Trong 7 ngày, tổng giá trị khóa (TVL) của một giao thức lending trên Solana đã mất 40%. Cộng đồng gọi đó là một vụ hack. Báo chí đăng tin với dòng tít "Lumina Finance bị khai thác 320 triệu USD". Nhưng khi tôi mở trình khám phá block và dò lại từng dòng giao dịch, tôi thấy một câu chuyện hoàn toàn khác. Kẻ đứng sau vụ rút tiền không hề dùng kỹ thuật tấn công phức tạp. Không có một lỗ hổng nào bị khai thác theo nghĩa thông thường. Thứ duy nhất bị khai thác là lòng tin của người dùng. Dấu chân on-chain không biết nói dối. Chúng tôi chỉ cần đọc kỹ từng block là thấy mọi thứ đã an bài từ trước.
Lumina Finance là một giao thức cho vay được xây dựng trên Solana, cho phép người dùng gửi tài sản thế chấp để vay stablecoin với lãi suất linh hoạt. Giao thức này ra mắt vào tháng 6 năm 2024, được rót vốn 12 triệu USD từ một nhóm quỹ đầu tư mạo hiểm tại Singapore. Trong vòng 8 tháng, TVL tăng từ con số 0 lên hơn 800 triệu USD, đưa Lumina trở thành top 5 giao thức DeFi trên Solana. Yếu tố tạo nên sức hút là các pool thanh khoản có đòn bẩy, hứa hẹn APY từ 15% đến 45% tùy mức độ rủi ro. Nhưng có một chi tiết khiến tôi cảnh giác ngay từ đầu: tỷ lệ sử dụng vốn của giao thức này chỉ dao động quanh 35%, trong khi các giao thức lending lành mạnh duy trì ở mức 60% trở lên. Nghĩa là họ trả APY cao cho người gửi tiền trong khi không có đủ người đi vay để tạo ra doanh thu bền vững.
Khoản chênh lệch đó phải được bù đắp bằng một nguồn nào đó. Tôi tìm thấy câu trả lời trong hợp đồng token: một quỹ phát triển được cấu hình để "bơm" token mới vào pool thanh khoản mỗi ngày. Nói cách khác, người dùng đang nhận được lợi nhuận được trả bằng chính token do giao thức in thêm. Mô hình này khiến tôi nhớ lại phát hiện của mình năm 2020: 73% LP trong các pool mới trên Uniswap bị lỗ vốn do impermanent loss trong 6 tháng đầu. Lumina có vẻ đang lặp lại kịch bản đó, nhưng ở quy mô lớn hơn. Khi một giao thức trả lãi 40% mà không có nguồn doanh thu tương ứng, chỉ có hai khả năng: hoặc họ đang đốt tiền của nhà đầu tư, hoặc họ đang chuẩn bị cho một hành động lớn hơn. Vào tháng 1 năm nay, đội ngũ phát triển công bố bản nâng cấp hợp đồng với mô tả "sửa lỗi oracle". Tôi không thấy có gì bất thường trong bản nâng cấp đó vào thời điểm ấy. Nhưng sau này, khi nhìn lại, đó chính là khối giao dịch nơi mọi thứ bắt đầu.
Tôi viết một script Python để phân tích toàn bộ lịch sử giao dịch của giao thức trong 90 ngày. Kết quả cho thấy một mô hình có chủ đích, gồm ba giai đoạn rõ rệt. Giai đoạn tích lũy kéo dài từ tháng 2 đến tháng 4. Một nhóm bảy địa chỉ ví liên tục mua token governance với tổng giá trị khoảng 8 triệu USD. Những địa chỉ này không có lịch sử hoạt động trước đó. Mỗi ví nhận tiền từ một ví nguồn duy nhất - chính là ví treasury của Lumina. Nếu đây là một nhà đầu tư tổ chức, họ sẽ không cần ngụy trang qua nhiều lớp. Việc dùng bảy ví tách rời để mua cùng một loại token là dấu hiệu cổ điển của một thực thể duy nhất đang cố tạo vị thế mà không bị phát hiện. Từng giao dịch đều được đặt mua với giá thấp hơn giá thị trường khoảng 2-3%, nhưng khối lượng đủ lớn để tích lũy gần 10% tổng nguồn cung lưu hành trong 3 tháng.
