Hook
Một giao thức lending bản địa Việt Nam, “VietLend”, vừa ghi nhận 12 triệu USD thanh lý trong 72 giờ qua. Trên Etherscan, một địa chỉ ví không xác định đã rút 2.000 ETH từ pool thanh khoản USDT/VNDC của họ chỉ 3 phút trước khi sự kiện xảy ra. Tôi lập tức mở mã nguồn của hợp đồng thông minh “unsiV3” của họ — 8 file, 1.400 dòng Solidity. Có điều gì đó không ổn.
Context
Thị trường DeFi Việt Nam năm 2026 đang trải qua một giai đoạn kỳ lạ: khối lượng giao dịch stablecoin (USDT, USDC, VNDC) tăng 35% so với quý trước, nhưng số lượng pool thanh khoản trên các sàn DEX như Uniswap V3 Fork (UniViệt) lại giảm 12%. Người dùng Việt đổ xô vào “farming” lợi suất cao — 15–25% APR trên các giao thức mới như “SaigonYield” hay “Mekong DeFi”. Họ không hề biết rằng hầu hết các giao thức này đều sử dụng mã nguồn fork từ dự án nước ngoài, với những lỗ hổng chưa được vá.
Theo dữ liệu từ DefiLlama, thanh khoản ròng trên các giao thức DeFi có nguồn gốc Việt Nam đã giảm 8% trong 30 ngày, trong khi tỷ lệ sử dụng đòn bẩy (LTV) trung bình ở các pool cho vay lại tăng lên 72%. Đây là một tín hiệu đỏ cổ điển: mọi người đang vay quá nhiều so với tài sản thế chấp, nhưng phần thưởng hấp dẫn đã làm họ mù quáng.
Dựa trên kinh nghiệm audit 18 năm của tôi, tôi biết rằng trong một thị trường giảm, thanh khoản giả tạo là cái bẫy chết người nhất. Các dự án fork thường không kiểm tra kỹ logic thanh lý, dẫn đến việc kẻ tấn công có thể thao túng oracle giá hoặc khai thác reentrancy. Và đó chính xác là những gì tôi đang thấy trong mã nguồn của VietLend.
Core
Tôi mở file “Vault.sol” — hợp đồng quản lý pool cho vay. Điều đầu tiên tôi chú ý là hàm liquidatePosition():
function liquidatePosition(address _borrower) external {
require(block.timestamp > positions[_borrower].liquidationTime);
positions[_borrower].collateral = 0;
// Gửi tài sản thế chấp cho người thanh lý
IERC20(collateralToken).safeTransfer(msg.sender, positions[_borrower].collateralAmount);
positions[_borrower].collateralAmount = 0;
}Nhìn qua có vẻ ổn. Nhưng hãy nhìn kỹ: liquidationTime được cập nhật khi nào? Tôi tìm thấy ở hàm borrow() — nó được set là block.timestamp + 7 days. Điều này có nghĩa là bất kỳ ai cũng có thể thanh lý bất kỳ vị trí nào chỉ cần 7 ngày trôi qua, bất kể giá tài sản thế chấp có giảm hay không. Đây là một lỗ hổng reentrancy cổ điển, nhưng được ngụy trang thành logic “bảo vệ thanh khoản”. Kẻ tấn công chỉ cần:
- Gửi tài sản thế chấp tối thiểu.
- Vay nhiều stablecoin nhất có thể.
- Chờ 7 ngày.
- Đứng dưới tư cách
msg.sendervà gọiliquidatePosition()của chính mình, nhận lại toàn bộ tài sản thế chấp.
Trong trường hợp này, kẻ tấn công đã sử dụng 500 ETH làm thế chấp, vay 1.000.000 USDT, và sau 7 ngày, đã rút cả gốc lẫn lãi. Tổng thiệt hại: 12 triệu USD — chính xác như báo cáo.
Tôi quay sang phân tích dòng tiền. Hợp đồng không có bất kỳ cơ chế dừng khẩn cấp (pause mechanism) hay kiểm tra thanh khoản tối thiểu (minimum liquidity check). Đây là một trade-off giữa tốc độ fork và bảo mật, một vấn đề kinh điển trong cộng đồng DeFi Việt Nam. Nhiều dự án vội vàng ra mắt để bắt kịp cơn sốt, bỏ qua audit hoặc chỉ thuê audit giá rẻ. Kết quả là người dùng — thường không có kiến thức kỹ thuật — mất trắng.
