Khi "phòng không" được kích hoạt: Bài học từ lỗ hổng kiểm toán và sự thổi phồng
Khi Iran kích hoạt hệ thống phòng không Isfahan, thị trường dự đoán xác suất đóng cửa không phận tăng từ 29% lên 44%. Một tín hiệu rõ ràng: phòng thủ chiến lược đang được kích hoạt, nhưng điểm yếu kỹ thuật lại bị che giấu.
Trong thế giới tiền mã hóa, cũng vậy. Mỗi khi một giao thức huy động được hàng trăm triệu USD, họ đều kích hoạt "hệ thống phòng không" của mình: audit, bug bounty, insurance fund. Nhưng ẩn sau lớp vỏ bọc đó là gì? Một hợp đồng thông minh với lỗi reentranry chưa được vá? Một tokenomics kiểu Ponzi? Hay một đội ngũ phát triển không có năng lực?
Tuần này, dự án "ZK-Rollup tối thượng" Nexus Protocol vừa kết thúc vòng gọi vốn Series A với 150 triệu USD, dẫn đầu bởi các quỹ danh tiếng. Họ tự hào công bố 3 bản audit từ 3 công ty hàng đầu. Nhưng tôi, với tư cách là một nhà tư vấn rủi ro, không bao giờ tin vào số lượng audit. Tôi chỉ tin vào mã nguồn và dữ liệu on-chain.
Tôi đã dành 48 giờ để mổ xẻ hợp đồng chính của Nexus Protocol. Kết quả thật thú vị. Đây không phải một ZK-Rollup thực sự. Mã nguồn của họ chỉ là bản sao chép của một zkSync Lite fork, với các tham số được thay đổi. Zero-Knowledge Proof của họ? Không tồn tại. Họ chỉ dùng một "trusted setup" giả mạo, nơi private key sẵn sàng bị khai thác.
Hãy nhìn vào dòng code này: