王一石 khách mời《Một Trăm Người Trong Blockchain》: Tiềm năng phát triển của mỗi người là vô hạn

Năm 2013, một sinh viên năm ba ngành kỹ thuật xây dựng đã nhờ mua hộ chiếc Bitcoin đầu tiên trong đời qua Taobao. Mười hai năm sau, anh trở thành nhà sáng lập của OneKey — một trong những công ty ví phần cứng quan trọng nhất trong ngành này.

Trong cuộc trò chuyện lần này, Vương Nhất Thạch @ohyishi đã chia sẻ về những phán đoán và lựa chọn của anh trên chặng đường đã qua, nhưng phần lớn thời gian, chúng tôi dành cho những chủ đề gần đây không thể né tránh trong ngành: AI trao năng lực cho cả hai phía tấn công và phòng thủ, vụ trộm 1,5 tỷ USD của Bybit rốt cuộc có vấn đề gì, tại sao anh làm quy trình tuyển dụng của OneKey giống như "xem mắt", rốt cuộc đang sàng lọc điều gì, và anh định dùng một khoản "vốn thử sai cho lần khởi nghiệp đầu tiên" như thế nào để nuôi dạy thế hệ sau của mình.

I. Gia nhập ngành: Từ kỹ thuật xây dựng đến Bitcoin

Người dẫn chương trình Beca: Anh xuất thân từ ngành kỹ thuật xây dựng, năm 2013 khi đang học năm ba đã mua chiếc Bitcoin đầu tiên trên Taobao. Điều gì đã kéo anh từ công trường lên chuỗi?

Vương Nhất Thạch Yishi: Nói thẳng ra — vì nó tăng giá.

Năm 2013 là thị trường tăng giá. Từ năm 2012 đã liên tục tăng, đến Q4 đạt đỉnh gần 8.000 nhân dân tệ. Lần đầu tôi mua khoảng hơn 100 USD, tức khoảng 700 nhân dân tệ.

Hồi đó Taobao có thể mua Bitcoin, Ripple trực tiếp, chỉ cần đặt link rồi thanh toán, giao dịch rất nguyên thủy. Trong nước cũng bắt đầu có sàn giao dịch, ví dụ như BTC China do ông Dương Lâm Khoa làm. Lý do mua coin là vì coin tăng giá, nên tôi chú ý đến nó. Đọc bài "Vật này xuất thế, thiên hạ phản" của thầy Tiêu Lôi lúc đó, tôi rất phấn khích, rồi chạy lên diễn đàn 8btc, Bitcointalk đọc rất nhiều bài đăng thời kỳ đầu.

Vậy nên, lý do cốt lõi là — nó tăng giá, nên mới mua.

Người dẫn chương trình Beca: Từ ByteDance đến Bixin rồi đến OneKey, anh đã từng bước đưa ra lựa chọn như thế nào?

Vương Nhất Thạch Yishi: Khi tôi vào ByteDance, công ty khoảng 400 người, giờ chắc phải 100.000 người rồi. Hồi đó thứ kiếm tiền nhất của ByteDance là quảng cáo trên app Toutiao, định giá 1 tỷ USD — giờ có thể 5.000 tỷ thậm chí cả nghìn tỷ.

ByteDance là một "nhà máy APP" điển hình: mỗi tháng ra mấy app, dùng Tab của app chính để dẫn traffic cho sản phẩm mới, xem dữ liệu để quyết định tiếp tục đầu tư hay giải tán — cực kỳ tàn nhẫn. Hồi đó tư duy AB test, data-driven đã rất mạnh rồi.

Nhưng công ty lớn có một vấn đề bẩm sinh: quá nhiều nguồn lực đôi khi cũng là một lời nguyền. Thiếu người thì tuyển, thiếu ngân sách thì làm OA, thiếu traffic thì xin — trong môi trường đó bạn giống một linh kiện hơn, phải làm rất tốt công việc chính của mình, nhưng bạn sẽ bẩm sinh thiếu một số "kinh nghiệm sinh tồn ngoài hoang dã".

Cái gọi là "sinh tồn ngoài hoang dã", là khi bạn làm một thứ mới, không có traffic đổ về cho bạn, cũng không có ai giúp bạn xử lý những vấn đề ngoài sản phẩm. Nó khác với một thứ sinh tồn ngoài hoang dã.