Tôi mở một file khác: “Oracle.sol”. Nó sử dụng Uniswap V3 TWAP oracle, nhưng có một dòng code đáng ngờ:
uint256 price = IOraclePool(pool).observe(secondsAgo);
if (price == 0) {
price = IOraclePool(backupPool).observe(secondsAgo);
}Không có kiểm tra require(price > 0) sau backupPool. Nếu cả hai pool đều không hoạt động (ví dụ: do thanh khoản thấp vào cuối tuần), price sẽ bằng 0, và giao thức sẽ cho phép vay với giá 0 — tức là vay không cần thế chấp. Đây là một lỗ hổng oracle nghiêm trọng. Tôi đã thấy lỗi tương tự trong audit của dự án “SmartAI” năm 2024, nhưng ở đó tôi đã phát hiện và sửa kịp thời.
Nhưng điều làm tôi lo lắng hơn cả là sự thiếu minh bạch. VietLend không công bố audit report. Họ chỉ có một bài blog kỹ thuật dài 2 trang giải thích “tại sao chúng tôi an toàn”. Tôi đã kiểm tra hash của hợp đồng trên Etherscan — nó khác với phiên bản trên GitHub. Có nghĩa là mã triển khai không khớp với mã công khai. Đây là dấu hiệu của phần mềm độc hại (malware) hoặc backdoor được cấy sau audit.
Contrarian
Phần lớn cộng đồng nghĩ rằng vấn đề là do “kẻ tấn công xấu xa” hay “lỗ hổng kỹ thuật”. Nhưng theo tôi, vấn đề cốt lõi là văn hóa đầu tư và thiếu giáo dục bảo mật trong cộng đồng DeFi Việt Nam.
Tôi nhớ năm 2022, khi thị trường suy thoái, tôi thành lập nhóm “Audit Buddy” để audit miễn phí cho 12 dự án nhỏ. Một trong số đó là “Mekong DeFi” — họ đã từ chối sửa lỗi reentrancy vì “chạy tốt trên testnet”. 2 tháng sau, dự án mất 400.000 USD. Người dùng đổ lỗi cho team, nhưng chính họ cũng không hiểu về rủi ro.
Điểm mù lớn nhất của bảo mật DeFi là sự chấp nhận rủi ro một cách mù quáng của người dùng cuối. Họ thấy APR 20%, họ bỏ tiền vào mà không đọc code, không kiểm tra audit, không hiểu về thanh lý. Các dự án biết điều này và khai thác nó. Họ fork mã nguồn nhanh chóng, thêm vài dòng lỗi có chủ ý, và chờ “thanh lý” để kiếm lời.
Trong trường hợp VietLend, tôi tin rằng lỗ hổng là có chủ ý. Ai đó đã cố tình bỏ qua kiểm tra thanh khoản và set liquidationTime quá ngắn để tạo cơ hội cho chính họ hoặc người quen. Đây không phải là một vụ hack ngẫu nhiên — đó là một cuộc tấn công có tổ chức từ bên trong.
Tôi đã gửi báo cáo audit chi tiết (15 trang) cho đội ngũ VietLend 3 ngày trước. Họ trả lời: “Cảm ơn, chúng tôi sẽ xem xét.” Không có hành động. Và bây giờ, 12 triệu USD đã biến mất. Đây là một bài học đau đớn cho cộng đồng: hãy nghi ngờ mọi dự án, đặc biệt là những dự án fork từ mã nguồn không rõ ràng.
Takeaway
Từ góc nhìn của một auditor đã chứng kiến hơn 100 vụ hack trong 18 năm qua, tôi có thể nói rằng: DeFi Việt Nam 2026 không thiếu cơ hội, nhưng đang thiếu một lớp bảo vệ cộng đồng thực sự. Người dùng cần tự trang bị kiến thức hoặc chỉ tham gia các giao thức có audit công khai, minh bạch. Các dự án cần hiểu rằng fork nhanh không phải là lợi thế — mà là con dao hai lưỡi.
Câu hỏi tôi để lại cho các bạn: Khi APR 20% hấp dẫn đến mức nào để bạn bỏ qua việc đọc một dòng code kiểm tra thanh khoản? Đối với tôi, câu trả lời luôn là: không bao giờ. Bởi vì trong thế giới DeFi, lòng tin không được xây bằng lời hứa, mà bằng code minh bạch và audit độc lập.
