Gần đây, tôi phát hiện một lỗ hổng kỹ thuật trong dự án AlphaChain (tên giả) – nó có cánh cửa sau không thể che giấu trong hợp đồng thông minh, cho phép admin rút thanh khoản của bất kỳ người dùng nào bất cứ lúc nào. Người dùng thông qua Etherscan đã phát hiện ra hàm emergencyWithdraw, nhưng đội ngũ dự án vẫn phủ nhận điều này, cho rằng đây là 'cơ chế bảo vệ tiêu chuẩn'. Điều này khiến tôi nhớ lại vụ kiểm toán Bancor năm 2017 – chỉ khác là kẻ lừa đảo bây giờ tinh vi hơn xưa.
Nhắc lại: năm 2017, tôi kiểm toán ICO Bancor, phát hiện hàm withdrawFrom cho phép admin rút không giới hạn. Tôi gửi báo cáo 5 trang, nhưng quỹ đầu tư vẫn rót 2,5 triệu USD vì FOMO. Kết quả là dự án bị lật tẩy là tập trung hóa, còn phân tích của tôi bị gọi là 'bi quan thái quá'. Bây giờ, lịch sử lặp lại với AlphaChain, chỉ khác là mã nguồn mở hơn – nhưng cũng là mục tiêu mở hơn.
Phân tích kỹ thuật: Hàm emergencyWithdraw(address token, address to, uint256 amount) chính là cánh cửa sau. Hợp đồng triển khai Access Control dạng whitelist – admin có thể thêm bất kỳ địa chỉ nào vào whitelist bất kỳ lúc nào. Điều này có nghĩa đội ngũ có thể chuyển toàn bộ pool thanh khoản vào ví của họ, không để lại dấu vết. Nghiêm trọng hơn: không có time-lock, nếu admin kích hoạt, thanh khoản chỉ mất vài giây.
Trớ trêu thay, token của AlphaChain vẫn giao dịch trên một số DEX với định giá hơn 50 triệu USD. Nhà đầu tư nhỏ lẻ đổ vào chỉ vì một bài viết PR 'đã kiểm toán bởi công ty hàng đầu'. Nhưng báo cáo kiểm toán chỉ check các hàm cơ bản, cánh cửa sau này nằm ngoài phạm vi – hoặc nó thuộc về 'nâng cấp quản trị', một lỗ hổng tiêu chuẩn.
Góc nhìn trái chiều: Một số cho rằng 'tính năng admin' này cần thiết để bảo vệ giao thức khỏi tấn công oracle. Nhưng logic này chỉ đúng với các giao thức thực sự phi tập trung (như Uniswap có cơ chế rút khẩn cấp qua vote DAO). AlphaChain không có DAO; admin là một trong ba người sáng lập. 'Mã nguồn mở cũng là mục tiêu mở' – câu nói này vẫn đúng.
Ở thị trường đi ngang hiện tại, phát hiện này càng đáng báo động. Khi thanh khoản mỏng, một giao dịch lớn dễ gây trượt giá, admin có thể rút sạch thanh khoản và để LP ôm tổn thất. Tôi đã thấy vô số 'dự án unicorn' hóa thành 'dead project' chỉ qua một đêm.
Bài học: 'Chìa khóa duy nhất là private key, không phải lòng tin vào hợp đồng thông minh mờ ám.' Nếu bạn thấy dự án có 'admin privilege' mà không có time-lock, hãy chạy ngay. Trong crypto, cánh cửa sau thường ẩn chứa cạm bẫy sẵn sàng đóng sập.