99% số dự án DeFi mới ra mắt trong thị trường tăng này đều có một điểm chung: mã nguồn của chúng trông đẹp như một bức tranh quảng cáo, nhưng khi mổ xẻ từng dòng byte, bạn sẽ thấy những nếp gấp chết người. Hôm qua, tôi nhận được một tin nhắn từ một người bạn trong cộng đồng: 'Hào, dự án X vừa raise 100 triệu USD, TVL đang tăng vọt. Nhưng có gì đó sai sai.' Tôi mở trình duyệt, vào Etherscan, và bắt đầu đào. Kết quả? Mỗi dòng byte là một lời nói dối được ghi mã hóa.
Bối cảnh: Dự án này tự xưng là 'giao thức thanh khoản thế hệ mới', hứa hẹn lợi suất ổn định 20% APY trong suốt mùa gấu. Họ có một đội ngũ cố vấn với những cái tên sáng chói, một whitepaper dày 50 trang, và một chiến dịch marketing tràn ngập các KOL trên Twitter. Nhưng thứ duy nhất tôi quan tâm là hợp đồng thông minh của họ. Dựa trên kinh nghiệm audit của tôi, tôi đã dành 3 tuần để phân tích mã nguồn của dự án này, và phát hiện một lỗ hổng nghiêm trọng trong cơ chế phân bổ token. Lỗ hổng này không chỉ cho phép các bot mint token trước người dùng thông thường, mà còn cho phép đội ngũ phát triển âm thầm rút thanh khoản mà không cần bất kỳ sự chấp thuận nào từ cộng đồng.
Phần cốt lõi: Tôi bắt đầu bằng việc kiểm tra hàm mint() – nơi mà hầu hết các dự án đều giấu mã độc. Hàm này có một tham số _amount không được kiểm tra giới hạn bởi một require hợp lý. Cụ thể, trong dòng 245 của hợp đồng, tôi thấy: ``solidity function mint(address to, uint256 amount) public onlyOwner { require(amount <= maxSupply, "Exceeds max supply"); _mint(to, amount); } ` Thoạt nhìn có vẻ ổn. Nhưng tôi để ý rằng maxSupply được khởi tạo là 1000000000 10*18 trong constructor, và không có cơ chế nào để cập nhật nó. Vấn đề là ở chỗ onlyOwner` – chỉ có owner mới có thể gọi hàm này. Nhưng owner lại là một multisig wallet với 2/3 chữ ký, và một trong các signer là một địa chỉ không xác định, không được liệt kê công khai. Điều này có nghĩa là đội ngũ có thể mint bất kỳ lượng token nào cho bất kỳ ai, miễn là họ đạt được 2/3 chữ ký. Và không có giới hạn về số lần mint. Tôi chạy thử một mô phỏng trên testnet với 20 giao dịch mint liên tiếp từ địa chỉ owner: kết quả cho thấy chỉ trong 10 block, tổng cung token có thể tăng gấp đôi mà không ai biết. Đây là một lỗ hổng cổ điển của ICO 2017 – nhưng được khoác áo mới dưới thời DeFi.
Không chỉ có vậy. Tôi kiểm tra thêm hàm withdraw() trong pool thanh khoản. Hàm này cho phép owner rút toàn bộ số dư ETH trong pool mà không cần bất kỳ điều kiện nào khác ngoài chữ ký multisig. Một lần nữa, không có thời gian lock, không có kiểm tra số dư tối thiểu. Trong một kịch bản thực tế, nếu đội ngũ quyết định rug pull, họ có thể rút toàn bộ thanh khoản trong một giao dịch duy nhất. Tôi đã từng thấy điều này xảy ra với hàng chục dự án khác trong năm 2021. Sự khác biệt duy nhất là lần này, dự án đã raise được 100 triệu USD từ các quỹ đầu tư uy tín, điều này tạo ra một lớp sương mù khiến các nhà đầu tư bán lẻ tin tưởng.
Contrarian angle: Ai đó sẽ nói: 'Nhưng đội ngũ đã được audit bởi công ty hàng đầu!' Tôi đã đọc báo cáo audit của họ. Nó dài 30 trang, nhưng lại bỏ qua chính xác những dòng code mà tôi vừa chỉ ra. Họ kiểm tra các lỗi reentrancy, overflow, nhưng lại không kiểm tra logic phân quyền. Tại sao? Vì các công ty audit thường tập trung vào các lỗ hổng kỹ thuật phổ biến, chứ không phải các lỗ hổng thiết kế. Một lỗ hổng thiết kế không phải là bug, nó là tính năng – một tính năng cho phép đội ngũ kiểm soát toàn bộ nguồn cung. Và về phía phe bò: họ sẽ nói rằng đây là một dự án nghiêm túc, với đội ngũ doxxed (danh tính rõ ràng), đã hoạt động được 6 tháng. Nhưng tôi hỏi bạn: một đội ngũ nghiêm túc có cần một cơ chế mint không giới hạn? Một công ty audit nghiêm túc có thể bỏ qua một lỗ hổng hiển nhiên như vậy? Hoặc có thể họ đã không nhìn thấy nó, hoặc có thể họ đã nhìn thấy và im lặng. Cả hai trường hợp đều đáng lo ngại.
Takeaway: Đừng để bị che mắt bởi những con số TVL và những cái tên nhà đầu tư. Mỗi dòng byte là một lời nói dối được ghi mã hóa – và nhiệm vụ của bạn là đọc nó. Tôi không nói rằng dự án này chắc chắn sẽ rug pull. Nhưng nếu nó không rug pull, thì tại sao họ lại cần một cơ chế cho phép họ rug pull bất cứ lúc nào? Câu hỏi đó đã tự trả lời chính nó.