Họ nói: 'Đây là một kiến trúc lãi suất hoàn toàn mới, dựa trên cung cầu thị trường thực tế.' – Tôi cười và mở bytecode. Mất đúng 20 phút để phát hiện ra lỗi logic trong hàm tính lãi suất cho phép kẻ tấn công rút hết thanh khoản của pool.
Bối cảnh: Trong 7 ngày qua, một giao thức yield farming mới mang tên 'YieldMax' đã thu hút hơn 50 triệu USD TVL nhờ chiến dịch marketing rầm rộ. Họ tự xưng là 'Aave killer' với mô hình lãi suất thông minh dựa trên thuật toán RL (Reinforcement Learning). Nhưng tôi – một kẻ đã kiểm toán hơn 200 hợp đồng thông minh – luôn có thói quen kiểm tra những thứ 'quá hoàn hảo'. Và quả nhiên, dòng smart contract của họ chứa một hàm updateRate() không được bảo vệ bởi modifier onlyOwner.
Core phân tích: Khi audit hợp đồng YieldMax, tôi tập trung vào ba điểm: 1) Cơ chế Oracle – họ dùng một Uniswap V3 TWAP với độ trễ 30 phút, dễ bị thao túng giá. 2) Hàm harvest() – tương tự lỗi reentrancy tôi từng phát hiện ở YAM năm 2020, nhưng lần này ẩn trong callback của token ERC-777. 3) Hàm setRateModel() – không có access control, cho phép bất kỳ ai đặt lãi suất về 0% để ngăn người dùng rút tiền. Điều thú vị: đội ngũ YieldMax công khai mã nguồn trên GitHub, nhưng lại 'quên' đưa file kiểm toán. Cộng đồng chỉ nhìn vào APY hấp dẫn. Tôi đã deploy một proof-of-concept trên testnet và xác nhận có thể drain toàn bộ pool trong một giao dịch.
Contrarian angle: Tôi không phủ nhận tiềm năng của cơ chế lãi suất động. Nhưng thực tế phũ phàng: các mô hình lãi suất của Aave và Compound cũng hoàn toàn tùy tiện – chúng chẳng liên quan gì đến cung-cầu thị trường thực. YieldMax chỉ là một bước tiến nhỏ, nhưng lại bị khai thác bởi một lỗi sơ đẳng. Điều khiến tôi e ngại hơn cả là thái độ của đội ngũ: khi tôi báo cáo lỗi qua Discord, họ đã khóa kênh và xóa tin nhắn. Họ gọi tôi là FUD, nhưng token của họ đã giảm 40% trong 2 giờ.
Takeaway: Bạn gọi đó là 'đổi mới', tôi gọi đó là 'thời gian chờ khai thác'. Khi một dự án từ chối audit công khai và né tránh báo cáo lỗi, đó là dấu hiệu đỏ nhất. Tôi đã từng mất hợp đồng audit vì kiên quyết yêu cầu sửa lỗi, nhưng tôi không hối hận. Vì một lần nữa, tôi thấy mình đúng. Câu hỏi duy nhất: ai sẽ là người dùng cuối cùng mất tiền?
