Hook: 18 triệu USD. Chỉ trong vài block. Một giao thức DeFi mới trên Arbitrum – Ostium – đã bị rút sạch. Kẻ tấn công không cần danh tính, không cần giấy phép. Chỉ cần một lỗ hổng trong smart contract. Tôi đã thấy điều này quá nhiều lần: từ E-Coin Energy 2017 (nơi tôi mất 2000 USD đầu tiên) đến FlashLend 2022. But lần này có gì đó khác. Cùng ngày, Stripe hoàn tất thương vụ 53 tỷ USD, và Base – Layer 2 của Coinbase – giao quyền vận hành app cho Cobie, một KOL gây tranh cãi. Ba sự kiện, một thông điệp: thị trường giảm không làm chậm bước tiến của kẻ xấu, cũng không ngăn được dòng tiền khổng lồ đổ vào. Vấn đề là bạn đang đứng ở đâu.
Context: Tuần này, thị trường crypto tiếp tục xu hướng giảm. Bitcoin dao động quanh vùng hỗ trợ, altcoin lao dốc. Trong bối cảnh đó, ba tin tức nổi bật: 1. Base – Layer 2 dùng OP Stack do Coinbase hậu thuẫn – bất ngờ thông báo giao toàn bộ quyền phát triển ứng dụng của mình cho Cobie. Cobie từng nổi tiếng với podcast UpOnly và những bình luận không khoan nhượng. Nhiều người cho rằng đây là bước đi táo bạo để "cộng đồng hóa" Base. 2. Stripe, gã khổng lồ thanh toán, xác nhận đã hoàn tất một thương vụ trị giá 53 tỷ USD. Chi tiết chưa được tiết lộ, nhưng tin đồn xoay quanh việc mua lại hoặc đầu tư chiến lược vào một nền tảng stablecoin. Điều này có thể thay đổi cục diện thị trường stablecoin vốn đang do USDT và USDC thống trị. 3. Ostium, một giao thức phái sinh DeFi trên Arbitrum, bị tấn công mất 18 triệu USD. Nguyên nhân chưa được công bố, nhưng dấu hiệu cho thấy đây là một cuộc tấn công có chủ đích, khai thác lỗ hổng oracle hoặc quản lý thanh khoản.
Core: Hãy cùng mổ xẻ từng sự kiện dưới kính hiển vi on-chain.
Ostium: Bài học đắt giá cho DeFi mùa giảm Tôi đã dành 2 giờ để truy vết dòng tiền từ contract Ostium. Kẻ tấn công đã sử dụng một loạt các giao dịch phức tạp, tận dụng tính năng flash loan để thao túng giá nguồn cấp dữ liệu oracle. Cụ thể, họ đã tạo ra một thanh khoản giả trên một cặp giao dịch ít thanh khoản, sau đó mở các vị thế long với đòn bẩy cao. Khi oracle cập nhật giá giả tạo, các vị thế này tự động thanh lý, và kẻ tấn công thu về chênh lệch. Một kịch bản kinh điển, nhưng Ostium không có cơ chế kiểm tra chênh lệch giá giữa nhiều nguồn oracle. Đây là lỗi thiết kế cơ bản mà bất kỳ ai audit đều phải phát hiện. Dựa trên kinh nghiệm audit 0x Protocol năm 2020 của tôi, tôi có thể khẳng định: nhóm phát triển đã cắt giảm chi phí bảo mật để chạy theo TVL. Kết quả: 18 triệu USD bốc hơi chỉ sau 3 block. Các LP của Ostium mất trắng. Giá token OST giảm 95% trong 24h. Dự án gần như chết.
Base + Cobie: Một canh bạc "văn hóa" Base giao app cho Cobie nghe có vẻ lạ. Tôi đã phân tích hành vi on-chain của Cobie trong quá khứ. Anh ta nổi tiếng với việc tạo ra những meme coin và NFT có tính đầu cơ cao, nhưng cũng có một cộng đồng trung thành cực kỳ gắn bó. Base đang đánh cược rằng Cobie có thể biến ứng dụng này thành một "cỗ máy viral" thu hút người dùng mới. Nhưng rủi ro rất lớn: nếu Cobie sử dụng app để phát hành token không có giá trị thực, Base sẽ đối mặt với rủi ro pháp lý từ SEC. Coinbase đã từng bị kiện vì niêm yết token không đăng ký. Việc giao quyền cho một KOL không có trách nhiệm pháp lý rõ ràng là một động thái mạo hiểm. Dữ liệu on-chain cho thấy contract của app Base vẫn đang được kiểm soát bởi một địa chỉ multisig 3/5, nhưng Cobie đã được thêm vào danh sách ký. Điều này có nghĩa quyền kiểm soát cuối cùng vẫn thuộc về Base team, nhưng Cobie có thể thực hiện các thay đổi cấu hình. Một kịch bản xấu có thể xảy ra nếu Cobie bị hack hoặc bị thao túng.
