Ảo tưởng về phi tập trung: Làm thế nào lỗi cơ sở dữ liệu của một công ty duy nhất đã phơi bày sự mong manh của hạ tầng tiền điện tử

Vào ngày 18 tháng 11 năm 2025, khoảng 20% internet đã bị ngắt kết nối — không phải do một cuộc tấn công mạng, mà vì một cập nhật quyền truy cập cơ sở dữ liệu định kỳ đã kích hoạt một lỗi ẩn trong Cloudflare, một công ty “bảo vệ” internet khỏi chính loại sự cố này.

Trong vòng vài phút, chuỗi sự kiện bắt đầu: Twitter bị sập giữa chừng một tweet, ChatGPT đóng băng, Spotify ngừng phát nhạc trực tuyến. Và trong lĩnh vực crypto? Các nền tảng giao dịch mất kết nối, trình duyệt blockchain không hoạt động, giao diện ví trả về lỗi 500. Trong năm giờ rưỡi, ngành công nghiệp tự xưng là chống kiểm duyệt và không thể bị ngăn chặn đã hoàn toàn dừng lại.

Điều trớ trêu cay đắng? Chính các blockchain vẫn hoạt động hoàn hảo. Bitcoin khai thác các khối. Ethereum xử lý các giao dịch. Không có thất bại về đồng thuận, không có sự cố về giao thức. Người dùng đơn giản là không thể truy cập vào những gì họ “sở hữu” theo giả định.

Những gì thực sự xảy ra: Một cú vấp kỹ thuật với tác động thảm khốc

Cloudflare không lưu trữ website hay bán sức mạnh tính toán như các nhà cung cấp đám mây lớn khác. Thay vào đó, nó đóng vai trò như bộ điều khiển lưu lượng internet — đứng giữa người dùng và các dịch vụ trên 120 quốc gia. Công ty xử lý khoảng 20% lưu lượng internet toàn cầu qua mạng lưới toàn cầu của mình.

Vào ngày 18 tháng 11 lúc 11:05 UTC, Cloudflare thực hiện một thay đổi có vẻ như bình thường đối với cụm cơ sở dữ liệu ClickHouse của mình. Mục tiêu là hợp lý: nâng cao bảo mật và độ tin cậy bằng cách cập nhật kiểm soát truy cập. Nhưng chính tại đây, tính giả chống chịu của hạ tầng hiện đại đã bị phá vỡ.

Câu truy vấn cơ sở dữ liệu tạo ra các cấu hình bảo vệ bot không bao gồm bộ lọc tên cơ sở dữ liệu. Điều này có nghĩa là câu truy vấn bắt đầu trả về các mục trùng lặp — một từ cơ sở dữ liệu mặc định, một từ lớp lưu trữ nền. Tập tin cấu hình đột nhiên tăng gấp đôi kích thước, từ khoảng 60 tính năng lên hơn 200.

Các kỹ sư của Cloudflare đã đặt giới hạn cứng ở 200 tính năng, nghĩ rằng con số này thoải mái vượt quá mức sử dụng thực tế của họ. Logic kỹ thuật cổ điển: đặt một biên an toàn rộng rãi và giả định rằng nó sẽ không bao giờ bị vượt quá. Cho đến khi nó xảy ra.

Tập tin quá lớn đã làm sập hệ thống bảo vệ bot — một thành phần cốt lõi của toàn bộ lớp điều khiển của Cloudflare. Khi một hệ thống thất bại, các hệ thống phụ thuộc theo sau. Hệ thống giám sát sức khỏe báo cho các bộ cân bằng tải “máy chủ nào đang hoạt động” cũng thất bại. Lưu lượng vẫn tiếp tục đến các nút biên của Cloudflare, nhưng không có cách nào để định tuyến nó đi.

Trong vài giờ đầu, các kỹ sư của Cloudflare nghĩ rằng họ đang bị tấn công từ chối dịch vụ phân tán quy mô lớn. Hệ thống cứ liên tục chuyển đổi giữa “hoạt động” và “hoàn toàn hỏng” mỗi năm phút khi cấu hình lỗi được tạo lại. Nhưng không có cuộc tấn công nào xảy ra — chỉ là một bộ lọc cơ sở dữ liệu bị thiếu và một giả định sai.

Đến UTC 17:06, cấu hình chính xác đã được triển khai toàn cầu. Dịch vụ được khôi phục. Khủng hoảng đã qua.

Ngành công nghiệp Crypto không thể ăn mừng — Nó đã bị lộ

Trong khi các nền tảng Web2 chịu thiệt hại đầu tiên và rõ ràng nhất — các luồng Spotify bị gián đoạn, các phiên chơi game bị ngắt kết nối, hệ thống giao hàng bị sập — thế giới crypto đối mặt với một sự thật khó chịu hơn.

Nhiều nền tảng trao đổi không thể tải được. Trình duyệt blockchain đi offline. Dịch vụ ví thất bại. Giao diện giao dịch hiển thị lỗi. Và toàn bộ ngành muốn đăng bài về điều đó trên Twitter — chỉ để phát hiện ra rằng Twitter cũng đã ngừng hoạt động.