Giai đoạn kích hoạt xảy ra vào ngày 12/5. Hợp đồng thông minh của dự án nhận một cuộc gọi bất thường tới hàm updateCollateralFactor - hàm kiểm soát tỷ lệ tài sản thế chấp của các pool. Tham số mới không hề xuất hiện trong báo cáo kiểm toán lần cuối. Chỉ sau cuộc gọi này, một địa chỉ liên kết với nhóm bảy ví nói trên mới có thể rút tài sản thế chấp mà không cần trả đủ nợ. Điều này rất quan trọng: nó không phải là một lỗ hổng vô tình. Đây là một thay đổi được cố tình giấu kín trong dòng code, không khác gì một cánh cửa sau được chính kỹ sư lắp ráp. Dựa trên kinh nghiệm audit của tôi, các nhóm phát triển thường né tránh việc thay đổi tham số này một cách đơn lẻ, vì nó ảnh hưởng trực tiếp đến tính an toàn của toàn bộ hệ thống.
Giai đoạn rút tiền diễn ra trong vòng 48 giờ. Tổng cộng 320 triệu USD được rút ra thông qua chuỗi 12 khoản vay chớp nhoáng. Mỗi giao dịch đều trả gas premium 2-3 SOL để ưu tiên xác nhận trong block tiếp theo. Họ không hề cố gắng che giấu dấu vết bằng mixer hay sàn phi tập trung ẩn danh. Dòng tiền được chuyển thẳng sang Jupiter và Raydium, đổi sang SOL và ETH, rồi rút về ví cá nhân. "Tôi thấy nó từ những khối giao dịch đầu tiên." Không cần phải là một thám tử kỳ cựu mới nhận ra rằng cách vận hành này quá trơn tru so với một kẻ tấn công cơ hội. Mỗi bước di chuyển đều có thời điểm chính xác, mỗi gas premium đều được chỉnh tay. Một kẻ tấn công bên ngoài sẽ phải thăm dò, thử nghiệm, và loay hoay. Còn ở đây, mọi thứ vận hành như một quy trình được luyện tập nhiều lần. Điều khiến tôi chú ý là cách các khoản vay chớp nhoáng được cấu trúc. Không phải là một khoản vay khổng lồ từ một pool, mà là 12 khoản vay nhỏ được nối tiếp nhau, mỗi khoản vay thực hiện một vai trò cụ thể: một khoản để thay đổi tỷ lệ thế chấp, một khoản để rút thanh khoản, một khoản để chuyển tài sản sang pool khác. Điều này đòi hỏi sự chuẩn bị kỹ lưỡng - gần như là một bản thiết kế kỹ thuật được viết từ trước.
Có một tín hiệu đối lập rất quan trọng mà hầu hết mọi người bỏ qua: giá token LUM chỉ giảm 12% sau khi tin tức được công bố. Nếu Lumina thực sự bị hack từ bên ngoài, cơn hoảng loạn sẽ khiến token sụt 70-80% trong vài giờ. Mức giảm khiêm tốn đó cho thấy thị trường vẫn chưa hiểu rõ bản chất sự việc. Đồng thời, dữ liệu cho thấy 15 triệu token LUM đã được chuyển vào ví Binance trong ba ngày trước khi sự kiện xảy ra. Kẻ tấn công - nếu họ có - không thể biết trước thời điểm rút tiền. Nhưng người chuyển token vào sàn trước đó thì có. Đây là mảnh ghép khiến toàn bộ bức tranh thay đổi. Tôi còn tìm thấy một chi tiết nữa: các địa chỉ rút tiền đều sử dụng giao thức Solend và Marinade làm trung gian. Điều này không phải ngẫu nhiên - chúng được chọn vì chúng có thanh khoản sâu và ít bị chú ý trong điều tra on-chain. Kẻ đứng sau hiểu rõ hệ sinh thái Solana một cách đặc biệt.
