Bạn có tin rằng một blockchain có thể bị "tê liệt" chỉ vì một nút duy nhất? Không phải do fork, không phải do tấn công 51%, mà chỉ vì một công ty quyết định dừng máy chủ trong vài giờ để bảo trì. Sự kiện này không phải là hiếm. Trong năm 2025, chúng ta đã chứng kiến ít nhất ba sự cố tương tự trên các mạng lưới Layer 2 lớn. Và câu hỏi lớn nhất không phải là "liệu nó có xảy ra nữa không", mà là "chúng ta đã bao nhiêu lần giả vờ nó không xảy ra?"
Layer 2, hay rollup, được thiết kế để giải quyết vấn đề mở rộng của blockchain. Thay vì xử lý mọi giao dịch trên Ethereum, một rollup sẽ tính toán bên ngoài chuỗi và chỉ đăng tải kết quả lên lớp nền. Điều này tạo ra một hệ thống nhanh và rẻ, nhưng đồng thời tạo ra một lớp ủy thác mới: sequencer.
Sequencer là bộ não của rollup. Nó sắp xếp thứ tự giao dịch, tổng hợp trạng thái, và chịu trách nhiệm đưa dữ liệu lên Layer 1. Trong gần như tất cả các rollup hiện hành, sequencer do một thực thể hoặc một nhóm nhỏ vận hành. Điều này trái ngược hoàn toàn với triết lý phi tập trung của blockchain.
Tôi đã tham gia các cuộc audit bảo mật cho nhiều giao thức rollup. Một phát hiện thú vị: hầu hết các mã nguồn đều triển khai cơ chế "force inclusion" trên Layer 1 để người dùng có thể rút tài sản khi sequencer ngừng hoạt động. Nhưng cơ chế này luôn bị giới hạn bởi một tham số trễ – thường là 7 ngày.
Hãy xem xét một kịch bản. Một nhà giao dịch có 1.000 ETH trong một rollup. Sequencer gặp sự cố. Anh ta muốn rút ETH để đối phó với một vụ thanh lý trên sàn giao dịch. Anh ta gửi một giao dịch force inclusion lên Ethereum, và hệ thống thông báo "thời gian chờ là 7 ngày". Trong 7 ngày đó, giá ETH có thể giảm 30%, và nhà giao dịch không thể di chuyển tiền. Thiệt hại không phải do một lỗi code, mà do một lỗi trong mô hình kỳ vọng.
Một vấn đề khác là "delay attack window" – cửa sổ tấn công trì hoãn. Kẻ tấn công có thể gửi một loạt giao dịch lớn để làm quá tải sequencer, khiến mạng lưới chậm lại hoặc tạm dừng. Vì sequencer là một điểm duy nhất, không có cơ chế nào ngăn chặn điều này ngoài việc áp dụng giới hạn gas. Nhưng giới hạn gas có thể bị vượt qua bằng cách sử dụng các hợp đồng phức tạp.
Để hiểu rõ hơn, hãy cùng phân tích một đoạn mã nguồn điển hình của một hợp đồng rollup. Hàm finalize trên Layer 1 sẽ nhận một bằng chứng hợp lệ từ sequencer. Nếu sequencer gửi một bằng chứng sai, bằng chứng gian lận có thể được kích hoạt. Nhưng quá trình này mất ít nhất 7 ngày để hoàn tất. Trong mã nguồn, tham số này thường được đặt như sau:
uint256 public constant challengePeriod = 7 days;Một điều thú vị: challengePeriod càng dài, trải nghiệm người dùng càng an toàn, nhưng thanh khoản càng thấp. Nếu bạn rút tiền vào ngày hôm nay, bạn phải chờ một tuần để có thể sử dụng chúng. Đây là một sự đánh đổi có chủ ý. Nhưng hầu hết người dùng không nhận thức được điều này.
Hãy so sánh với một hệ thống ngân hàng truyền thống. Khi bạn rút tiền từ một tài khoản, giao dịch được xử lý trong 1-2 ngày. Với rollup, bạn phải chờ 7 ngày. Sự khác biệt này không được nhấn mạnh trong các tài liệu tiếp thị. Thay vào đó, người dùng được chiêu dụ bởi tốc độ giao dịch nhanh chóng trên Layer 2, trong khi vòng quay vốn thực sự vẫn rất chậm.
Một khía cạnh khác là cơ chế "soft finality". Nếu bạn tin tưởng sequencer, bạn có thể coi một giao dịch là hoàn tất ngay lập tức. Nhưng nếu sequencer bị tấn công, bạn không có sự đảm bảo nào. Điều này tạo ra một "đức tin mù" vào một thực thể duy nhất.
Thực tế, tôi đã từng dành nhiều giờ để đọc mã nguồn của một giao thức rollup phổ biến và phát hiện ra rằng một số biến số được khai báo bằng public mà lẽ ra nên là private. Điều này cho phép bất kỳ ai đọc được các tham số nội bộ, chẳng hạn như danh sách các validator. Về mặt lý thuyết, không có thiệt hại trực tiếp, nhưng nó cung cấp một bề mặt tấn công cho việc phân tích hành vi. Điều mà tôi nhận ra là nhiều giao thức không coi việc khám phá mã nguồn là một phần của bảo mật.
Một sự cố sequencer không gây ra sụp đổ toàn thị trường, nhưng nó có thể gây ra các hậu quả cục bộ. Giả sử một rollup lớn như Arbitrum hoặc Base ngừng hoạt động trong 24 giờ. Các giao thức DeFi trên mạng đó sẽ phải tạm dừng cho vay và thanh lý. Điều này có thể dẫn đến một đợt thanh lý hàng loạt khi mạng lưới khởi động lại, gây ra sự biến động giá trên toàn hệ thống.
