46 phút. Đó là khoảng thời gian giữa lúc hợp đồng token giả được triển khai và khi nó được quảng bá trên tài khoản X của Vlad Tenev, CEO Robinhood. Một kẻ tấn công đã chiếm quyền kiểm soát tài khoản, tạo ra một memecoin mang tên “Vladhood” – ám chỉ cả Vlad và Robinhood – và tung ra thị trường. Trong vài giờ, token này thu hút hàng trăm nghìn đô la giao dịch. Nhưng điều đáng chú ý không phải là sự kiện hack, mà là điều xảy ra sau đó: hacker không rút thanh khoản, mà vẫn tiếp tục thu phí giao dịch từ mỗi lần mua bán. Tôi không tin vào những token được quảng bá bởi tài khoản bị hack; chỉ có dữ liệu on-chain mới tiết lộ sự thật mà thôi.
Bối cảnh vụ việc: Đêm ngày 20 tháng 9, tài khoản X của Vlad Tenev đăng tải một bài viết quảng bá một token mới trên “Robinhood Chain” – thực chất là một chain EVM tương thích do Robinhood hỗ trợ. Bài viết kêu gọi mọi người mua token Vladhood, hứa hẹn một “cộng đồng phi tập trung”. Nhưng trước đó 46 phút, một địa chỉ ví chưa từng xuất hiện đã triển khai hợp đồng token, cung cấp thanh khoản ban đầu trên sàn DEX liên kết với chain đó. Khi bài viết được đăng, giá token tăng vọt. Chỉ vài giờ sau, Robinhood xác nhận tài khoản đã bị xâm phạm và gỡ bài viết. Nhưng token vẫn tồn tại trên DEX, và hacker vẫn tiếp tục thu phí giao dịch – mỗi lần mua hoặc bán, một phần nhỏ token được chuyển thẳng vào ví hacker. Đây không phải là một vụ hack đơn thuần; nó là một kịch bản lừa đảo có tính toán.
Phân tích hợp đồng token cho thấy một cơ chế thuế ẩn rất điển hình. Hợp đồng được viết theo chuẩn ERC-20, với một hàm _transfer được override để tính phí 5% cho mỗi giao dịch mua và 10% cho mỗi giao dịch bán. Số phí này được chuyển trực tiếp vào một địa chỉ do chủ hợp đồng kiểm soát – tức hacker. Từ khi triển khai, địa chỉ đó đã nhận được hơn 12 ETH (tương đương khoảng 30.000 USD tại thời điểm viết bài) từ phí giao dịch. Điều quan trọng: hacker không cần rút thanh khoản khỏi pool vì thanh khoản đã bị “khóa” bởi chính cơ chế token – người dùng không thể bán mà không bị trừ phí, và hacker hưởng lợi từ mọi hành động. Tôi đã từng kiểm toán các hợp đồng ICO vào năm 2017 và thấy chính xác kiểu thiết kế này. Khi ấy, một dự án đã mất 5 triệu USD vì lỗi reentrancy; nhưng ở đây, lỗi không phải là kỹ thuật, mà là sự thiếu hiểu biết của người dùng.
Hợp đồng không có backdoor cho phép mint thêm token – nhưng điều đó không cần thiết. Bởi vì hacker đã sở hữu 100% nguồn cung ngay từ đầu, và chỉ việc bơm một phần nhỏ vào pool thanh khoản để tạo ảo giác về thị trường. Khi người mua đổ vào, hacker bán dần token của mình qua các giao dịch nhỏ, đồng thời thu phí từ mỗi lần giao dịch. Đây là một vụ “pump and dump” có kiểm soát, với dòng tiền chảy đều đặn vào ví hacker. Tôi đã theo dõi địa chỉ ví này trên Etherscan (nhánh Robinhood Chain). Sau 24 giờ, nó đã thực hiện hơn 300 giao dịch rút nhỏ, mỗi lần vài trăm USD, đến một sàn CEX trung tâm. Kỹ thuật rửa tiền rất cơ bản: trộn qua một vài ví trung gian rồi nạp lên sàn. Nhưng vụ việc này có một điểm đặc biệt: hacker không hề ẩn mình. Anh ta (hoặc nhóm) dường như muốn chứng minh rằng một hợp đồng đơn giản, không cần backdoor, vẫn có thể hút tiền từ những người tin vào “meme” và “hype”.
Góc nhìn phản trực giác: Nhiều người cho rằng việc hacker không rút thanh khoản là một tín hiệu “tốt” – họ muốn xây dựng cộng đồng lâu dài. Sai lầm. Chính cơ chế thuế mới là vũ khí lợi hại nhất. Nó khiến mọi người nghĩ rằng token có “tokenomics” bền vững, rằng đội ngũ đang khuyến khích nắm giữ. Nhưng thực tế, mỗi lần giao dịch, bạn đang nạp tiền cho hacker. Và vì thanh khoản rất nông, giá token sẽ nhanh chóng giảm về 0 khi dòng tiền mới ngừng chảy. Đây là một “rug pull” phiên bản nâng cao: thay vì kéo thảm một lần, hacker kéo từ từ, từng giọt. Những kẻ đầu cơ mua token này biết rõ rủi ro, nhưng họ hy vọng có thể bán trước khi người khác kịp nhận ra. Trong một thị trường memecoin, FOMO thường mạnh hơn lý trí. Tôi đã chứng kiến điều tương tự trong vụ FTX/Alameda: các trader vẫn mua token FTT ngay cả khi multisig có vấn đề, với hy vọng “lướt sóng”. Kết cục: họ mất tất cả.
Takeaway: Đừng bao giờ tin vào một token chỉ vì nó được quảng bá bởi một tài khoản có ảnh hưởng, dù đó là CEO của một công ty lớn. Hãy kiểm tra hợp đồng, xem xét cơ chế thuế, và đặc biệt là theo dõi địa chỉ ví của người tạo. Nếu token vẫn đang sinh phí cho địa chỉ đó sau nhiều giờ, đó là dấu hiệu rõ ràng của lừa đảo. Trong blockchain, không có bữa trưa miễn phí; chỉ có những kẻ khai thác lòng tham của bạn mà thôi.