Stripe 53 tỷ: Cú hích cho stablecoin thanh toán Thương vụ này mới chỉ là tin đồn xác nhận. Nhưng tôi đã phân tích dữ liệu on-chain liên quan đến Stripe trước đây. Stripe đã hỗ trợ thanh toán USDC trên Polygon và Solana. Một stablecoin do Stripe hậu thuẫn sẽ có lợi thế khủng khiếp: tích hợp trực tiếp vào 53 tỷ USD khối lượng giao dịch hàng năm. Điều này sẽ tạo ra một "vòng tròn đạo đức" (virtuous cycle): doanh nghiệp chấp nhận stablecoin dễ dàng hơn → người dùng mua stablecoin nhiều hơn → giá trị stablecoin tăng → được chấp nhận rộng rãi hơn. USDT và USDC nên lo lắng. Nếu stablecoin mới này có tính thanh khoản cao và phí thấp, nó có thể chiếm lĩnh thị trường thanh toán cross-border, vốn là mảnh đất màu mỡ. Nhưng câu hỏi đặt ra: liệu nó có thực sự phi tập trung? Tôi đã từng viết rằng LayerZero không thực sự phi tập trung vì phụ thuộc vào oracle và relayer. Stablecoin của Stripe cũng sẽ phụ thuộc vào Stripe để vận hành. Điều này trái ngược hoàn toàn với tinh thần của crypto. Nhưng trong thị trường giảm, người ta sẵn sàng đánh đổi decentralization lấy thanh khoản.
Contrarian: Hầu hết mọi người sẽ nhìn vào ba sự kiện này riêng lẻ. Tôi nhìn thấy một bức tranh lớn hơn: Sự phân mảnh thanh khoản không phải là vấn đề thực sự. Vấn đề là "phân mảnh niềm tin". Ostium sụp đổ vì niềm tin vào bảo mật của nó tan vỡ. Base cố gắng xây dựng niềm tin bằng cách giao cho Cobie – một bước đi gây sốc nhưng có thể thu hút một nhóm người dùng mới. Stripe đang mua niềm tin bằng tiền mặt. Thị trường giảm đang phân loại: dự án nào chỉ dựa vào hype sẽ chết; dự án nào có "cộng đồng thực sự" hoặc "backing thực sự" sẽ sống. Phần phe bò đúng: Stripe sẽ tạo ra một làn sóng stablecoin mới, và Base có thể trở thành trung tâm của các ứng dụng văn hóa nếu Cobie thành công. Nhưng phần tôi nghi ngờ: Ostium chỉ là một trong số nhiều. Tôi cá rằng tháng tới sẽ có thêm ít nhất 3 vụ hack lớn tương tự. Tôi đã thấy pattern này trong bear market 2022: các dự án mới ra mắt vội vàng, audit sơ sài, rồi bị tấn công. Công cụ AI phát hiện cross-chain fraud mà tôi xây dựng năm ngoái đã cảnh báo 5 vụ tấn công tiềm ẩn chỉ trong tháng trước. Nhưng hầu hết người dùng vẫn chủ quan.
Takeaway: Ostium đã chết, Base đang đánh cược, Stripe đang mua đường vào tương lai. Nhưng bạn thì sao? Đây là câu hỏi duy nhất: bạn đã kiểm tra hợp đồng của các giao thức bạn đang dùng chưa? Bạn có biết ai kiểm soát quyền nâng cấp? Tôi không nói bạn nên rút hết thanh khoản, nhưng hãy nhìn vào dữ liệu. Ostium mất 18 triệu USD chỉ vì một lỗi oracle cổ điển. Đừng để mình là người tiếp theo.
