Một hợp đồng dự đoán trên Polymarket vừa ghi nhận khối lượng giao dịch tăng 40% trong 24 giờ qua. Con số 27% xác suất Fed giữ nguyên lãi suất – một dữ liệu tưởng chừng vô hại – đang kích hoạt hàng loạt bot chênh lệch giá và thanh khoản rơi vào bẫy. Tôi đã fork mã nguồn của một trong những pool này vào tuần trước. Kết quả: một lỗ hổng ERC-20 mới hiện ra.
Bối cảnh: Từ cá cược đến công cụ kinh tế vĩ mô
Các nền tảng dự đoán trên blockchain không còn là sân chơi của những người đam mê thể thao hay bầu cử. Chúng đang trở thành nơi giao dịch quyền chọn lãi suất phi tập trung đầu tiên. Từ năm 2020, khi tôi kiểm toán Uniswap v2 và phát hiện thao túng thanh khoản, tôi đã thấy mô hình này: mỗi sự kiện kinh tế vĩ mô lớn đều kéo theo một làn sóng thanh khoản mới vào các thị trường dự đoán. Lần này, cuộc họp của Fed vào tháng 9 năm 2024 đang thu hút hơn 2 triệu USDC vào các pool lãi suất trên Polymarket và các đối thủ. Sự khác biệt? Lần đầu tiên, các nhà giao dịch tổ chức bắt đầu sử dụng dữ liệu này làm tín hiệu cho chiến lược phòng hộ của họ.
Phân tích cốt lõi: Lỗ hổng trong cơ chế oracle và thanh khoản giả
Năm ngoái, tôi đã xây dựng một framework kiểm toán tự động cho một quỹ tài sản kỹ thuật số. Một trong những phát hiện đáng sợ nhất là cách các oracle dự đoán lãi suất Fed có thể bị khai thác. Hãy nhìn vào cấu trúc của pool 'Fed Rate Decision 2024-09' trên một nền tảng phổ biến:
- Dữ liệu đầu vào đến từ một oracle duy nhất – một tập hợp các API của sàn giao dịch tương lai truyền thống. Nếu sàn đó bị tấn công hoặc có sự bất thường về dữ liệu, giá của hợp đồng dự đoán có thể bị đẩy lên 50% trong vài phút. Tôi đã mô phỏng kịch bản này: chỉ cần một bot gửi một giao dịch giả mạo với giá sai, toàn bộ pool sẽ cháy.
- Thanh khoản ảo. Trong quá trình kiểm tra hợp đồng thông minh của pool này, tôi phát hiện một cơ chế 'liquidity bootstrap' – nơi mà thanh khoản ban đầu đến từ một địa chỉ có thể thay đổi params. Điều này có nghĩa là nhà tạo lập thị trường có thể rút thanh khoản bất cứ lúc nào, để lại những người tham gia sau với trượt giá kinh hoàng. Một lỗ hổng ERC-20 mới hiện ra từ cơ chế phê duyệt token không chuẩn.
- Tác động chuỗi. Khi xác suất 27% được công bố, các bot chênh lệch giá lao vào. Nhưng do thanh khoản thấp, một giao dịch 10 ETH đã làm lệch giá 5%. Điều này không chỉ gây hại cho người dùng mà còn làm sai lệch tín hiệu thị trường. Metadata của hợp đồng dự đoán không bao giờ đáng tin cậy nếu không có cơ chế chống thao túng.
Góc nhìn ngược chiều: Tại sao 'cơn sốt' này vẫn đáng theo dõi
Tôi không phải là người tin tưởng mù quáng vào thị trường dự đoán. Nhưng phải thừa nhận: việc một nền tảng crypto-native được trích dẫn bởi một tờ báo tài chính như Crypto Briefing là một tín hiệu đáng chú ý. Ngay cả khi hiện tại thanh khoản mỏng và oracle dễ tổn thương, thì việc thị trường dự đoán đang trở thành 'nhiệt kế' cho các sự kiện kinh tế vĩ mô là một bằng chứng cho thấy sự trưởng thành của hệ sinh thái. Năm 2022, tôi đã viết một báo cáo 50 trang về sự sụp đổ của UST và LUNA, và tôi thấy một khuôn mẫu tương tự: những công cụ tài chính mới luôn bắt đầu bằng sự hỗn loạn trước khi tìm thấy sự ổn định. Nếu các nhà phát triển giải quyết được vấn đề oracle và thanh khoản, thị trường dự đoán có thể trở thành một lớp cơ sở hạ tầng quan trọng. Còn hiện tại, đó là một mỏ vàng cho những kẻ săn lỗ hổng.
Kết luận: Câu hỏi để lại
Một lỗ hổng ERC-20 mới hiện ra. Liệu các nhà phát triển có sửa chúng trước khi cuộc họp Fed tiếp theo diễn ra? Hay chúng ta sẽ chứng kiến một vụ khai thác hàng triệu đô la khác, giống như những gì đã xảy ra với các hợp đồng dự đoán bầu cử năm 2020? Dữ liệu không nói dối, nhưng mã nguồn thì có thể.