Điều này tạo ra một sự im lặng kỳ lạ. Trong đợt outage của AWS tháng 10, crypto Twitter đã dành hàng giờ để chế nhạo “tính dễ vỡ của hạ tầng” và “rủi ro tập trung.” Lần này? Không ai có thể chế nhạo gì cả. Nền tảng bạn dùng để phê phán các điểm yếu đơn lẻ chính là điểm yếu đó.

Điều không thoải mái là: chính các giao thức blockchain chưa từng bị ảnh hưởng. Các giao dịch vẫn có thể được xử lý trên chuỗi. Đồng thuận vẫn tiếp tục. Toàn bộ nền tảng kỹ thuật của “tài chính không tin cậy, chống kiểm duyệt” hoạt động chính xác như thiết kế.

Nhưng điều đó không còn quan trọng nữa. Bởi vì nếu không truy cập được, một blockchain hoạt động đúng nghĩa chỉ còn là một hồ sơ lịch sử mà không ai có thể đọc.

Mẫu số chung mà không ai phá vỡ: Bốn sự cố lớn, cùng một vấn đề nền tảng

• Tháng 7 năm 2019: Sự cố Cloudflare. Coinbase mất kết nối, dữ liệu thị trường không truy cập được.
• Tháng 6 năm 2022: Một lần nữa Cloudflare gặp sự cố. Nhiều nền tảng crypto tạm ngưng dịch vụ.
• Ngày 20 tháng 10 năm 2025: Sự cố AWS kéo dài 15 giờ. Các thất bại của DynamoDB gây chuỗi phản ứng trong các dịch vụ phụ thuộc.
• Ngày 18 tháng 11 năm 2025: Cloudflare lại một lần nữa. Nửa ngày rưỡi gián đoạn diện rộng.

Bốn sự cố hạ tầng lớn trong khoảng 18 tháng. Bài học rõ ràng: hạ tầng tập trung tạo ra các điểm thất bại tập trung.

Nhưng ngành vẫn chưa học được điều đó.

Tại sao “phi tập trung” vẫn chỉ là thuật ngữ marketing chứ chưa phải thực tế kỹ thuật

Ngành crypto xây dựng toàn bộ triết lý dựa trên một tiền đề duy nhất: loại bỏ trung gian, loại bỏ điểm yếu đơn lẻ, tạo ra hệ thống không thể bị ngăn chặn.

Thực tế lại khác.

Chuỗi “phụ thuộc hạ tầng” hiện tại của crypto nghe như một trò đùa mà ai đó sợ kể:

• Các sàn lớn phụ thuộc vào Amazon Web Services
• DNS và phân phối nội dung phụ thuộc vào Cloudflare
• Trình duyệt blockchain phụ thuộc vào Cloudflare
• Các nền tảng phân tích phụ thuộc vào Cloudflare
• Giao diện ví phụ thuộc vào hạ tầng tập trung tương tự

Vì vậy, khi Cloudflare cập nhật cấu hình cơ sở dữ liệu và làm hỏng hệ thống bảo vệ bot, toàn bộ ngành — vốn được xây dựng để ngăn chặn chính xác kịch bản này — lại bị ngắt kết nối.

Tính giả mạo phi tập trung trở nên rõ ràng: lớp giao thức thực sự phân tán, nhưng lớp truy cập bị bóp nghẹt qua ba công ty kiểm soát khoảng 60% hạ tầng đám mây (Amazon Web Services chiếm 30%, Microsoft Azure 20%, Google Cloud 13% ).

Ba công ty. Hai trong số họ gặp sự cố trong cùng một tháng. Đó không phải là dự phòng — đó là sự mong manh tập trung.

Kinh tế của sự cẩu thả

Tại sao điều này cứ tiếp diễn? Tại sao các nền tảng crypto không xây dựng hạ tầng giả định rằng sẽ có sự cố?

Câu trả lời quá rõ ràng: tốn kém và phức tạp.

Xây dựng hạ tầng riêng có nghĩa là mua phần cứng, đảm bảo nguồn điện ổn định, duy trì băng thông riêng, thuê chuyên gia an ninh, thiết lập dự phòng địa lý, thiết kế khôi phục thảm họa, và theo dõi 24/7. Nó đòi hỏi vốn lớn và chi phí vận hành liên tục.

Sử dụng Cloudflare chỉ cần nhập số thẻ tín dụng và triển khai trong vài phút.

Các startup ưu tiên tốc độ ra thị trường. Các nhà đầu tư yêu cầu hiệu quả vốn. Mọi người chọn sự tiện lợi hơn là độ bền vững.

Cho đến khi sự tiện lợi trở nên vô cùng bất tiện — và rõ ràng, ngay cả bốn sự cố lớn trong 18 tháng cũng chưa đủ để thay đổi hành vi.

Các lựa chọn phi tập trung tồn tại: Arweave cho lưu trữ, IPFS cho truyền file phân tán, Akash cho tài nguyên tính toán, Filecoin cho hosting phi tập trung. Nhưng chưa ai đạt được mức độ phổ biến đáng kể vì chúng chậm hơn, phức tạp hơn, và thường đắt hơn các giải pháp tập trung.

