Hầu hết mọi người đều nhìn vào TVL. Tôi nhìn vào code.
Tuần trước, tôi audit một bridge Layer2 nổi tiếng - top 5 TVL. Mọi người đang FOMO, ETH tăng, TVL tăng. Tôi tìm thấy một hàm verify trong smart contract của nó. Cụ thể là dòng 247.
if (block.timestamp > expiry) { return false; }
Lỗi cơ bản. Nhưng nó tồn tại suốt 6 tháng mà không ai phát hiện.
Độc giả thân mến, tôi là Hoàng Phong, 32 tuổi, Thạc sĩ Kinh tế, hiện là Layer2 Research Lead tại Chicago. Tôi đã vào nghề từ năm 2017, audit hợp đồng ICO của OmiseGo và phát hiện 5 lỗ hổng tiềm ẩn. Năm 2022, tôi dành sáu tháng phân tích Optimism Bedrock. Tôi biết mình đang nói về cái gì.
Thị trường tăng đang quay trở lại. Mọi người chỉ thấy TVL tăng, token pump. Nhưng với tôi, mỗi mùa tăng giá đều mang theo một làn sóng bug và lỗ hổng bảo mật. Team phát triển chạy theo roadmap, bỏ qua audit. Người dùng FOMO, không đọc code. Kết quả? Những vụ hack trị giá hàng trăm triệu USD.
Tôi sẽ chỉ cho bạn cách nhìn xuyên qua marketing để thấy rủi ro thực sự.
Hook: Một dòng code phá hủy mọi thứ
Hãy tưởng tượng bạn đang đứng trước một giao thức Layer2 với TVL 500 triệu USD. Mọi người đều khen ngợi nó. Các KOL trên Twitter ca ngợi "tính bảo mật vượt trội". Nhưng tôi mở block explorer và thấy một hàm verifyProof trông như thế này:
