Tôi nhìn vào bảng điều khiển Dune, con số 'Total Value Locked' của zkSync Era vừa nhảy lên 1,2 tỷ USD chỉ trong một tuần. Nhưng thứ khiến tôi dừng lại không phải con số lớn — mà là một chi tiết lạ: tỷ lệ giao dịch thất bại trên các pool thanh khoản chính đột ngột tăng từ 2% lên 18% trong cùng kỳ.
Đây không phải lỗi mạng. Đây có mùi của một kịch bản mà tôi đã thấy nhiều lần: ai đó đang cố gắng che giấu một cuộc tấn công bằng cách tạo ra khối lượng giao dịch giả để làm loãng dấu vết.
Bối cảnh: zkSync Era vừa công bố chương trình khuyến khích thanh khoản trị giá 50 triệu token ZK, dành cho các pool ghép với stablecoin. Đội ngũ dự án tuyên bố đây là để thu hút vốn thật, nhưng từ kinh nghiệm audit của tôi với các quỹ hedge fund, bất kỳ chương trình khuyến khích nào có phần thưởng lớn đều thu hút không chỉ người dùng thật mà cả kẻ săn mồi.
Tôi bắt đầu kiểm tra dữ liệu on-chain thô. Bước đầu tiên: lấy tất cả giao dịch của pool USDC/ZK trên Uniswap v3 trong 7 ngày qua. Tôi dùng một script Python nhỏ, gọi vào API của Etherscan và Dune. Mẫu tôi nhìn thấy rất quen: một nhóm 7 ví, mỗi ví có lịch sử giao dịch chỉ vỏn vẹn 3-4 tháng, liên tục thực hiện các giao dịch swap với số lượng gần như giống nhau (khoảng 50.000 USDC mỗi lần), cách nhau đúng 12 phút.
Tôi gọi đây là 'bước chân robot'. Trong thám tử dữ liệu, một mẫu giao dịch đều đặn như vậy gần như không bao giờ xuất hiện ở người dùng thật — họ swap khi cần, không phải theo đồng hồ.
Tiếp theo, tôi xâu chuỗi dòng tiền. 7 ví này đều nhận ETH từ một ví trung gian duy nhất, mà tôi đặt tên là 'Ví Mẹ'. Ví Mẹ được tài trợ từ một sàn giao dịch tập trung — dĩ nhiên, không thể truy vết thêm. Nhưng điều quan trọng hơn: tất cả token ZK mà 7 ví này nhận được từ pool thanh khoản đều được chuyển ngay đến một địa chỉ khác, sau đó gộp lại và gửi đến một hợp đồng thông minh mới được triển khai chỉ 2 ngày trước. Hợp đồng đó chưa được xác minh mã nguồn.
Dữ liệu kể một câu chuyện rõ ràng: ai đó đang sử dụng các ví giả để farm token khuyến khích, nhưng với quy mô công nghiệp. Họ không chỉ muốn ZK — họ đang thử nghiệm một chiến lược có thể rút cạn pool thanh khoản nếu chương trình kéo dài. Bằng cách tạo khối lượng giao dịch giả, họ khiến TVL tăng ảo, thu hút thêm người dùng thật vào pool, sau đó... chờ thời điểm thích hợp để rút thanh khoản.
Tôi nhớ lại năm 2021, khi tôi phát hiện ra wash trading trên OpenSea. Cùng một mẫu: ví giả, giao dịch đều đặn, dòng tiền cuối cùng về một ví chủ. Lúc đó đồng nghiệp nam của tôi bảo tôi 'quá nghi ngờ'. Nhưng dữ liệu không bao giờ nói dối.
Đây là góc nhìn phản trực giác: không phải TVL cao là tín hiệu tốt. Trong thị trường tăng hiện tại, khi ai cũng FOMO, TVL tăng đột biến thường đi kèm với thanh khoản rác. Đội ngũ dự án có thể vô tình (hoặc cố ý) làm đẹp số liệu để gọi vốn tiếp. Tương quan giữa TVL và sức khỏe giao thức không phải nhân quả.
Tôi sẽ theo dõi hợp đồng chưa xác minh đó. Nếu nó có chức năng rút tiền khẩn cấp, chúng ta sẽ thấy một vụ tấn công kiểu 'rug pull' trong vòng 2 tuần tới. Còn nếu không, ít nhất đây là một chiến dịch farm token tinh vi mà các quỹ đầu tư cần biết trước khi phân bổ vốn.
Tín hiệu cho tuần tới: hãy kiểm tra tỷ lệ giao dịch thất bại của bất kỳ pool nào có TVL tăng trên 50% trong 7 ngày. Nếu nó vượt 10%, hãy coi chừng. Dấu vết đã hiện — nhưng kẻ lạ mặt vẫn còn đó.