Hồi tháng trước, tài khoản Twitter @CryptoFoodie123 tung ra một thread dài khoe rằng dự án FoodChain đã gọi vốn thành công 15 triệu USD từ một quỹ đầu tư mạo hiểm có trụ sở tại Dubai. Trong thread đó, họ claim rằng blockchain sẽ “cách mạng hóa ngành giao đồ ăn” bằng cách đưa toàn bộ dữ liệu đơn hàng, vị trí shipper, và chất lượng món ăn lên on-chain để đảm bảo minh bạch tuyệt đối. Đọc xong, tôi chỉ muốn nói: ai đó hãy xóa thread đó đi trước khi quá muộn.
Để hiểu vì sao tôi nói vậy, hãy nhìn vào thương vụ đình đám nhất tuần qua: Uber đang đàm phán mua lại Delivery Hero với giá 116 tỷ USD. Một thương vụ sáp nhập khổng lồ trong lĩnh vực giao đồ ăn truyền thống. Nhưng điều thú vị là không ai trong giới crypto bàn luận về nó, ngoại trừ việc so sánh định giá. Còn tôi, với tư cách là một nhà điều tra độc lập chuyên phơi bày những dự án blockchain rác, tôi thấy rõ một sự trùng hợp: chính cái hype “blockchain + giao đồ ăn” đã tạo ra một làn sóng scam mới, mà FoodChain là một trong những ví dụ điển hình nhất.
Hãy bắt đầu từ Context. FoodChain được xây dựng trên mạng Ethereum, sử dụng hợp đồng thông minh để ghi nhận mỗi đơn hàng, từ lúc khách đặt đến lúc shipper nhận. Họ phát hành token $FOOD, dùng để thanh toán phí dịch vụ và phần thưởng cho shipper. Ý tưởng nghe rất hay: minh bạch, không thể gian lận, shipper không thể ăn bớt đồ ăn. Nhưng khi tôi đào sâu vào code, mọi thứ vỡ ra như một trò đùa.
Tôi tải mã nguồn của FoodChain từ GitHub (repo: foodchain-contracts, commit 2a3b4c). Hợp đồng chính là FoodOrder.sol, có khoảng 800 dòng. Ngay từ dòng thứ 23, tôi đã thấy một dấu hiệu đỏ: owner có quyền pause() toàn bộ hệ thống, và quan trọng hơn, owner có thể gọi withdrawAll() để rút tất cả token trong hợp đồng về ví của mình. Đây là pattern cổ điển của “rug pull”. Nhưng tôi chưa dừng lại.
Phân tích sâu hơn, tôi phát hiện hàm updateOrderStatus() chỉ cho phép owner gọi. Điều này có nghĩa là toàn bộ tính “minh bạch” của FoodChain phụ thuộc vào một thực thể duy nhất. Nếu owner quyết định ghi sai trạng thái đơn hàng, blockchain không thể bảo vệ người dùng. Họ gọi đây là “decentralized food delivery”, nhưng thực chất là một cơ sở dữ liệu tập trung có mặt nạ smart contract.
Chưa hết, tôi kiểm tra cơ chế tạo order. Hàm createOrder() yêu cầu người dùng gửi kèm một khoản phí bằng ETH, nhưng số ETH này không được chuyển vào một escrow an toàn, mà được giữ trong chính hợp đồng và owner có thể rút bất cứ lúc nào. Tôi tính toán: với mỗi order giả, attacker có thể tạo hàng nghìn order rác, làm tăng balance của hợp đồng, rồi owner rút sạch. Đây là lỗ hổng bảo mật cấp độ critical.
Tôi đã gặp trường hợp tương tự vào năm 2021 khi kiểm toán OpenSea v1.0. Họ cũng có lỗi trong cơ chế chuyển giao bản quyền, cho phép người bán lấy lại NFT sau giao dịch. Lỗi nào cũng bắt nguồn từ một niềm tin mù quáng vào người vận hành. FoodChain còn tệ hơn: họ không hề có cơ chế dispute resolution, không có oracle để xác thực dữ liệu ngoài chuỗi. Mọi thứ chỉ dựa vào lời hứa của đội ngũ.
Nhưng không phải mọi thứ đều tệ. Góc nhìn contrarian ở đây là: liệu blockchain có thực sự giúp ích cho ngành giao đồ ăn? Câu trả lời là có, nhưng với điều kiện phải thiết kế đúng. Mô hình lý tưởng cần có multi-signature escrow, oracle để xác nhận giao hàng (ví dụ: qua GPS có chữ ký số từ thiết bị của shipper), và cơ chế staking để phạt nếu gian lận. Uber và Delivery Hero sẽ không bao giờ dùng blockchain vì họ đã có hệ thống tập trung hoạt động tốt. Nhưng một startup nhỏ có thể tận dụng blockchain để tạo lòng tin nơi người dùng ở các thị trường yếu kém về thể chế, như châu Phi hay Đông Nam Á. Tuy nhiên, FoodChain không phải là câu trả lời.
Takeaway của tôi rất rõ ràng: Đừng để bị mờ mắt bởi từ “blockchain” trong mô tả dự án. Mỗi khi thấy một dự án hứa hẹn “minh bạch” nhưng smart contract vẫn cho phép owner rút tiền vô điều kiện, đó là một cái bẫy. Tôi đã từng phơi bày SwissCoin, NeuralChain, và giờ là FoodChain. Chu kỳ lặp lại: hype -> ICO -> rug. Hãy kiểm tra code, đọc từng dòng, và đừng ngại hỏi: ai có quyền làm gì với tiền của bạn? Nếu câu trả lời là “owner” hoặc “team”, hãy rời khỏi bàn ngay lập tức.
Tôi sẽ tiếp tục theo dõi FoodChain và cập nhật trong các bài viết sau. Còn bây giờ, hãy để tôi quay lại kiểm tra một vài dự án Layer2 mới nổi. Có vài dấu hiệu đáng ngờ ở chỗ sequencer của họ…
