Hook
Trong vòng 48 giờ, giao thức DeFi X (giấu tên để bảo vệ quy trình audit) đã chứng kiến hơn 120 triệu USD thanh khoản bốc hơi khỏi các pool chính. Không có dấu hiệu hack, không có bài đăng FUD từ team, thậm chí giá token vẫn đi ngang. Nhưng dữ liệu on-chain lại kể một câu chuyện khác: ba cụm ví liên kết đã thực hiện 47 giao dịch rút tiền với mô hình giống hệt nhau, mỗi lần cách nhau đúng 4,2 giây. Đây không phải là hành vi của nhà đầu tư tổ chức. Đây là bot.
Context
Tôi đã theo dõi giao thức X từ tháng 6 năm 2023, sau khi họ ra mắt chương trình farm token với APR ba chữ số. Giống như nhiều dự án thời kỳ đó, X thu hút thanh khoản bằng cách phát hành token quản trị với tỷ lệ lạm phát cao. Theo dashboard của tôi, trong 8 tháng đầu, tổng TVL tăng từ 50 triệu lên 800 triệu USD. Nhưng có một điểm bất thường: hơn 60% thanh khoản đến từ chưa đầy 150 địa chỉ, và 30% trong số đó có lịch sử giao dịch gần như trùng khớp về thời gian. Tôi đã cảnh báo trong báo cáo nội bộ tháng 9 năm 2024 rằng cấu trúc LP của X đang bị thao túng bởi bot wash trading. Kết quả? Đến nay, tôi mới thấy dấu hiệu rút lui hàng loạt.
Core
Tôi bắt đầu phân tích bằng cách query toàn bộ lịch sử giao dịch của giao thức X từ block 18.420.000 đến 18.460.000 (48 giờ). Dùng thử tháp Dune Analytics kết hợp với Nansen Query, tôi thu về 12.340 giao dịch. Sau đó, tôi áp dụng bộ lọc ba tầng: tần suất giao dịch, khoảng cách thời gian giữa các giao dịch liên tiếp, và số lượng token đã claim. Kết quả: 47 giao dịch khớp với mô hình bot (khoảng cách 4,2 giây, lượng rút tối đa cho phép mỗi block, và tất cả đều claim từ cùng một hợp đồng farm).
Truy vết địa chỉ gốc: Một trong ba cụm ví có nguồn gốc từ CEX KuCoin, thông qua một hợp đồng trung gian đã deploy cách đây 6 tháng. Hợp đồng đó ghi log với chữ ký đặc biệt: 0xab12cd34. Google search chữ ký này dẫn tôi tới một GitHub repo private bị leak từ năm 2023. Đoạn code mô tả một bot wash trading tự động, có khả năng sinh lợi 2-3% APR từ farm token trong khi thực tế không đóng góp thanh khoản thực.
Biểu đồ phân tán dòng vốn: Khi tôi vẽ biểu đồ mạng lưới dòng tiền giữa các ví, ba cụm này tạo thành một vòng khép kín: rút LP từ pool A → swap sang stablecoin → deposit vào pool B của cùng giao thức → claim token → bán token → lặp lại. Tổng cộng 120 triệu USD di chuyển qua chu kỳ này 6 lần trong 48 giờ, tạo ra khối lượng giao dịch ảo lên tới 720 triệu USD – nhưng thực chất không có thanh khoản mới thực sự vào hệ thống.
Phát hiện chính: Số dư stablecoin thực tế của giao thức X chỉ giảm 3% sau đợt rút, nhưng TVL ghi nhận giảm 15%. Điều này cho thấy dữ liệu TVL đã bị lạm phát bởi bot từ tháng 9. Sau khi bot rời đi, TVL hiển thị đột ngột giảm mạnh, gây hoảng loạn cho LP thật. Tôi đã kiểm tra tương quan giữa thời điểm bot rút và sự sụt giảm giá token X: giá giảm 8% trong 2 giờ sau khi 3 cụm ví hoàn tất rút, nhưng sau đó hồi phục 5% khi cộng đồng nhận ra không có hack. Đây là một mô hình wash trading tinh vi, nhưng không phải là rug pull.
Contrarian
Nhiều người sẽ nói rằng sự kiện này chứng minh rủi ro của DeFi: thanh khoản ảo, bot thao túng. Nhưng tôi nhìn từ góc khác: sự kiện này là tín hiệu cho thấy giao thức X đã sống sót qua một đợt tấn công thanh khoản có tổ chức. Phần lớn TVL thực vẫn còn đó, và token không sụp đổ. Trên thực tế, dữ liệu on-chain cho thấy các LP dài hạn (nắm giữ >90 ngày) không hề bán tháo. Họ thậm chí còn mua thêm sau khi bot rút đi, tận dụng giá chiết khấu.
Tương quan không phải nhân quả: Chúng ta thường vội kết luận rằng dòng vốn rút ra = dấu hiệu của sự sụp đổ. Nhưng nếu phân tích kỹ nguồn gốc dòng chảy, tôi thấy rằng 80% thanh khoản rút đến từ bot, không phải từ những người dùng thực. Nói cách khác, đây là một quá trình “thanh lọc” thị trường: bot bị loại bỏ, và dự án trở nên lành mạnh hơn. Điều này tương tự với cách thị trường chứng khoán loại bỏ thuật toán giao dịch tần suất cao bất hợp pháp.
Takeaway
Trong tuần tới, tôi sẽ theo dõi ba chỉ số: (1) sự gia tăng số lượng địa chỉ mới tương tác với giao thức X, (2) tỷ lệ stablecoin trên TVL, và (3) số lượng giao dịch có khoảng cách dưới 5 giây. Nếu ba chỉ số này ổn định, giao thức X có thể phục hồi và thậm chí vượt qua đỉnh cũ. Nếu không, đây có thể là khởi đầu của một đợt suy giảm kéo dài. Nhưng dựa trên kinh nghiệm 5 năm truy vết bot của tôi, tôi nghiêng về kịch bản phục hồi.