57.4%. Đó là con số Cloudflare vừa công bố trong báo cáo an ninh mạng hàng năm của họ — phần trăm lưu lượng internet toàn cầu đến từ các chương trình tự động, không phải con người. Con số này tăng 6% so với năm trước, và lần đầu tiên vượt ngưỡng 50% một cách chắc chắn. Nếu bạn nghĩ điều này chỉ ảnh hưởng đến các trang web thương mại điện tử hay mạng xã hội, hãy nghĩ lại. Trong bảy ngày qua, một giao thức DeFi hàng đầu đã mất 40% thanh khoản sau khi bị bot arbitrage tấn công theo mô hình sandwich. Không phải lỗi smart contract. Mà là do thiết kế cơ chế không chống chịu được làn sóng bot AI.
Bot traffic không chỉ là vấn đề của Web2 — nó đang định hình lại bối cảnh Web3, từ lớp cơ sở hạ tầng cho đến các ứng dụng DeFi, GameFi, và AI trading. Khi robot chiếm quá nửa lưu lượng, mọi chỉ số on-chain mà chúng ta từng tin tưởng — số lượng giao dịch, phí gas, địa chỉ hoạt động — đều trở nên nhiễu loạn. Là một zero-knowledge researcher từng audit hợp đồng ICO và xây dựng bot arbitrage, tôi nhận thấy đây không chỉ là một xu hướng truyền thông, mà là một điểm uốn cấu trúc.
Bối cảnh: Tại sao cộng đồng crypto cần quan tâm? Cloudflare không phải là blockchain, nhưng dữ liệu của họ là proxy đáng tin cậy nhất cho toàn bộ internet. Khi bot chiếm 57.4% lưu lượng HTTP, điều đó có nghĩa là bất kỳ hệ thống nào kết nối internet — bao gồm node RPC, bridge, sequencer L2, và thậm chí cả ứng dụng di động — đều phải đối mặt với cùng một tỷ lệ tấn công. Trong không gian crypto, bot không chỉ là web crawler hay spam comment; chúng là các tác nhân kinh tế tự động: bot MEV, bot arbitrage, bot airdrop farming, bot wash-trading. Mỗi loại có một tác động khác nhau lên trạng thái mạng. Ví dụ: bot MEV trên Ethereum tiêu thụ tới 20% tổng phí gas trong một số block, đẩy giá ưu tiên lên cao và gạt bỏ người dùng thông thường. Điều này tạo ra một vấn đề nan giải: một blockchain được thiết kế để phi tập trung và không cần tin cậy, nhưng lại bị thống trị bởi các thuật toán tối ưu hóa lợi nhuận.
Core: Phân tích tác động kỹ thuật đến cấp độ giao thức và mã nguồn Dựa trên kinh nghiệm audit của tôi với nhiều dự án DeFi và rollup, tôi thấy ba tác động chính:
1. Áp lực lên RPC endpoint và node validator. Khi bot chiếm 57.4% lưu lượng, mỗi RPC endpoint phải xử lý hàng nghìn req/s từ các bot chứ không phải người dùng. Node nhẹ (light node) dễ bị quá tải, dẫn đến tăng độ trễ và rớt giao dịch. Một số dự án như Alchemy hay Infura đã triển khai rate limit, nhưng con bot hiện đại sử dụng proxy pool để né. Giải pháp thực sự đến từ các giao thức L2 sử dụng zero-knowledge proof để batch giao dịch trước khi gửi lên L1 — giảm tải cho L1 RPC, nhưng bản thân sequencer L2 vẫn phải đối mặt với bot. Mã nguồn của một số sequencer như Madara hay zkSync Era có logic giới hạn tốc độ dựa trên nonce, nhưng các bot có thể spam nhiều nonce song song using flashbot bundles. Đây là một cuộc chạy đua vũ trang: mỗi khi giao thức vá một lỗ hổng, bot AI học cách thích nghi.
2. MEV trở thành một feature, không phải bug — nhưng với chi phí công bằng xã hội. MEV (Maximal Extractable Value) vốn là một khái niệm trung tính, nhưng khi bot chiếm đa số lưu lượng, phần lớn MEV bị khai thác bởi các tác nhân tự động, không phải người dùng thông thường. Điều này tạo ra một thị trường không công bằng: người dùng nhỏ lẻ gần như không có cơ hội kiếm lợi từ arbitrage hay liquidations. Các giao thức như Flashbots đã phát triển SUAVE để tách MEV khỏi validator cốt lõi, nhưng việc triển khai chưa hoàn thiện. Tôi từng xây dựng một bot arbitrage trên Uniswap V2 vào năm 2020; khi đó chỉ cần một script Python cơ bản cũng kiếm được 50 ETH trong một tuần. Bây giờ, với bot AI và flash loan, cạnh tranh đã trở nên cực kỳ khốc liệt — một bot phải quét 40 cặp token trên 5 DEX chỉ trong 0.3 giây. Tôi đã nghiên cứu mã nguồn của một số bot hiện đại và phát hiện chúng sử dụng mô hình học tăng cường (reinforcement learning) để điều chỉnh gas price. Code không lỗi chỉ là giấc mơ — nhưng bot học hỏi lỗi của bạn nhanh hơn bạn vá chúng.
