Tuần trước, một dự án DeFi tên 'LiquidFarm' biến mất sau 72 giờ ra mắt. 2,300 nhà đầu tư mất tổng cộng 4.7 triệu USD. Tôi không ngạc nhiên. Không phải vì tôi có insider, mà vì tôi đã thấy kịch bản này 6 lần trong 5 năm qua, và lần đầu tiên tôi cũng mất 5000 USD vì một dự án NFT scam. Kinh nghiệm đó dạy tôi một điều: mọi rug pull đều để lại dấu vết trên chain. Chỉ là đa số không biết đọc.
Context: tại sao bây giờ là lúc học đọc on-chain? Thị trường đi ngang. Không có FOMO mới. Những kẻ lừa đảo cũng đói. Chúng chuyển từ chiêu trò 'sàn CEX list token' sang mô hình 'farm + bridge + exit scam' tinh vi hơn. Trong tháng 5 vừa qua, theo dữ liệu từ Chainalysis, số vụ rug pull tăng 40% so với quý trước, nhưng số tiền trung bình mỗi vụ giảm – nghĩa là có nhiều dự án nhỏ nhưng nguy hiểm hơn. Đây chính là môi trường lý tưởng để tôi – một kẻ săn lỗ hổng – cảnh báo.
Core: 5 tín hiệu on-chain mà tôi dùng để phát hiện rug pull trước khi nó xảy ra Tôi sẽ đi từ cơ bản đến nâng cao. Mỗi tín hiệu đều có dữ liệu thực tế từ vụ LiquidFarm.
1. Lượng LP token lock không khớp với số lượng farm — Root: Kinh nghiệm phát hiện. Hãy kiểm tra địa chỉ contract của pool thanh khoản. Nếu số lượng LP token được gửi vào multicall hoặc farming contract lớn hơn tổng cung LP, đó là dấu hiệu rõ ràng của mint giả. Trong LiquidFarm, tôi thấy contract LP (0x...a1b2) mint ra 10 triệu LP token ngay khi khởi tạo, nhưng farm contract chỉ nhận 2 triệu. 8 triệu còn lại nằm trong ví deployer. Đó là 'của để dành' cho lần rút thảm.
2. Sự bất thường trong lịch sử giao dịch của deployer wallet — Một điều tôi học từ lần mất 5000 USD: không bao giờ tin vào ví deployer chỉ giao dịch vài lần. Hãy dùng Etherscan hoặc Dune để xem lịch sử. Deployer của LiquidFarm chỉ có 3 giao dịch trước khi launch: một để nhận ETH từ sàn, một để deploy contract, một để tạo pool. Điều đó có nghĩa gì? Không có lịch sử tham gia DeFi lâu dài. Thường thì một dev thật sự sẽ có hàng trăm giao dịch test trên testnet, nhưng kẻ lừa đảo thì không. Họ tạo ví mới và chỉ giao dịch tối thiểu.
3. Hợp đồng farming có hàm 'withdrawAll' không được kiểm soát bởi timelock — Đây là lỗi kỹ thuật kinh điển. Tôi audit contract của LiquidFarm bằng Remix IDE (chỉ mất 10 phút) và phát hiện một function có tên emergencyWithdraw(address token) chỉ được bảo vệ bởi modifier onlyOwner, không có timelock, không có multisig. Điều đó có nghĩa một chữ ký duy nhất có thể rút toàn bộ token trong pool. Trong các dự án uy tín, function này thường có delay ít nhất 48 giờ. Đây là điểm khác biệt giữa một dự án thật và một cái bẫy.
4. Tỷ lệ phần thưởng APY bất thường kết hợp với tổng TVL tăng đột biến từ một wallet — Tôi gọi đây là 'hiệu ứng bong bóng xà phòng'. LiquidFarm hứa APY 5000% cho pool WETH-USDC. Trong 6 giờ đầu, TVL tăng từ 0 lên 1.2 triệu USD. Nhưng nếu bạn nhìn kỹ vào các giao dịch deposit, bạn sẽ thấy 80% TVL đến từ duy nhất một địa chỉ (0x...c3d4). Địa chỉ đó là deployer. Họ tự bơm thanh khoản để tạo ảo giác, sau đó rút phần còn lại của người dùng. — Mỗi mùa hè DeFi đều có một biến thể của chiêu này.
5. Hợp đồng token có tính năng 'pause trading' nhưng không được tiết lộ — Đây là tín hiệu tôi thích nhất vì nó không bao giờ thất bại. Tôi đọc source code của token LiquidFarm (ticker: LFM) và thấy nó thừa kế từ OpenZeppelin's ERC20Pausable, nhưng trong whitepaper không hề đề cập. Khi tôi kiểm tra function pause() trong contract, nó chỉ cần onlyOwner. Điều này cho phép deployer dừng mọi giao dịch bán token, trong khi họ vẫn có thể rút thanh khoản. Đây là 'vanilla' rug pull: pause -> rút -> unpause -> thanh khoản về 0.
Contrarian: góc nhìn chưa ai nói — Mọi người thường nói 'hãy chỉ đầu tư vào dự án đã được audit'. Tôi nói: audit không đủ. LiquidFarm cũng có audit từ một công ty ít tên tuổi, nhưng audit đó chỉ kiểm tra 'không có lỗi reentrancy', không kiểm tra 'owner có thể rút tiền hay không'. Audit là cam kết tối thiểu, không phải bảo hiểm. — : kinh nghiệm của kẻ theo dõi. Điều thực sự bảo vệ bạn không phải là một tờ giấy audit, mà là khả năng tự kiểm tra contract. Bạn không cần phải là lập trình viên. Etherscan cho phép bạn đọc bytecode và tìm function selector. Chỉ cần gõ 0x8456cb59 (function pause) trong search box, nếu nó xuất hiện, hãy cảnh giác.
Takeaway: làm gì tiếp theo? — Tôi không nói bạn không nên farm. Tôi nói: trước khi deposit, hãy dành 10 phút để kiểm tra 5 tín hiệu trên. Đây không phải là lý thuyết. Đây là 5000 USD tiền thật của tôi đã biến mất vì tôi không làm điều đó. Nếu bạn thấy một dự án mới với APY vô lý, hãy nhìn vào deployer wallet. Nếu nó sạch bóng như tờ giấy trắng, đó là dấu hiệu. Nếu contract có pause function không được thông báo, đó là cảnh báo. Và nếu bạn không tự tin, hãy hỏi tôi. Tôi sẽ giúp bạn đọc contract qua Twitter DM. Bởi vì mỗi lần một vụ rug xảy ra, tôi lại mất một phần niềm tin vào không gian này. Và tôi ghét điều đó.