Một dòng log từ sàn giao dịch phi tập trung có trụ sở tại Tehran hiện lên trên màn hình của tôi lúc 3h sáng giờ Paris: khối lượng giao dịch tăng 312% trong 24 giờ, chủ yếu từ các cặp USDT/IRR và ETH/IRR. Tôi nhấn deploy contract kiểm thử, và hệ thống báo lỗi out-of-gas. EOS ICO sập ngay khi tôi nhấn deploy — nhưng lần này, tôi không phải là sinh viên nữa. Tôi là một Core Protocol Developer, và tôi biết mùi của một cuộc khủng hoảng đang len lỏi vào từng dòng mã.
Bối cảnh thì ai cũng thấy: Iran đang chìm trong lạm phát kỷ lục, đồng rial mất giá hơn 80% so với USD chỉ trong vòng 12 tháng. Các lệnh trừng phạt từ Mỹ siết chặt dòng chảy tài chính truyền thống. Người dân Iran, như mọi cuộc khủng hoảng khác, đổ xô vào crypto như một phao cứu sinh. Nhưng điều mà báo chí tài chính thường bỏ qua là hạ tầng kỹ thuật đằng sau những giao dịch đó. Tôi đã dành ba ngày cuối tuần để phân tích smart contract của ba sàn DEX phổ biến nhất ở Iran — và phát hiện ra một câu chuyện hoàn toàn khác.
Phân tích mã? Tôi chỉ mất 3 phút để nhận ra vấn đề đầu tiên. Các contract này hầu hết là fork từ Uniswap v2 với những thay đổi tối thiểu. Nhưng có một điểm khác biệt chết người: họ thêm cơ chế chuyển đổi rate trực tiếp từ oracle off-chain, không có bất kỳ lớp bảo vệ nào chống front-running. DeFi Summer kết thúc bằng một dòng log — và ở đây, tôi thấy một dòng log khác: một giao dịch swap với giá trị 200 ETH đã bị sandwich attack ngay sau khi oracle cập nhật tỷ giá. Tôi kiểm tra block time, thấy chỉ cách nhau 2 giây. Đó là dấu hiệu của một bot có sẵn, không phải ngẫu nhiên.
Nhưng vấn đề sâu hơn nằm ở cơ chế dự trữ thanh khoản. Các sàn này không có pool thanh khoản đủ sâu để xử lý khối lượng giao dịch tăng đột biến từ hàng triệu người dùng Iran. Khi tôi mô phỏng một kịch bản với 10.000 giao dịch đồng thời, contract bắt đầu trả về kết quả sai lệch do phí gas bị đẩy lên cao, khiến nhiều giao dịch bị revert. Điều này tạo ra hiệu ứng domino: người dùng cố gắng swap nhiều lần, càng làm tắc nghẽn mạng lưới, và cuối cùng mất tiền vì slippage không kiểm soát. Tôi đã thấy điều này xảy ra với một dự án NFT nhỏ ở Đông Nam Á năm ngoái, nhưng quy mô ở Iran có thể gấp 100 lần.
Điểm mù bảo mật mà hầu hết các nhà phân tích bỏ qua là: chính sự tuyệt vọng của người dùng Iran đang biến những sàn này thành mục tiêu lý tưởng cho các cuộc tấn công có tổ chức. Khi bạn kết hợp lạm phát phi mã với một hệ thống tài chính phi tập trung nhưng không được kiểm toán kỹ lưỡng, bạn có một quả bom hẹn giờ. Tôi đã kiểm tra lịch sử giao dịch của một sàn, thấy một địa chỉ ví thực hiện 47 giao dịch trong 3 phút, mỗi lần chỉ cách nhau 1-2 block. Đó là dấu hiệu của một bot arb chuyên nghiệp, có thể đang khai thác chênh lệch giá giữa các sàn Iran và sàn quốc tế. Nhưng nếu bot đó quyết định chuyển sang tấn công, nó có thể drain toàn bộ pool thanh khoản chỉ trong vài block.
Tôi còn phát hiện một lỗi nghiêm trọng hơn trong contract của một sàn: hàm swapExactTokensForTokens không kiểm tra địa chỉ người nhận, cho phép bất kỳ ai gọi hàm với địa chỉ tùy ý. Điều này mở ra cánh cửa cho một cuộc tấn công reentrancy kiểu mới. Tôi đã viết một proof-of-concept trong 20 phút, và nó hoạt động hoàn hảo. Nếu tôi là một hacker, tôi có thể rút 500 ETH chỉ trong một giao dịch. Và tôi không phải là người duy nhất nhìn thấy điều này. Trên GitHub, một repo ẩn danh đã đăng mã nguồn tương tự với hơn 200 sao — dấu hiệu cho thấy cộng đồng hacker đang chú ý đến Iran.
Giờ hãy nói về góc nhìn phản trực giác. Nhiều người cho rằng crypto là giải pháp cho các nước bị trừng phạt, nhưng thực tế kỹ thuật cho thấy điều ngược lại: nó tạo ra một lớp rủi ro mới mà không có cơ chế bảo vệ nào. Ở các quốc gia có hệ thống ngân hàng ổn định, người dùng có thể kiện, khiếu nại, hoặc ít nhất là gọi điện cho tổng đài. Ở Iran, nếu bạn mất tiền vào một smart contract bị tấn công, bạn không có cơ quan nào để khiếu nại. Và vì chính phủ Iran không công nhận crypto, các sàn này hoạt động trong vùng xám pháp lý, không có bất kỳ nghĩa vụ bồi thường nào. Đó là lý do tại sao tôi gọi đây là "bom hẹn giờ phi tập trung".
Tôi cũng nhìn thấy một xu hướng đáng lo ngại khác: các stablecoin như USDT đang được sử dụng như một kênh lưu trữ giá trị, nhưng dự trữ của chúng ở Iran không minh bạch. MiCA mang lại sự rõ ràng bề ngoài cho châu Âu, nhưng yêu cầu dự trữ stablecoin và chi phí tuân thủ CASP sẽ giết chết các dự án nhỏ — và các sàn Iran là ví dụ điển hình. Họ không thể đáp ứng các tiêu chuẩn đó, vì vậy họ sẽ tiếp tục hoạt động trong bóng tối, với rủi ro sụp đổ bất cứ lúc nào.
Vậy takeaway là gì? Tôi dự đoán rằng trong vòng 6 tháng tới, ít nhất hai trong số ba sàn DEX hàng đầu tại Iran sẽ sụp đổ do tấn công hoặc khủng hoảng thanh khoản. Khi điều đó xảy ra, hàng triệu người dùng sẽ mất trắng, và câu chuyện về crypto như một công cụ tự do tài chính sẽ bị tổn hại nghiêm trọng. Nhưng có lẽ, điều đáng sợ nhất là: chúng ta đã thấy kịch bản này trước đây, và chúng ta vẫn không học được gì. DeFi Summer kết thúc bằng một dòng log — và lần này, dòng log đó có thể đến từ Tehran.