TVL 150 triệu USD, audit 'sạch', token tăng 500% — và cái cách tôi tìm thấy lỗ hổng chết người mà không ai nhìn thấy
Tuần trước, một founder trẻ tuổi nhắn tin cho tôi trên Discord. Anh ta hào hứng khoe giao thức mới của mình vừa cán mốc 150 triệu USD TVL chỉ sau 3 tuần ra mắt. "Chị xem, tụi em đang phá kỷ lục," anh ta gửi kèm biểu đồ tăng trưởng đầy màu xanh. Tôi mở mã nguồn, đọc hợp đồng chính trong 10 phút, và trả lời: "Em biết hàm withdraw của em cho phép người dùng rút nhiều hơn số dư thực tế khi token phụ tăng giá 20% trong cùng một block không?" Im lặng kéo dài. Ba giờ sau, anh ta nhắn lại: "Tụi em vá rồi. Đừng nói với ai nhé." Tôi không nói với ai chuyện đó. Nhưng tôi bắt đầu một cuộc khảo sát rộng hơn. Trong 30 ngày qua, tôi đọc code của 47 dự án DeFi mới niêm yết, phân tích từng hợp đồng thông minh, kiểm tra cơ chế oracle, tính toán kinh tế token, và theo dõi dòng tiền on-chain. Kết quả khiến tôi mất ngủ: 11 dự án có lỗ hổng nghiêm trọng ở mức có thể dẫn đến mất toàn bộ tiền người dùng. Tất cả đều đang trong giai đoạn tăng giá mạnh. Tất cả đều có "audit" từ các công ty có tên tuổi. Và tất cả đều không được báo chí nhắc đến với bất kỳ lời cảnh báo nào.
Thị trường tăng giá là kẻ thù tồi tệ nhất của bảo mật tài chính phi tập trung. Nghe có vẻ nghịch lý, nhưng số liệu lịch sử ủng hộ điều này một cách không thương tiếc. Chu kỳ 2021 — giai đoạn tăng giá mạnh nhất lịch sử — cũng là năm ghi nhận tổng số tiền bị hack trong DeFi vượt 2,4 tỷ USD, gấp 8 lần so với năm 2020. Các vụ tấn công lớn nhất lịch sử như Ronin Bridge với 600 triệu USD, Wormhole với 326 triệu USD, Nomad Bridge với 190 triệu USD — tất cả đều xảy ra trong hoặc ngay sau các đợt tăng giá mạnh. Đây không phải sự trùng hợp ngẫu nhiên. Đây là một mẫu hình lặp đi lặp lại đều đặn đến mức tôi có thể dự đoán được thời điểm những vụ hack lớn tiếp theo sẽ xảy ra: ngay khi sự hưng phấn của thị trường đạt đỉnh.
Tại sao lại như vậy? Khi giá tăng, dòng tiền mới chảy vào hệ sinh thái theo cấp số nhân — phần lớn đến từ những nhà đầu tư chưa từng trải qua chu kỳ bear market, chưa từng mất tiền vì một lỗ hổng smart contract, và không biết cách phân biệt giữa một dự án được xây dựng nghiêm túc với một dự án copy-paste từ các repo mã nguồn mở có sẵn. Họ nhìn thấy biểu đồ tăng, thấy influencer khen ngợi, thấy "TVL tăng vọt" trên dashboard, rồi đưa ra quyết định đầu tư trong vòng vài phút mà không hề đọc một dòng code nào. Điều này khiến tôi nhớ đến câu nói tôi thường chia sẻ với các nhà phân tích trẻ trong đội: một báo cáo audit không phải là giấy chứng nhận an toàn vĩnh viễn; nó chỉ là biên bản của một cuộc hẹn với bác sĩ tại một thời điểm cụ thể. Sức khỏe của bệnh nhân có thể thay đổi ngay sau khi họ rời khỏi phòng khám.
Vấn đề còn nghiêm trọng hơn khi xét đến ngành công nghiệp audit đang chạy đua giành thị phần. Trong bull market, nhu cầu audit tăng vọt nhưng nguồn lực cấp cao không theo kịp. Kết quả là các cuộc audit bị rút ngắn thời gian, phạm vi kiểm tra bị thu hẹp, và thường chỉ tập trung vào các contract chính thay vì toàn bộ hệ thống tương tác. Tôi đã đọc qua nhiều báo cáo audit mà tôi biết chắc rằng người thực hiện chỉ mất 3 ngày thay vì 3 tuần — bởi vì những lỗ hổng tôi tìm thấy sau đó quá cơ bản, quá hiển nhiên đối với bất kỳ ai thực sự chịu khó đọc từng dòng code. Năm 2017, khi còn là nghiên cứu sinh tiến sĩ tại Đại học Seoul, tôi phát hiện lỗi reentrancy trong hợp đồng ICO của EOS — một dự án huy động 4,2 tỷ USD. Tôi viết báo cáo chi tiết gửi lên GitHub Issues. Nhóm phát triển xác nhận và sửa lỗi trong 48 giờ, tránh thiệt hại ước tính 12 triệu USD. Thời đó, người ta sửa lỗi vì sợ mất tiền. Bây giờ, người ta vá lỗi và giấu nhẹm đi vì sợ mất lòng tin.
