Đầu giờ sáng nay, tôi đang kiểm tra wallet thì thấy một thông báo lạ từ một group Telegram mà tôi theo dõi về hệ sinh thái BNB Chain. Một cái tên khá quen thuộc với những ai săn yield farming mới nổi: Balance Protocol (BLC). Nhưng không phải tin vui. Một thành viên trong team bảo mật TenArmor đăng lên: “Phát hiện hoạt động tấn công đáng ngờ liên quan đến GemJoin của 42DAO.”
BLC – đồng stablecoin thuật toán của DAO này – vừa mất peg thảm khốc. Từ mức $0.995, nó rơi thẳng xuống $0.001. Mất 99% giá trị chỉ trong vài block. Tổn thất ước tính khoảng $915,000. Và điều khiến tôi lạnh sống lưng hơn cả: cho đến giờ, team vẫn chưa công bố nguyên nhân hay bất kỳ kế hoạch khắc phục nào.
— Root: Đầu tư DeFi dựa trên cảm nhận về “mùa hè” và những câu chuyện cộng hưởng, nhưng lần này mùa hè đã chết ngạt trong cơn bão mất peg.
Context: 42DAO và bài toán stablecoin thuật toán
42DAO là một tổ chức tự trị phi tập trung trên BNB Chain, với tham vọng xây dựng hệ sinh thái tài chính phi tập trung. Balance Protocol là đứa con cưng của họ – một stablecoin thuật toán được thiết kế để neo giá 1 BLC = 1 USD thông qua cơ chế arbitrage (chênh lệch giá) và động lực thị trường.
Nghe có vẻ quen? Đúng vậy, chính là mô hình từng khiến Terra (UST) sụp đổ năm 2022, nhưng với một twist nhỏ: BLC được tích hợp vào một DAO governance thay vì một blockchain riêng. Điều đó có nghĩa là mọi quyết định về cung/cầu, phí, và thanh khoản đều do cộng đồng nắm giữ token BLC bỏ phiếu.
Thực tế, khi tôi đọc whitepaper của họ vài tháng trước, tôi đã cảnh báo trong một bài Twitter ngắn: “Một stablecoin mà không có tài sản thế chấp (over-collateralization) và dựa hoàn toàn vào niềm tin vào DAO là một quả bom hẹn giờ.” Lúc đó ai cũng bảo tôi bi quan. Giờ thì quả bom đã nổ.
— Root: Đầu tư DeFi dựa trên cảm nhận về “sự thật phũ phàng” – không có gì là phi tập trung nếu code có lỗi.
Core: Cơ chế tấn công và vết thương chí mạng
TenArmor phát hiện hoạt động đáng ngờ liên quan đến GemJoin – một module thường được dùng trong MakerDAO để xử lý việc swap collateral. Trên BNB Chain, GemJoin có thể là một contract cho phép người dùng đổi BLC lấy BNB hoặc ngược lại. Kẻ tấn công đã lợi dụng điểm yếu trong thiết kế của contract này để gây ra sự mất peg nghiêm trọng.
Cụ thể, tôi suy luận dựa trên kinh nghiệm audit của mình: rất có thể kẻ tấn công đã sử dụng một flash loan (vay nhanh không cần tài sản thế chấp) để mượn một lượng lớn BNB, sau đó thực hiện giao dịch swap BNB → BLC trên pool thanh khoản mỏng (có thể là BLC/BNB PancakeSwap). Hành động này đẩy giá BLC xuống thấp bất thường (do slippage), đồng thời trigger cơ chế auto-arbitrage của Balance Protocol. Nhưng vì pool quá nông, cơ chế arbitrage không đủ sức kéo giá về, tạo ra hiệu ứng domino.
Họ đã mất $915.000. Một con số tương đối nhỏ so với các vụ hack khác, nhưng đủ để xóa sổ hoàn toàn stablecoin này. Điều đáng nói: team vẫn im lặng. Tôi từng thấy nhiều project sau hack lập tức tweet “We are investigating” hoặc “Pause contract.” Ở đây, không có gì.
— Root: Đầu tư DeFi dựa trên cảm nhận về “sự im lặng chết chóc” – khi team không nói gì, đó là tín hiệu tệ nhất.
Contrarian: Có thể đây là một vụ “tự sát” có chủ đích?
Thường thì khi một stablecoin mất peg, các nhà đầu tư FOMO sẽ lao vào mua với hy vọng “đáy” rồi hồi phục. Nhưng tôi có một góc nhìn khác, hơi phản trực giác.
Hãy nhìn vào con số $915.000. Với một DAO đã hoạt động được vài tháng, treasury (kho bạc) của 42DAO ít nhất cũng có vài triệu đô. Kẻ tấn công chỉ lấy đi chưa tới một triệu. Điều này không giống một vụ hack kiếm lời tối đa. Nó giống một hành động “phá hủy có chủ đích” hơn. Có thể là white-hat muốn phơi bày lỗ hổng? Có thể là insider muốn chấm dứt dự án một cách sạch sẽ? Hoặc – và đây là điều tôi e ngại nhất – chính team đã “tự hack” để cover khoản lỗ nào đó trong hệ thống?
Việc không có phản hồi trong nhiều giờ sau sự cố càng củng cố giả thuyết này. Một dự án chân chính sẽ lập tức dừng contract, public proof-of-reserve, hoặc ít nhất là nói “chúng tôi đang cố gắng.” Im lặng là một lời thú tội.
— Root: Đầu tư DeFi dựa trên cảm nhận về “sự thật trần trụi” – không có câu chuyện nào đẹp cho một stablecoin đã chết.
Takeaway: Câu chuyện tiếp theo là gì?
BLC đã về $0.001. 42DAO đang đứng trước nguy cơ tan rã. Nhưng bài học cho toàn bộ ngành DeFi rõ ràng hơn bao giờ hết: Stablecoin thuật toán không có tài sản thế chấp là con dao hai lưỡi. Nếu bạn đầu tư vào bất kỳ dự án nào có cơ chế tương tự, hãy tự hỏi: “Nếu nó mất peg, ai sẽ cứu nó?” Câu trả lời thường là “không ai cả.”
Còn về BLC, tôi khuyên bạn đừng mua vào hy vọng rebound. Thanh khoản đã cạn, và độ tin cậy bằng 0. Hãy rút lui, ghi nhận bài học, và theo dõi những tín hiệu tiếp theo: - Team có lên tiếng không? - Có cuộc bỏ phiếu khẩn cấp nào trong 42DAO không? - Những stablecoin thuật toán khác có bị ảnh hưởng dây chuyền không?
Tôi sẽ cập nhật trong những bài viết tới. Còn bây giờ, hãy giữ chặt chiếc ví của bạn. Mùa hè DeFi năm nay có vẻ mưa nhiều hơn nắng.
— Root: Đầu tư DeFi dựa trên cảm nhận về “sự chuyển mùa” – từ hưng phấn sang hoảng loạn.
Bài viết này dựa trên phân tích từ một góc nhìn của người trong cuộc, nhưng không phải lời khuyên đầu tư. Hãy luôn tự nghiên cứu (DYOR).