Sau này tại sao tôi chọn crypto — vì kỹ thuật xây dựng chậm. Chu kỳ phản hồi của xây dựng tính bằng "mấy năm": viện thiết kế ra bản vẽ, đàn anh ra công trường theo cả một dự án cầu lớn, trước sau mấy năm. Internet nhanh, crypto còn nhanh hơn — bạn đưa tiền vào, tăng là tăng, bạn có phản hồi tích cực rất mạnh.

Hơn nữa khi tôi làm ở ByteDance, ngoài tiền thuê nhà, gần như toàn bộ thu nhập đều đem đi mua coin. Vậy thì dù thế nào tôi cũng mua coin, tại sao không all in thẳng vào ngành?

II. "Làn sóng người dùng đầu tiên" của OneKey đến từ đâu

Người dẫn chương trình Beca: Ở mảng ví phần cứng này, Ledger và Trezor đã làm từ sáu bảy năm trước rồi. OneKey đã vượt lên giữa bao nhiêu đối thủ như thế nào?

Vương Nhất Thạch Yishi: Thật ra đến giờ, OneKey cũng chưa "vượt lên" — từ này hơi quá lời. OneKey hiện tại vẫn đang rất vất vả làm tăng trưởng.

Nhưng nếu nhất định phải nói, nút tăng trưởng lớn nhất là DeFi Summer năm 2020. Hồi đó một lượng lớn vốn từ sàn giao dịch đổ lên chuỗi — vì trên chuỗi có pool, có lợi suất annualized rất cao. Nhưng bạn dùng công cụ gì? Dùng Metamask.

Con cáo nhỏ hồi đó làm bảo mật không tốt lắm. Tôi nhớ cuối năm 2020 khi làm audit, chúng tôi phát hiện cách nó lưu trữ seed phrase có rủi ro về bảo mật — khá dễ bị lấy file nguồn, brute force.

Những người dùng có lượng vốn lớn vừa muốn DeFi, vừa không muốn một ngày nào đó máy tính bị trojan, trình duyệt bị hack là tiền mất hết. Họ bắt đầu dùng ví phần cứng. Nhưng nếu bạn dùng Ledger để farm trên Uni, bạn phải cài Ledger Live, cài app Ethereum, cài Metamask, rồi dùng Metamask kết nối Ledger, còn phải tắt client Ledger đi vì hai cái tranh cùng một cổng USB —

Cảm giác đó giống như bạn dùng ba cái remote để điều khiển một cái TV. Rất khó dùng.

OneKey hồi đó làm một số đổi mới về trải nghiệm người dùng, đặc biệt là bản địa hóa, và giảm ma sát trong trải nghiệm — đó là làn sóng người dùng đầu tiên của chúng tôi.

Người dẫn chương trình Beca: Ngoài việc nâng cao trải nghiệm người dùng, lý do khác tạo ra tăng trưởng là gì?

Vương Nhất Thạch Yishi: Mã nguồn mở.

Ledger đến nay vẫn không mở mã nguồn. Phán đoán của chúng tôi là — một sản phẩm khiến bạn "tin" nó an toàn, và khiến bạn có khả năng "xác minh" nó có an toàn hay không, về lâu dài cái sau sẽ tốt hơn. Giống như các mô hình AI hiện nay, tôi cũng dài hạn lạc quan về mã nguồn mở. Khả năng xác minh là điều rất quan trọng.

Sau làn sóng tăng trưởng đầu tiên, phần còn lại thật ra là vấn đề của đối thủ — họ làm không tốt, tự dâng điểm, dần dần người dùng chạy sang.

Gần đây cái Coldcard cũng có chuyện. Coldcard là loại ví do những OG Bitcoin rất chuyên nghiệp, rất geek làm. Nhưng bạn có dám tưởng tượng không — họ trong gần bốn năm từ 2021 đến 2025, một lỗ hổng sinh seed phrase cứ thế treo trên mạng dưới dạng mã nguồn mở suốt bốn năm, cũng không sửa. Vậy bạn nói họ thật sự chuyên nghiệp không? Tôi đặt dấu hỏi.

Mỗi lần đối thủ mắc lỗi sơ đẳng, lượng người dùng của chúng tôi lại tăng lên một chút. Cơ bản là vậy.

Nên không phải "vượt lên" — mà là sống sót.

Người dẫn chương trình Beca: Giai đoạn công ty tăng trưởng cao cũng là giai đoạn dễ mắc lỗi nhất, anh đã đi đường vòng nào chưa?

Vương Nhất Thạch Yishi: Nhiều lắm. Nghĩ lại bây giờ thấy — cực kỳ bó tay.