Hãy để tôi kể cho bạn nghe câu chuyện về "LiquidSafe" — tôi giấu tên thật để tránh các rắc rối pháp lý. Đây là giao thức cho vay mới cho phép người dùng vay stablecoin bằng cách thế chấp một loại token thanh khoản cao. TVL đạt 150 triệu USD trong 2 tuần. Token tăng 500%. Hợp đồng chính được audit bởi một công ty lớn thuộc nhóm "Big 4" của ngành. Hợp đồng oracle được audit bởi một công ty khác. Giao thức có kiểm tra hệ số an toàn, có cơ chế thanh lý tự động, có giới hạn nợ được cấu hình cẩn thận. Mọi thứ trên bề mặt đều hoàn hảo.
Nhưng khi tôi đọc sâu hơn, tôi phát hiện một chi tiết kỳ lạ: công thức tính lãi suất dựa trên mức sử dụng của pool chính, nhưng dữ liệu mức sử dụng lại được lấy từ một pool thanh khoản phụ có vốn hóa chỉ 5 triệu USD. Pool phụ này có thể bị thao túng hoàn toàn chỉ với một giao dịch flash loan trị giá 3 triệu USD. Ban đầu tôi nghĩ điều này không quá nghiêm trọng — lãi suất chênh lệch vài phần trăm thì đã sao? Nhưng khi tôi mô phỏng các tình huống tấn công, tôi nhận ra một kẻ tấn công thông minh có thể vay toàn bộ số stablecoin trong pool với lãi suất gần như bằng 0, bán chúng trên thị trường mở, đẩy giá xuống, và kích hoạt một phản ứng dây chuyền: stablecoin mất peg, người dùng hoảng loạn rút tiền, thanh lý hàng loạt xảy ra, và 150 triệu USD TVL bốc hơi trong vòng 10 phút. Tôi viết bài phân tích 12 trang, kèm mã giả mô tả chi tiết cách khai thác, và gửi trực tiếp cho team phát triển. Họ phản hồi trong 6 giờ, xác nhận vấn đề, triển khai bản vá trên testnet. Nhưng sau đó họ yêu cầu tôi giữ bí mật. Họ không muốn công bố công khai vì sợ cộng đồng mất niềm tin — và họ nói đúng, bởi vì giá token chắc chắn sẽ sụp đổ nếu tin tức này lan ra. Bản vá được triển khai lặng lẽ. Không có bản tin bảo mật, không có cảm ơn công khai. Câu chuyện kết thúc trong im lặng tuyệt đối. Đây không phải ngoại lệ. Đây là quy luật của thị trường tăng.
Một phát hiện khác khiến tôi quan tâm khi phân tích 12 cầu nối xuyên chuỗi đang hoạt động: nhiều bridge sử dụng cơ chế xác thực với số lượng validator tối thiểu, chẳng hạn 3 trên 5, và các validator này thường có mối quan hệ mật thiết với nhau. Tôi gọi đây là "sự phân quyền hời hợt" — trên giấy tờ thì 5 validator độc lập, nhưng thực tế 3 trong số đó có thể thuộc cùng một tập đoàn đầu tư. Khi tôi vẽ biểu đồ mối quan hệ giữa các validator dựa trên địa chỉ ví, dữ liệu on-chain và hồ sơ đăng ký công ty, tôi phát hiện mức độ độc lập thực sự trung bình của các bridge này chỉ đạt khoảng 40% so với những gì tài liệu công bố. Số liệu trên chuỗi không bao giờ nói dối — chỉ có con người tự lừa mình. Và trong bull market, chúng ta có xu hướng tự lừa mình nhiều hơn bao giờ hết.
