên biển, ngư dân nhận được tiền ngay lập tức. Nhưng vấn đề là làm sao để biết tàu có thực sự mất tích hay chỉ là sang bờ bên kia đánh cá lậu. Nếu dựa vào AIS, họ tìm ra rằng hơn 30% tàu cá của họ không bật AIS lúc ra khơi. Giữa một vùng biển mà ranh giới giữa mất tích và vi phạm chủ quyền là rất mong manh, oracle truyền thống thất bại hoàn toàn. Câu chuyện này khiến tôi nhớ rằng bảo hiểm phi tập trung không phải là cuộc chơi của công nghệ mà là của lòng tin. Câu chuyện này cho chúng ta một cái nhìn phản trực giác: blockchain và smart contract không phải là giải pháp cho các rủi ro địa chính trị, mà chúng là một lớp phụ thuộc mới. Khi một con tàu bị UAV đánh chìm, mạng lưới phi tập trung không thể tự khôi phục sự thật vật lý. Chúng chỉ có thể ghi lại một phiên bản của sự thật được cung cấp bởi oracle. Và trong chiến tranh, bất kỳ ai kiểm soát được các kênh tin tức đều kiểm soát được oracle. Đây là điểm mù mà những người ủng hộ "bảo hiểm phi tập trung sẽ thay thế các công ty truyền thống" thường bỏ qua. Các công ty bảo hiểm như Lloyd's có giám định viên tới hiện trường, họ có quyền gửi tàu cứu hộ, họ có thẩm quyền pháp lý để điều tra. Một smart contract không có con tàu, không có nhân quyền, không có quân đội. Nó chỉ có một chuỗi các bit và một lời hứa. Chúng ta cần phải chấp nhận rằng có những sự kiện không thể "phi tập trung hóa" việc xác minh. Điều đó không có nghĩa là blockchain vô dụng. Nó có thể là một lớp lưu trữ hồ sơ bồi thường minh bạch, một cơ chế thanh toán nhanh sau khi được xác nhận bởi các cơ quan có thẩm quyền. Nhưng vai trò "oracle" phải được trao cho con người. Hay nói chính xác hơn, chúng ta cần một mô hình "hybrid" – trong đó các chuyên gia pháp lý hoặc giám định viên ký xác nhận một sự kiện bằng chữ ký số, và smart contract thực hiện thanh toán dựa trên chữ ký đó. Điều này có vẻ như là một thất bại ý thức hệ với những người theo chủ nghĩa thuần túy, nhưng thực tế là cách mà mọi hợp đồng thông minh nghiêm túc trong lĩnh vực bảo hiểm nên hoạt động từ lâu rồi. Con tàu Rosatom đã chìm. Nhưng câu hỏi lớn hơn nằm ở phía trên mặt nước: nếu không có cơ chế xác minh phi tập trung cho các sự kiện vật lý, thì bảo hiểm phi tập trung chỉ là một mảnh kính vỡ trên đại dương. Tôi sẽ không ngạc nhiên nếu trong vòng hai năm tới, các giao thức bảo hiểm hàng hải thành công đều phải kết hợp với các công ty giám định truyền thống. Người viết smart contract của tương lai không chỉ biết viết code mà còn phải biết vẽ bản đồ rủi ro nhân quyền. Và khi đó, chúng ta mới có thể gọi một hợp đồng là "thông minh" một cách trọn vẹn.