Trong giai đoạn DeFi Summer, có gần một năm ví bị hết hàng.

Nguyên nhân là hồi đó mở khuôn mới, muốn tự làm firmware từ đầu đến cuối, rồi đánh giá thấp độ khó và chu kỳ R&D của việc này. Một khi bạn dính đến phần cứng, nó khác với phần mềm — phía sau phần cứng có chuỗi cung ứng, một vấn đề kéo theo cả trăm vấn đề. Kết quả là khoảng thời gian lẽ ra chúng tôi phải chiếm lượng lớn người dùng, chúng tôi lại không có hàng.

Bạn đến hàng cũng không có — thật ra là bạn đẩy traffic ra ngoài.

Còn có một số vấn đề về kiến trúc kỹ thuật: thiết kế quá sớm, tối ưu quá sớm, over-design. Thay vì "tôi làm tăng trưởng trước, để người dùng dùng được đã, rồi từ từ tối ưu". Thứ tự này rất quan trọng. Nếu hồi đó nghĩ rõ vấn đề này, chắc sẽ tốt hơn hiện tại nhiều.

III. Tấn công và phòng thủ trong thời đại AI: Từ "hai tháng" xuống "hai tuần"

Người dẫn chương trình Beca: AI tìm lỗ hổng ngày càng hiệu quả. Các anh có chuẩn bị gì không?

Vương Nhất Thạch Yishi: Đây là vấn đề của toàn ngành, không chỉ ngành crypto. Trước đây mọi người nghĩ iOS rất an toàn, nhưng giờ có mô hình AI rồi, lỗ hổng iOS cũng nhiều.

Đội của chúng tôi có một nhóm bảo mật tên Anzen Labs (Anzen trong tiếng Nhật nghĩa là "an toàn"). Năm nay chúng tôi công bố một lỗ hổng USB tại Black Hat — từ tìm lỗ hổng đến tái hiện, rồi nối mấy lỗ hổng thành một cuộc tấn công chuỗi cung ứng hoàn chỉnh, gần như toàn bộ dùng AI.

Trước khi chưa có AI, để làm một chuỗi tấn công hoàn chỉnh như vậy, cần khoảng hai đến ba nhà nghiên cứu bảo mật khá senior, mất hai tháng. Nhưng lần này tìm lỗ hổng này, chỉ dùng một kỹ sư bảo mật cộng hai tuần.

Tốc độ thay đổi rất nhanh.

Nhưng AI tìm lỗ hổng dễ hơn, cái "dễ" này với phía phòng thủ cũng vậy.

Phòng thủ có một lợi thế hơn tấn công: trong kho của bạn có những đoạn mã chưa phát hành. Đối phương muốn tấn công bạn, tiền đề là hắn tìm được thứ của bạn. Nếu bạn mã nguồn mở, thì tất cả mọi người có thể xông vào tấn công; nhưng sản phẩm và mã của bạn liên tục lặp lại, chắc chắn có một phần chưa phát hành — lúc đó bạn có thể tự tấn công chính mình.

Trước đây chúng tôi làm audit bảo mật firmware, cơ bản một năm hai lần, tìm hai công ty trở lên audit chéo. Tần suất rất thấp. Nhưng giờ có công cụ AI hỗ trợ, bạn có thể audit mỗi tuần mỗi lần release.

AI nói thẳng ra là một con dao làm bếp — bạn có thể dùng nó giết người, cũng có thể dùng nó nấu ăn. Phải xem các đội trong ngành dùng nó thế nào.

IV. Vụ trộm 1,5 tỷ USD của Bybit: Cả một chuỗi không ai mắc lỗi, nhưng tiền vẫn mất

Người dẫn chương trình Beca: Tại sao những năm này công cụ phòng thủ ngày càng mạnh, mà sự cố không giảm?

Vương Nhất Thạch Yishi: Công cụ ngày càng nhiều, ngày càng mạnh, sự cố vẫn luôn có — ba điều này cùng tồn tại.

Trước đây thủ đoạn tấn công phổ biến là tìm lỗ hổng hợp đồng, flash loan, thao túng oracle — những cái này giờ vẫn có, nhưng không nhiều như trước. Tại sao? Vì giờ nhiều nhà phát triển giao thức dùng các công cụ audit và formal verification, có thể chặn phần lớn những lỗ hổng này.

Thế là kẻ tấn công phát hiện — tấn công mã nguồ