Hãy nhìn vào dữ liệu dòng tiền. Số liệu từ Dune Analytics cho thấy trong 30 ngày qua, khoảng 1,8 tỷ USD đã được rút khỏi Aave và Compound — hai giao thức lending lâu đời, được kiểm chứng qua nhiều chu kỳ tăng giảm — để đổ vào các giao thức restaking mới. Phần lớn các giao thức này chưa có audit đầy đủ hoặc chỉ có "audit thần tốc" trong 1 tuần. Lãi suất 12-20% rất hấp dẫn, không ai có thể phủ nhận điều đó. Nhưng khi tôi phân tích cơ cấu vốn của 7 giao thức restaking lớn nhất, tôi phát hiện ra một điểm chung khá rõ ràng: tỷ lệ phần thưởng được trả từ nguồn token inflation chiếm tới 60-80%, trong khi phần thực sự đến từ phí giao dịch chỉ là một con số rất nhỏ. Nói một cách thẳng thắn, những "lợi suất cao" này chủ yếu là in tiền — và một khi nguồn inflation cạn kiệt hoặc giá token giảm, lợi suất thực tế sẽ quay về gần bằng 0, hoặc thậm chí âm. Nhưng không một dashboard nào hiển thị điều này cho người dùng. Họ chỉ nhìn thấy APR 18% màu xanh lá cây và quyết định rút tiền từ các giao thức an toàn để đổ vào nơi rủi ro hơn.
Tôi nhớ lại một trải nghiệm quan trọng từ năm 2020. Khi đó tôi vừa gia nhập một quỹ đầu tư tại Hàn Quốc và bắt đầu testnet giao thức Yearn Finance v1. Tôi vô tình phát hiện một lỗi logic trong hợp đồng yVault có thể bị tấn công bằng flash loan, dẫn đến mất toàn bộ khoảng 5 triệu USD tiền gửi. Tôi lập tức viết báo cáo khẩn cấp và gửi trực tiếp cho Andre Cronje qua Discord lúc nửa đêm. Bản vá được triển khai trong 12 giờ. Sự kiện này khiến tôi được thăng chức lên senior analyst sau 3 tháng — nhưng bài học tôi rút ra không phải về sự nghiệp. Bài học là: trong thị trường giá giảm và giai đoạn hoài nghi, các team thường đầu tư nhiều hơn vào bảo mật vì họ biết một sai lầm nhỏ có thể xóa sổ toàn bộ uy tín của họ. Ngược lại, trong thị trường tăng giá, khi lợi nhuận đang chảy vào quá dễ dàng, áp lực tăng tốc phát hành sản phẩm khiến người ta trở nên chủ quan. Họ bỏ qua các quy trình kiểm tra chéo, rút ngắn thời gian test, và triển khai code lên mainnet với sự tự tin thái quá.
Điều này càng trở nên nguy hiểm hơn khi kết hợp với xu hướng "audit thần tốc" 24 giờ đang lan rộng. Các dự án ra mắt khẩn cấp để bắt kịp xu hướng AI, restaking hay DePIN — và họ cần một huy hiệu "đã được audit" để trấn an nhà đầu tư. Một công ty audit có uy tín thực sự thường cần 4-6 tuần để kiểm tra kỹ lưỡng toàn bộ hệ thống. Khi tôi thấy một dự án nhỏ có báo cáo audit "sạch sẽ" nhưng thời gian thực hiện chỉ trong vài ngày với một công ty ít tên tuổi, tôi biết ngay rằng đó chỉ là một tấm bùa hộ mệnh mang tính hình thức. Nhưng tấm bùa đó hoạt động rất hiệu quả trên những nhà đầu tư thiếu kinh nghiệm.
Tôi đã sống qua đủ chu kỳ để nhận ra một sự thật cay đắng. Khi thanh khoản cạn, mọi thứ hoàn hảo trên giấy tờ đều trở thành cát bụi. Tôi đã chứng kiến điều này quá nhiều lần trong 15 năm theo dõi thị trường. Từ sự sụp đổ của Mt. Gox — khi mọi người phát hiện ra nền tảng giao dịch lớn nhất thế giới đã mất 850.000 Bitcoin — đến sự sụp đổ của FTX chỉ trong 72 giờ, điểm chung luôn là: mọi thứ vẫn trông ổn cho đến khi nó không còn ổn nữa. Không ai lên tiếng cảnh báo một cách hiệu quả vì mọi người đều đang kiếm tiền từ việc tin rằng mọi thứ đều ổn. Bản thân tôi cũng từng trải qua cảm giác đó. Vào đầu tháng 11/2022, khi còn làm surveillance analyst, tôi lập trình một công cụ tự động theo dõi dòng tiền trên chuỗi Ethereum. Vào khoảng 10 giờ tối, công cụ phát hiện ví của Alameda Research chuyển 2,3 tỷ USDC sang Binance và Coinbase trong 6 giờ, đồng thời token FTT bị bán tháo mạnh trên các sàn giao dịch. Tôi viết báo cáo nội bộ lúc 2 giờ sáng, cảnh báo về nguy cơ rút tiền hàng loạt khỏi FTX. Báo cáo này được gửi lên cấp quản lý chỉ 2 giờ trước khi FTX tạm dừng rút tiền. Nhờ đó, quỹ của tôi tránh được khoản thiệt hại ước tính 15 triệu USD. Nhưng điều tôi nhớ nhất không phải là con số 15 triệu. Điều tôi nhớ nhất là cảm giác cô lập khi gửi báo cáo lúc 2 giờ sáng — và một số đồng nghiệp nam đã đặt câu hỏi rằng liệu tôi có đang "quá lo lắng" hay không. Sự nghi ngờ từ người khác không bao giờ khiến tôi dừng lại. Tôi tin vào dữ liệu trên chuỗi nhiều hơn lời nói của con người. Dữ liệu không biết nói dối.
