80% tỷ lệ APR. Con số này được in đậm trên banner của một giao thức lending mới ra mắt, vừa huy động được 40 triệu USD từ các quỹ đầu tư mạo hiểm lớn.
Tôi nhìn vào con số đó, và thấy quen quen.
Không phải vì tôi đã nhìn thấy 80% APR trước đây. Mà vì tôi đã nhìn thấy cách người ta đạt được con số đó.
Đây là DeFi mùa hè 2025, và lịch sử đang lặp lại. Nhưng lần này, nó mặc một bộ quần áo khác.
Tôi nhìn lại bảng điều khiển của mình. 4:17 sáng, Berlin. Một ngày thứ Tư yên tĩnh. Các biểu đồ on-chain bắt đầu nhấp nháy.
Một pool thanh khoản mới trên một AMM nhỏ, token đang được bơm thanh khoản một cách bất thường. Reputation score của nhóm phát triển? Gần như bằng không. Mã nguồn? Chưa được audit.
Tôi đã thấy kịch bản này.
Tại thời điểm này, đây là điều khiến tôi sửng sốt: Kẻ săn mồi nhanh nhất trong thị trường tăng giá không phải là những con cá voi hay bot chạy trước mempool, mà là những giao thức DeFi rõ ràng sắp sụp đổ. Tại sao lại như vậy? Bởi vì các giao thức sắp chết không còn gì để mất. Chúng sẵn sàng đốt cháy token, trộn lẫn quỹ, và tạo ra các pool thanh khoản giả mạo để thu hút sự chú ý. Với APR cao ngất ngưởng, chúng đánh vào lòng tham của đám đông.
Trong số tất cả các pool thanh khoản đang nóng nhất, loại có khả năng bị tấn công nhất là pool có APR bất thường và khối lượng giao dịch thấp. Đó là dấu hiệu cổ điển. Thanh khoản được bơm vào để làm đẹp số liệu, trong khi giao dịch thực sự gần như không có. Một kẻ mới vào nghề có thể nghĩ rằng APR cao có nghĩa là cơ hội. Nhưng đối với tôi, đó là tín hiệu của sự chuẩn bị cho một cuộc rút thảm.
Hãy xem xét dữ liệu on-chain của một dự án cụ thể.
Tôi sẽ đặt tên cho nó là "AquaYield". Một giao thức lending được quảng cáo rầm rộ. TVL của nó tăng từ 0 lên 150 triệu USD chỉ trong 72 giờ. Nghe có vẻ ấn tượng? Hãy nhìn vào thành phần của TVL đó.
90% TVL đến từ token quản trị của chính AquaYield, được stake vào pool của nó. Điều này có nghĩa là gì? TVL của AquaYield chủ yếu là do chính họ tạo ra, không phải từ sự tin tưởng của thị trường bên ngoài. Họ có thể đã dùng một phần quỹ đầu tư mạo hiểm để mua token của chính mình, tạo ra vòng tuần hoàn ảo.
Đây là điểm mù mà nhiều nhà đầu tư bỏ lỡ. Họ nhìn vào TVL và nghĩ rằng đó là sự bảo chứng cho sự an toàn. Nhưng trong DeFi, TVL có thể là một thước đo dễ bị thao túng nhất. Một giao thức có TVL 1 tỷ USD nhưng không có thanh khoản thực sự vẫn có thể sụp đổ chỉ sau một đêm.
Các bot MEV đã bắt đầu nhảy vào AquaYield. Chúng đang khai thác sự chênh lệch giá giữa các pool thanh khoản khác nhau, nhưng điều này càng làm cho tình hình trở nên tồi tệ hơn. Mỗi giao dịch của bot là một lực kéo ra khỏi hệ thống, làm tăng áp lực lên pool.
Tôi nhìn vào lịch sử giao dịch của AquaYield. Các giao dịch rút tiền lớn bắt đầu xuất hiện. Một ví cá voi rút 5 triệu USD stablecoin. Một ví khác rút 3 triệu. Chỉ trong 12 giờ, 25% TVL đã biến mất.
Đây là cách mà các cuộc tấn công thanh khoản bắt đầu. Không phải bằng một làn sóng lớn, mà bằng những giọt nước rò rỉ.
Tôi chợt nhớ lại một lỗ hổng tôi từng phát hiện trong hợp đồng ICO của Bancor năm 2017. Lỗi đó nằm trong cơ chế định giá động. AquaYield có một lỗi tương tự? Tôi mở mã nguồn của nó, quét nhanh.
Một dòng code thu hút sự chú ý của tôi. Hàm withdraw() không có cơ chế chống reentrancy. Đây là một lỗi cơ bản nhưng chết người. Nếu ai đó có thể gửi một giao dịch lồng nhau, họ có thể rút nhiều lần trước khi số dư được cập nhật.
Tôi kiểm tra danh sách các giao dịch gần đây. Và tôi thấy nó. Một loạt các giao dịch nhỏ, chưa đến 10 ETH mỗi lần, nhưng được thực hiện liên tục từ cùng một địa chỉ. Địa chỉ đó đang thử nghiệm. Nó đang thăm dò lỗ hổng.
Dựa trên kinh nghiệm audit của tôi, tôi biết rằng một cuộc tấn công reentrancy sắp xảy ra. Kẻ tấn công đang chờ đợi thời điểm TVL chạm đỉnh, nơi mà số tiền có thể rút được là lớn nhất.
Đây là nơi mà phần đối lập của tôi xuất hiện: Sự thật là nhiều dự án DeFi mới thành công không nhờ vào công nghệ vượt trội, mà nhờ vào việc các dự án cạnh tranh khác thất bại thảm hại hơn. AquaYield có thể không phải là kẻ lừa đảo, nhưng lỗ hổng kỹ thuật của nó sẽ khiến nó trở thành nạn nhân. Và khi nó sụp đổ, các dự án khác sẽ hưởng lợi từ dòng tiền chảy ra.
Vậy kết luận là gì?
Tôi không nói rằng tất cả các dự án có APR cao đều là lừa đảo. Nhưng tôi đang nói rằng trong thị trường tăng giá, những lỗ hổng kỹ thuật này thường bị che giấu bởi sự phấn khích. Đừng để APR làm bạn mù quáng. Hãy nhìn vào dữ liệu on-chain. Hãy kiểm tra mã nguồn.
Khi làn sóng rút tiền bắt đầu, thanh khoản sẽ biến mất nhanh hơn cả APR mà nó từng hứa hẹn. Câu hỏi đặt ra là: bạn có đang đứng ở phía bên kia của cánh cửa khi nó đóng sầm lại không?