79.7 vạn USDC đã bốc hơi trong một buổi sáng. Một privacy protocol có tên Hinkal bị tấn công. Số tiền lớn. Tin tức lan nhanh trên Twitter. Nhưng điều thú vị là: họ hứa hoàn tiền. Nghe có vẻ trách nhiệm, nhưng nếu bạn từng mất tiền vì ICO Status như tôi năm 2017, bạn sẽ biết lời hứa chỉ là lời hứa.
Bối cảnh? Hinkal là một giao thức tập trung vào quyền riêng tư trên Ethereum. Họ cho phép người dùng thực hiện giao dịch ẩn danh. Giống Tornado Cash, nhưng nếu Tornado Cash bị chính phủ Mỹ chặn, Hinkal lại tự chặn mình bằng một lỗ hổng bảo mật. Kẻ tấn công đã rút sạch pool thanh khoản, chuyển USDC thành ETH rồi biến mất. Số tiền mất: khoảng 454 ETH, tương đương 79.7 vạn USDC vào thời điểm đó.
Phân tích dòng lệnh mới là điều đáng nói. Tôi không tin vào tin đồn, tôi tin vào dòng lệnh. Khi audit contract của các privacy protocol, tôi luôn thấy một pattern giống nhau: chúng là những cái bẫy thanh khoản được thiết kế tinh vi. Lỗ hổng ở đây? Có thể là reentrancy, access control yếu, hoặc tệ hơn, một backdoor cố tình để lại. Nhưng dù là gì, kết quả vẫn vậy: người dùng mất tiền, protocol mất uy tín, và kẻ tấn công rửa tiền qua chính cái sân chơi mà protocol tạo ra.
Là một người từng audit 0x Protocol v2 và phát hiện 7 lỗi nghiêm trọng, tôi biết rằng privacy protocol là một trong những loại contract dễ bị tổn thương nhất. Bạn càng cố ẩn danh, bạn càng tạo ra nhiều bề mặt tấn công. Hinkal không phải ngoại lệ. Họ hứa hoàn tiền, nhưng tôi cá rằng số tiền đó sẽ đến từ đâu đó. Có thể là từ tiền túi của team, có thể là từ quỹ dự trữ, hoặc tệ hơn, từ một đợt mint token mới để trả nợ. Điều này không khác gì vay mượn từ Peter để trả Paul.
Góc nhìn contrarian ở đây là: việc hoàn tiền không phải là dấu hiệu của trách nhiệm, mà là dấu hiệu của sự tuyệt vọng. Khi bạn mất 79.7 vạn USDC, uy tín của bạn đã chết. Hoàn tiền chỉ là cách kéo dài sự sống cho một cơ thể đã bắt đầu phân hủy. Người dùng thông minh sẽ không bao giờ quay lại. Họ sẽ chuyển sang các protocol đã được kiểm chứng qua thời gian, như RAILGUN hoặc Umbra. Còn những ai ở lại? Họ là những con cừu non đang chờ bị xẻ thịt lần nữa.
Sau 50 ETH bay hơi vì impermanent loss, tôi mới hiểu khái niệm "niềm tin" trong DeFi thực sự mong manh thế nào. Một audit report chưa chắc đã cứu được bạn. Một lời hứa hoàn tiền cũng chỉ là giấy rách. Thứ duy nhất bạn có thể tin là code, và ngay cả code cũng có lỗi. Vậy câu hỏi đặt ra là: bạn sẵn sàng đánh đổi bao nhiêu ETH để kiểm tra lòng tin của một giao thức?
