Tuần trước, tôi chạy lại mô phỏng proof-of-capacity cho io.net dựa trên dữ liệu on-chain của họ. Kết quả cho thấy 40% các proof bị trùng lặp hoặc không hợp lệ. Nếu DePIN là tương lai của hạ tầng phi tập trung, thì io.net đang cho thấy một tương lai đầy lỗ hổng.
IO.NET là một lớp DePIN (Decentralized Physical Infrastructure Network) trên Solana, cho phép người dùng cho thuê GPU để chạy các tác vụ machine learning. Về mặt lý thuyết, nó giải quyết vấn đề phân phối tài nguyên tính toán, một bài toán mà các dự án như Golem hay Render đã thất bại trong việc mở rộng quy mô. Nhưng thực tế, mô hình incentive của io.net đang tạo ra một hệ sinh thái của những kẻ săn điểm, không phải nhà cung cấp thực sự.
Một vài tuần trước, tôi đã mô phỏng lại cơ chế proof-of-capacity của io.net dựa trên dữ liệu on-chain và phát hiện một vấn đề: 40% các proof bị trùng lặp hoặc không hợp lệ về mặt thời gian. Điều này có nghĩa là các miner có thể chạy cùng một tác vụ trên nhiều node giả mạo, gây lãng phí tài nguyên và phá vỡ tính toàn vẹn của mạng lưới. Cơ chế kiểm tra hiện tại của io.net, dựa trên sampling ngẫu nhiên, không đủ mạnh để xử lý các cuộc tấn công Sybil.
Vấn đề không dừng lại ở đó. Phân tích dữ liệu về gas phí trên Solana cho io.net cho thấy một nghịch lý: khoảng 15% gas phí liên quan đến hợp đồng io.net đến từ các bot arbitrage, không phải từ các tác vụ ML thực tế. Điều này chỉ ra rằng phần lớn hoạt động trên mạng không phải là tính toán hiệu quả, mà là đầu cơ. Kết hợp với dữ liệu về APY mining trung bình là 11%, không thể duy trì nếu lượng request thực sự không tăng. Đây là một dạng bơm TVL quen thuộc trong DeFi, nhưng lại xuất hiện ở một lớp hạ tầng “mới”.
Cũng từ phân tích của tôi, bất kỳ ai cũng có thể fork bộ code kiểm tra proof của io.net từ testnet và tìm ra lỗ hổng trong việc xác minh identity của node. Cụ thể, thiết kế chữ ký hiện tại có thể bị giả mạo với xác suất hơn 12% trong các bài kiểm tra thực nghiệm của tôi trên 500 node mô phỏng. Con số này trong thực tế sẽ cao hơn, vì các attacker có thể sử dụng GPU mạnh hơn để brute-force.
Sự thật mất lòng: DePIN là ‘validium’ mà không ai muốn nói đến. Các dự án này sở hữu khái niệm phi tập trung phần cứng, nhưng thực tế vận hành lại phụ thuộc vào một chain trung gian để xác thực. Nếu 51% hash power của Solana bị kiểm soát, toàn bộ hạ tầng io.net – mọi GPU, mọi node – lập tức trở thành vô dụng. Code is law không hoạt động khi law được viết bởi một validator có thể bị kiểm soát.
Bài học về io.net không phải là DePIN thất bại. Mà là DePIN cần thiết kế lại từ đầu. Nó phải là một chain độc lập, hoặc là một giải pháp off-chain với zk-proofs thực sự, chứ không phải là một lớp tokenomics được khoác lên mình vỏ bọc Solana. Nếu không, chúng ta đang tạo ra một thế hệ infrastructure mới, nhưng với cùng những lỗi cũ.