Chúng ta đã thấy điều này trong sự cố của Solana năm 2022, khi mạng lưới ngừng hoạt động nhiều giờ và giá token giảm gần 10%. Với Layer 2, tác động có thể được cô lập hơn, nhưng vẫn có sự lây lan thông qua các cầu nối và thanh khoản chéo.
Ở một cấp độ lớn hơn, sự phụ thuộc vào các sequencer tập trung tạo ra một "địa chính trị mới" trong thế giới tiền điện tử. Các công ty vận hành sequencer – thường là các công ty phát triển hoặc sàn giao dịch – nắm giữ quyền lực kiểm duyệt giao dịch. Điều này đặt ra những câu hỏi về thẩm quyền và sự tuân thủ. Ví dụ, nếu một chính phủ yêu cầu một công ty đóng băng tài sản của một nhóm người dùng, công ty đó có thể làm điều đó chỉ bằng cách kiểm duyệt các giao dịch của họ thông qua sequencer. Khả năng này đi ngược lại với lời hứa "không cần tin cậy" của blockchain.
Có một khía cạnh kinh tế chính trị mà ít ai nói tới: sequencer thường là một nguồn doanh thu chính cho các công ty rollup. Bằng cách kiểm soát thứ tự giao dịch, sequencer có thể kiếm được một phần MEV. Điều này có nghĩa là có một động cơ tài chính để duy trì tình trạng tập trung. Các công ty không có lý do gì để phi tập trung hóa sequencer, trừ khi bị ép buộc bởi quy định hoặc cạnh tranh.
Hãy nhìn vào bức tranh lớn hơn. Nếu một vài công ty kiểm soát sequencer của các Layer 2 lớn nhất, họ trở thành những người gác cổng của toàn bộ nền kinh tế tiền điện tử đối với người dùng bán lẻ. Họ có thể quyết định giao dịch nào được xử lý, giao dịch nào bị trì hoãn, và giao dịch nào bị kiểm duyệt. Đây là một loại "quyền lực kỹ thuật" mà không có sự giám sát phi tập trung.
Nhiều người tin rằng "decentralized sequencer" sẽ giải quyết tất cả. Hãy xem xét kỹ hơn. Một sequencer phi tập trung cần một mạng lưới validator với cơ chế đồng thuận. Điều này có nghĩa là thêm một bề mặt tấn công cho việc thông đồng, trễ mạng cao hơn do yêu cầu đồng thuận giữa các node, và chi phí vận hành tăng dẫn đến phí giao dịch cao hơn. Trên thực tế, một sequencer tập trung được vận hành bởi một đội ngũ chuyên nghiệp có thể có tính sẵn sàng cao hơn một mạng lưới phi tập trung, vì không có sự mơ hồ về trách nhiệm. Vấn đề không phải là phi tập trung hay không, mà là trách nhiệm giải trình.
Có lẽ chúng ta cần chấp nhận rằng Layer 2 là một dạng "trusted third party" mới, với các bằng chứng mật mã để tăng cường tính an toàn. Điều này không xấu, nhưng nó phải được nói rõ. Người dùng có quyền biết rằng tài sản của họ được bảo vệ bởi một công ty, không phải bởi một giao thức.
Trong một lần audit cho một giao thức rollup mới, tôi phát hiện ra một điều bất ngờ: không có cơ chế nào để phát hiện việc sequencer cố tình sắp xếp thứ tự giao dịch theo hướng có lợi cho chính nó. Đây là một vấn đề lớn vì sequencer có thể thấy trước một giao dịch lớn, và chèn các giao dịch khác để kiếm lợi từ chênh lệch giá (MEV). Tôi đã đề xuất một thiết kế trong đó sequencer phải cam kết một mã băm của khối trước khi công bố nội dung. Điều này ngăn chặn việc thay đổi thứ tự sau khi đã thấy kết quả. Nhưng đội ngũ phát triển từ chối vì cho rằng "không thực tế và tốn gas". Thất vọng, tôi viết một bài phân tích về rủi ro này, nhưng không có nhiều phản hồi.
Điều đó khiến tôi nhận ra rằng ngành công nghiệp này vẫn còn nhiều điểm mù. Con người ta xây dựng hệ thống dựa trên các giả định tích cực về hành vi của các bên vận hành. Và một hệ thống được sinh ra từ sự lạc quan là một lỗ hổng bảo mật không nên tồn tại.
Nếu tôi có thể dự đoán một xu hướng, đó là: trong 12 tháng tới, chúng ta sẽ chứng kiến một sự cố lớn liên quan đến sequencer. Không phải vì công nghệ kém, mà vì sự phức tạp của vận hành đã vượt qua khả năng dự đoán. Khi các quỹ đầu tư tổ chức bắt đầu tham gia thị trường tiền điện tử, họ sẽ yêu cầu kiểm toán về khả năng phục hồi sau thảm họa. Các giao thức Layer 2 phải đối mặt với một bài kiểm tra: liệu họ có thể vận hành mà không có một điểm hỏng duy nhất không? Tôi đặt cược rằng trong 2 năm tới, phần lớn các giao thức sẽ chuyển sang một mô hình "sequencer tập trung có giám sát on-chain" – nghĩa là giảm thiểu rủi ro bằng cách công khai hành vi của sequencer trên Layer 1.
Nhưng cho đến lúc đó, chúng ta vẫn sống trong một thế giới mà "sự tin tưởng" là một biến số. Và biến số đó không được phản ánh trong giá của token. Câu hỏi đặt ra: bạn đã sẵn sàng cho một ngày mà sequencer không thức dậy?
