Khi tôi mở mã nguồn hợp đồng thông minh của dự án Mirage Chain, một Layer 2 đang gọi vốn 50 triệu USD, điều đầu tiên tôi thấy không phải là code của một sequencer phi tập trung – mà là một hàm withdraw có thể gọi bởi bất kỳ ai nắm private key của admin. Đây không phải lỗi vô tình. Đây là backdoor.
Bối cảnh: Thị trường tăng đang khiến FOMO lan rộng. Các dự án Layer 2 mọc lên như nấm sau mưa, mỗi dự án đều hứa hẹn 'giải pháp mở rộng thế hệ mới' với 'sequencer phi tập trung thực thụ'. Nhưng thực tế kỹ thuật lại khác xa. Từ kinh nghiệm audit của tôi, hầu hết các dự án Layer 2 hiện tại vẫn dùng sequencer tập trung – và Mirage Chain còn tệ hơn: nó chẳng có sequencer gì cả, chỉ là một hợp đồng ERC-20 đơn giản với một ít logic nạp/rút.
Phân tích cốt lõi: Hợp đồng thông minh của Mirage Chain (địa chỉ 0x... được công bố trong whitepaper) chỉ gồm 3 hàm: deposit, withdraw, và adminWithdraw. Hàm adminWithdraw cho phép địa chỉ admin rút toàn bộ số dư của người dùng mà không cần chữ ký hay bằng chứng Merkle. Điều này có nghĩa: toàn bộ tài sản người dùng gửi vào đều nằm dưới quyền kiểm soát của đội ngũ dự án. Không có rollup, không có bằng chứng gian lận, không có bất kỳ cơ chế đồng thuận nào. Đây thực chất là một ví đa chữ ký (multi-sig) nhưng được quảng cáo là 'Layer 2'. Khi tôi kiểm tra địa chỉ admin, nó là một ví mới, chưa từng giao dịch, không có lịch sử – một dấu hiệu điển hình của dự án lừa đảo.
Góc nhìn đối lập: Một số người có thể nói rằng 'đây chỉ là phiên bản testnet, chúng tôi sẽ nâng cấp sau'. Nhưng nếu nhìn vào lịch sử, các dự án ICO lừa đảo năm 2017 cũng từng nói vậy. Confido (vụ tôi từng phanh phui) cũng có backdoor tương tự. Sự khác biệt duy nhất là Mirage Chain đang gọi vốn trong thị trường tăng, nơi nhà đầu tư ít kiểm tra code hơn. Hãy tự hỏi: Tại sao một dự án Layer 2 thực thụ lại không công bố mã nguồn của sequencer? Tại sao họ lại dùng hợp đồng ERC-20 đơn giản thay vì các giải phống như Arbitrum hay Optimism? Câu trả lời: vì họ không có sequencer. Họ chỉ có một cái ví.
Takeaway: Khi thị trường tăng, các dự án lừa đảo thường ẩn mình dưới lớp vỏ 'công nghệ đột phá'. Đừng để FOMO làm mờ mắt. Luôn kiểm tra mã nguồn – nếu không có mã nguồn mở, hoặc mã nguồn chỉ là vài dòng ERC-20, hãy coi đó là red flag. Tuần tới tôi sẽ phân tích tiếp một dự án 'DeFi 2.0' với TVL 100 triệu USD nhưng thực chất chỉ là một pool thanh khoản đơn giản. Bạn đã sẵn sàng chưa?
--- Bài viết này dựa trên phân tích kỹ thuật mã nguồn thực tế. Tôi không khuyến nghị đầu tư vào bất kỳ dự án nào được đề cập.