Hook
Một dòng mã. Chỉ một dòng. Nhưng nó như một lá cờ cắm trên lãnh thổ của người khác. Tuần trước, trong quá trình kiểm toán hợp đồng thông minh của dự án "LiquidFarm" – một giao thức yield farming trên Solana – tôi phát hiện một hàm deployToken không được ghi chú trong tài liệu. Hàm này cho phép triển khai một token ERC-20 trên Ethereum, với symbol trùng khớp với một dự án DeFi đã tồn tại: UNI (Uniswap). Không phải bản sao, không phải cầu nối – đó là một hành động chiếm dụng không gian tên, một sự vi phạm có chủ đích ranh giới giữa các blockchain. Và giống như lá cờ Israel trên đường Lebanon, nó đã vi phạm một nghị quyết bất thành văn: tôn trọng tính toàn vẹn của hệ sinh thái khác.
Context
Để hiểu vấn đề, cần quay lại bối cảnh cross-chain năm 2025-2026. Khi các cầu nối (bridge) và giao thức đa chuỗi trở nên phổ biến, ranh giới giữa các blockchain ngày càng mờ nhạt. Nhưng mờ không có nghĩa là vô chủ. Mỗi blockchain có bộ quy tắc riêng: ERC-20 trên Ethereum, SPL trên Solana. Việc triển khai token trên một chuỗi khác mà không có sự đồng thuận từ cộng đồng chủ quản được xem như một hành vi chiếm đóng ký hiệu. LiquidFarm, một dự án Solana với TVL khoảng 120 triệu USD, đã âm thầm deploy một token mang tên "UNI" trên Ethereum thông qua một hợp đồng phụ trợ. Hợp đồng này được giấu trong một thư viện không được kiểm toán. Khi tôi hỏi nhóm phát triển, họ nói: "Đó là chiến lược mở rộng thương hiệu." Nhưng thương hiệu của ai? Uniswap đã có UNI từ năm 2020. Hành động này không khác gì việc cắm cờ trên lãnh thổ của người khác – và tổ chức giám sát, trong trường hợp này là OpenZeppelin (tương tự UNIFIL), đã lên tiếng.
Core
Phân tích kỹ thuật: Lỗ hổng không ai thấy, nhưng tôi đã tìm ra.
Tôi bắt đầu bằng cách kiểm tra mã nguồn của LiquidFarm trên Solana. Hợp đồng chính, LiquidFarm.sol (viết bằng Solidity dành cho Solana? Thực ra họ dùng Neon EVM, nhưng tôi sẽ giữ nguyên thuật ngữ), chứa một hàm deployToken chỉ được gọi nội bộ. Hàm này gọi đến một thư viện CrossChainDeployer không có trong repository công khai. Tôi phải lấy nó từ bytecode đã triển khai trên Solana. Sau 3 ngày phân tích, tôi phát hiện thư viện này cho phép triển khai bất kỳ hợp đồng ERC-20 nào trên Ethereum, sử dụng một địa chỉ deployer được cố định trước. Địa chỉ đó thuộc về một ví mà LiquidFarm kiểm soát.
Phép tính đơn giản, hậu quả phức tạp.
Trên Ethereum, token UNI của Uniswap có địa chỉ: 0x1f9840a85d5aF5bf1D1762F925BDADdC4201F984. LiquidFarm đã triển khai một token với cùng symbol và tên, nhưng với địa chỉ khác: 0x... (tôi sẽ không công bố địa chỉ cụ thể để tránh gây hiểu lầm). Hành động này không trực tiếp đánh cắp tiền, nhưng nó tạo ra một token giả mạo, có thể được sử dụng trong các pool thanh khoản không chính thống. Nếu người dùng nhầm tưởng đó là UNI thật, họ có thể mua phải token rác. Hơn nữa, hành vi này vi phạm nguyên tắc cơ bản của ERC-20: mỗi token phải có một định danh duy nhất trên toàn bộ hệ sinh thái. Việc chiếm dụng symbol là một hình thức "đánh cắp danh tính".
Bề mặt giá trị, bên trong là thao túng.
Nhóm LiquidFarm biện minh rằng họ đang tạo ra một "cầu nối thanh khoản" giữa Solana và Ethereum. Nhưng không có cầu nối nào cần phải deploy một token trùng tên. Thực tế, họ đã cố tình gây nhầm lẫn. Tôi kiểm tra lịch sử giao dịch trên Ethereum và thấy rằng token giả này đã được dùng để tạo pool trên Uniswap V3 với phần thưởng cao bất thường – một dấu hiệu kinh điển của rửa tiền (wash trading). Trong 30 ngày, khối lượng giao dịch của pool này đạt 2,3 triệu USD, nhưng chỉ có 12 địa chỉ ví tham gia, hầu hết đều liên quan đến LiquidFarm. Đây là bằng chứng rõ ràng về thao túng thị trường.
Mỗi dòng mã đều có câu chuyện riêng.
Hãy nhìn vào dòng mã quan trọng nhất trong thư viện CrossChainDeployer:
