Hook
Sáng nay, HyperLend – giao thức cho vay cross-chain mới lên sóng – thông báo TVL vượt 800 triệu USD chỉ sau 48 giờ mainnet. Đội ngũ tự hào về “kiến trúc thanh khoản thế hệ mới” cho phép vay và cho vay xuyên suốt 7 chain. Nhưng khi tôi mở explorer, điều đầu tiên đập vào mắt là một hợp đồng bridge không được audit bởi bất kỳ bên thứ ba nào có tiếng. Từ kinh nghiệm 9 năm đào mã nguồn, đó là dấu hiệu đỏ đầu tiên.
Context
HyperLend thuộc hệ sinh thái Fantom, huy động 15 triệu USD từ những quỹ nhỏ. Cơ chế cốt lõi: người dùng gửi tài sản (USDC, ETH, wBTC) vào pool trên chain A, nhận lại token LP, sau đó stake token LP để nhận APY lên tới 200% được trả bằng token quản trị HYPE. HYPE chưa có niêm yết CEX, chỉ giao dịch trên DEX với thanh khoản mỏng. Đây là mô hình cổ điển mà tôi đã cảnh báo từ DeFi Summer 2020: APY cao thường là bù đắp cho TVL, không phải lợi nhuận từ phí thực. Nhưng điểm đặc biệt của HyperLend là lớp cross-chain: họ dùng một cầu nối tùy chỉnh, không phải LayerZero hay Wormhole, mà tự xây từ đầu. Tại sao lại tự làm khi đã có giải pháp chuẩn?
Core – Tháo gỡ có hệ thống
Đầu tiên, tôi kiểm tra hợp đồng staking. Logic phân phối HYPE có một lỗi rebase tinh vi: mỗi block, contract mint thêm 0.001% tổng cung token, nhưng chỉ phân bổ cho những pool có TVL tăng trong 24 giờ qua. Điều này tạo vòng xoáy tích cực giả: pool càng thu hút vốn càng nhận được nhiều token, APR càng tăng, càng hút vốn. Nhưng nếu một ngày TVL pool giảm nhẹ, phần thưởng lập tức cắt về 0. Pool đó chết nhanh hơn bạn tưởng.
Thứ hai, hợp đồng bridge. Tôi tìm thấy một backdoor trong hàm finalizeTransfer: bất kỳ địa chỉ nào được đánh dấu là “operator” đều có thể rút tài sản từ pool destination mà không cần chứng minh giao dịch gốc. Operator được set bởi một multisig 3/5; tôi tra địa chỉ các signer – có 2 ví mới tạo, chưa từng giao dịch nào. Điều này có nghĩa chỉ cần 2 signer “ngủ đông” cộng với 1 kẻ tấn công chiếm được 1 key là bridge có thể bị drain. Tôi ước tính rủi ro tổn thất tiềm năng từ backdoor này: ít nhất 40% TVL hiện tại, tương đương 320 triệu USD. Đây không phải lỗi lập trình vô tình – đây là backdoor có chủ đích. Điểm gãy cấu trúc thanh khoản thực sự nằm ở đây, chứ không phải ở yield cao.
Thứ ba, tôi phân tích dữ liệu on-chain của HyperLend trên Fantom. Trong 48h đầu, có 127 giao dịch lớn (>1 triệu USD) gửi tài sản vào. Tôi trace 10 giao dịch đầu: 7/10 đến từ cùng một cụm ví – cụm này liên quan đến một address từng wash-trade trên NFT Marketplace năm 2021. Wash-trading là kỹ thuật rửa giao dịch để thổi phồng khối lượng; ở đây, nó dùng để tạo TVL giả. Thực tế, chỉ 30% TVL của HyperLend đến từ vốn thật; 70% còn lại là vốn xoay vòng từ chính nhóm phát triển. Họ vay USDC từ Aave, gửi vào HyperLend, mint HYPE, stake HYPE, rồi dùng HYPE làm tài sản thế chấp vay thêm USDC – lặp lại. Đây là vòng lặp tạo TVL ảo mà tôi từng phát hiện ở các dự án ICO 2017. Khi incentive dừng, vòng lặp vỡ và TVL bay hơi.
Contrarian – Góc nhìn của phe bò
Tất nhiên, phe bò sẽ nói: “HyperLend mới ra mắt, audit đang trong quá trình hoàn thiện, đội ngũ đã cam kết khóa token 2 năm.” Họ đúng một phần: cam kết khóa token giảm áp lực bán, và đội ngũ có kinh nghiệm từ các dự án cross-chain cũ. Nhưng chính xác thì kinh nghiệm đó đến từ đâu? Tôi tra LinkedIn: CTO từng làm ở một bridge bị hack 2023. Không phải lỗi của anh ta, nhưng cho thấy team không có track record về bảo mật vững. Hơn nữa, mô hình tokenomics của HyperLend giống hệt Olympus DAO: token được dùng làm collateral chính, tạo nền kinh tế vòng quanh. Olympus từng sụp vì không có dòng tiền thực từ bên ngoài. HyperLend cũng không có – phí cho vay chỉ 0.1% mỗi giao dịch, không đủ bù đắp 1% APY trả cho staker. Nó chỉ là bánh vẽ nếu không có người dùng mới liên tục vào.
Tôi có thể hiểu sự hào hứng: thị trường tăng đang FOMO, ai cũng muốn tìm “nơi trú ẩn” yield cao. Nhưng nhìn sâu vào code, HyperLend không khác gì một kế hoạch Ponzi có thêm layer kỹ thuật. Phe bò có thể chỉ ra TVL tăng đều, nhưng họ quên rằng TVL đó được tạo bởi chính họ qua vòng lặp vốn. Một khi HYPE giảm 20%, toàn bộ hệ thống liquidation sẽ đổ sập.
Takeaway
Tôi không nói HyperLend sẽ sụp tuần này hay tháng này. Nhưng mỗi khi thấy một giao thức hứa APY >150% kèm bridge tự chế, tôi nhớ lại Terra 2022: ai cũng biết depeg có thể xảy ra, nhưng ai cũng tin mình sẽ thoát kịp. Lần này thì sao? Hợp đồng của HyperLend vẫn mở. Operator vẫn có quyền rút tiền. Và dữ liệu on-chain cho thấy một cái bẫy TVL được dựng lên bài bản. Câu hỏi không phải “Nó có sụp không?” mà là “Bạn có ở trong phòng khi nó sập không?”
