Gần đây bị một sự việc làm rúng động mạng xã hội, một thư viện giao dịch định lượng mã nguồn mở nổi tiếng là ccxt bị phát hiện ẩn chứa cơ chế hoa hồng ngầm trong mã nguồn. Nói rõ ra là, người dùng dùng ccxt để đặt lệnh, vốn có thể nhận hoa hồng từ sàn giao dịch, thì lại bị nhóm phát triển ccxt âm thầm thu về. Khi chuyện này bị phanh phui, toàn cộng đồng đều sôi sục.

Dự án ccxt này nổi tiếng đến mức nào? Trên Github có hơn 36.000 sao, trên trình quản lý gói chính thức của Python đã có hơn 93 triệu lượt tải về. Hầu như tất cả các nhóm giao dịch định lượng trên toàn cầu đều đang dùng công cụ này. Nó hỗ trợ hơn 100 sàn giao dịch, tương đương một Tradingview miễn phí, chức năng cực kỳ mạnh mẽ. Dự án này do nhà phát triển người Nga Igor Kroitor khởi xướng từ năm 2016, hỗ trợ nhiều ngôn ngữ lập trình như JavaScript, Python, PHP, C# và Go, không có gì lạ khi nó lại được ưa chuộng đến vậy.

Nhưng vấn đề nằm ở chỗ cái 'miễn phí' này. Một số người dùng phát hiện ra số tiền hoa hồng của họ bất thường, sau khi xem xét kỹ mã nguồn của ccxt mới phát hiện ra rằng, trong các bộ điều hợp của một số sàn giao dịch chính, ccxt đã cố ý mã hóa cứng brokerId của riêng mình. Nói cách khác, nếu người dùng không chủ động chỉnh sửa tham số này, hoa hồng từ sàn sẽ trực tiếp vào tài khoản của nhóm phát triển ccxt. Có người thống kê, chỉ trong vòng hai tháng đã bị 'rút' đi 15.000 USD, theo tốc độ này, có thể ccxt đã kiếm lợi hàng chục triệu hoặc thậm chí hàng tỷ USD qua cách này.

Điều đáng buồn hơn là, hành vi này đã có từ năm 2018. Thời đó ccxt còn có phiên bản trả phí Pro, sau đó chuyển sang hoàn toàn miễn phí. Năm 2018 có một người dùng đề xuất thêm ID giới thiệu tùy chọn để hỗ trợ dự án, ban đầu ý định là để người dùng tự chọn, nhưng sau đó nhóm phát triển ccxt đã biến 'tùy chọn' này thành 'mã hóa ngầm', và đã thêm logic này vào mã của nhiều sàn giao dịch chính.

Trong phần tuyên bố trách nhiệm của ccxt, thực sự có đề cập một câu rằng, tiền từ API proxy đến từ chương trình hoa hồng của sàn. Nhưng câu này lại bị giấu rất kỹ, phần lớn người dùng không để ý tới. Khi chuyện bị phát hiện, nhóm phát triển ccxt không có phản hồi công khai nào, mã nguồn cũng không sửa đổi, chỉ tiếp tục cập nhật bình thường mỗi ngày.

Chuyện này đã gây ra nhiều tranh luận thú vị. Có người nói rằng, vì là mã nguồn mở, người dùng nên tự kiểm tra. Cũng có người nghi ngờ, một dự án nổi tiếng như vậy, hành vi này thực sự trái với tinh thần mã nguồn mở và niềm tin của người dùng. Nhưng dù thế nào đi nữa, sự việc này đã cảnh tỉnh tất cả mọi người: công cụ 'miễn phí' có thể ẩn chứa chi phí cao hơn rất nhiều so với phí đăng ký. Trong lĩnh vực crypto đầy rẫy cạnh tranh này, cần cảnh giác với bất kỳ 'bữa trưa miễn phí' nào, phải kiểm tra kỹ từng dòng mã. Bởi vì đôi khi, chi phí đắt nhất lại chính là ẩn sau vẻ ngoài 'miễn phí'.