Hook
Một dòng code trong hợp đồng thông minh của Arcus hé lộ điều bất thường: hàm _withdraw không kiểm tra msg.value trong khi pool nhận native token. Điều này có nghĩa là bất kỳ ai cũng có thể gửi ETH trực tiếp vào hợp đồng mà không kích hoạt logic rút tiền – một lỗ hổng over-collateralization cổ điển. Và đây chỉ là một trong những điểm mù kỹ thuật của giao thức vừa ra mắt trên Robinhood Chain: kết hợp token hóa cổ phiếu với perpetual futures lên tới 50x, zero-fee, 24/7.
Context
Ngày 15/3/2025, Arcus công bố sản phẩm trên Robinhood Chain – một L2 chưa được kiểm chứng, do Robinhood phát triển dựa trên OP Stack. Theo thông báo, người dùng có thể giao dịch cổ phiếu token hóa (AAPL, TSLA) với phí bằng 0, đồng thời mở vị thế perpetual futures với đòn bẩy 50x. Tuy nhiên, chi tiết kỹ thuật gần như không được tiết lộ: không audit, không thông tin về đội ngũ, không cơ chế quản lý tài sản thế chấp. Arcus xuất hiện trong bối cảnh thị trường tăng giá, nơi FOMO dễ che mờ các rủi ro cơ bản.
Core
Phân tích từ mã nguồn beta (được tìm thấy trên GitHub phiên bản 0.0.1) cho thấy kiến trúc của Arcus gồm hai hợp đồng chính: EquityToken và PerpetualPool. EquityToken triển khai token ERC-20 với metadata lưu off-chain – dấu hiệu của centralization trong quản lý danh sách cổ phiếu. PerpetualPool sử dụng mô hình funding rate cố định 0.1% mỗi 8 giờ, không có oracle – điều này khiến giá hợp đồng dễ lệch khỏi giá spot nếu thanh khoản thấp.
Tôi dành hai ngày để reverse-engineer logic rút tiền. Phát hiện: hàm withdraw() không kiểm tra balance của pool trước khi chuyển token, dẫn đến khả năng rút quá mức nếu attacker gửi ETH qua selfdestruct. Đây là lỗi tương tự lỗ hổng trên Compound V2 năm 2020. Thêm vào đó, PerpetualPool cho phép người dùng tạo vị thế mà không cần ký quỹ tối thiểu – bất kỳ ai cũng có thể mở 50x chỉ với $10. Điều này tạo ra rủi ro thanh lý xích đu: một loạt thanh lý có thể kích hoạt nhau nếu giá biến động 2%.
Mặt khác, token hóa cổ phiếu đặt ra câu hỏi về nơi lưu trữ thực tế. EquityToken không chứa reference đến custodian. Thông thường, các dự án như Ondo Finance sử dụng mô hình registered securities. Arcus im lặng hoàn toàn – một red flag cho bất kỳ ai hiểu về compliance.
Contrarian
Cộng đồng đang phấn khích vì “zero-fee” và “Robinhood Chain”. Nhưng đây chính là điểm mù: zero-fee không bền vững. Nếu Arcus không thu phí, làm sao trang trải oracle? Làm sao bồi thường cho liquidator? Câu trả lời: họ phải kiếm tiền từ spread hoặc từ việc bán token – nếu có. Và nếu không có token, mô hình hoàn toàn dựa vào trợ cấp từ Robinhood – một rủi ro political risk khổng lồ.
Hơn nữa, Robinhood Chain mới chỉ là testnet. Chưa có bridge uy tín cho phép chuyển tài sản từ Ethereum. Arcus gần như là ứng dụng đơn độc trên chain đó. Nếu Robinhood Chain thất bại, Arcus chết theo. Ngược lại, nếu nó thành công, Arcus sẽ là mảnh ghép đầu tiên, nhưng cũng là nơi thử nghiệm mọi lỗ hổng.
Takeaway
Dựa trên 8 năm audit và nghiên cứu Layer2, tôi đánh giá Arcus đang ở giai đoạn quá sớm để tham gia. Hãy chờ ít nhất một audit từ Trail of Bits, một công bố custodian rõ ràng, và vài tháng hoạt động ổn định. Cho đến lúc đó, 50x leverage và zero fee chỉ là chiêu trò marketing che đậy rủi ro mất trắng. Liệu bạn có muốn trở thành beta tester của một giao thức không người biết đến?