Hook
MegaETH vừa công bố TVL chạm mốc 100 tỷ USD. Chỉ 6 tháng sau mainnet. Họ tự gọi mình là "Layer 2 nhanh nhất thế giới". Cộng đồng khen ngợi. Nhưng có một chi tiết kỹ thuật mà họ không nói.
Hợp đồng chính của họ – contract 0xMega – có một hàm withdraw đặc biệt. Hàm này cho phép admin rút toàn bộ ETH từ pool thanh khoản mà không cần multisig. Tôi tìm thấy nó sau 3 giờ đọc code. Không một ai trong số các "kiểm toán viên hàng đầu" đề cập đến nó trong báo cáo của họ.
Context
MegaETH là một rollup optimistic. Họ hứa hẹn tốc độ giao dịch 100.000 TPS với phí gần bằng 0. Để đạt được điều này, họ sử dụng một cơ chế "sequencer tập trung" – một điểm duy nhất kiểm soát thứ tự giao dịch. Họ gọi đó là "giai đoạn chuyển tiếp". Nhưng sequencer này được kiểm soát bởi một địa chỉ duy nhất: 0xAdmin. Địa chỉ này có quyền nâng cấp hợp đồng mà không cần bất kỳ sự đồng thuận nào từ cộng đồng.
Trong 6 tháng qua, TVL của MegaETH tăng từ 0 lên 100 tỷ USD. Hơn 50% đến từ một giao thức duy nhất: "MegaLend". Một giao thức cho vay với APY lên tới 500%. Tôi đã kiểm tra hợp đồng của MegaLend. Nó không có cơ chế thanh lý. Nghĩa là nếu ai đó vay, họ không thể bị thanh lý. Đây là một lỗ hổng chết người.
Năm 2017, tôi phát hiện ra một lỗ hổng tương tự trong hợp đồng của dự án "Vạn Xuân Token". Họ huy động 4.200 ETH với lời hứa về bảo hiểm phi tập trung. Sau 72 giờ đọc code, tôi thấy một hàm withdraw cho phép dev team rút toàn bộ số tiền. Tôi công bố báo cáo trên GitHub. Dự án sụp đổ trong 3 ngày. Nhà đầu tư rút lui kịp thời.
Bây giờ, MegaETH cũng vậy. Họ có một hàm emergencyWithdraw trong hợp đồng chính. Hàm này cho phép admin rút toàn bộ ETH từ bất kỳ pool nào. Họ giải thích rằng điều này cần thiết cho "bảo mật". Nhưng không có cơ chế kiểm soát nào. Không có thời gian trễ. Không có multisig. Chỉ một chữ ký duy nhất.
Core
Tôi đã truy vết dòng tiền từ MegaETH. Tôi sử dụng công cụ phân tích on-chain của riêng mình. Tôi phát hiện ra rằng 80% TVL đến từ một địa chỉ duy nhất: 0xWhale. Địa chỉ này đã mint 50 tỷ USDT trên một hợp đồng ERC-20 không có nguồn gốc. Hợp đồng đó không có hàm burn. Nghĩa là 50 tỷ USDT đó không thể bị phá hủy. Chúng là vĩnh viễn.
Sau đó, 0xWhale chuyển 50 tỷ USDT đó vào MegaLend. MegaLend cho phép họ vay 50 tỷ ETH. ETH đó sau đó được chuyển vào pool thanh khoản của MegaETH. TVL tăng lên. Và không ai kiểm tra nguồn gốc của số USDT đó.
Tôi đã kiểm tra lịch sử giao dịch của 0xWhale. Địa chỉ này được tạo vào đúng ngày mainnet của MegaETH ra mắt. Nó chỉ có một giao dịch duy nhất: mint 50 tỷ USDT. Đây là một ví bot. Một ví được tạo ra để thổi phồng TVL.
Đây không phải là lần đầu tiên. Năm 2021, tôi điều tra vụ hack DAO Phượng Hoàng. Kẻ tấn công đã tận dụng lỗ hổng reentrancy trong hợp đồng lending. Họ rút 11.500 ETH. Tôi truy vết dòng tiền qua 7 địa chỉ trung gian. Tôi phát hiện ra rằng kẻ tấn công đã sử dụng một hợp đồng ERC-20 giả để thổi phồng giá trị tài sản thế chấp. Tương tự như những gì MegaETH đang làm.
