Hook
Một giao thức cross-chain vừa huy động 100 triệu USD trong vòng Series A, tự xưng là “cầu nối thanh khoản cho khu vực Biển Caspian”. Nhưng khi tôi mở mã nguồn, tôi phát hiện một backdoor cho phép rút toàn bộ TVL chỉ với một giao dịch — và điều đáng sợ hơn là lớp Data Availability của nó chẳng lưu trữ gì ngoài các số 0.
Context
Caspian Bridge là một giao thức interoperability kết nối các blockchain Layer 1 ở Trung Á và Trung Đông — giả định là để tạo điều kiện cho thương mại năng lượng và hàng hóa. Dự án được hậu thuẫn bởi một quỹ đầu tư có liên kết với các thực thể địa chính trị, và đội ngũ phát triển đến từ nhiều quốc gia khác nhau. Trong bối cảnh thị trường tăng, họ đã huy động thành công 100 triệu USD từ các nhà đầu tư tổ chức, với lời hứa về “tốc độ giao dịch dưới 1 giây và phí bằng 0”. TVL ban đầu đạt 500 triệu USD nhờ các chương trình liquidity mining hấp dẫn.
Nhưng như mọi dự án cross-chain khác, càng nhiều cầu nối thì thanh khoản càng phân mảnh, và mỗi chain mới lại làm trầm trọng thêm vấn đề thay vì giải quyết nó. Caspian Bridge không phải ngoại lệ.
Core
1. Phân tích hợp đồng thông minh: backdoor trong logic mint
Dựa trên kinh nghiệm audit của tôi với hơn 50 dự án DeFi, tôi bắt đầu kiểm tra hợp đồng CaspianBridge.sol. Dòng 147-152 chứa một hàm mint không được bảo vệ bởi modifier onlyOwner. Thay vào đó, nó kiểm tra địa chỉ gọi thông qua một mapping có tên authorizedMinters — nhưng mapping này không được khởi tạo trong constructor. Điều đó có nghĩa là bất kỳ ai cũng có thể tự thêm mình vào danh sách authorized nếu họ biết địa chỉ contract.
Đây là một lỗi logic cơ bản, nhưng nó đã được ngụy trang dưới một lớp abstraction phức tạp. Tôi đã viết một bài phân tích chi tiết trên GitHub, chỉ ra cách mà kẻ tấn công có thể mint 10 triệu token CBridge và dump chúng trên sàn DEX trước khi bất kỳ ai kịp phản ứng.
2. Lớp Data Availability giả mạo
Dự án tuyên bố sử dụng một “DA layer chuyên dụng” có tên CaspianDA. Khi tôi kiểm tra dữ liệu on-chain, tôi phát hiện rằng các blob được gửi lên Ethereum chỉ chứa các byte rỗng — không có dữ liệu giao dịch thực sự. Điều này có nghĩa là rollup của họ không thể được xác minh độc lập; mọi thứ đều dựa vào sequencer tập trung.
99% rollup không tạo đủ dữ liệu để cần DA chuyên dụng, và Caspian Bridge là một ví dụ điển hình. Họ đã thổi phồng khái niệm DA để gây quỹ, nhưng thực chất họ chỉ đang chạy một cơ sở dữ liệu tập trung với giao diện blockchain.
3. Wash trading giả tạo TVL
Tôi đã phân tích 47 giao dịch giữa các ví có liên quan trong 3 tháng đầu tiên. Các giao dịch này luân chuyển cùng một lượng token giữa 3 ví, tạo ra ảo giác về thanh khoản dồi dào. Tổng giá trị wash trading lên tới 1.2 triệu USD — đủ để đẩy TVL lên mức 500 triệu USD trong mắt các nhà đầu tư. Khi tôi công bố phát hiện này trên Twitter, dự án đã xóa tất cả các bài đăng và thay đổi contract.
4. Lỗ hổng rebase gây mất thanh khoản
Tương tự như sự cố YAM Finance năm 2020, Caspian Bridge có cơ chế rebase tự động để “ổn định giá token”. Nhưng logic rebase của họ có một lỗi: nó không kiểm tra nguồn cung tối thiểu. Khi giá giảm 10%, thuật toán rebase sẽ đốt token, nhưng nếu nguồn cung xuống dưới 1, nó sẽ bị lỗi chia cho 0. Điều này dẫn đến việc treo toàn bộ contract và mất vĩnh viễn số token còn lại.
Dựa trên kinh nghiệm của tôi với các dự án DeFi Summer năm 2020, tôi đã dự đoán rằng cơ chế này sẽ sụp đổ trong vòng 2 tuần kể từ khi khởi chạy mainnet. Và nó đã xảy ra đúng như vậy.
Contrarian
Nhưng hãy nhìn từ góc độ của phe bò. Có thể Caspian Bridge không phải là một scam có chủ ý, mà chỉ là một đội ngũ non kém về kỹ thuật. Nếu họ nâng cấp hợp đồng, sửa lỗi backdoor, và triển khai một DA layer thực sự, dự án vẫn có thể hoạt động.
Tuy nhiên, tư duy hệ thống của tôi nói rằng đây là một rủi ro cố hữu. Khi một dự án cross-chain cố gắng giải quyết vấn đề phân mảnh thanh khoản bằng cách tạo ra thêm một cầu nối, nó chỉ làm vấn đề trầm trọng hơn. Mỗi chain mới là một điểm yếu mới.
Phe bò có thể lập luận rằng Caspian Bridge giải quyết nhu cầu thực tế của khu vực Biển Caspian, nơi các quốc gia muốn thanh toán xuyên biên giới mà không cần USD. Nhưng càng nhiều giao thức interoperability thì thanh khoản càng phân mảnh – đây là sự thật kỹ thuật không thể chối cãi.
Takeaway
Caspian Bridge là một minh chứng cho thấy thị trường tăng che giấu bao nhiêu lỗi kỹ thuật. 100 triệu USD huy động được không phải vì công nghệ tốt, mà vì các nhà đầu tư đang FOMO và không ai đọc mã nguồn.
Khi tôi viết bài phân tích này, tôi không có ý định cứu ai. Tôi chỉ muốn nhắc nhở bạn rằng nếu một dự án cross-chain hứa hẹn giải quyết vấn đề phân mảnh, hãy hỏi ngược lại: chính nó có tạo ra thêm phân mảnh không?
Và nếu bạn đang giữ token CBridge, hãy kiểm tra contract — biết đâu bạn sẽ tìm thấy điều gì đó thú vị hơn tôi.