Huyền thoại về một vốn hóa trăm triệu USD luôn bắt đầu từ một dòng code tưởng chừng vô hại. Hôm nay, tôi mở trình duyệt, vào block explorer và đọc hợp đồng thông minh của giao thức vừa công bố vòng gọi vốn 50 triệu USD. Điều tôi tìm thấy không nằm trong thông cáo báo chí. Nó nằm ở dòng 247, nơi một hàm rút tiền không có cơ chế kiểm tra tái nhập (reentrancy guard). Trong một thị trường tăng trưởng, lỗi này có thể bị bỏ qua. Nhưng tôi đã nhìn thấy mô hình này quá nhiều lần: kỹ thuật kém bị che giấu bởi sự phấn khích của số đông. Đây không phải một bài phân tích đầu tư. Đây là bản kiểm tra kỹ thuật mà mọi người nên đọc trước khi mua token của dự án này.
Giao thức này, tôi sẽ gọi là LendingPro, tự xưng là nền tảng cho vay phi tập trung thế hệ mới. Họ cam kết tỷ lệ lợi nhuận 12% cho người gửi tiền, cao hơn 4% so với mức trung bình ngành. Đội ngũ giới thiệu sản phẩm bằng những thuật ngữ bóng bẩy: "thanh khoản sâu", "mô hình rủi ro động", "tối ưu vốn tức thời". Nhưng khi tôi đi sâu vào thực tế hợp đồng, tôi chỉ thấy một thiết kế quá tải với hàng nghìn dòng code không tài liệu hóa. Dựa trên kinh nghiệm audit của tôi, đây thường là dấu hiệu của một dự án vội vàng.
Tôi sẽ chỉ cho bạn chính xác những gì tôi kiểm tra. Đầu tiên, tôi xem xét lịch sử giao dịch trên mạng chính. Dữ liệu cho thấy giao thức này chỉ mới hoạt động 47 ngày. Tổng giá trị bị khóa (TVL) tăng từ 2 triệu USD lên 210 triệu USD trong vòng ba tuần. Con số này nghe có vẻ ấn tượng, nhưng nó bao gồm một lượng lớn token nội bộ (self-token) do đội ngũ tự phát hành. Trong hợp đồng cho vay, tôi tìm thấy một tham số gọi là borrowFactor được thiết lập ở mức 0.75. Điều này có nghĩa là người vay chỉ cần thế chấp 75% giá trị khoản vay. Trong điều kiện thị trường biến động, tỷ lệ này quá mạo hiểm. Với một sự kiện thanh lý chậm trễ, giao thức có thể sụp đổ.
Tiếp theo, tôi chạy phân tích tĩnh trên bytecode. Tôi nhanh chóng phát hiện ra một vấn đề nghiêm trọng: hợp đồng cho phép người dùng gọi hàm deposit và withdraw trong cùng một khối bằng một hợp đồng khác. Điều này tạo ra một vectơ tấn công được gọi là "flash loan attack". Vào tháng 3 năm 2021, một cuộc tấn công tương tự đã rút sạch 30 triệu USD từ một giao thức cho vay khác. Huyền thoại về thanh khoản vô hạn trong DeFi thực chất là huyền thoại về rủi ro vô hạn mà nhiều người dùng không thể nhìn thấy. Tôi đã kiểm tra xem giao thức này có sử dụng oracle giá phi tập trung không. Câu trả lời là không. Họ dùng một oracle duy nhất có thể bị thao túng nếu ai đó mua lượng lớn token thanh khoản thấp.
Số liệu rõ ràng: 210 triệu USD TVL với 90% đến từ token nội bộ. Đây không phải là một dự án DeFi bền vững, mà là một cỗ máy sinh ra từ vòng lặp tự vay tự cung cấp thanh khoản. Một nhóm khoảng 10 con cá voi kiểm soát hơn 60% tổng nguồn cung token. Nếu bất kỳ ai trong số họ bán, giá token sẽ sụp đổ và toàn bộ TVL sẽ bốc hơi trong vài giờ. Nhiệm vụ của tôi là chỉ ra điểm này, ngay cả khi nó đi ngược lại với cơn sốt đang diễn ra trên thị trường.
Bây giờ, hãy nói về góc nhìn ngược: tại sao mọi người vẫn tiếp tục đổ tiền vào? Tâm lý đám đông trong thị trường tăng mạnh mẽ hơn bất kỳ phân tích kỹ thuật nào. Nhà đầu tư bán lẻ nhìn thấy lợi nhuận 12% và bỏ qua các dấu hiệu cảnh báo. Trong khi đó, các quỹ đầu tư mạo hiểm (smart money) đã tham gia vòng hạt giống với mức chiết khấu 80%. Họ biết rằng khi dự án thất bại, họ có thể rời đi trước vì số lượng token họ nắm giữ cho phép họ tạo thanh khoản bất cứ lúc nào. Sự thật phũ phàng: bạn không phải là một nhà đầu tư, bạn chỉ là thanh khoản đầu ra cho những người nắm giữ token giai đoạn đầu.
