Pull rug hay pull request?
Giữa thị trường giảm tháng 6/2026, một con số khiến tôi phải dừng tay debug: TVL của Viction Network (trước đây là Tomochain) tăng 340% trong 90 ngày, chạm mốc 1.2 tỷ USD. Đối với một Layer-1 Việt Nam từng bị coi là “cá mập chậm chạp” trong biển Ethereum và Solana, con số này hoặc là tín hiệu phục hồi thực sự, hoặc là một vở kịch thanh khoản được dàn dựng tinh vi. Là người từng kiểm toán hợp đồng thông minh cho ba dự án DeFi Việt Nam năm 2022, tôi biết rằng TVL tăng đột biến trong bear market thường đi kèm với một câu chuyện hấp dẫn—và ít nhất một lỗ hổng kỹ thuật.
Context: Hành trình từ Tomochain đến Viction
Viction từng là Tomochain, một blockchain layer-1 sử dụng cơ chế đồng thuận Proof of Stake (DPoS) với 150 validator. Năm 2023, đội ngũ quyết định rebranding và nâng cấp lên Viction Horizon, tập trung vào khả năng tương thích EVM, phí gas gần như bằng 0, và cầu nối cross-chain. Điểm khác biệt chính là cơ chế “Double Validation” – mỗi giao dịch được ký bởi hai validator độc lập trước khi đưa vào block, nhằm chống lại các cuộc tấn công reorg. Tính đến Q2 2026, Viction có 47 dApp hoạt động, với TVL chủ yếu đến từ các giao thức lending (VicPool) và DEX (VicSwap).
Tuy nhiên, sự tăng trưởng TVL gần đây có một điểm bất thường: hơn 70% TVL tập trung vào một giao thức duy nhất là “VicStake”, một hợp đồng staking lỏng (liquid staking) mới ra mắt vào tháng 3/2026. Trong quá trình audit độc lập mã nguồn của VicStake (phiên bản 1.2.0), tôi phát hiện một điểm yếu tiềm ẩn trong cơ chế tính toán tỷ lệ đổi (exchange rate) giữa token gốc VIC và token staking lỏng sVIC. Cụ thể, hàm getRate() sử dụng tổng supply của sVIC làm mẫu số mà không kiểm tra giá trị tối thiểu, cho phép kẻ tấn công có thể thao túng tỷ lệ nếu số lượng người dùng staking giảm đột ngột. Đội ngũ Viction đã vá lỗi này trong bản cập nhật 1.2.1 vào tháng 5, nhưng câu hỏi đặt ra: liệu sự tăng trưởng TVL có phải là hệ quả của việc khai thác lỗ hổng trước khi vá?
Core: Phân tích kỹ thuật từ mã nguồn đến số liệu on-chain
Tôi đã fork mã nguồn VicStake từ commit trước bản vá (1.2.0) và chạy mô phỏng với một kịch bản tấn công. Với giả định kẻ tấn công có 100,000 VIC (khoảng 1.2 triệu USD tại thời điểm tháng 4), hắn có thể thực hiện một chuỗi các giao dịch: 1. Stake 100,000 VIC để nhận 100,000 sVIC (tỷ lệ 1:1). 2. Chờ một khối sau khi tổng supply sVIC tăng lên, rồi unstake ngay lập tức. Do hàm getRate() không cập nhật kịp, số VIC nhận lại có thể lớn hơn số gốc do làm tròn hoặc do sự chênh lệch tạm thời.
Kết quả mô phỏng cho thấy lợi nhuận tối đa là 0.3% mỗi lần lặp – không lớn, nhưng có thể lặp lại hàng trăm lần trong một block nếu kết hợp với flash loan. Tuy nhiên, kịch bản này yêu cầu thanh khoản sâu trên DEX để swap sVIC lấy VIC, điều mà VicSwap không đáp ứng được do độ sâu thị trường chỉ 2 triệu USD cho cặp VIC-sVIC. Vì vậy, khả năng bị khai thác ở quy mô lớn là thấp.
Điều đáng lo ngại hơn là sự tập trung TVL. Từ dữ liệu on-chain của Viction, tôi truy vết 100 ví lớn nhất trong VicStake. Kết quả: 3 ví kiểm soát 62% tổng sVIC, và một trong số đó có dấu hiệu của hợp đồng thông minh từ một sàn giao dịch tập trung (CEX) chưa được xác định. Điều này gợi ý rằng một phần TVL đến từ quỹ của sàn, không phải từ người dùng bán lẻ. Đây là dấu hiệu kinh điển của “wash trading” TVL: các sàn hoặc market maker bơm thanh khoản giả để tạo hiệu ứng FOMO, thu hút người dùng thật vào sau đó rút ra.
Contrarian: Nghịch lý của layer-1 Việt Nam trong bối cảnh Layer-2 bão hòa
Nhiều người cho rằng Viction đang tận dụng làn sóng “quay về layer-1” khi phí Ethereum vẫn còn cao (trung bình 15 USD/giao dịch vào tháng 6/2026). Nhưng góc nhìn của tôi ngược lại: Viction không cạnh tranh với Ethereum, nó đang cạnh tranh với các rollup Việt Nam mọc lên như nấm sau mưa. Các dự án như “Base Vietnam” (một Optimistic Rollup do một team trong nước xây dựng) hay “ZKSync Hanoi” (zk-Rollup) đã thu hút một lượng lớn nhà phát triển trẻ nhờ chi phí gas rẻ hơn và khả năng tùy biến cao hơn. Viction với tư cách là layer-1 độc lập, phải tự duy trì bảo mật và thanh khoản, trong khi rollup có thể kế thừa bảo mật từ Ethereum. Điều này khiến Viction rơi vào thế “kẹt giữa”: không đủ an toàn như Ethereum, không đủ linh hoạt như rollup.
Hơn nữa, cơ chế Double Validation của Viction tạo ra overhead lớn. Mỗi giao dịch phải chờ hai chữ ký, làm tăng thời gian xác nhận lên gấp đôi so với DPoS thông thường. Theo số liệu từ block explorer của Viction, thời gian trung bình để một giao dịch đạt finality là 12 giây – nhanh hơn Ethereum (12-15 giây) nhưng chậm hơn Solana (400ms) hay các rollup hiện đại (dưới 1 giây). Trong trading bot hay arbitrage, 12 giây là một thế kỷ.
Takeaway: Câu hỏi cho Q3 2026
Ba tháng tới sẽ là thử thách thực sự với Viction. Liệu TVL 1.2 tỷ USD có duy trì được sau khi VicStake hết khuyến mãi staking (APR 45% kết thúc vào tháng 8)? Liệu đội ngũ có thể mở rộng hệ sinh thái dApp ra khỏi lending và DEX – vốn dễ bị tổn thương trước biến động thị trường? Hay chúng ta sẽ chứng kiến một “pull rug” thanh lịch khi các ví lớn rút thanh khoản, để lại người dùng lẻ cầm sVIC không thể unstake? Tôi không có câu trả lời, nhưng tôi đã chuẩn bị sẵn một bộ script để theo dõi dòng tiền của ba ví lớn kia.
