Tôi vừa đọc whitepaper của OptiChain. Mất 3 phút để phát hiện vấn đề. Đội ngũ này huy động 50 triệu USD từ các quỹ hàng đầu, nhưng contract của họ có 20 dòng logic và không có hàm withdraw. Giống hệt EtherGPU năm 2017. Tôi năm đó 17 tuổi, đã cảnh báo bạn mình đừng đầu tư. Bạn mất 3 ETH. Lịch sử không lặp lại, nhưng nó vần điệu.
Bối cảnh: Thị trường tăng đang che giấu mọi tội lỗi. Layer2 là câu chuyện hot nhất 2024. OptiChain tự xưng là giải pháp scaling thế hệ mới, với TVL ảo đạt 200 triệu USD chỉ sau 2 tuần launch. Nhưng khi tôi crawl on-chain data, 80% TVL đó đến từ một pool duy nhất do team tạo ra. Không có người dùng thực. Đây là chu kỳ thổi phồng điển hình: một bản fork của Optimism, đổi tên, thêm vài dòng marketing, rồi kêu gọi đầu tư.
Phần cốt lõi: Tôi mổ xẻ contract của OptiChain. Họ dùng cơ chế sequencer tập trung, không có fraud proof. Tôi tự viết script kiểm tra mã nguồn mở của họ trên Etherscan. Phát hiện: hàm finalizeWithdrawal không kiểm tra signature. Bất kỳ ai cũng có thể gọi hàm này và rút tiền từ bridge. Lỗi này đã tồn tại trong các bản fork từ 2021. Tôi gửi báo cáo cho team, họ trả lời: 'Chúng tôi sẽ fix trong bản nâng cấp sau.' Không có timeline. Không có audit công khai.
Tôi kiểm tra thêm: contract token của họ có hàm mint không có access control. Team có thể mint unlimited token bất cứ lúc nào. Trong 30 ngày qua, họ đã mint thêm 10% supply. Ai đó đang bán ra. Tôi không cần phải là chuyên gia để thấy đây là một cái bẫy. Lỗi kỹ thuật cơ bản nhất: không có access control, không có withdrawal guard, không có emergency pause. Đây là những thứ mà bất kỳ sinh viên an ninh mạng năm nhất nào cũng biết.
Tôi nhìn vào dữ liệu giao dịch: 70% volume đến từ 3 địa chỉ ví. Các ví này được tài trợ từ một sàn giao dịch tập trung. Họ đang tạo khối lượng giả. Đây là wash trading. Tôi đã thấy điều này trong DeFi Summer 2020 khi tôi mất 600 USD vì SushiSwap fork. Khi đó tôi tự viết postmortem, chỉ ra 3 lỗi thiết kế. Lần này, tôi viết script để tự động phát hiện wash trading. Kết quả: 92% số giao dịch là vòng tròn giữa 3 ví.
Contrarian angle: Phe bò sẽ nói gì? Họ sẽ bảo: 'Nhưng đội ngũ đã huy động 50 triệu USD, các quỹ uy tín đã đầu tư, họ đã audit.' Sai. Tôi đã gọi cho một người bạn làm audit tại Trail of Bits. Anh ấy nói: 'Chúng tôi chưa từng audit OptiChain.' Tôi kiểm tra danh sách audit trên website họ: chỉ có một audit từ một công ty không tên tuổi, và báo cáo đó không công khai. Các quỹ đầu tư dựa trên mối quan hệ, không phải kỹ thuật. Năm 2022, tôi phân tích Terra Luna, thấy Anchor yield 20% là không bền, tôi bán UST ngay. Tôi không mất tiền. Bài học: không bao giờ tin vào audit nếu không có code.
Takeaway: Đây là một bài kiểm tra cho cộng đồng. Bạn có thể FOMO vào OptiChain và kiếm lời trong ngắn hạn, nhưng rủi ro kỹ thuật đã rõ. Tôi không nói đây là rug pull có chủ đích, nhưng sự lười biếng kỹ thuật là tín hiệu đỏ. Một dự án không thể sửa lỗi cơ bản trong 30 ngày sẽ không tồn tại qua mùa đông tiếp theo. Hãy nhìn vào code, không phải whitepaper.
Tôi kết thúc bằng câu hỏi: Nếu bạn biết contract có lỗi, bạn có đầu tư không? Tôi đã từng làm vậy năm 2020 và mất 600 USD. Bạn có muốn học bài học tương tự?