Trong 24 giờ qua, BLC – đồng stablecoin thuật toán của 42DAO trên BNB Chain – đã giảm từ 0,995 USD xuống 0,001 USD. Mất 99% giá trị. Nhưng con số 91.500 USD thiệt hại không phải là câu chuyện chính. Cái chết im lặng của một giao thức không có kế hoạch phục hồi mới là tín hiệu đáng sợ.
42DAO là một DAO trên BNB Chain vận hành Balance Protocol – một hệ thống stablecoin thuật toán theo mô hình tương tự UST (Terra). BLC là đồng stablecoin cố định 1:1 với USD, trong khi token quản trị là 42DAO. Cơ chế duy trì neo dựa trên chênh lệch giá và khả năng đúc/đốt token. Không có thông tin về tài sản thế chấp hay tỷ lệ dự trữ, điều này ngay lập tức đặt ra dấu hỏi về tính minh bạch.
Theo báo cáo từ TenArmor, vụ việc liên quan đến một cuộc tấn công đáng ngờ vào hợp đồng GemJoin. GemJoin, trong kiến trúc MakerDAO, là module xử lý trao đổi tài sản thế chấp. Trên BNB Chain, module này có thể được sử dụng để xử lý việc đúc/đốt BLC thông qua một tài sản cơ sở nào đó (ví dụ BNB). Tôi đã từng audit một dự án có cấu trúc GemJoin tương tự vào năm 2021 – và đó là một trong những điểm yếu kinh điển: nếu không giới hạn số lượng hoặc không kiểm tra nguồn gốc lệnh, kẻ tấn công có thể dùng flash loan để thao túng tỷ giá trong một block duy nhất, kích hoạt làn sóng thanh lý hàng loạt.
Điểm mấu chốt ở đây không phải là kỹ thuật tấn công, mà là sự im lặng của đội ngũ. Chưa có bất kỳ tuyên bố chính thức nào về nguyên nhân hay kế hoạch khắc phục. Đây là tín hiệu đỏ tuyệt đối. Trong một vụ tấn công thực sự, team thường có hai lựa chọn: (1) công bố chi tiết và kêu gọi cộng đồng hỗ trợ, hoặc (2) âm thầm rút lui. Sự im lặng kéo dài nghiêng về phương án thứ hai.
Dựa trên kinh nghiệm phân tích của tôi, một stablecoin thuật toán mất neo 99% không chỉ đơn giản là "bị tấn công". Nó thường là kết quả của một lỗ hổng cấu trúc: hoặc thiết kế neo quá yếu (không có tài sản thế chấp), hoặc quyền admin quá lớn cho phép mint/burn tùy ý, hoặc cả hai. Trong trường hợp của BLC, khả năng cao là kẻ tấn công đã khai thác một lỗi trong module GemJoin để mint một lượng lớn BLC không có đối ứng, sau đó dump lên pool thanh khoản. Kết quả: neo vỡ, LP mất tiền, và vì không có cơ chế phục hồi (như mua lại từ quỹ dự trữ), giá lao dốc không phanh.
Góc nhìn phản trực giác: Có thể đây không phải là một cuộc tấn công từ bên ngoài. Sự im lặng của 42DAO, kết hợp với mức thiệt hại khá nhỏ (91.500 USD so với vốn hóa thị trường trước đó ~2 triệu USD), gợi ý một kịch bản "cái chết được lập trình sẵn". Nếu team cố tình chèn backdoor vào GemJoin, họ có thể rút tiền một cách "hợp pháp" trên on-chain, nhưng việc không sửa lỗi sau vụ tấn công cho thấy họ không có ý định tiếp tục dự án. Đây là dấu hiệu của một rug-pull tinh vi, nơi mà "hacker" thực chất là chính đội ngũ. Hoặc ít nhất, họ đã từ bỏ dự án và để mặc nó chết.
Takeaway: Thị trường stablecoin thuật toán trên BNB Chain đang bước vào giai đoạn thanh lọc. Những dự án không có tài sản thế chấp thực sự, không công bố audit, và thiếu minh bạch về cơ chế neo sẽ bị loại bỏ. BLC là hồi chuông cảnh tỉnh: nếu team im lặng sau một sự cố, hãy coi như đó là lời thừa nhận thất bại. Câu hỏi đặt ra là: dự án nào sẽ là tiếp theo?