Các bài báo lớn đều mô tả đây là "một vụ khai thác từ bên ngoài". Nhưng sự thật ẩn trong những con số, và tôi đào nó lên. Tất cả các địa chỉ được gắn nhãn "attacker" trong trình khám phá block đều có nguồn gốc từ ví treasury của dự án. Hợp đồng được cập nhật bằng chính private key của đội ngũ phát triển - cơ chế đa chữ ký vẫn hoạt động bình thường trong suốt quá trình. Không có bất kỳ dấu hiệu xâm nhập nào từ bên ngoài. Vậy đây là hack hay rug pull? Câu trả lời có thể nằm ở một mức độ tinh vi hơn: kẻ tấn công không cần phải tìm kiếm lỗ hổng, vì họ đã tự lắp một "công tắc" vào code từ bản nâng cấp tháng 1. Điều đó có nghĩa là Lumina Finance không bị hack. Nó được thiết kế để có thể bị rút tiền ngay từ đầu - giống như một con tàu mà thủy thủ đoàn đã khoan sẵn lỗ dưới đáy tàu rồi bán vé cho hành khách.
Quan điểm này đi ngược với số đông, nhưng nó phù hợp với dữ liệu hơn. Nếu bạn đọc kỹ từng giao dịch, bạn sẽ thấy rằng họ không hề vội vã. Họ có thời gian để thử nghiệm, để điều chỉnh gas, để chuyển dần token qua nhiều bước. Đây không phải hành vi của một kẻ trộm nhân cơ hội. Đây là hành vi của người đã lên kế hoạch từ nhiều tháng trước và có toàn quyền kiểm soát hệ thống. Ngành bảo mật blockchain vẫn thường nói về "hack", nhưng những gì xảy ra với Lumina là một vụ chiếm đoạt hợp pháp có chủ đích - nó lợi dụng sự thiếu minh bạch của cơ chế quản trị, chứ không phải lỗi kỹ thuật. Nó giống một vụ nội gián kinh điển: kẻ trộm ở ngay trong nhà, và hắn có chìa khóa từ đầu. Có một điều nữa: vì sao báo chí lại đồng loạt gọi đây là hack? Một phần vì "hack" là từ dễ gây sốc, dễ kiếm lượt xem. Một phần vì các nhà điều tra on-chain ban đầu chỉ nhìn thấy dòng tiền bất thường mà không đào sâu vào nguồn gốc ví. Nhưng khi tôi công bố phát hiện về nhóm bảy ví có nguồn gốc từ treasury, rất ít nơi đăng lại. Chiến tranh thông tin trong không gian crypto diễn ra hàng ngày, và câu chuyện "bị hack" luôn hấp dẫn hơn câu chuyện "bị nội gián rút tiền". Đây là một bài học về cách tin tức được định khung: dữ liệu có thể đúng, nhưng câu chuyện chúng ta kể từ dữ liệu đó có thể sai.
Tuần tới, hãy chú ý đến hai địa chỉ ví vẫn chưa di chuyển. Chúng nắm giữ 45 triệu token LUM - khoảng 12% tổng cung. Nếu chúng được gửi vào sàn giao dịch, đó là dấu hiệu rõ ràng cho thấy vụ việc chưa kết thúc và làn sóng bán tháo đang đến gần. Nhưng câu hỏi lớn hơn không phải "ai đã hack", mà là "ai đã tạo ra công tắc và tại sao người dùng không nhìn thấy nó". Mỗi giao dịch là một lời khai, và tôi chỉ đọc nó. Nhưng lần này, lời khai đã được viết ra từ rất lâu trước khi vụ việc diễn ra. Điều duy nhất chúng ta có thể làm là học cách đọc sớm hơn. Bởi khi TVL sụt giảm, dữ liệu đã nói trước khi bạn kịp hiểu. Nhưng lần này, liệu bạn có lắng nghe?