Một lỗ hổng khác, một bài học cũ.
Khi dữ liệu từ Cục Dự trữ Liên bang Mỹ (Fed) công bố lượng tiền gửi ngân hàng giảm 740 tỷ USD xuống còn 19,361 nghìn tỷ USD trong tuần kết thúc ngày 18 tháng 7, phần lớn thị trường tài chính truyền thống nhìn thấy một tín hiệu về ‘rút lui khỏi rủi ro’ hay ‘tìm kiếm nơi trú ẩn an toàn’. Nhưng với tôi, một kẻ chuyên lần theo dấu vết của các dòng tiền trong mê cung blockchain, con số này không chỉ là một câu chuyện về lãi suất hay nỗi sợ suy thoái. Nó là bản đồ kho báu dẫn đến một vụ sập bẫy thanh khoản trong thế giới DeFi, nơi mã nguồn vẫn hoạt động hoàn hảo, nhưng niềm tin lại tan chảy nhanh hơn một block time.
Bối cảnh: Để hiểu tại sao con số 19,361 nghìn tỷ USD này lại đặc biệt, chúng ta phải quay trở lại cơ chế hoạt động cốt lõi của hệ thống ngân hàng và mối liên hệ nghịch lý của nó với thế giới phi tập trung. Lượng tiền gửi này là máu nuôi sống nền kinh tế. Khi nó giảm, có hai điều thường xảy ra: một là người ta rút tiền để mua tài sản (hàng hóa, cổ phiếu), hai là họ chuyển sang các kênh tiết kiệm có lãi suất cao hơn như Quỹ Thị trường Tiền tệ (Money Market Funds). Fed đang duy trì lãi suất ở mức cao kỷ lục. Vì vậy, kịch bản thứ hai là phổ biến nhất. Tiền đang rời khỏi tài khoản ngân hàng thông thường (lãi suất thấp) để đổ vào các quỹ mua trái phiếu chính phủ ngắn hạn (lãi suất cao và gần như phi rủi ro). Đây là cuộc ‘di cư’ tìm kiếm lợi suất lớn nhất trong lịch sử tài chính. Sự dịch chuyển vốn này bề ngoài là một dấu hiệu của sự thận trọng, nhưng với tôi, nó là một ‘mồi lửa’ được đặt sẵn.
Cốt lõi phân tích: Tôi đã dành 14 năm để kiểm tra code và theo dấu thanh khoản, và tôi nhìn thấy một điểm mù chết người. Khi tiền gửi ngân hàng sụt giảm mạnh, nghĩa là đòn bẩy tín dụng của nền kinh tế bị thu hẹp. Ngân hàng cho vay ít hơn, doanh nghiệp khó tiếp cận vốn hơn. Điều này tạo ra hiệu ứng ‘sợ hãi’ lan tỏa. Trong một thị trường tăng trưởng nóng của crypto (theo bối cảnh bạn cung cấp), dòng tiền ‘nguội’ từ các tổ chức, vốn được bơm từ các khoản vay ngân hàng, sẽ bị cắt. Các quỹ đầu tư mạo hiểm (VC) trở nên thận trọng hơn. Nhưng đây vẫn chỉ là phần nổi. Phần chìm, thứ mà tôi kiểm tra, là các giao thức cho vay phi tập trung (DeFi lending protocols) như Aave hay Compound.
Hãy nhìn vào mã nguồn và dữ liệu trên chuỗi. Khi tiền gửi ngân hàng giảm, lãi suất của stablecoin trên các sàn giao dịch tập trung (CEX) bắt đầu tăng vọt. Các ‘cá voi’ rút tiền từ các pool thanh khoản DeFi để chuyển sang CEX kiếm lời từ chênh lệch lãi suất này. Bạn hãy tưởng tượng một cái bể nước đang bị thủng ở đáy: đó là thanh khoản của các giao thức cho vay DeFi. Nếu bạn audit các giao thức này, bạn sẽ thấy các hàm borrow() và withdraw() dựa trên các giả định về mức độ sẵn có của thanh khoản, nhưng không hề có một biến số nào để tính đến một cú sốc đồng thời khi hàng loạt người dùng rút tiền mặt khỏi ngân hàng truyền thống, gây ra một làn sóng rút thanh khoản từ các khoản đầu tư rủi ro cao hơn.