Bây giờ, điều tương tự đang xảy ra trên một quy mô lớn hơn nhiều. Khi tôi chia sẻ những phát hiện về 11 dự án có lỗ hổng trong một nhóm kín của các nhà đầu tư tổ chức, phản ứng đầu tiên tôi nhận được không phải là "cảm ơn chị đã chia sẻ". Phản ứng đầu tiên là: "Nhưng giá nó vẫn tăng mà chị." Tôi hiểu suy nghĩ đó. Trong ngắn hạn, giá tăng và lỗ hổng chưa bị khai thác có thể cùng tồn tại. Nhưng tôi đã sống qua đủ chu kỳ để biết rằng lỗ hổng kỹ thuật không bao giờ tự biến mất — nó chỉ đứng yên chờ đợi thời cơ thích hợp. Và thời cơ thích hợp thường đến khi thanh khoản dồi dào nhất, khi các nhà đầu tư tự mãn nhất, khi kẻ tấn công có thể rút ra số tiền lớn nhất mà không bị chú ý.
Và đây là phần mà tôi muốn bạn thực sự suy ngẫm: vấn đề sâu xa nhất không nằm ở code, mà nằm ở động lực của toàn bộ hệ thống. Ngành công nghiệp này đã tạo ra một nghịch lý khó giải: việc công bố lỗ hổng một cách trung thực và công khai sẽ phá hủy giá trị token của chính bạn. Vì vậy, team biết rủi ro, nhà đầu tư thông minh biết rủi ro, công ty audit biết rủi ro — nhưng không ai nói ra. Các công ty audit có hợp đồng ký kết ngăn cản việc tiết lộ chi tiết một cách công khai. Các team phát triển sợ mất lòng tin từ cộng đồng và áp lực từ nhà đầu tư. Còn những người nắm giữ token — họ không muốn nghe về rủi ro bởi vì điều đó sẽ ảnh hưởng trực tiếp đến giá tài sản của họ. Vậy ai là người cuối cùng phát hiện ra những lỗ hổng này? Kẻ tấn công. Và chúng không cần báo cáo, không cần đạo đức nghề nghiệp, chỉ cần một công thức khai thác đã được kiểm chứng và sự kiên nhẫn chờ đợi thời điểm thích hợp.
Trong bear market, nỗi sợ hãi khiến con người trở nên thận trọng. Họ đọc audit kỹ càng, soi xét từng dòng code, phân tích lịch sử đội ngũ phát triển trước khi đưa ra quyết định. Trong bull market, lòng tham vượt qua lý trí. Tôi có một người bạn từng nói thẳng với tôi: "Chị ơi, em không cần audit, em chỉ cần biết token đó tăng hay giảm thôi." Đó chính là câu nói đáng sợ nhất mà tôi từng nghe trong suốt 15 năm làm nghề — bởi vì nó tóm gọn chính xác căn bệnh của thị trường hiện tại. Chúng ta đang quá tập trung vào việc đoán biểu đồ ngắn hạn, mà quên mất rằng đằng sau biểu đồ đang nhấp nháy là những dòng code đang quản lý số tiền thật của những con người thật.
Tuần tới, tôi sẽ tiếp tục công việc của mình: đọc code, phân tích dữ liệu on-chain, viết báo cáo nội bộ như tôi vẫn làm suốt nhiều năm qua. Không có gì thay đổi trong thói quen của tôi — dậy lúc 5 giờ sáng, pha một tách cà phê đen, mở terminal, và đọc hợp đồng thông minh trước khi ăn sáng. Bạn có thể nghĩ rằng tôi đang cố gắng kêu gọi tất cả mọi người trở thành auditor. Không. Tôi chỉ muốn bạn nhớ một điều duy nhất: khi thị trường đang tăng và mọi người xung quanh bạn đều đang đếm lợi nhuận, hãy dành một chút thời gian để đếm rủi ro. Tài sản của bạn, dù lớn hay nhỏ, đang được bảo vệ bởi những dòng code mà số đông chưa từng đọc qua. Và trong một thị trường nơi mọi thứ có thể thay đổi chỉ trong một block, đó có thể là sự khác biệt duy nhất giữa một nhà đầu tư tỉnh táo và một người đang đặt cược toàn bộ vào vận may.