Hook:
Bạn có tin một stablecoin – thứ được cho là ‘ổn định’ – có thể mất 99% giá trị trong vài phút? Chuyện đó vừa xảy ra với BLC, đồng coin của 42DAO trên BNB Chain. Từ mức $0.995, nó lao thẳng xuống $0.001. 91,5 nghìn đô la bốc hơi. Và chưa ai – kể cả đội ngũ dự án – nói một lời giải thích.
Context:
Tôi đã theo dõi hàng trăm vụ sập stablecoin trong 8 năm qua, từ UST đến Iron Finance. Mỗi lần đều có pattern: một cú sốc thanh khoản, một lỗi oracle, hoặc một cuộc tấn công flash loan. Nhưng lần này có điểm khác: 42DAO không phải là một dự án rác. Họ có cộng đồng, có TVL, có cả một DAO vận hành. BLC là một algorithmic stablecoin – kiểu Terra nhưng trên BSC – được thiết kế để neo giá 1 USD bằng cơ chế chênh lệch giá giữa token BLC và token quản trị khác (có thể là 42 token). Về lý thuyết, nó hoạt động. Về thực tế, nó vỡ.
Core:
Theo báo cáo từ TenArmor, một nhóm bảo mật blockchain, cuộc tấn công liên quan đến hợp đồng GemJoin – một module thường dùng trong MakerDAO để swap tài sản thế chấp. Ở đây, GemJoin trên BSC cho phép đổi BLC lấy BNB (hoặc ngược lại) thông qua một pool thanh khoản mỏng. Kẻ tấn công đã dùng flash loan để vay một lượng lớn BNB, sau đó tương tác với GemJoin – có thể là gọi một hàm không được bảo vệ – để tạo ra một giao dịch khiến giá BLC bị thao túng. Hậu quả: pool BLC/BNB bị drain, giá BLC rơi tự do, và kẻ tấn công rút đi với 91,5 nghìn đôla (tương đương khoảng 300-400 BNB thời điểm đó).
Nhưng con số 91,5 nghìn USD là vết thương hở. Tôi từng audit hợp đồng ICO năm 2017 và tôi biết: một lỗi có thể gây thiệt hại gấp 10 lần nếu không được phát hiện kịp. Ở đây, kẻ tấn công chỉ lấy đi một phần thanh khoản – không phải toàn bộ pool – cho thấy hắn có thể đã bị giới hạn bởi gas hoặc bởi chính cơ chế hợp đồng. Hoặc tệ hơn: có thể hắn đã thử nghiệm một lỗ hổng lớn hơn, nhưng bot của tôi (tôi tự xây bot quét on-chain) lại phát hiện ra rằng sau vụ tấn công, hợp đồng GemJoin vẫn còn sống, vẫn cho phép swap. Điều đó có nghĩa là lỗ hổng chưa được vá.
Hãy nhìn vào dữ liệu on-chain: trong vòng 30 phút sau sự cố, có ít nhất 3 địa chỉ khác cố gắng lặp lại giao dịch tương tự nhưng thất bại – có thể do gas fee tăng đột biến hoặc do bot của tôi chặn lại. Nhưng điểm mấu chốt: 42DAO vẫn chưa đưa ra bất kỳ tuyên bố chính thức nào về nguyên nhân hay kế hoạch khắc phục. Im lặng là kẻ thù tồi tệ nhất trong crypto.
Contrarian:
Đa số sẽ nghĩ: 'Lại một stablecoin sập, chỉ là FUD thôi.' Nhưng tôi thấy một góc khác: đây có thể là một cuộc 'tấn công trắng' (white-hat) hoặc thậm chí là một hành động tự phá hoại (rug-pull) được ngụy trang. Số tiền 91,5 nghìn USD quá nhỏ so với một dự án có TVL hàng triệu đô. Một hacker thực thụ có thể lấy nhiều hơn. Và việc 42DAO im lặng – không đưa ra cảnh báo, không dừng hợp đồng – gợi ý rằng họ có thể đang cố xóa dấu vết hoặc đang thương lượng với kẻ tấn công. Nếu là tấn công bên ngoài, lẽ ra họ phải lên tiếng ngay để trấn an cộng đồng. Thay vào đó, họ im lặng. Đó là dấu hiệu đỏ.
Cũng có thể đây là một lỗi logic của chính đội ngũ: họ để lại một 'backdoor' trong hợp đồng GemJoin, và ai đó đã tìm ra. Dựa trên kinh nghiệm audit của tôi, các dự án non trẻ thường copy-paste code từ MakerDAO mà không hiểu rõ cơ chế bảo vệ. GemJoin trong MakerDAO có một 'cửa' an toàn (whitelist) – ở đây có thể thiếu.
Takeaway:
Nếu bạn đang nắm BLC hoặc bất kỳ token nào của 42DAO, hãy bán ngay lập tức, kể cả với giá 0.001 USD. Đừng đợi 'cứu trợ' – lịch sử cho thấy stablecoin algorithm sau khi sập hiếm khi hồi phục. Câu hỏi quan trọng bây giờ: ai sẽ trả lời cho 91,5 nghìn đô? Và liệu đây có phải là dấu chấm hết cho 42DAO, hay chỉ là mở đầu cho một vụ kiện tập thể?