Sáng nay, giá token LEND của giao thức LendFlow bất ngờ tăng 2% trong một giờ, từ $1.21 lên $1.235, với khối lượng giao dịch đột biến lên 12.000 ETH. Thoạt nhìn, đây là một đợt tăng nhẹ, dễ bị bỏ qua trong biểu đồ hàng ngày. Nhưng với tư cách là người đã audit hợp đồng của LendFlow từ năm 2020, tôi biết rằng những biến động giá nhỏ thường che giấu những mảnh vỡ cấu trúc lớn hơn. Có điều gì đó không ổn.
Context LendFlow là một nền tảng cho vay phi tập trung ra mắt năm 2020, với tổng giá trị khóa (TVL) đạt đỉnh 150 triệu USD trong bull run 2024. Token LEND được sử dụng để quản trị và làm tài sản thế chấp. Vào tháng 6 năm ngoái, tôi đã hoàn thành audit mã nguồn của hợp đồng thông minh LendFlow v3, phát hiện 4 lỗi nghiêm trọng, bao gồm một lỗ hổng trong cơ chế oracle giá có thể gây thiệt hại 2 triệu USD. Giao thức đã vá lỗi và sống sót qua bear market. Nhưng tuần này, một tin đồn lan truyền trên Discord về việc LendFlow sắp tích hợp với một giao thức thanh khoản lớn tên là MegaSwap. Giá LEND bắt đầu tăng nhẹ. Đối với hầu hết trader, đây là tín hiệu mua bình thường. Đối với tôi, nó là một mồi nhử.
Core Tôi bắt đầu bằng cách kiểm tra on-chain. Số liệu từ Etherscan cho thấy trong vòng 1 giờ, có 15 giao dịch mua lớn từ một ví mới tạo (0xAbc...). Mỗi giao dịch mua khoảng 500 ETH, tổng cộng 7.500 ETH – tương đương 0.6% tổng cung lưu hành của LEND. Điều bất thường: các giao dịch này không mua từ sàn tập trung mà từ một pool thanh khoản trên Uniswap v3 đã gần như cạn kiệt. Tôi kiểm tra hợp đồng pool đó – nó được tạo chỉ 3 ngày trước, với thanh khoản chỉ 100 ETH từ một địa chỉ không rõ. Đây là dấu hiệu kinh điển của một cuộc tấn công thanh khoản sắp xảy ra, hoặc một nỗ lực thao túng giá để kích hoạt các thanh lý trên các giao thức phái sinh.
Tôi đào sâu hơn vào hợp đồng vay của LendFlow. Trong audit trước, tôi đã chỉ ra rằng cơ chế oracle giá sử dụng Uniswap v2 làm nguồn chính, với Chainlink làm dự phòng. Nhưng hợp đồng v3 đã thay đổi: họ dùng một oracle tổng hợp tùy chỉnh, lấy giá trung bình từ các sàn tập trung và pool thanh khoản. Nếu ai đó có thể thao túng giá trên một pool nhỏ (như Uniswap v3 vừa được tạo), họ có thể làm lệch giá oracle, gây ra các khoản vay dưới chuẩn hoặc thanh lý hàng loạt. Mô hình này đã từng xảy ra với Cream Finance năm 2021. Tôi kiểm tra lại mã: đúng như dự đoán, hợp đồng oracle không kiểm tra độ trễ và khối lượng giao dịch tối thiểu. Chỉ cần 7.500 ETH mua trên một pool nhỏ là đủ để đẩy giá oracle lên 3%, đủ để kích hoạt các lệnh thanh lý trên giao thức vay. 2% tăng ngày hôm nay có thể chỉ là bước đầu tiên.
Tôi nhìn vào lịch sử. Năm 2020, tôi đã audit một giao thức tương tự – LendFlow v1 – và phát hiện lỗ hổng reentrancy trong hàm withdraw. Sau đó, năm 2021, tôi tìm thấy lỗi oracle giá trong v2. Mỗi lần, họ đều vá nhưng lại để lại một vết nứt mới. Điều này khớp với câu nói của tôi: “Mỗi mô hình mới đều mang theo vết nứt từ quá khứ.” Lần này, vết nứt là thiếu kiểm tra độ tin cậy của nguồn giá. Và kẻ tấn công tiềm năng đang tận dụng nó.
Tôi tìm kiếm những điểm mù mà người khác bỏ qua. Ai đứng sau ví 0xAbc? Tôi tra cứu lịch sử giao dịch: nó được tài trợ từ một sàn tập trung lớn (Binance) qua cầu nối. Không thể biết danh tính. Nhưng hành vi mua có tổ chức, vào giờ thấp điểm, cho thấy một kẻ chơi có kinh nghiệm. Họ biết rằng LendFlow sắp công bố tin tích hợp với MegaSwap, và họ muốn tạo ra một cú sốc thanh khoản trước khi tin được xác nhận. Nếu thành công, họ có thể kiếm lợi từ thanh lý và giá giảm sau đó. Đây là một kịch bản “pump and dump” có chủ đích, nhưng với lớp vỏ kỹ thuật tinh vi.
Contrarian Angle Nhiều người cho rằng 2% tăng là tín hiệu tích cực, phản ánh kỳ vọng tích hợp. Nhưng từ góc nhìn audit, đây là dấu hiệu của một cuộc tấn công sắp xảy ra. Các trader nhỏ lẻ mua theo đà có thể sẽ là người cuối cùng ôm túi. Còn các nhà phát triển của LendFlow, nếu không phát hiện kịp thời, sẽ chứng kiến một lỗ hổng tái phát mà tôi đã cảnh báo từ ba năm trước. Từ DeFi sang NFT, bản chất rủi ro vẫn không đổi. – chỉ có cách khai thác thay đổi.
Takeaway Tôi đã gửi báo cáo khẩn cấp cho đội ngũ LendFlow sáng nay. Câu hỏi của tôi dành cho họ là: khi nào các bạn mới học được rằng việc tái sử dụng oracle cũ với lớp sơn mới không làm nó an toàn hơn? Và cho độc giả: đừng tin vào một cú tăng giá chỉ vì nó nhỏ. Hãy nhìn vào dòng code dưới bề mặt.