Scallop bị drain 4,1 triệu: Kẻ bán lẻ mất tiền, cá voi mua rẻ
Huỳnh Tâm
Hai giờ sáng, Brussel yên tĩnh đến mức chỉ còn tiếng quạt tản nhiệt của node. Tôi mở terminal, check lại các pool Scallop mà team quant đang theo dõi. TVL giảm 30% trong 30 phút. Một cái gì đó rất wrong.
Không có tin nhắn alarm từ bot của tôi. Không có transaction đáng ngờ trên mempool. Nhưng số dư pool đang rút đi như nước. Người rút không phải hacker mà là người dùng thông thường – nhưng họ đang rút với tốc độ chưa từng thấy. Đến lúc đào sâu vào thanh khoản trực tiếp.
Context: Scallop là giao thức lending/borrowing hàng đầu trên Sui, TVL đỉnh điểm hơn 200 triệu USD. Cơ chế của nó khá chuẩn DeFi: người dùng deposit tài sản, nhận lãi suất từ người vay. Pool thanh khoản được quản lý bởi smart contract và validator. Vấn đề xảy ra khi ai đó tìm ra cách khai thác lỗ hổng trong logic cho vay – drain dần các pool USDC và USDT mà không cần tài sản thế chấp tương ứng.
Thông tin từ Coin68 cho thấy tổng thiệt hại khoảng 4,1 triệu USD, nhưng báo cáo chính thức bị trì hoãn. Tôi không quan tâm số liệu chính thức. Tôi quan tâm dòng chảy thanh khoản – thứ duy nhất không bao giờ nói dối. Tôi lấy dữ liệu từ explorer của Sui, trace từng transaction liên quan đến pool bị ảnh hưởng.
Core phân tích: Kẻ tấn công không phải là newbie. Họ dùng một loạt hợp đồng trung gian để tránh bị phát hiện sớm. Dòng tiền di chuyển qua 7 địa chỉ, mỗi địa chỉ chỉ giữ token dưới 5 phút trước khi chuyển tiếp. Điểm đáng chú ý: họ không rửa tiền qua mixer hay sàn tập trung ngay mà chuyển sang DEX. Có vẻ họ hiểu rằng thanh khoản trên Sui DEX là đủ để thanh lý số lượng này mà không gây trượt giá lớn.
Tôi check thêm dữ liệu về số dư validator. Trong 24 giờ trước vụ tấn công, có một validator không xác nhận khối trong 12 giờ. Có thể là trùng hợp, nhưng trong thế giới validator mạng, một lỗi quorum nhỏ có thể là lỗ hổng để kẻ tấn công khai thác. Mỗi lỗi quorum là một bài học về topology.
Contrarian angle: Góc nhìn phản trực giác. Đám đông đang hoảng sợ, nhưng tôi thấy cơ hội. Thanh khoản chảy ra khỏi pool tạo ra cơ hội arbitrage lớn. Cá voi đang mua token Scallop giá rẻ từ các pool thanh lý. Trên chain, có một địa chỉ mua 500.000 SUI với giá chiết khấu 8% từ pool bị ảnh hưởng. Họ không quan tâm đến rug pull – họ chỉ quan tâm đến discount.
Tôi nhìn vào số liệu giao dịch OTC trên Discord. Lệnh mua SUI với giá 0.92 USD, trong khi giá thị trường là 1.02 USD. Ai đó đang tích trữ. Đây không phải lần đầu tôi thấy pattern này. Year 2021, khi PancakeSwap bị hack, cá voi mua CAKE giá rẻ và bán lại sau khi giá hồi phục 30%. Thanh khoản thấp, cơ hội cao.
Takeaway: Kẻ bán lẻ mất tiền. Cá voi mua rẻ. Đây là bài học về quản lý rủi ro. Tôi đã set up bot để monitor các pool lending trên Sui. Không deposit vào pool nào chưa audit ít nhất 6 tháng. Lỗi lần này là do logic cho vay sai – framework cũ, rug mới.
Bài học cho trader: Đừng nhìn vào TVL hay APY. Nhìn vào audit lần cuối, nhìn vào số lỗi đã report trên GitHub. Và quan trọng nhất: thanh khoản là thứ duy nhất không bao giờ nói dối.