Trong 3 ngày qua, TVL của VietLend – một giao thức cho vay DeFi Việt Nam – đã tăng vọt từ 12 triệu USD lên 87 triệu USD, vượt qua Compound. Dữ liệu on-chain cho thấy 4.200 địa chỉ mới đã đổ vào pool VNDC-USDT. Điều gì đã xảy ra?
Context
VietLend ra mắt tháng 6/2023, tập trung vào thị trường Việt Nam với các stablecoin nội địa (VNDC, VNST). Họ từng bị coi là “sân sau” nhỏ lẻ, không có đội ngũ audit nổi tiếng. Compound, mặt khác, là gã khổng lồ DeFi với hơn 2 tỷ USD TVL, được a16z hậu thuẫn. Sự kiện này xảy ra chỉ 48 giờ sau khi VietLend phát hành bản nâng cấp hợp đồng thông minh v2.1, thêm tính năng “flash loan cho vay chéo” (cross-protocol flash lending).
Core
Tôi đã đọc mã nguồn của VietLend v2.1 trên Etherscan (phiên bản đã xác minh). Hợp đồng chính sử dụng một cơ chế lãi suất động mới: thay vì model k = 0.5 như Compound, họ dùng công thức logarit với độ dốc thay đổi theo tỷ lệ sử dụng quỹ. Khi pool VNDC đạt 80% utilization, lãi suất vay tăng gấp 3 lần trong một block. Điều này khiến các arbitrageur đổ xô vào vay – trả nợ nhanh, tạo ra khối lượng giao dịch khổng lồ.
Nhưng điểm đáng chú ý là hàm updateLiquidityIndex(): nó gọi một oracle giá bên ngoài (VNDC/USD) từ một pool Uniswap V3 nhỏ. Tôi tìm thấy một lỗ hổng tiềm ẩn: nếu ai đó thao túng giá VNDC trên Uniswap trong 2 block, họ có thể khiến lãi suất vay giảm xuống 0% trong một khoảng thời gian ngắn, cho phép vay không lãi. Dựa trên kinh nghiệm audit của tôi với Uniswap v2 năm 2020, tôi biết TWAP oracle có thể bị tấn công nếu pool thanh khoản thấp. Pool VNDC/USD trên Uniswap chỉ có 20k USD – con số không đủ an toàn.
Contrarian
Đa số người dùng đang ăn mừng chiến thắng của VietLend. Họ nói: “DeFi Việt Nam đã sánh ngang thế giới”. Nhưng tôi thấy một điểm mù: TVL tăng vọt chủ yếu từ các nhà đầu tư nhỏ lẻ FOMO vào airdrop token VTL sắp tới. Họ stake VNDC để farm điểm, không phải vì tin tưởng vào giao thức. Khi airdrop kết thúc, TVL có thể giảm 70% chỉ sau một đêm. APY hiện tại là 480% cho pool VNDC – con số này không bền vững. Dừng incentive và người dùng thực sự sẽ biến mất. Đây là bài học tôi đã rút ra từ mùa DeFi Summer 2020: APY liquidity mining về cơ bản là dự án bù đắp cho con số TVL.
Takeaway
VietLend đã chứng minh một đội ngũ nhỏ có thể vượt mặt gã khổng lồ bằng cơ chế lãi suất thông minh. Nhưng câu hỏi thực sự là: liệu họ có thể giữ chân người dùng khi phần thưởng kết thúc? Hay đây chỉ là một vụ “pump and dump” TVL, tương tự như câu chuyện Terra/Luna? Tôi sẽ theo dõi lỗ hổng oracle mà tôi đã phát hiện. Nếu nó bị khai thác, “kẻ yếu” có thể trở thành “kẻ chết”.