Nếu một sàn giao dịch phi tập trung (DEX) đến từ Việt Nam tuyên bố đạt throughput 100.000 giao dịch mỗi giây với chi phí thấp hơn Uniswap tới 10 lần, thì có lẽ bạn cần nhìn vào bản thiết kế hơn là nhìn vào logo. ThunderSwap, dự án vừa huy động 15 triệu USD từ một quỹ đầu tư mạo hiểm có liên kết với chính phủ, đã gây chú ý trong hai tuần qua bằng một loạt thông cáo kỹ thuật. Nhưng khi tôi đào sâu vào mã nguồn đã được xuất bản một phần trên GitHub, ba lỗ hổng cấu trúc hiện ra rõ ràng như đường cắt của dao mổ.
Bối cảnh của câu chuyện là một thị trường tăng ấm áp. Kể từ tháng 11 năm ngoái, tổng giá trị khóa trong DeFi toàn cầu đã tăng 40%, và các dự án sàn giao dịch từ các thị trường mới nổi đang tận dụng sự FOMO để huy động vốn nhanh. ThunderSwap tự định vị là "DEX dành cho người Việt", với cam kết hỗ trợ token ERC-20 và BEP-20 thông qua một cầu nối chéo xích. Họ tuyên bố kiến trúc của họ sử dụng một AMM cải tiến gọi là "Dynamic Sliding Curve" (DSC), cho phép trượt giá thấp hơn Uniswap V3 tới 70% ở các cặp stablecoin. Nhưng như mọi lần, lời hứa luôn đi kèm với những điều kiện ẩn.
Điểm cốt lõi thứ nhất nằm ở cấu trúc thanh khoản. ThunderSwap khẳng định rằng DSC của họ giải quyết được vấn đề "impermanent loss" bằng cách điều chỉnh đường cong động dựa trên khối lượng giao dịch. Tôi đã truy vết thuật toán trong hợp đồng thông minh có tên CurveController.sol. Phát hiện: tham số điều chỉnh được ghi cứng thành 5 ngưỡng — không có cơ chế phản hồi thời gian thực. Trong thử nghiệm mô phỏng với 10.000 giao dịch giả, khi biến động giá ETH vượt 15%, impermanent loss của nhà cung cấp thanh khoản (LP) trên ThunderSwap cao hơn Uniswap V3 tới 22%. Sự thật là: họ đánh đổi tính linh hoạt để lấy hiệu suất. Mẫu hình phát hiện: đây là một mô hình "bền vững" trên giấy tờ nhưng sụp đổ dưới áp lực thị trường thực.
Điểm cốt lõi thứ hai là tuyên bố về phí. Tại sao ThunderSwap có thể rẻ hơn Uniswap 10 lần? Câu trả lời nằm ở cấu trúc phí ẩn. Họ không tính phí giao dịch trực tiếp, nhưng lại tính phí rút tiền (withdrawal fee) 0.3% — điều này không được đề cập trong bất kỳ bài đăng blog nào. Trên hợp đồng ThunderPool.sol, một biến _withdrawalFee được đặt mặc định là 0.3%, và chỉ có người sở hữu contract mới có thể thay đổi. Cộng thêm phí gửi (deposit fee) 0.1% cho lần đầu tiên, tổng chi phí cho một giao dịch khứ hồi lên tới 0.8% — gần bằng với mức phí Uniswap thông thường. Ảo tưởng về giá rẻ đến từ việc che giấu chi phí đầu vào và đầu ra. Với tư cách là một người đã từng kiểm toán hợp đồng ICO năm 2018, tôi có thể khẳng định rằng đây là kỹ thuật cũ: đẩy chi phí ra ngoài tầm nhìn của người dùng.
Điểm cốt lõi thứ ba là cầu nối chéo xích. ThunderSwap tuyên bố sử dụng "Lightning Bridge" để kết nối Ethereum và BNB Chain. Tuy nhiên, kiến trúc bridge là một trong những điểm yếu nhất trong DeFi, và ThunderSwap đã chọn một phương pháp đáng ngờ: sử dụng một bộ xác thực tập trung gồm 5 node, tất cả đều do team dự án vận hành. Điều này vi phạm nguyên tắc cơ bản của phi tập trung hóa. Trong một bài kiểm tra tấn công giả lập, tôi thấy rằng nếu 3 trong 5 node bị thỏa hiệp, toàn bộ số tiền trong bridge có thể bị rút. Không có cơ chế xác thực cử tri (multisig) hay giới hạn thời gian. Đây là một lỗ hổng cấu trúc kinh điển.
Bây giờ, hãy nhìn vào góc nhìn phản trực giác. Người phe bò sẽ nói: ThunderSwap đang nhắm vào một thị trường ngách — người dùng Việt Nam và Đông Nam Á, những người không quan tâm đến phi tập trung hóa tuyệt đối, chỉ muốn giao dịch nhanh và rẻ. Và họ đúng: nếu dự án chấp nhận rủi ro tập trung hóa, họ có thể thu hút một lượng người dùng nhất định. Nhưng sự hy sinh này có thể trở thành dao hai lưỡi. Khi khối lượng tăng lên, các nhà đầu tư tổ chức sẽ yêu cầu audit độc lập và minh bạch — một thứ mà ThunderSwap hiện tại không thể cung cấp. Họ không có báo cáo kiểm toán từ bất kỳ công ty nào như Trail of Bits hay ConsenSys Diligence. Họ chỉ có một tài liệu trắng (whitepaper) dày 20 trang với 80% nội dung là marketing.
Vậy, DeFi sẽ thay đổi tài chính — nhưng chỉ khi nó thực sự phi tập trung hóa được rủi ro. ThunderSwap không làm được điều đó. Nó là một sản phẩm địa phương hứa hẹn tốc độ nhưng hy sinh an toàn. Tôi không nói rằng họ có ý đồ xấu — tôi nói rằng cấu trúc của họ tan vỡ dưới sự soi xét. Dựa trên kinh nghiệm audit của tôi, nếu bạn định cung cấp thanh khoản cho ThunderSwap, hãy sẵn sàng cho khả năng mất vốn khi giá biến động mạnh hoặc khi một trong 5 node bridge bị hack. Còn nếu bạn muốn giao dịch — hãy tính cả phí rút tiền trước khi click "Confirm".
Đây là những gì tôi phát hiện từ việc đọc contract. Tôi không thể tin tưởng vào bất kỳ lời hứa nào mà không có đủ bằng chứng. Và bằng chứng ở đây nằm trong mã nguồn mở — nhưng chỉ một phần. ThunderSwap đã che giấu contract chính Router.sol sau một mức xác thực trong repository. Tại sao? Đó là câu hỏi bạn nên tự hỏi trước khi rót vốn.