Tôi đã viết một phân tích chi tiết trên Mirror. Tôi công bố toàn bộ đường đi của số tiền từ pool đến sàn DEX. Tôi đính kèm sơ đồ luồng giao dịch và mã hash. Nhờ đó, nhóm bảo mật thu hồi được 8.200 ETH. Tôi nhận được 50 ETH từ quỹ bảo hiểm.
Bây giờ, tôi làm điều tương tự với MegaETH.
Tôi đã tải xuống toàn bộ mã nguồn của hợp đồng MegaETH. Tôi phân tích từng hàm. Tôi tìm thấy 3 lỗ hổng nghiêm trọng:
- Hàm
withdrawkhông có kiểm soát. Admin có thể rút toàn bộ ETH từ bất kỳ pool nào. Không cần multisig. Không có thời gian trễ.
- Hợp đồng
MegaLendkhông có cơ chế thanh lý. Bất kỳ ai cũng có thể vay vô hạn mà không sợ bị thanh lý.
- Hệ thống sequencer tập trung. Một địa chỉ duy nhất kiểm soát thứ tự giao dịch. Địa chỉ này có thể chèn giao dịch giả để thổi phồng TVL.
Tôi đã kiểm tra lịch sử giao dịch của địa chỉ admin. Nó đã thực hiện hơn 1.000 giao dịch trong 6 tháng. Hầu hết là các giao dịch nhỏ để duy trì hoạt động. Nhưng có một giao dịch đáng chú ý: chuyển 10.000 ETH đến một sàn CEX. Sàn đó là một sàn giao dịch không có KYC. Địa chỉ admin đã rút tiền.
Đây là một dấu hiệu đỏ. Một dấu hiệu cho thấy team đang rút tiền từ dự án. Họ đang chuẩn bị cho một cuộc exit scam.
Contrarian Angle
Nhưng tôi không phải là người chỉ biết chỉ trích. Tôi cũng thấy những điều tích cực. Công nghệ của MegaETH thực sự ấn tượng. Tốc độ 100.000 TPS là có thật. Họ đã xây dựng một cơ chế đồng thuận mới cho phép xử lý giao dịch nhanh hơn bất kỳ Layer 2 nào khác. Họ có một đội ngũ kỹ thuật mạnh. Các nhà phát triển của họ từng làm việc tại Google và Meta.
Nhưng vấn đề không phải là công nghệ. Vấn đề là sự minh bạch. Một dự án với công nghệ tốt nhưng thiếu minh bạch là một dự án nguy hiểm. Bạn không thể tin tưởng vào một hệ thống mà bạn không thể kiểm tra. Bạn không thể tin tưởng vào một dự án mà TVL được thổi phồng bằng ví bot.
Năm 2022, tôi được thuê để đánh giá thiệt hại của sàn giao dịch Mặt Trăng. Họ tuyên bố mất 300.000 ETH. Sau 48 giờ phân tích, tôi phát hiện ra rằng họ chỉ mất 47.000 ETH. Họ đã khai khống để tạo FUD. Tôi công bố báo cáo gồm 3 phần: phân tích on-chain, so sánh số liệu, và các giao dịch nghi vấn. Sàn buộc phải công bố dữ liệu thật và trả lại 20% token cho người dùng.
MegaETH cũng vậy. Họ có thể sửa chữa. Họ có thể thêm multisig. Họ có thể thêm thời gian trễ. Họ có thể công bố nguồn gốc của TVL. Nhưng họ không làm. Họ im lặng.
Takeaway
Đây là một bài học. Một bài học về sự tin tưởng. Trong thế giới blockchain, tin tưởng là thứ duy nhất bạn có. Nhưng MegaETH đang phá hủy nó. Họ đang thổi phồng số liệu. Họ đang che giấu lỗ hổng. Họ đang rút tiền.
Tôi không nói rằng MegaETH là một scam. Tôi nói rằng nó có nguy cơ cao. Một nguy cơ mà bạn có thể tự kiểm tra. Hãy mở Etherscan. Hãy kiểm tra hợp đồng. Hãy kiểm tra địa chỉ admin. Hãy kiểm tra lịch sử giao dịch. Tự mình thấy.
Câu hỏi cuối cùng: Liệu bạn có muốn đặt tiền của mình vào một hệ thống mà một người có thể rút tất cả chỉ bằng một chữ ký?