Một lỗ hổng kỹ thuật kinh điển mà tôi từng nhìn thấy trong các audit là các oracle về lãi suất. Các giao thức thường dùng oracle thanh khoản tổng hợp (như từ Uniswap) để tính lợi suất cho vay. Nhưng khi một lượng lớn stablecoin rời khỏi DeFi để chạy về ngân hàng, độ sâu thanh khoản trên Uniswap giảm mạnh, khiến giá oracle bị biến động dữ dội. Chỉ cần một con cá voi bị thanh lý bất ngờ trong cơn hoảng loạn này, một hiệu ứng domino sẽ xảy ra, khóa cứng toàn bộ giao thức. Đây không phải là một cuộc tấn công từ hacker, mà là một cú sốc vĩ mô được khuếch đại bởi một kiến trúc code quá cứng nhắc.
Góc nhìn phản trực giác: Điều mỉa mai nhất, và cũng là bài học mà tôi rút ra từ những tháng ngày line-by-line kiểm toán dự án, là thị trường đang gọi câu chuyện 'lạm phát' này là một 'điềm báo suy thoái'. Nhưng tôi thấy nó là một 'bài kiểm tra căng thẳng' (stress test) miễn phí cho ngành DeFi. Trong một thị trường tăng, khi mọi người chỉ chạy theo token, họ quên mất rằng nguồn thanh khoản cuối cùng của hàng trăm tỷ USD TVL trong các giao thức DeFi lại phụ thuộc vào một hệ thống ngân hàng tập trung đang co lại. Giao thức phi tập trung nhất thế giới cũng không thể tồn tại nếu không có một đường ống dẫn thanh khoản từ thế giới tập trung vốn yếu ớt và mong manh. Nhiều người cho rằng 'đây là cơ hội để stablecoin thuật toán hay stablecoin được hỗ trợ bằng trái phiếu lên ngôi'. Sai. Trái phiếu chính phủ đang bị bán tháo (do lãi suất cao), và stablecoin thuật toán thì đã có tiền lệ thảm họa mùa hè 2022. Điều duy nhất tôi thấy là một điểm mù trong mô hình rủi ro của hầu hết các mã nguồn: họ không định lượng được mức độ 'nguồn cung thanh khoản ngoại sinh' (exogenous liquidity supply) đang suy yếu.
Điểm then chốt: Dựa trên kinh nghiệm audit của tôi, tôi dự đoán làn sóng tiếp theo của các sự cố bảo mật trong năm tới sẽ không phải là các reentrancy attack cổ điển, mà là các cuộc tấn công 'kinh tế vĩ mô' (macro-economic attack). Hacker sẽ không cần phải khai thác một lỗi trong hàm transfer(). Chúng chỉ cần tạo ra một kịch bản thao túng lãi suất trên chuỗi, kết hợp với việc theo dõi dữ liệu tiền gửi ngân hàng hàng tuần từ Fed. Một khi chúng thấy lượng tiền gửi giảm mạnh (báo hiệu sự tháo chạy khỏi rủi ro), chúng sẽ kích hoạt một vụ tấn công thanh lý hàng loạt lên các giao thức cho vay, nơi các tham số rủi ro được code viết ra từ một năm trước, dựa trên một môi trường kinh tế hoàn toàn khác. Đó không phải là lỗi code, đó là lỗi giả định về tính ổn định của thế giới bên ngoài. Mã nguồn sẽ chạy hoàn hảo, nhưng thị trường sẽ sụp đổ vì logic của nó đã bị lỗi thời từ thuở khai sinh.
Kết luận: Vậy, lần tới khi bạn nhìn thấy logo của một giao thức DeFi với TVL hàng tỷ USD, hãy nhớ câu hỏi này: Mã nguồn của họ có một biến số theo dõi lượng tiền gửi tại Ngân hàng Dự trữ Liên bang Mỹ mỗi tuần không? Câu trả lời, trong 99% trường hợp tôi đã kiểm toán, là không. Và đó chính là lỗ hổng lớn nhất mà thị trường đang phớt lờ.