Ngày 15 tháng 5, một token tên Vladhood được triển khai trên Robinhood Chain. Chỉ 46 phút sau, tài khoản X của CEO Robinhood bị hack và đăng bài quảng cáo về nó. Đến nay, token vẫn tồn tại, nhưng không phải vì nó có giá trị.
Đây không phải là câu chuyện về một dự án thất bại. Đây là câu chuyện về một hợp đồng được thiết kế để không bao giờ dừng lại. Code không biết nói dối. Hãy nhìn vào các giao dịch: mỗi lần mua bán, một phần trăm phí chảy vào ví của kẻ tạo ra. Không rug pull, không rút thanh khoản. Chỉ là một dòng chảy liên tục, lặng lẽ, như máy hút bụi.
Tôi đã kiểm toán hàng trăm hợp đồng trong 5 năm qua. Mọi thứ đều có dấu vết. Ở đây, dấu vết nằm ở dòng code tax – một hàm cộng thêm phí vào mỗi giao dịch và chuyển thẳng đến địa chỉ deployer. Đó là lý do tại sao thanh khoản không bị rút: không cần phải rút khi bạn có thể in tiền từ mỗi lần swap. Kẻ tấn công không muốn giết con gà đẻ trứng vàng. Họ muốn nó đẻ mãi mãi.
Nhưng đừng nhầm lẫn. Đây không phải là một mô hình kinh doanh mới. Đây là một biến thể của chiêu trò cũ: tạo token, nhờ quyền truy cập tài khoản mạng xã hội để tạo FOMO, sau đó thu phí trong khi giá trị lao dốc. Sự khác biệt duy nhất là họ đã học được bài học từ các vụ rug pull trước đó: không làm mọi người sợ hãi ngay lập tức, để dòng tiền kéo dài hơn.
Tôi từng phát hiện lỗ hổng reentrancy trong hợp đồng ICO EOS Token năm 2017. Lúc đó, 1.200 ETH được cứu. Nhưng ở đây, không có lỗ hổng kỹ thuật. Hợp đồng hoạt động đúng như thiết kế – một thiết kế ác ý. Kẻ tấn công không cần phải hack hợp đồng; chính hợp đồng là vũ khí. Đọc kỹ hợp đồng, đừng tin lời quảng cáo. Nếu bạn không thể đọc, hãy tìm người có thể.
Có một góc nhìn phản trực giác: liệu kẻ tấn công có đang làm điều tốt? Họ không rút thanh khoản, vậy có thể họ sẽ tiếp tục hỗ trợ token? Sai lầm. Việc không rút thanh khoản không phải vì thiện chí, mà vì tính toán. Một khi họ rút, tất cả mọi người sẽ bỏ chạy, và dòng phí sẽ ngừng. Bằng cách để thanh khoản tồn tại, họ đảm bảo có người mua – và mỗi lần mua, họ lại thu thuế. Đây là một cái bẫy có kiến trúc tinh vi hơn bạn tưởng.
Vậy bài học ở đây là gì? Không phải là tránh xa memecoin. Đó là một lời khuyên quá dễ dàng. Bài học thực sự là: hãy kiểm tra quyền sở hữu hợp đồng. Hợp đồng này có owner? Có admin key? Có function để thay đổi tax rate không? Tất cả đều có. Bất kỳ ai có thể gọi setTax hoặc mint đều có thể phá hủy giá trị của bạn. Đây là kiến thức cơ bản nhưng thường bị bỏ qua trong cơn sốt mua sắm.
Tôi không nói rằng mọi token có tax đều là lừa đảo. Nhưng khi tax được gửi đến một ví không có lịch sử, và token được quảng cáo thông qua một tài khoản bị hack, thì đã đến lúc dừng lại. Mọi thứ đều có dấu vết. Hãy dành 5 phút trên block explorer. Nếu bạn thấy một địa chỉ nhận được 5% phí từ mỗi giao dịch và không bao giờ bán, hãy hỏi: tại sao họ lại làm vậy?
Kết thúc câu chuyện, token Vladhood vẫn đang tạo ra phí. Nhưng giá của nó đã giảm 99,9%. Những người mua đầu tiên có thể đã lỗ, nhưng kẻ tấn công vẫn kiếm tiền mỗi ngày. Liệu bạn có đủ tinh tường để nhìn ra dấu hiệu trước khi quá muộn?