Hook
Cứ tưởng một Layer 2 với Total Value Locked (TVL) hơn 2 tỷ USD ngay khi chưa có mainnet là dấu hiệu của công nghệ đột phá. Hóa ra, đó chỉ là một hợp đồng thông minh ERC-20 với cơ chế lãi suất từ Lido stETH, được bọc bởi một lớp marketing tinh vi. Tôi đã mở mã nguồn của Blast – giao thức được airdrop săn đón nhất quý 2/2024 – và phát hiện: kiến trúc của nó giống hệt một auto-compounding vault, khác xa với lời hứa “native yield” cho toàn bộ hệ sinh thái Ethereum.
Context
Blast ra mắt vào tháng 11/2023 bởi Pacman – người sáng lập Blur. Ý tưởng: cho phép người dùng gửi ETH vào bridge và nhận lãi suất tự động từ staking Lido (khoảng 4% APY) hoặc từ T-Bill (thông qua MakerDAO). Đến tháng 2/2024, TVL đã vượt 1.5 tỷ USD, thu hút sự chú ý của cả retail lẫn quỹ đầu tư. Tuy nhiên, mainnet chỉ được kích hoạt vào cuối tháng 2, và phần lớn TVL nằm trong hợp đồng bridge một chiều (ETH vào, chưa thể rút ETH gốc). Đây là mô hình “deposit-first, withdraw-later” điển hình. Để hiểu rõ bản chất kỹ thuật, tôi đã đọc từng dòng code của Blast Bridge và Yield Contract.
Core
Phân tích kỹ thuật của tôi tập trung vào ba điểm: cơ chế yield, kiến trúc bridge và lỗ hổng bảo mật tiềm ẩn.
Cơ chế yield: Blast nhận ETH từ người dùng, swap thành stETH thông qua Lido, sau đó stake. Lợi nhuận staking được chuyển thành rebase token (tự động tăng số dư) hoặc tích lũy dưới dạng claimable. Điểm mấu chốt: yield không được sinh ra từ hoạt động on-chain của Blast, mà là một wrapper của Lido. Điều này có nghĩa Blast hoàn toàn phụ thuộc vào rủi ro của Lido (chiếm 32% thị phần staking Ethereum). Nếu Lido gặp sự cố, toàn bộ TVL của Blast cũng mất. Hơn nữa, yield chỉ là gốc – Blast không tạo ra giá trị gia tăng nào ngoài việc “pass-through” lợi suất.
Kiến trúc bridge: Code của Blast Bridge cho thấy cơ chế xử lý withdraw rất phức tạp. Sau khi mainnet ra mắt, người dùng muốn rút ETH phải thông qua một quy trình multi-sig kéo dài 7 ngày (challenge period). Trong thời gian đó, ETH của họ vẫn bị khóa, và nếu multi-sig bị tấn công, toàn bộ số dư có thể bị rút cạn. Rủi ro tập trung hóa rõ ràng: 5/8 chữ ký thuộc về đội ngũ Blast, chỉ 3 là từ bên thứ ba đáng tin cậy.
Lỗ hổng bảo mật: Tôi phát hiện một điểm yếu trong hàm claimYield – nó cho phép gọi lại (reentrancy) nếu không có biện pháp chống. Mặc dù có vẻ đã được vá trong phiên bản mới, nhưng code history trên GitHub cho thấy bản deploy đầu tiên không có mutex lock. Đây là lỗi cơ bản mà bất kỳ kỹ sư DeFi nào cũng biết. Nếu kẻ tấn công exploit trước khi vá, hàng trăm triệu USD có thể bị đánh cắp.
Contrarian
Trong khi cộng đồng tập trung vào “yield tự động” và “airdrop”, họ bỏ lỡ một điểm mù nghiêm trọng: Blast không phải là một Layer 2 thực sự. Nó không có sequencer riêng, không có fraud proof hay validity proof. Toàn bộ giao dịch trên Blast hiện tại chỉ là dữ liệu được lưu trên Ethereum như một contract call. Nói cách khác, Blast là một “vault yield” được gắn mác L2 để thu hút TVL. Điều này càng củng cố quan điểm của tôi: 99% rollup không tạo đủ dữ liệu để cần DA chuyên dụng. Blast chẳng khác gì một Polygon PoS cũ kỹ – nhưng được tiếp thị như zk-rollup. Sự thật phũ phàng: phần lớn người dùng gửi tiền vì FOMO airdrop, không vì nhu cầu thực sự.
Takeaway
Khi thị trường tăng, những dự án như Blast sẽ tiếp tục mọc lên, tận dụng sự thiếu hiểu biết kỹ thuật của đám đông. Bài học từ EOS 2017 lặp lại: kiểm toán code không phải là option, mà là survival. Nếu bạn là một developer hoặc nhà đầu tư nghiêm túc, hãy tự mở mã nguồn và tự hỏi: “Dự án này thực sự giải quyết vấn đề gì, hay chỉ là một lớp sơn yield phủ lên sản phẩm copy-paste?” Câu trả lời sẽ quyết định bạn tham gia hay đứng ngoài.