3. Dữ liệu on-chain bị nhiễu loạn do wash-trading và airdrop farming. Các dự án DeFi và NFT thường tự hào về tổng volume giao dịch. Nhưng nếu 57.4% lưu lượng web là bot, thì trên-chain cũng vậy. Nhiều dự án sử dụng bot để tăng volume nhằm thu hút đầu tư hoặc né tránh sự sụt giảm TVL. Trong quá trình audit cho một giao thức lending vào năm 2023, tôi phát hiện ra rằng 30% số địa chỉ tương tác với hợp đồng là bot giả mạo tạo ra để farm token. Điều này làm sai lệch các chỉ số cơ bản: nếu bạn dùng Dune Analytics để đánh giá một dự án, bạn cần phải filter bot, nếu không bạn sẽ đưa ra quyết định sai lầm. Chỉ vì một giao thức có 100.000 giao dịch mỗi ngày không có nghĩa là nó có sức hút thực sự.
Quan điểm trái chiều (Contrarian Angle): Bot không phải là kẻ thù — vấn đề là mức độ phi tập trung Nhiều người sẽ nói rằng bot là xấu, chúng phá hỏng trải nghiệm người dùng và tạo ra bất bình đẳng. Tôi không đồng tình hoàn toàn. Bot là công cụ. Nếu chúng được thiết kế tốt và tuân thủ quy tắc, chúng có thể cung cấp thanh khoản, giảm trượt giá, và duy trì hoạt động của thị trường. Vấn đề thực sự nằm ở chỗ blockchain không được tối ưu cho phân biệt người và máy. Bản chất của blockchain là xử lý các giao dịch một cách xác định — không có khái niệm 'người dùng xác thực' ở cấp độ giao thức. Các giải pháp như Proof-of-Personhood (Worldcoin, Proof of Humanity) đang cố gắng lấp đầy khoảng trống đó, nhưng chúng hi sinh tính ẩn danh và tạo ra điểm tập trung mới (cơ sở dữ liệu iris). Một góc nhìn khác: bot có thể được coi là 'dân số số' — nếu blockchain muốn đạt được khả năng mở rộng toàn cầu, nó phải hỗ trợ cả người và máy. Bot không phải vấn đề; vấn đề là thiết kế không có cơ chế kiểm soát bot. Nếu một giao thức không thể phân biệt giữa người dùng thực và bot, nó sẽ bị khai thác. Nhưng nếu nó có cơ chế xác thực (ví dụ: zk-proof chứng minh hành vi của con người), bot có thể bị hạn chế một cách tự nhiên.
Takeaway: Lỗ hổng lớn nhất không nằm trong smart contract, mà nằm trong giả định của chúng ta về 'người dùng' Khi bot chiếm đa số lưu lượng, mọi mô hình kinh tế dựa trên giả định rằng người dùng là con người đều sụp đổ. Các dự án cần ngừng khoe khoang số lượng giao dịch thuần mà bắt đầu công bố tỷ lệ hoạt động xác thực. Các nhà đầu tư nên yêu cầu dữ liệu đã lọc bot trước khi định giá. Còn về mặt kỹ thuật, tôi dự đoán rằng trong vòng 12 tháng tới, một trong những giải pháp zero-knowledge mới — chẳng hạn như zk-proof cho hành vi con người (tương tự CAPTCHA nhưng dùng SNARKs) — sẽ trở thành tiêu chuẩn de facto cho các dApp muốn duy trì tính chân thực của cộng đồng. Điều này sẽ tạo ra một lớp cơ sở hạ tầng mới, nơi các bot vẫn có thể hoạt động nhưng trong một khuôn khổ được kiểm soát. Câu hỏi còn lại là: liệu sự phi tập trung có thể tồn tại khi chúng ta phải xây dựng một hệ thống xác thực trung tâm để chống bot? Hay chúng ta sẽ chấp nhận một thế giới mà mọi giao dịch đều là máy với máy?