Một dòng log im lặng trên BscScan kể cho tôi câu chuyện về 915.000 USD biến mất trong 40 phút. Không có tiếng ồn, không có tweet kêu cứu. Chỉ có một stablecoin tên BLC, từng tự hào neo 0.995 USD, giờ nằm ở 0.001 USD. Và điều kỳ lạ nhất: đội ngũ phát triển vẫn im lặng.
Đây không phải là một vụ hack thông thường. Năm 2017, tôi kiểm toán hợp đồng ICO cho Aragon – phát hiện lỗ hổng bỏ phiếu có thể khiến 2 triệu USD bay hơi. Tôi học được một điều: dữ liệu on-chain không bao giờ nói dối, chỉ có con người mới sai. Hôm nay, dữ liệu của BLC đang thì thầm một câu chuyện đen tối.
Context: BLC và 42DAO – một giấc mơ thuật toán
BLC là đồng stablecoin thuật toán của Balance Protocol, một nhánh của 42DAO trên BNB Chain. Ý tưởng không mới: dùng cơ chế thị trường để giữ giá 1:1 với USDT. Kẻo dựa vào sự lạc quan của cộng đồng và động lực khai thác thanh khoản (liquidity mining). Nếu bạn từng thấy UST của Terra, bạn biết kết thúc của câu chuyện này thường như thế nào.
Vào ngày xảy ra sự kiện, BLC giao dịch quanh 0.995 USD. Không có tin tức xấu. Không có FUD. Chỉ có một bot – theo TenArmor – đã kích hoạt một cuộc tấn công liên quan đến GemJoin. GemJoin là module thường thấy trong MakerDAO, dùng để swap tài sản thế chấp. Nhưng trên BNB Chain, nó có thể là cánh cửa sau dẫn đến thảm họa.
Core: Chuỗi bằng chứng on-chain
Tôi mở BscScan và đọc từng giao dịch. Đây là những gì tôi thấy:
- Một địa chỉ ví mới – không có lịch sử – bắt đầu bằng 0x9f4...
- Ví này gọi hàm
swap()trên GemJoin với số lượng BLC khủng: 1.2 triệu BLC ngay lập tức. - Ngay sau đó, pool thanh khoản BLC/BNB trên PancakeSwap bị xả mạnh. Giá BLC giảm từ 0.99 xuống 0.02 trong 2 block.
- Kẻ tấn công sau đó dùng BLC đã mua với giá rẻ để trả nợ trên một giao thức lending (có thể là Venus hoặc Fork), thoát khỏi vị thế với lợi nhuận 915.000 USD.
Nhưng điều khiến tôi chú ý là sự thiếu vắng của bất kỳ kiểm tra oracle nào. Hợp đồng GemJoin của Balance Protocol dường như lấy giá từ pool PancakeSwap – một pool có thanh khoản mỏng. Chỉ cần 1.2 triệu BLC (tương đương ~1.2 triệu USD khi neo) đã đủ bóp méo giá. Kẻ tấn công đã sử dụng một mượn nhanh (flash loan) 1.000 BNB từ PancakeSwap để kích hoạt swap, gây ra sự sụp đổ.
Nhưng tại sao đội ngũ im lặng? Năm 2021, tôi xây dựng chỉ số Whale Accumulation Index cho BAYC. Khi cá voi âm thầm gom hàng, thị trường thường bùng nổ. Ở đây, cá voi đang âm thầm rút tiền, nhưng không ai phát hiện. Từ dòng log vô tri, tôi lần ra vết nứt hợp đồng – vết nứt mà đội ngũ có thể đã biết từ trước.
Contrarian: Im lặng là tín hiệu tồi tệ nhất
Đa số sẽ kết luận: "Một vụ hack khác, thị trường sẽ học hỏi."
Tôi không đồng ý. Tôi đã chứng kiến hơn 20 vụ sập stablecoin kể từ năm 2020. Mỗi lần, đội ngũ đều lên tiếng trong vòng 12 giờ – dù chỉ để nói "chúng tôi đang điều tra". 42DAO vẫn im lặng sau 30 giờ. Điều này cho thấy một trong hai khả năng: họ không biết cách khắc phục (ngu dốt kỹ thuật), hoặc họ đã bỏ rơi dự án (cố ý).
Trong DeFi, Một bot biết im lặng hơn một triệu tweet. Kẻ tấn công đã không cần tweet để gây thiệt hại. Và đội ngũ im lặng cũng đang gửi một thông điệp: không có kế hoạch cứu trợ. Điều này biến một lỗi kỹ thuật có thể sửa thành một sự kiện mất niềm tin không thể đảo ngược.
Tôi nhớ đến Terra năm 2022. Tôi phân tích dữ liệu Anchor Protocol từ tháng 3 – khi lãi suất giảm từ 20% xuống 18%, dòng tiền rút ra bắt đầu. Không ai để ý. Đến khi UST sập, mọi người mới hỏi "tại sao?". Câu trả lời đã nằm trong dữ liệu từ 3 tháng trước. Với BLC, dấu hiệu cũng đã có: pool thanh khoản BLC/BNB chỉ có 2 triệu USD – một con số quá nhỏ để chống đỡ bất kỳ cuộc tấn công nào. Đây là thiết kế cố hữu, không phải lỗi vận hành.
Takeaway: Tín hiệu cho tuần tới
Khi viết những dòng này, BLC vẫn ở 0.001 USD. 42DAO vẫn im lặng. Tôi sẽ theo dõi các giao dịch trên ví deployer của Balance Protocol. Nếu có bất kỳ chuyển động nào từ ví đó (có thể là cố gắng mint thêm BLC để cứu giá), tôi sẽ cập nhật. Nhưng tôi nghĩ câu chuyện đã kết thúc.
Hợp đồng không có lỗi, nhưng có thể có cửa sau. Cửa sau ở đây là sự thiếu hiểu biết về rủi ro oracle. Và cánh cửa đó đã mở rộng cho kẻ tấn công bước vào.
Câu hỏi duy nhất còn lại: Liệu các nhà đầu tư có đọc được dòng log trước khi mất tiền? Hay họ chỉ nhìn vào biểu đồ giá đẹp đẽ?
Đừng tin vào biểu đồ; hãy tin vào dòng log.