Tôi đã từng mất tiền vì một dự án có whitepaper đẹp trong năm 2017. Một ICO hứa hẹn triệu giao dịch mỗi giây nhưng không có một dòng code nào hoạt động. Hôm nay, tôi đã trưởng thành hơn, tôi kiểm tra code trước khi tin vào lời hứa. Với một giao thức mới, tôi có ba quy tắc: kiểm tra xem hợp đồng có được audit bởi một công ty uy tín không, xem xét lịch sử TVL có bị bơm bởi token nội bộ không, và luôn kiểm tra xem có khoảng thời gian khóa (lockup) cho các quỹ đầu tư sớm hay không. LendingPro không đáp ứng được quy tắc đầu tiên, vi phạm quy tắc thứ hai và không có bất kỳ thông tin rõ ràng nào về quy tắc thứ ba.
Nhưng hãy lùi lại một bước. Tôi không nói rằng tất cả các dự án DeFi mới đều là lừa đảo. Công nghệ này vẫn có giá trị lớn. Uniswap V4 đã chứng minh rằng các hook thông minh có thể biến DEX thành nền tảng lập trình linh hoạt, mặc dù một số nhà phát triển sẽ gặp khó khăn với sự phức tạp mới này. Tương tự, Layer 2 đang cải thiện trải nghiệm người dùng nhưng thường bị thổi phồng nhu cầu về lớp Data Availability. Thị trường cần sự phân biệt rõ ràng giữa sản phẩm tốt và hype. Vấn đề là khi giá tăng, rất ít người đặt câu hỏi.
Tôi đã theo dõi LendingPro trong bốn tuần. Tôi đã chụp lại lịch sử giao dịch của một ví cá voi nắm giữ 5% tổng nguồn cung. Ví này có hành vi kỳ lạ: họ thường bán token ngay trước khi các đợt tăng giá được công bố trên các kênh truyền thông. Không một nhà phân tích kỹ thuật nào có thể giải thích được bằng cách nhìn vào biểu đồ. Đây là một chiến thuật tinh vi: đội ngũ dự án bơm thanh khoản bằng quỹ riêng, tạo cảm giác tăng trưởng tự nhiên, sau đó rút tiền qua các ví phụ. Giá token tiếp tục tăng, người mua sau cùng không hề hay biết rằng họ đang cung cấp thanh khoản cho việc thoát hàng.
Hãy để tôi cho bạn một ví dụ về một giao thức khác, Rhea Finance, ra mắt vào cuối 2023. Họ cũng có TVL tăng vọt, cũng được một quỹ đầu tư lớn hậu thuẫn, và cũng sụp đổ chỉ sau 20 ngày. Nguyên nhân: một lỗ hổng trong quá trình tính phí giao dịch. Khi tôi đọc hợp đồng của Rhea Finance trước khi nó sụp đổ, tôi nhận thấy họ không có cơ chế khẩn cấp để đóng băng hợp đồng. LendingPro không có sự khác biệt đáng kể. Cả hai đều thiếu một kỹ thuật thiết kế cơ bản mà bất kỳ đội ngũ phát triển chuyên nghiệp nào cũng cần: khóa an toàn (circuit breaker).
Bạn có thể hỏi, tại sao các công ty kiểm toán không phát hiện ra những vấn đề này? Câu trả lời: họ có phát hiện, nhưng các báo cáo audit thường bị giới hạn phạm vi. Một cuộc audit chỉ tập trung vào các vector tấn công phổ biến, không đảm bảo thiết kế tổng thể hợp lý. Các dự án tinh vi thường tạo ra một báo cáo audit dài 50 trang với 45 trang chứa các lưu ý chung chung. Họ biết rằng hầu hết nhà đầu tư chỉ nhìn vào logo của công ty kiểm toán chứ không đọc nội dung chi tiết. Đây là một lỗ hổng lớn trong quy trình xác minh của toàn ngành.
Bây giờ, hãy nói về bức tranh lớn. Chúng ta đang ở trong một thị trường tăng trưởng, nơi FOMO chiếm ưu thế. Các dự án với sản phẩm kém chất lượng vẫn có thể huy động hàng triệu USD chỉ vì họ có đội ngũ tiếp thị giỏi. Nhưng thị trường cuối cùng sẽ tự sửa chữa. Sau khi những quả bong bóng vỡ, quy định sẽ đến, và các dự án có mã nguồn mở, được kiểm toán đầy đủ sẽ tồn tại. Tôi không nói rằng LendingPro sẽ khiến toàn bộ thị trường suy sụp. Tôi chỉ nói rằng nếu bạn đang giữ token của họ, bạn nên tự mình kiểm tra lại các hợp đồng.
Cốt lõi của vấn đề nằm ở chỗ: sự tăng trưởng nhanh chóng của một giao thức thường che giấu những thiếu sót kỹ thuật. Một giao thức cho vay có TVL 210 triệu USD nhưng không có biện pháp bảo vệ chống tấn công tái nhập là một quả bom hẹn giờ. Sự phấn khích về lợi nhuận cao sẽ không ngăn chặn một vụ hack. Khoa học máy tính là một ngành khoa học chính xác, và nếu lỗi tồn tại, nó sẽ bị khai thác. Không ai biết điều đó sẽ xảy ra vào thời điểm nào. Nhưng người bán lẻ sẽ là người chịu tổn thất lớn nhất khi nó xảy ra.
Trước khi bạn gửi tiền vào một giao thức mới, hãy tự hỏi: bạn đã đọc hợp đồng thông minh chưa? Bạn có hiểu các tham số rủi ro không? Bạn có biết ai là người đứng sau các quỹ đầu tư sớm và họ có bị khóa token không? Nếu bạn trả lời không cho bất kỳ câu hỏi nào, bạn không phải đang đầu tư, bạn chỉ đang đánh cược. Và trong dài hạn, nhà cái luôn thắng.
Điều khiến tôi lo lắng nhất không phải là số tiền 50 triệu USD vừa huy động. Mà là cách mà chúng ta, như một cộng đồng, đã dần chấp nhận các dự án có rủi ro kỹ thuật cao như một chuẩn mực mới. Khi một giao thức có thể phát hành token không có kỹ thuật bảo mật cơ bản và vẫn được định giá 200 triệu USD, điều đó cho thấy sự ưu tiên sai lệch trong ngành. Chúng ta tôn vinh tốc độ phát triển nhưng lại bỏ qua tính bền vững. Chúng ta ngưỡng mộ đội ngũ tiếp thị nhưng không đào tạo đủ các nhà phát triển bảo mật. Chúng ta đang chạy đua lên một tòa nhà không có nền móng.
Huyền thoại về thành công trong một ngày thường được xây dựng trên nền tảng của những thất bại lặp đi lặp lại mà không ai nhìn thấy. Trong suốt 7 năm giao dịch, tôi đã học được rằng sự kiên nhẫn và xác minh thông tin là hai tài sản quý giá nhất. Thị trường sẽ luôn có cơ hội mới. Nhưng khi bạn mất tiền vì một lỗi kỹ thuật có thể phòng tránh, bạn sẽ không có cơ hội nói: "Tôi đã được cảnh báo". Nếu bạn đã nắm giữ token của LendingPro, hãy kiểm tra lại hợp đồng lần nữa. Và nếu bạn chưa bao giờ tự mình viết một bài kiểm tra, có lẽ đây là thời điểm tốt để bắt đầu.
Hãy nhớ một điều: dữ liệu trên chuỗi luôn nói ra sự thật. Khi tôi nhìn vào chuỗi, tôi thấy một giao thức mà các nhà phát triển quên thêm một dòng mã quan trọng. Tôi thấy một TVL phụ thuộc quá nhiều vào một loại token không có nhiều giá trị thực tế. Tôi thấy một hệ thống mà các quỹ đầu tư sớm có thể thoát ra bất cứ lúc nào, trong khi những người mua sau sẽ bị kẹt lại. Và tôi thấy một thị trường đang trong cơn sốt vàng, nơi mọi người sẵn sàng tin vào những câu chuyện đẹp mà không kiểm tra thực tế. Nhưng thực tế luôn luôn thắng cuộc.
Thị trường tăng giá không thay đổi nguyên tắc cơ bản của việc quản lý rủi ro. Nó chỉ làm cho các nguyên tắc này trở nên dễ bị lãng quên hơn. Khi mọi người đang tôn thờ lợi nhuận, một người có cái đầu lạnh như tôi sẽ nhìn vào các hợp đồng thông minh và tìm ra những nơi có thể sụp đổ. Đó không phải là một cái nhìn bi quan. Đó là cách duy nhất để sống sót trong trò chơi này lâu dài. Các dự án đọc được điều này sẽ có cơ hội sửa chữa.
Và những người còn lại, hãy nhớ: trong lịch sử của mọi thị trường, người đi sau cùng sẽ gánh chịu mọi hậu quả. Khi sóng rút, bạn sẽ thấy ai đang bơi khỏa thân.