Ngành công nghiệp chỉ nói suông về phi tập trung trong khi vẫn chọn các giải pháp tập trung mỗi khi có sự đánh đổi thực sự giữa nguyên tắc và tiện lợi.

Những gì các nhà quản lý thấy — và tại sao họ bắt đầu chú ý

Ba sự cố lớn trong 30 ngày đã thu hút sự chú ý của các nhà hoạch định chính sách, những người giờ đã thấy rõ điều vốn dĩ rõ ràng: một số ít công ty công nghệ có thể vô hiệu hóa hạ tầng quan trọng.

Các câu hỏi được đặt ra:

• Các công ty kiểm soát 20% lưu lượng internet toàn cầu có đủ tiêu chuẩn là “tổ chức quan trọng hệ thống” không?
• Hạ tầng internet có nên được quy định như các dịch vụ công cộng không?
• Khi “quá lớn để thất bại” áp dụng cho các nền tảng công nghệ thì sao?
• Có dự phòng nào khi các sự cố lan rộng qua các nhà cung cấp được cho là độc lập?

Trong các lần thất bại hạ tầng trước, các chuyên gia chính sách đã rõ ràng: khi một nhà cung cấp thất bại, truyền thông trở nên không thể tiếp cận, liên lạc an toàn ngừng hoạt động, và hạ tầng nền tảng của xã hội số sụp đổ.

Chính phủ đang nhận thức rõ rằng sự tập trung của hạ tầng internet tạo ra rủi ro hệ thống.

Nhưng chỉ quy định thôi thì chưa đủ. Giải pháp thực sự là ngành tự nguyện chuyển sang hạ tầng phi tập trung — một bước chuyển đòi hỏi nỗi đau của các sự cố trung tâm phải lớn hơn sự tiện lợi của các giải pháp tập trung.

Câu hỏi không ai muốn trả lời

Ngành crypto đã không “sập” vào ngày 18 tháng 11. Các giao thức blockchain vẫn tiếp tục hoạt động. Các nút vẫn đồng thuận. Các giao dịch vẫn hợp lệ.

Sự tự lừa dối tập thể của ngành đã thất bại.

Sự lừa dối này là tin rằng:

• Bạn có thể xây dựng các ứng dụng “không thể ngăn chặn” trên hạ tầng “không thể ngăn chặn”
• “Chống kiểm duyệt” có nghĩa gì khi ba công ty kiểm soát kênh truy cập
• “Phi tập trung” là thật khi một tệp cấu hình Cloudflare quyết định hàng triệu người có thể giao dịch
• “Hệ thống không tin cậy” hoạt động khi niềm tin được chuyển giao cho các trung gian tập trung

Nếu một blockchain vẫn tạo ra các khối nhưng người dùng không thể gửi giao dịch, nó có thực sự hoạt động không? Về mặt kỹ thuật có. Về mặt thực tế? Không.

Ngành không có kế hoạch dự phòng cho tình huống hạ tầng thất bại đúng lúc — trong một đợt sụp đổ thị trường khi mỗi giây đều quan trọng, hoặc khi các hệ thống xác thực danh tính cùng lúc offline.

Chiến lược “khôi phục thảm họa” hiện tại của ngành rất đơn giản: chờ Cloudflare sửa lỗi. Chờ AWS khôi phục dịch vụ. Chờ Microsoft phát hành bản vá. Hy vọng sự cố không trùng với thời điểm thị trường quan trọng.

Đây không phải là kế hoạch. Đó là sự tê liệt trá hình như một chiến lược kinh doanh liên tục.

Sự chắc chắn của lần tới

Sự cố ngày 18 tháng 11 sẽ bị lặp lại bởi một sự cố hạ tầng khác. Nó có thể bắt nguồn từ AWS, Azure, Google Cloud, hoặc một thay đổi cấu hình Cloudflare khác.

Nó có thể xảy ra vào tháng tới. Nó có thể xảy ra vào tuần tới.

Hạ tầng nền tảng vẫn không thay đổi. Các phụ thuộc vẫn không thay đổi. Các động lực ngành vẫn không đổi — các giải pháp tập trung vẫn rẻ hơn, nhanh hơn, tiện lợi hơn các lựa chọn phân tán.

Không có gì về mặt cấu trúc có thể ngăn chặn lần thất bại tiếp theo vì để ngăn chặn, ngành sẽ phải đầu tư vào độ phức tạp và dự phòng mà không mang lại lợi ích rõ ràng cho đến đúng thời điểm cần thiết.

Khi thời điểm đó đến — khi sự cố trùng với một sự kiện thị trường quan trọng, hoặc hệ thống xác thực danh tính, hoặc thời điểm gây thiệt hại tài chính tối đa — ngành sẽ lại nhận ra rằng “phi tập trung” vẫn chỉ là một triết lý chứ chưa phải kiến trúc.

Và những người xây dựng ứng dụng dựa trên giả định rằng hạ tầng luôn sẵn sàng sẽ học bài đắng lòng rằng giả định đó chỉ là cát sa mạc.