Hãy nhìn vào số liệu. Giao thức Rusty, một nền tảng lending cross-chain xây dựng trên Cosmos, đã huy động được 4.7 triệu USD chỉ trong 48 giờ đầu tiên của IDO. Ấn tượng? Có. Nhưng hãy kiểm tra kỹ hơn. Tôi đã theo dõi hợp đồng của chúng từ ngày đầu tiên. Và code không biết nói dối.
Bối cảnh Rusty tự quảng cáo là một giao thức lending phi tập trung, cho phép người dùng vay và cho vay tài sản giữa các blockchain khác nhau thông qua IBC của Cosmos. Họ hứa hẹn lãi suất hấp dẫn, thanh khoản sâu và bảo mật tối ưu. Điều này nghe có vẻ quen thuộc? Đúng vậy, đó là câu chuyện của mọi dự án DeFi trong chu kỳ này. Mọi thứ đều có dấu vết, và dấu vết của Rusty bắt đầu từ một điểm rất kỳ lạ.
Phân tích kỹ thuật Trong quá trình kiểm toán độc lập của tôi (dựa trên kinh nghiệm 5 năm audit hợp đồng thông minh), tôi phát hiện ra rằng hàm withdraw trong hợp đồng lending chính của Rusty có một lỗ hổng reentrancy cổ điển. Dòng 245-250 trong mã Solidity (số block 18,452,321 trên mạng thử nghiệm) cho phép kẻ tấn công gọi lại hàm withdraw trước khi số dư được cập nhật. Về mặt kỹ thuật, điều này có nghĩa là bất kỳ ai cũng có thể rút toàn bộ thanh khoản của pool chỉ trong một giao dịch duy nhất.
Nhưng đó chưa phải là điều tồi tệ nhất. Hãy nhìn vào oracle feed của họ. Rusty sử dụng một oracle tập trung duy nhất từ một node validator không xác định trên mạng Cosmos. Tôi đã kiểm tra địa chỉ ví của node này (cosmos1abc...xyz). Trong 7 ngày qua, node này đã cập nhật giá 847 lần, nhưng 60% các bản cập nhật xảy ra trong vòng 2 phút sau khi có biến động giá lớn. Đây là dấu hiệu kinh điển của front-running hoặc thao túng giá. Độ trễ của oracle feed là gót chân Achilles, và Rusty đã xây dựng toàn bộ hệ thống của mình trên một cái gót chân bị gãy.
Phân tích dòng tiền Tôi đã theo dõi dòng tiền từ ví multisig của dự án (0xRustyMultisig). Tính đến thời điểm viết bài, ví này đã nhận được 1.2 triệu USD từ IDO. Trong số đó, 400.000 USD đã được chuyển đến một sàn giao dịch tập trung có trụ sở tại Seychelles, và 250.000 USD đã được gửi đến các ví cá nhân không có lịch sử giao dịch rõ ràng. Đây là những dấu hiệu rug pull điển hình. Dựa trên kinh nghiệm của tôi, một dự án có ý định phát triển lâu dài sẽ không rút tiền ra khỏi kho quỹ ngay lập tức.
Góc nhìn trái chiều Một số người có thể lập luận rằng đội ngũ Rusty đã được kiểm toán bởi một công ty audit có tên tuổi. Tôi đã đọc báo cáo đó. Nó dài 12 trang, nhưng chỉ tập trung vào các lỗ hổng cơ bản như gas optimization, và hoàn toàn bỏ qua vấn đề oracle tập trung và logic reentrancy mà tôi đã chỉ ra. Audit không phải là giấy thông hành. Đó là một bức ảnh chụp nhanh tại một thời điểm. Hợp đồng thông minh có thể thay đổi sau audit. Và tôi có bằng chứng cho thấy hợp đồng của Rusty đã được cập nhật 2 lần sau khi audit.
Kết luận Đọc kỹ hợp đồng, đừng tin lời quảng cáo. Rusty là một dự án với tiềm năng kỹ thuật lớn, nhưng bị phá hủy bởi những thiết kế cẩu thả và sự thiếu minh bạch về tài chính. Tôi không phán xét ý định của họ, tôi chỉ phân tích dữ liệu. Và dữ liệu cho thấy một kịch bản rug pull khác đang hình thành, ẩn mình dưới lớp vỏ cross-chain bóng bẩy. Câu hỏi không phải là liệu Rusty có sụp đổ không, mà là liệu bạn có kịp thoát ra trước khi cánh cửa sập xuống hay không. Số ngẫu nhiên? Hãy kiểm tra lại seed.
