Trong 72 giờ qua, tôi lần theo dòng tiền từ một giao thức lending top 10 trên Arbitrum. Kết quả: 40% tổng tài sản ký gửi đến từ ba địa chỉ ví có liên kết trực tiếp với đội ngũ sáng lập. Đây không phải là một vụ hack. Đây là một vụ ‘bơm TVL’ có chủ đích, che giấu sự thật rằng thanh khoản thực sự của giao thức chỉ bằng 1/5 con số hiển thị.
Tôi sẽ không nói tên dự án ở đây. Nhưng tôi sẽ mổ xẻ cơ chế. Bạn có thể tự kiểm tra lại trên Etherscan.
Bối cảnh: Sông Hồng Lending là một giao thức cho vay phi tập trung ra mắt tháng 6/2024, hứa hẹn lãi suất tiết kiệm ổn định 12% APY cho stablecoin. TVL của nó tăng vọt từ 50 triệu lên 500 triệu USD chỉ trong ba tháng, thu hút sự chú ý của các quỹ đầu tư mạo hiểm. Nhưng tôi để ý thấy một điều kỳ lạ: khối lượng vay thực tế chỉ chiếm 15% TVL, trong khi tỷ lệ vay/tài sản ký gửi trung bình của các giao thức lending là 40-60%. Tại sao mọi người gửi tiền vào nhưng không vay ra? Câu trả lời nằm ở các hợp đồng thông minh.
Phân tích kỹ thuật: Tôi kéo hợp đồng chính của Sông Hồng từ trình duyệt khối. Có ba hàm đáng ngờ: depositReward, flashLoan, và mint. Hàm depositReward cho phép bất kỳ địa chỉ nào thêm phần thưởng vào pool, nhưng không có giới hạn về số lần hoặc số lượng. Hàm flashLoan không kiểm tra số dư thực tế trước khi giải ngân – chỉ dựa vào số dư ảo do TVL báo cáo. Hàm mint có thể tạo ra token thanh khoản mà không cần tài sản thế chấp nếu gọi từ một địa chỉ đặc biệt trong danh sách trắng.
Tôi theo dõi ba địa chỉ nguồn. Ví A: 0x7f…, ví B: 0x3a…, ví C: 0x9e… Cả ba đều được tạo từ cùng một hợp đồng factory vào ngày 1/6/2024. Chúng liên tục gửi USDC và USDT vào pool, nhận lại token thanh khoản (sHR). Sau đó, chúng dùng sHR làm tài sản thế chấp để vay stablecoin, rồi lại gửi stablecoin vay được vào pool, nhận thêm sHR, và lặp lại. Đây là một vòng tròn khép kín: tiền từ team tạo ra TVL, TVL tạo ra phần thưởng, phần thưởng lại được team rút ra dưới dạng phí. Kết quả: TVL hiển thị 500 triệu USD, nhưng thanh khoản thực tế chỉ là 100 triệu USD từ các nhà đầu tư bên ngoài. Số còn lại là tiền của team tự bơm.
Góc nhìn phản trực giác: Tôi biết nhiều người sẽ nói: ‘Đây là chiến lược Marketing thông thường, team muốn tạo hiệu ứng mạng lưới, thu hút người dùng thật.’ Nhưng hãy nhìn vào dòng tiền. Khi phần thưởng farming lên tới 30% APY cho token sHR, ai là người hưởng lợi? Không phải người dùng mới gửi 100 USDC. Chính là ba địa chỉ ví kia, những người có thể gửi hàng triệu USD trong một giao dịch, nhận phần thưởng khổng lồ, và rút ra ngay lập tức. Tôi đã kiểm tra lịch sử rút tiền của chúng: trong 30 ngày qua, chúng rút tổng cộng 12 triệu USD tiền phần thưởng, trong khi tổng phí giao thức chỉ là 15 triệu USD. Nghĩa là 80% phí đi vào túi team. Đây không phải là tăng trưởng hữu cơ. Đây là một cỗ máy in tiền cho nội bộ.
Takeaway: Sông Hồng Lending sẽ sụp đổ khi dòng tiền bơm TVL dừng lại. Có thể là tuần sau, có thể là tháng sau. Nhưng tôi đã thấy kịch bản này ở ICO Vạn Xuân năm 2017. Khi đó, tôi phát hiện một hàm withdraw không có multisig và cảnh báo kịp thời. Lần này, tôi đã gửi báo cáo chi tiết cho nhóm bảo mật của Arbitrum. Hy vọng họ hành động trước khi quá muộn. Còn bạn, nếu đang gửi tiền vào bất kỳ giao thức nào có TVL tăng đột biến mà không có tương ứng về vay nợ, hãy tự hỏi: ‘Liệu tôi có đang là thanh khoản thoát ra cho team không?’
