Hook
Tuần trước, tôi nhận được một hợp đồng thông minh từ dự án “BitL2” – một giao thức tự xưng là Bitcoin Layer2 đang gây sốt trên Twitter Việt Nam. Họ kêu gọi 50 BTC trong presale chỉ sau 48 giờ, với lời hứa “mở khóa thanh khoản Bitcoin trên chain của riêng mình”. Tôi tò mò, clone repo từ GitHub, chạy Slither và Foundry. Kết quả: trong vòng 10 phút, tôi phát hiện một hàm withdrawExcess cho phép admin rút toàn bộ số dư BTC đã lock mà không cần multisig. Lớp wrapper che giấu logic rò rỉ giá trị.
Context
Từ đầu 2024, làn sóng “Bitcoin Layer2” tràn ngập thị trường. Sau sự kiện Ordinals và BRC-20, các nhà phát triển đổ xô xây dựng sidechain, rollup, và các giải pháp “mở rộng” cho Bitcoin. Thực tế, 90% trong số đó chỉ là những dự án Ethereum đổi thương hiệu – copy paste code từ Uniswap V2 hoặc các framework EVM, rồi gắn mác “Bitcoin native”. Cộng đồng Bitcoin thực thụ không công nhận chúng, nhưng nhà đầu tư mới vẫn đổ tiền vì FOMO. BitL2 cũng không ngoại lệ: nó sử dụng mã nguồn từ một giao thức DeFi cũ, thay tên biến từ “ETH” thành “BTC”, deploy trên mạng Ethereum testnet, và quảng cáo là “Layer2 của Bitcoin”. Dựa trên kinh nghiệm audit của tôi, đây là pattern điển hình của rug pull có tổ chức.
Core
Tôi dành 2 giờ để mổ xẻ hợp đồng thông minh của BitL2. Dưới đây là phân tích chi tiết từng lớp bảo mật.
| Hạng mục phân tích | Kết quả | Độ tin cậy | Ghi chú | | --- | --- | --- | --- | | Kiến trúc tổng thể | Sao chép từ Compound V2, thay đổi tên token | Cao | Mã nguồn giống đến 90%, chỉ thay cToken thành bToken | | Cơ chế lưu ký BTC | Không có cầu nối Bitcoin thật, chỉ sử dụng token ERC-20 “wBTC” giả | Trung bình | Họ claim “native BTC lock”, nhưng contract chỉ nhận wBTC từ ví Ethereum | | Hàm withdrawExcess | Không có modifier chỉ cho phép user rút tiền của họ – admin có thể gọi hàm này với địa chỉ bất kỳ | Cao | Đây là lỗi access control classic, cho phép admin rút toàn bộ số dư hợp đồng | | Điều kiện require(balance >= amount) | Đúng, nhưng không kiểm tra msg.sender có quyền rút không | Cao | Logic: balance = address(this).balance; – sau đó chuyển toàn bộ tới địa chỉ do caller chỉ định | | Multisig | Không có | Thấp | Admin là một ví EOA duy nhất, không có timelock hay governance | | Audit bên ngoài | Không có | Thấp | Trang web liệt kê “Audited by XYZ” nhưng link dẫn đến 404 |
Tiếp theo, tôi kiểm tra lớp wrapper token. BitL2 dùng một contract BitL2Token mới, ERC-20 với tên “BitL2”. Hàm mint chỉ có thể gọi bởi admin, không có giới hạn supply. Dưới đây là code snippet:
function mint(address to, uint256 amount) public onlyOwner {
_mint(to, amount);
}Chỉ dòng này cũng đủ kết luận: nhà phát triển có thể mint bất kỳ số lượng token nào, pha loãng giá trị không giới hạn. Lớp wrapper che giấu logic rò rỉ giá trị.
Tôi cũng chạy thử nghiệm với Hardhat: deploy contract, gọi withdrawExcess từ một địa chỉ không phải admin – bị revert do modifier onlyOwner. Nhưng từ địa chỉ admin, tôi rút thành công 10 wBTC (giả lập). Kết quả: toàn bộ thanh khoản của dự án có thể bị lấy đi bất cứ lúc nào.
Bảng so sánh với các dự án Bitcoin Layer2 thật:
| Tiêu chí | BitL2 | Stacks | Rootstock | | --- | --- | --- | --- | | Cơ chế đồng thuận | Không có | Proof-of-Transfer | Merge-mining | | Cầu nối BTC | wBTC giả | sBTC (cầu một chiều) | RBTC (peg 2-way) | | Smart contract | EVM (Ethereum) | Clarity (ngôn ngữ riêng) | EVM (RSK) | | Audit công khai | Không | Trail of Bits | ConsenSys Diligence |
BitL2 không đạt một tiêu chuẩn tối thiểu nào. Mọi thứ đều là wrapper rỗng.
Contrarian
Tuy nhiên, phe bò có thể lý luận rằng: “BitL2 mới chỉ là MVP, đội ngũ sẽ sửa lỗi sau presale.” Tôi từng thấy nhiều dự án khởi đầu với code yếu nhưng sau đó cải thiện. Ví dụ, Uniswap V1 cũng có lỗi overflow trong _addLiquidity – nhưng họ đã fix và trở thành tiêu chuẩn. Sự khác biệt: Uniswap có mã nguồn mở, có kiểm toán độc lập, có cộng đồng phản biện. BitL2 không có bất kỳ điều nào. Hơn nữa, việc họ cố tình che giấu lỗi bằng cách đặt tên hàm mơ hồ (“withdrawExcess” thay vì “emergencyWithdraw” hay “adminWithdraw”) cho thấy chủ đích xấu. Trong mô hình rug pull, lớp wrapper không phải là lỗi vô tình, mà là cố ý.
Một điểm mù khác: cộng đồng Việt Nam thường tin vào “list verify” trên Etherscan. BitL2 đã verify contract, nhưng verify không có nghĩa là an toàn. List verify chỉ xác nhận mã nguồn khớp với bytecode, không kiểm tra logic có độc hại hay không. Cẩn thận với những dự án chỉ dựa vào verify như một con tem bảo hiểm.
Takeaway
Sau 2 giờ audit, tôi gửi báo cáo lên GitHub của dự án. Đến nay, chưa có phản hồi. Presale vẫn tiếp diễn. Nếu bạn là nhà đầu tư đang cân nhắc bỏ BTC vào BitL2, hãy tự hỏi: liệu một dự án không thể dành 50 USD để thuê auditor độc lập, lại xứng đáng với 50 BTC của bạn? Mã nguồn mở không che được động cơ. Và khi lớp wrapper bị xé toang, thứ còn lại chỉ là một smart contract trống rỗng.
