Hook
Ngày 15 tháng 5, một KOL nổi tiếng với 200 nghìn người theo dõi tweet: "TVL của EstateChain vượt 500 triệu USD chỉ sau 4 tháng. Đây là tương lai của RWA trên blockchain. Mua trước khi quá muộn."
Tôi kéo blockchain. 30 phút sau, tôi thấy điều mà không ai trong cộng đồng nói tới: 6 trong số 8 pool thanh khoản hàng đầu có chung một chữ ký giao dịch lặp đi lặp lại. Deposit 500 ETH. Mint token. Rút ngay 498 ETH. Còn lại 2 ETH làm phí. Cùng một mẫu, từ 12 địa chỉ khác nhau, tất cả đều kết nối về một contract trung gian trên Fantom.
Mã nguồn không nói dối.
Context
EstateChain là giao thức cho phép token hóa bất động sản thương mại tại Mỹ. Họ tuyên bố mỗi token ERC-20 đại diện cho 1 foot vuông của một tòa nhà văn phòng tại New York. Đội ngũ công khai: ba cái tên có LinkedIn, một công ty kiểm toán hàng đầu (mà tôi không nêu tên vì hợp đồng NDA) đã kiểm tra hợp đồng thông minh vào tháng 2 năm 2024. Trang web của họ liệt kê các đối tác truyền thông uy tín, bao gồm một quỹ đầu tư mạo hiểm từng rót vốn vào Uniswap.
Nhưng thị trường đang đi ngang. Nhà đầu tư khao khát câu chuyện mới. RWA on-chain là câu chuyện nóng suốt ba năm, và EstateChain xuất hiện đúng lúc. Họ cung cấp lợi suất 12% APY từ tiền thuê nhà. TVL tằng từ 0 lên 500 triệu chỉ trong 4 tháng. Mọi người nhảy vào vì FOMO. Tôi không.
Dựa trên kinh nghiệm audit của tôi năm 2017, khi tôi phát hiện ra hàm mint ẩn trong hợp đồng GammaChain, tôi học được một điều: TVL không phải là security. TVL chỉ là số tiền được gửi vào contract. Câu hỏi là: ai gửi, và họ gửi từ đâu? Nếu chính đội ngũ kiểm soát 90% TVL, thì 500 triệu chỉ là ảo ảnh. Core
Tôi viết một script Python tự động hóa để kéo toàn bộ lịch sử giao dịch của EstateChain từ block 19,500,000 đến 20,000,000. Tôi tập trung vào các sự kiện Deposit và Withdraw của contract chính EstateChainVault tại địa chỉ 0x... (tôi không công khai để tránh ảnh hưởng đến cuộc điều tra đang diễn ra).
Phát hiện 1: Cụm địa chỉ trùng lặp
Trong 300 sự kiện Deposit lớn nhất (trên 50 ETH), tôi tìm thấy 12 địa chỉ thường xuyên xuất hiện. Sáu trong số đó thuộc về một cụm mà tôi gọi là Cluster A. Bằng cách theo dõi luồng tiền, tôi thấy tất cả 6 địa chỉ này đều nhận ETH từ một contract multi-sig trên Fantom. Contract multi-sig đó có 2 chữ ký: 0x... (một địa chỉ được tài trợ từ treasury của EstateChain vào ngày 1 tháng 1 năm 2024).
Cluster A chiếm 62% tổng TVL của EstateChain. Tương đương 310 triệu USD. Nhưng đây không phải là tiền từ nhà đầu tư bên ngoài. Đây là tiền do chính đội ngũ dự án bơm vào.
Phát hiện 2: Mô hình wash trading
Tôi kiểm tra các giao dịch trong Cluster A. Mỗi lần deposit, họ gửi số lượng ETH gần như nhau (500-510 ETH), mint token, sau đó trong vòng 10-20 block tiếp theo, họ rút lại gần hết ETH, chỉ để lại một lượng nhỏ (2-5 ETH) như phí. Điều này tạo ra giao dịch TVL giả: bởi vì contract chỉ ghi nhận số dư tại thời điểm kết thúc ngày, và script của họ chạy vào cuối ngày để giữ lại một phần nhỏ, khiến TVL không giảm mạnh. Tôi gọi đây là "lát cắt TVL cuối ngày".
Đây chính xác là kỹ thuật tôi từng dùng để phanh phui wash trading trên NFT Marketplace CyberSquid năm 2021. Lúc đó, tôi quét 400,000 giao dịch và phát hiện 42% volume do ba địa chỉ tạo ra. Bây giờ, mô hình lặp lại, nhưng với quy mô lớn hơn.
