Tôi đã theo dõi on-chain trong 20 năm. Mỗi lần một dự án hứa hẹn “giao thức DeFi bền vững nhất”, tôi nhìn vào ví của đội ngũ. Lần này là EcoChain – một nền tảng lending cross-chain với TVL tăng vọt từ 2 triệu lên 120 triệu USD chỉ trong 48 giờ. Tôi mở Etherscan và bắt đầu mổ xẻ.
Context: Chu kỳ thổi phồng “Cross-Chain Lending” Đầu năm 2026, narrative về “omnichain app” lại nóng. Các VC đổ tiền vào bất kỳ dự án nào hứa hẹn kết nối liquidity giữa Ethereum, Solana và các L2. EcoChain xuất hiện với lời hứa: “cho vay bất kỳ tài sản nào trên bất kỳ chain nào, với lãi suất thấp nhất thị trường”. Nhóm phát triển ẩn danh, chỉ có một whitepaper dài 50 trang, nhưng lại có audit từ một công ty tên “SecureShield” – tôi chưa từng nghe. Khi kiểm tra website, không có team member nào xuất hiện, không có roadmap. Chỉ có token ECT được farm với APR 2000%.
Core: Tháo gỡ có hệ thống Tôi bắt đầu từ smart contract của EcoChain. Contract lending được fork từ Compound V2, nhưng có một điểm thay đổi quan trọng: thay vì Oracle tích hợp Chainlink, họ dùng một Oracle nội bộ tên “EcoOracle”. Tôi kiểm tra code, phát hiện một hàm setPrice() không có access control. Bất kỳ ai cũng có thể gán giá cho bất kỳ token nào. Dòng 132-138: function setPrice(address token, uint256 price) public { priceFeed[token] = price; }. Đây là lỗi sơ đẳng. Ai deploy contract có thể gán price = 0, rút toàn bộ collateral.
Tiếp theo, tôi kiểm tra ví deployer. Địa chỉ: 0xAbc.... Tôi truy ngược lịch sử giao dịch. Ví này được tạo từ 3 năm trước, chỉ nhận gas từ một sàn CEX nhỏ. Nhưng khi trace dòng tiền, tôi thấy nó liên kết với 5 ví khác, tất cả đều nhận ETH từ một địa chỉ chính: 0xEcoTeam. Ví chính này có 4.000 ETH – tương đương 12 triệu USD tại thời điểm rug. Những ETH đó đến từ đâu? Từ một presale không công khai. Tôi kiểm tra block mà presale được gọi, phát hiện chỉ có 10 địa chỉ tham gia – tất cả đều là ví mới, có thể là của cùng nhóm phát triển.
Dữ liệu on-chain cho thấy: tổng cộng 45.000 người dùng deposit vào EcoChain trước khi rug. Pool lớn nhất là ETH-USDC, với 80 triệu USD. Contract lending có một backdoor: hàm withdrawAll() chỉ được gọi bởi admin. Tôi tìm thấy một tx vào ngày thứ 3: 0x1234... – deployer gọi setPrice(WETH, 0) và ngay sau đó withdrawAll(). Kết quả: 80 triệu USD biến mất trong 30 giây. TVL giảm từ 120 triệu xuống 0.
Tôi lập bảng so sánh với các dự án rug pull điển hình:
| Yếu tố | EcoChain | Rug Pull TB | |--------|----------|-------------| | Audit | Có (SecureShield) | Thường không | | Team ẩn danh | Có | Có | | APR > 1000% | Có (2000%) | Có | | Oracle tự chế | Có | Thường có | | Backdoor | Có (hàm setPrice public) | Có | | Thời gian rug | 48 giờ | 1-7 ngày |
Contrarian: Điều phe bò có thể đúng Phe bò có thể lập luận: “Đây là một dự án mới, audit có thể bỏ sót, team đã rút tiền vì sợ hacker. Hoặc có thể họ muốn fix bug và sẽ trả lại.” Nhưng dữ liệu on-chain không nói dối. Hàm setPrice được viết rõ ràng, không thể là unintentional. Audit của SecureShield thực ra là một công ty ma – tôi kiểm tra website của họ, không có địa chỉ, không có LinkedIn. Họ audit 1 dự án mỗi tháng và tất cả đều rug. Có một pattern: SecureShield audit → dự án rug → biến mất. Tôi đã thấy 5 trường hợp tương tự trong năm 2025.
Takeaway: Kêu gọi trách nhiệm Không có “lỗi kỹ thuật” – chỉ có lỗ hổng được thiết kế. Mỗi lần nhà đầu tư FOMO vào một dự án với APR không tưởng và oracle tự chế, họ đang gửi tiền cho kẻ lừa đảo. Hãy tự kiểm tra ví admin, kiểm tra hàm setPrice, kiểm tra lịch sử deployer. Bằng chứng? Có. Cảm xúc? Không. Tôi đã gửi báo cáo cho Etherscan và các sàn CEX, nhưng tiền đã qua Tornado Cash. Chỉ có một bài học: on-chain detective là ngoại lệ, đa số nhà đầu tư vẫn sẽ mất tiền. Nếu bạn đọc đến đây, hãy cảnh giác. Đánh thức nó? Đã quá muộn cho 45.000 người rồi.
Phân tích theo 7 chiều kích
- Kỹ thuật (Technical): 9/10 điểm nguy hiểm. Lỗ hổng setPrice là sơ đẳng, nhưng được camouflage bởi code phức tạp. Điểm mù của audit không check access control.
- An toàn chuỗi cung ứng (Supply Chain): 2/10. Oracle nội bộ, không có Chainlink, không có check từ bên thứ ba. Dự án tự tạo price feed, tự rug.
- Vốn năng lực (Capital): 3/10. Huy động 80 triệu USD từ người dùng, nhưng chỉ dùng 12 triệu USD để kích hoạt presale. Phần còn lại bị rút sạch.
- Nhu cầu thị trường (Market Demand): 4/10. Cross-chain lending là nhu cầu thật, nhưng dự án không có sản phẩm thực, chỉ có tokenomics lừa đảo.
- Rủi ro địa chính trị (Geopolitical): 5/10. Dự án không có địa điểm, nhưng việc sử dụng Tornado Cash có thể thu hút sự chú ý của cơ quan pháp luật.
- Cạnh tranh (Competition): 2/10. Không có lợi thế cạnh tranh, chỉ copy fork. Khi Aave và Compound đã có mặt, EcoChain không có lý do tồn tại trừ lừa đảo.
- Định giá tài chính (Financial Valuation): 1/10. TVL là 120 triệu nhưng do wash trading tạo ra. Token ECT không có giá trị nội tại. Sau rug, giá ECT về 0.
Kết luận: EcoChain là một vụ rug pull được thiết kế tinh vi, với audit giả mạo, oracle nội bộ và backdoor. Tôi đã ghi lại tất cả địa chỉ ví, hash giao dịch và bằng chứng. Bài học: luôn kiểm tra setPrice, kiểm tra audit được viết bởi ai, và không tin vào APR > 100%. Hãy share bài này để cảnh báo.
