Một giao thức vừa mất 40% thanh khoản trong 72 giờ. Điều kỳ lạ: TVL của nó lại tăng 15%. Nghịch lý này chỉ có một lời giải thích — thanh khoản đang được bơm từ cùng một ví.
Context
FarmX là một giao thức yield farming ra mắt tháng 9/2024 trên Arbitrum, hứa hẹn lợi suất 500% APY thông qua cơ chế 'auto-compounding' độc quyền. Trong 3 tháng đầu, nó thu hút hơn $12 triệu TVL, nhờ chiến dịch marketing trên Twitter và các KOL. Đội ngũ dùng danh tính ẩn danh — chỉ có một đồng sáng lập 'Dr. Yield' xuất hiện trong các AMA. Whitepaper mô tả một thuật toán tái cân bằng danh mục đầu tư thông minh, nhưng mã nguồn chưa từng được kiểm toán bởi bên thứ ba.
Core
Tôi mở trình duyệt Etherscan, truy cập hợp đồng chính của FarmX: 0x... (tôi sẽ không công khai địa chỉ để tránh ảnh hưởng). Dòng đầu tiên: pragma solidity ^0.8.0. Một dấu hiệu đỏ: version 0.8.0 có lỗ hổng overflow nổi tiếng. Tôi tiếp tục đọc. Hàm deposit() cho phép người dùng gửi token USDC, nhận lại farmX token. Nhưng không có hàm withdraw() tương ứng. Chỉ có emergencyWithdraw() — một hàm chỉ admin mới gọi được.
Tôi kiểm tra quyền sở hữu. Hợp đồng có một owner address, và nó là một multi-sig 2/3 trên Gnosis Safe. Nhưng 3 chữ ký đó thuộc về ai? Tôi truy vết các giao dịch tạo multi-sig. Kết quả: cả ba địa chỉ đều được tạo từ cùng một địa chỉ funding — một ví Binance nạp tiền từ năm 2022. Không có danh tính thực.
Tiếp theo, tôi phân tích tokenomics. FarmX token có tổng cung 1 tỷ, 60% được mint trực tiếp vào ví của 'Dr. Yield', 30% được phân bổ cho liquidity mining, 10% cho team. Nhưng hợp đồng cho thấy 60% đó không bị khóa — có thể bán ngay. Dữ liệu on-chain xác nhận: trong 2 tuần đầu, 200 triệu farmX đã được dump qua Uniswap, thu về $2.3 triệu USDC.
Tôi còn phát hiện một cơ chế 'rebase' ẩn. Hợp đồng chứa một hàm rebase() chỉ owner có thể gọi, nó cho phép tăng tổng cung mà không cần bất kỳ điều kiện nào. Đây là một backdoor thuần túy. Nếu owner gọi hàm này, số dư của tất cả holder bị pha loãng ngay lập tức.
Contrarian
Nhưng phe bò có thể nói: 'FarmX đã trả lợi nhuận đều đặn trong 3 tháng, không có dấu hiệu rug.' Đúng. Họ đã trả lợi nhuận bằng cách mint token mới và bán ra thị trường. Đó là một Ponzi kinh điển. Lợi suất 500% APY không đến từ yield farming thực — nó đến từ việc in tiền. Khi dòng tiền vào chậm lại, 'Dr. Yield' sẽ kích hoạt backdoor, rút toàn bộ thanh khoản khỏi pool chính, và biến mất. Các nhà đầu tư sớm (bao gồm KOL) đã thoát ra trước khi TVL giảm. Họ là những người duy nhất có lời.
Takeaway
Hợp đồng thông minh của FarmX chỉ là một tấm bia. Hàng trăm dự án yield farming tương tự đang ẩn mình trên các L2, chờ đợi một mùa đông khác để kích hoạt trapdoor. Nhà đầu tư nên tự hỏi: nếu lợi nhuận quá tốt đến mức không tưởng, thì mã nguồn của nó có đáng tin không? Câu trả lời nằm ở dòng emergencyWithdraw — một dòng code có thể xóa sạch tài sản của bạn chỉ trong một block.