Một con số đáng ngờ? Trong 48 giờ qua, một địa chỉ ví đã rút 5.000 ETH khỏi pool thanh khoản chính của giao thức LendViet, gây ra biến động giá 15% trên cặp VNST/ETH. Tôi sẽ theo dõi nó.
Bối cảnh
Giao thức LendViet là một nền tảng cho vay phi tập trung phổ biến tại Việt Nam, với tổng giá trị bị khóa (TVL) ước tính 100 triệu USD vào đầu tuần. Pool thanh khoản chính của nó – pool VNST/ETH – chiếm 40% tổng TVL của giao thức, đóng vai trò trung tâm trong việc cung cấp thanh khoản cho các khoản vay bằng VNST (một stablecoin được neo giá trị theo USD nhưng phát hành bởi một consortium tại Việt Nam). Oracle feed của LendViet sử dụng Chainlink để lấy giá VNST, nhưng có độ trễ 30 phút – một chi tiết mà tôi sẽ quay lại sau.
Sự kiện bắt đầu lúc 14:23 UTC ngày 2 tháng 4 năm 2025, khi một địa chỉ ví (gọi là Wallet A) thực hiện giao dịch rút thanh khoản 5.000 ETH khỏi pool VNST/ETH. Giao dịch này được thực hiện thông qua một hợp đồng thông minh tương tác với LendViet, không phải qua giao diện front-end chính thức. Ngay lập tức, giá VNST trên pool giảm từ 1.02 USD xuống còn 0.87 USD, kích hoạt một loạt các lệnh thanh lý đối với các vị thế vay bằng VNST. Trong vòng 15 phút, hơn 2.000 ETH bị thanh lý, tương đương 4 triệu USD, gây ra hiệu ứng domino khi các vị thế khác cũng bị ảnh hưởng.
Phân tích dữ liệu on-chain
Tôi bắt đầu truy vết Wallet A. Bằng cách sử dụng Dune Analytics, tôi tìm thấy Wallet A được tạo ra 3 tháng trước, với lịch sử giao dịch sạch sẽ – chỉ có 12 giao dịch nhỏ lẻ trước ngày hôm đó. Điều bất thường: Wallet A đã nhận được một khoản tiền lớn từ một địa chỉ ví khác (Wallet B) chỉ 2 giờ trước vụ rút. Wallet B lại có mối liên kết rõ ràng với một nhóm 3 ví (C, D, E) thông qua các giao dịch swap trên Uniswap V3. Cả bốn ví này đều được tài trợ bởi cùng một địa chỉ ví mẹ (Wallet F) – một địa chỉ được biết đến trong cộng đồng là có liên quan đến một quỹ đầu tư mạo hiểm có trụ sở tại Hà Nội, chuyên đầu tư vào các dự án DeFi.
Sử dụng công cụ phân tích đồ thị on-chain, tôi phát hiện Wallet F đã thực hiện một loạt giao dịch swap bất thường trong 72 giờ trước sự kiện: nó bán 1.500 ETH lấy VNST trên các sàn tập trung (CEX) như Binance và OKX, sau đó chuyển VNST đến Wallet B và các ví phụ. Mục đích: tạo ra một vị thế vay VNST lớn trên LendViet, với tài sản thế chấp là ETH. Khi Wallet A rút thanh khoản khiến giá VNST giảm, các vị thế vay VNST của Wallet F (và có thể của các ví liên quan) bị thanh lý, nhưng – và đây là điểm mấu chốt – Wallet F đã đặt một lệnh mua VNST trên một DEX khác với mức giá sàn 0.85 USD, cho phép nó mua lại VNST với giá rẻ trong quá trình thanh lý. Lợi nhuận ước tính từ chiến dịch này: 1,2 triệu USD, dựa trên chênh lệch giá mua và giá bán trung bình.
Tôi kiểm tra thêm các giao dịch thanh lý: 80% các lệnh thanh lý được thực hiện bởi một bot duy nhất (địa chỉ BotX), bot này đã giành được gần như tất cả các khoản thanh lý với mức phí ưu đãi. BotX có mối liên kết với Wallet F thông qua một hợp đồng proxy. Điều này cho thấy Wallet F không chỉ tạo ra sự kiện thanh lý mà còn là người hưởng lợi chính.
Góc nhìn phản trực giác
Nhiều người trong cộng đồng cho rằng đây là một vụ tấn công có chủ đích nhằm làm sụp đổ LendViet. Nhưng dữ liệu kể một câu chuyện khác: đây không phải là một vụ tấn công (attack) mà là một chiến dịch chênh lệch giá (arbitrage) có tổ chức, tận dụng điểm yếu trong cơ chế oracle. Độ trễ 30 phút của Chainlink oracle cho phép Wallet F dự đoán giá VNST sẽ giảm trước khi oracle cập nhật, từ đó đặt lệnh mua trước ở mức giá thấp. Tương quan ở đây không phải là nhân quả: vụ thanh lý hàng loạt không phải là mục tiêu cuối cùng, mà chỉ là phương tiện để kiếm lợi nhuận từ sự chậm trễ của thông tin giá.
Một chi tiết đáng chú ý: LendViet đã công bố vào tháng trước rằng họ đang nâng cấp lên Chainlink mới với độ trễ giảm xuống còn 5 phút, nhưng quá trình nâng cấp bị trì hoãn do vấn đề kỹ thuật. Wallet F dường như đã nắm được thông tin này và chọn thời điểm khai thác trước khi bản nâng cấp có hiệu lực. Điều này đặt ra câu hỏi về tính minh bạch của thông tin nội bộ: ai đó trong nhóm phát triển có thể đã rò rỉ lịch trình nâng cấp?
Kết luận tạm thời
Tuần tới, tôi sẽ theo dõi chặt chẽ các giao dịch của Wallet F và BotX. Nếu chúng tiếp tục di chuyển tiền qua các CEX, khả năng cao đây là một nhóm chuyên nghiệp đang tìm kiếm các cơ hội tương tự trên các giao thức khác. Tôi cũng sẽ kiểm tra xem LendViet có thực hiện bất kỳ biện pháp khắc phục nào không, như tạm dừng oracle hoặc bồi thường cho người dùng bị thanh lý. Sống sót sau cú sốc này quan trọng hơn lợi nhuận: hãy kiểm tra xem pool thanh khoản của bạn có an toàn không trước khi tham gia.
Như một thám tử dữ liệu, tôi sẽ tiếp tục theo dõi.
