Bảy ngày. Đó là khoảng thời gian một giao thức lending trên Arbitrum mất 40% tổng thanh khoản LP. Không có tin tức. Không có hack. Không có exploit. Chỉ có một dòng giao dịch âm thầm kéo dài, mỗi ngày rút ra 500-800 ETH từ pool có TVL 12 triệu USD. Tôi đã nhìn thấy pattern này ba lần trong sự nghiệp. Mỗi lần đều kết thúc bằng một cuộc rug pull có tổ chức.
Context: Giao thức tôi đang nói đến là YieldNode, một nền tảng yield aggregator ra mắt tháng 1 năm nay, huy động được 4.5 triệu USD từ các quỹ nhỏ và IDO trên Arbitrum. Họ tuyên bố dùng chiến lược delta-neutral farming trên GMX và GLP, với APR ổn định 18-22%. Đội ngũ ẩn danh, nhưng được audit bởi một công ty audit cấp hai tên là SecureBlock (chưa từng nghe đến?). Hợp đồng thông minh đã được xác minh trên Etherscan, mã nguồn mở. Mọi thứ nhìn có vẻ chuẩn chỉnh.
Nhưng on-chain không bao giờ nói dối. Tôi bắt đầu theo dõi YieldNode từ ngày 15/5, sau khi một người theo dõi tweet rằng APR của họ đột nhiên giảm từ 20% xuống 12%. Sự sụt giảm APR bất thường thường là dấu hiệu đầu tiên: hoặc pool đang mất thanh khoản nhanh, hoặc chiến lược không còn hiệu quả. Tôi mở Dune Analytics và bắt đầu trace 7 ngày giao dịch.
Core: Kết quả khiến tôi giật mình. Trong 7 ngày qua, có 3 địa chỉ ví mới (0x1a2B...c3d4, 0x5e6F...g7h8, 0x9i0J...k1l2) đã rút tổng cộng 3,200 ETH khỏi pool chính của YieldNode. Cả ba ví này đều được tài trợ bởi cùng một địa chỉ nguồn trên Binance Smart Chain – một ví có lịch sử giao dịch với Tornado Cash vào tháng 2 năm nay. Pattern rút tiền rất tinh vi: không rút một lần lớn, mà chia thành 40-50 giao dịch nhỏ mỗi ngày, xen kẽ với các giao dịch deposit giả để che giấu dòng chảy ròng. Đây là kỹ thuật wash-withdrawal điển hình của insider rug pull.
Tôi phân tích sâu hơn hợp đồng thông minh của YieldNode. Hàm withdraw() có một lỗ hổng thú vị: nó cho phép người dùng rút tiền gốc mà không cần kiểm tra tỷ lệ phần thưởng đã claim. Thông thường, khi rút, hợp đồng sẽ tính lại số phần thưởng chưa claim và trừ đi. Nhưng ở đây, hàm _claimRewards() được gọi sau khi chuyển token gốc, và nếu người dùng là owner của pool, nó sẽ bỏ qua bước kiểm tra hoàn toàn. Ai là owner? Một địa chỉ multisig với 2/3 chữ ký – và hai trong số ba signer là các ví ẩn danh đã rút tiền.
Contrarian: Nhưng phe bò sẽ nói: đây chỉ là sự điều chỉnh chiến lược, các quỹ lớn đang tái phân bổ vốn. Và họ đúng một phần. Thực tế, trong cùng 7 ngày, có một quỹ đầu tư mạo hiểm (có tên) đã deposit 1,200 USDC vào pool – họ không hề biết về dòng chảy ngầm. Điểm mù ở đây là: thị trường đi ngang khiến mọi người dễ bỏ qua các tín hiệu rút tiền nhỏ lẻ, vì họ nghĩ đó là hành vi bình thường. Tôi đã thấy điều này xảy ra với dự án Saffron Finance năm 2021: họ mất 60% TVL trong 2 tuần trước khi sụp đổ, và cộng đồng vẫn tin vào “điều chỉnh chiến lược”. Sự thật là, nếu bạn thấy 3 ví mới rút đều đặn mỗi ngày từ pool có owner ẩn danh, hãy coi đó là dấu hiệu đỏ cấp độ 10.
Takeaway: Tôi không nói YieldNode sẽ rug. Tôi chỉ nói rằng on-chain cho thấy một kịch bản rug pull cổ điển đang được dàn dựng. Nếu bạn đang có LP trong YieldNode, hãy rút ngay bây giờ. Nếu bạn cho rằng tôi sai, hãy tự mình trace 3 địa chỉ đó trên Arbiscan. Và hãy nhớ: một giao thức DeFi mất 40% LP trong 7 ngày không phải là “điều chỉnh” – đó là một cuộc di tản có tổ chức.