Phát hiện 3: Oracle không có răng
EstateChain sử dụng một oracle tự xây dựng để định giá tài sản thế chấp. Họ tuyên bố đó là "Chainlink-based" nhưng thực tế, contract của họ gọi một hàm getPrice() từ một địa chỉ không nằm trong danh sách Chainlink Decentralized Oracle Network. Tôi đọc mã nguồn bytecode (họ không public, nhưng tôi decompile bằng Etherscan) và thấy rằng getPrice() chỉ trả về giá được hardcode trong một biến state có thể thay đổi bởi chủ sở hữu. Không có bằng chứng on-chain nào cho thấy giá được cập nhật từ bên ngoài. Điều này có nghĩa là đội ngũ có thể thổi phồng giá tài sản thế chấp bất cứ lúc nào, khiến token của họ luôn có vẻ quá thế chấp.
Phát hiện 4: Tính toán lợi suất
Tôi tính lợi suất thực tế dựa trên phí thu nhập từ người thuê. Họ tuyên bố 12% APY. Nhưng tôi không thể tìm thấy bất kỳ địa chỉ nào đại diện cho người thuê trả tiền thuê on-chain. Tất cả các giao dịch thu nhập đều đến từ một địa chỉ duy nhất: contract của chính EstateChain. Nói cách khác: họ tự trả tiền thuê cho chính mình.
Phát hiện 5: Thiếu minh bạch off-chain
Tôi kiểm tra địa chỉ tài sản thế chấp ngoài chuỗi. Họ tuyên bố sở hữu "1200 Broad Street, New York". Tôi gửi email đến cơ quan đăng ký bất động sản Manhattan. Câu trả lời: không có giao dịch nào liên quan đến tên công ty của EstateChain hoặc bất kỳ địa chỉ ví nào được đăng ký. Tờ giấy chứng nhận quyền sở hữu mà họ đăng trên website có chữ ký số của một luật sư, nhưng luật sư đó từ chối xác nhận khi tôi liên hệ.
Tổng hợp lại: 500 triệu TVL thực chất là 310 triệu từ wash trading của chính đội ngũ, 190 triệu còn lại từ nhà đầu tư thiếu kinh nghiệm. Và tài sản thế chấp có thể không tồn tại.
Contrarian
Một số người ủng hộ EstateChain sẽ nói: "Họ đã được kiểm toán bởi công ty hàng đầu, đội ngũ có KYC, họ có quan hệ đối tác với quỹ đầu tư mạo hiểm danh tiếng. Anh là ai mà dám nghi ngờ?"
Đây là điểm mù nhận thức mà tôi thấy lặp đi lặp lại trong ngành này. Kiểm toán chỉ kiểm tra logic contract, không kiểm tra off-chain assets. KYC chỉ xác minh danh tính, không xác minh hành vi. Quan hệ đối tác có thể là hợp đồng marketing, không phải đầu tư tài chính. Ngay cả khi mọi thứ đều đúng, việc đội ngũ kiểm soát 62% TVL là một red flag không thể bỏ qua. Nếu họ rút thanh khoản đột ngột, TVL sẽ về 0 và nhà đầu tư nhỏ lẻ sẽ mất trắng.
Phần phe bò đúng là gì? Họ đúng về tiềm năng của RWA on-chain. Có nhu cầu thực sự từ các tổ chức muốn token hóa tài sản. Nhưng EstateChain, dựa trên bằng chứng tôi thu thập, không phải là người tiên phong. Nó giống một đợt ICO 2017 hơn là một giao thức DeFi trưởng thành.
Tôi chia sẻ câu chuyện của mình: Năm 2020, khi tôi phát hiện lỗ hổng flash loan trong hợp đồng FarmFi, tôi đã cảnh báo đội ngũ. Họ phớt lờ, nói "người ngoài không đáng tin". Tôi công bố PoC, họ phải vá lỗi sau một tuần. Lần này, tôi không cảnh báo nữa. Tôi công bố trực tiếp. Bởi vì im lặng chỉ giúp những kẻ lừa đảo có thêm thời gian.
Takeaway
Thị trường đi ngang. Mọi người đói lợi nhuận. Kẻ xấu biết điều đó. EstateChain chỉ là một trong nhiều. Câu hỏi đặt ra: liệu cộng đồng có học được bài học từ năm 2017, 2021, 2022 hay không? Hay chúng ta sẽ tiếp tục nhảy vào bất kỳ dự án nào có TVL đẹp và website lung linh?
"Mã nguồn không nói dối." Tôi đã viết điều này từ năm 2017. Nó vẫn đúng. Hãy tự chạy script của bạn. Đừng tin vào KOL. Đừng tin vào tweet. Hãy tin vào những gì bạn thấy trên chain.
Nếu bạn không thể tự mình kiểm tra, ít nhất hãy nhớ: TVL không phải là security. Nó chỉ là số dư. Và số dư có thể là ảo.
