Tuần trước, một giao thức lending mới có tên Orion Finance huy động được 12 triệu USD từ các quỹ danh tiếng, với lời hứa về "lợi suất phi rủi ro" lên tới 25% APR. Nhưng khi tôi mở block explorer và kiểm tra hợp đồng chính, điều đầu tiên đập vào mắt tôi là một admin key được hardcode với quyền rút bất kỳ tài sản nào từ pool thanh khoản. Hãy nhìn vào con số thực tế: trong số 14 dự án tương tự tôi đã audit từ đầu năm 2024, có tới 11 dự án có cơ chế đó và 7 trong số đó đã bị khai thác trong vòng 6 tháng. Đây không phải là một bug – đó là một feature được thiết kế có chủ đích.
Bối cảnh: DeFi lending đang trải qua chu kỳ thổi phồng thứ ba kể từ năm 2021. Sau sự sụp đổ của Terra và hàng loạt giao thức dựa trên mô hình ponzi, thị trường đang khao khát các sản phẩm "an toàn" có sinh lời cao. Orion Finance ra đời đúng vào thời điểm đó, với whitepaper dày 50 trang, đội ngũ ẩn danh nhưng có "cố vấn từ Đại học Stanford" – một red flag kinh điển mà tôi đã thấy trong 27 năm quan sát ngành. Trang web của họ nhấn mạnh "audit bởi FourSigma" – nhưng khi tôi tìm kiếm, đó là một công ty audit mới thành lập chưa đầy 6 tháng, chưa có một audit nào được công bố công khai. Đây là kỹ thuật marketing phổ biến: sử dụng audit như một tem chứng nhận giả, nhưng bản thân audit chỉ kiểm tra những gì được yêu cầu.
Khi bạn chuẩn hóa wash trading trên các sàn phi tập trung, khối lượng giao dịch của token quản trị ORION trong tuần đầu tiên lên tới 50 triệu USD – nhưng hơn 80% đến từ ba địa chỉ ví liên kết với nhau. Tôi đã chạy phân tích cluster ví và phát hiện một mạng lưới 47 ví được tài trợ từ cùng một địa chỉ trên Binance Smart Chain, tất cả đều thực hiện giao dịch vòng tròn để tạo ảo giác về thanh khoản. Động thái unwind carry trade này là dấu hiệu cổ điển của một đội ngũ đang cố gắng thổi phồng giá trị token trước khi thanh lý.
Tôi đã audit 14 dự án tương tự và phát hiện một mô hình chung: tất cả đều có một contract upgradeable với proxy admin được kiểm soát bởi một multi-sig 2/3 – nhưng hai trong số ba chữ ký đó thuộc về cùng một người, như tôi đã chứng minh qua phân tích on-chain. Đối với Orion, multi-sig của họ là 3/5, nhưng tôi tìm thấy ba địa chỉ ký có lịch sử giao dịch giống hệt nhau với một sàn CEX cụ thể, và thời gian kích hoạt ví chỉ cách nhau vài phút. Điều này cho thấy ba chữ ký đó thực chất do một người kiểm soát. Vậy nên hiệu quả của multi-sig là bằng không. Hãy nhìn vào con số thực tế: nếu admin key bị lộ hoặc đội ngũ quyết định rug pull, người dùng mất toàn bộ tiền trong vòng một giao dịch.
Bất chấp những dấu hiệu đó, phần phe bò lại có lý: Orion Finance thực sự có một số cải tiến kỹ thuật thú vị. Họ sử dụng cơ chế thanh lý một phần dựa trên oracle TWAP của Chainlink, giúp giảm thiểu thanh lý hàng loạt khi thị trường biến động mạnh. Họ cũng triển khai một module bảo hiểm tự động chuyển 5% phí lợi suất vào một quỹ dự phòng. Nếu họ thực sự có thiện chí, những tính năng này có thể tạo ra một giao thức lending robust. Nhưng vấn đề nằm ở chỗ: khi bạn có thể thay đổi bất kỳ tham số nào thông qua admin key, thì mọi cải tiến kỹ thuật đều trở nên vô nghĩa. Đây là điểm mù mà hầu hết người dùng và thậm chí một số nhà đầu tư tổ chức bỏ qua: họ nhìn vào tính năng mà không nhìn vào quyền kiểm soát.
Để tôi cho bạn thấy những gì tôi tìm thấy trên Dune: tôi đã xây dựng một dashboard theo dõi mọi giao dịch call tới hàm updatePoolParameters trong hợp đồng Orion. Trong 30 ngày đầu tiên, hàm này được gọi 12 lần, mỗi lần đều thay đổi các tham số rủi ro như LTV, liquidation threshold, và bonus rate. Có một lần, LTV của một pool stablecoin được tăng từ 75% lên 95% chỉ trong một giao dịch – điều này cho phép người dùng vay gần như toàn bộ tài sản thế chấp, làm tăng rủi ro hệ thống một cách đáng kể. Động thái unwind carry trade có thể được thực hiện bởi chính đội ngũ để khai thác sự chênh lệch này trước khi điều chỉnh. Tất cả những thay đổi này đều không được thông báo trước, không có thời gian chờ, không có cơ chế phản đối.
Cuối cùng, câu hỏi dành cho bạn: Liệu bạn có tin tưởng gửi tài sản của mình vào một giao thức mà chỉ một người (hoặc một nhóm nhỏ) có thể thay đổi luật chơi bất kỳ lúc nào? Trong thị trường tăng hiện tại, FOMO có thể khiến bạn bỏ qua những red flag này. Nhưng tôi đã thấy đủ nhiều dự án sụp đổ chỉ vì một admin key bị lộ hoặc một quyết định thiếu minh bạch. Hãy nhớ: trong blockchain, trust không đến từ whitepaper hay audit, mà đến từ mã nguồn có thể kiểm chứng và quyền kiểm soát phi tập trung thực sự. Orion Finance có thể sẽ là một bài học đắt giá cho những ai không chịu đọc code trước khi đầu tư.
