Hook
TVL của lending protocol MoonFi giảm từ 120 triệu USD xuống 72 triệu USD trong 6 giờ. Trên bề mặt, thị trường giảm giá là thủ phạm. Nhưng dữ liệu on-chain nói khác.
Context
MoonFi (tên giả) là một giao thức cho vay đa chuỗi, sử dụng cơ chế Liquid Staking Derivative (LSD) để tạo yield. Người dùng gửi ETH nhận stETH, sau đó dùng stETH làm tài sản thế chấp để vay stablecoin. Từ ngày 15-3-2025, thị trường điều chỉnh, giá ETH giảm 8%. Tuy nhiên, sự sụt giảm TVL của MoonFi lại diễn ra đột ngột hơn nhiều so với các giao thức tương tự. Tôi, với tư cách là Quantitative Strategist, quyết định đào sâu.
Core
Tôi mở Etherscan và bắt đầu truy vết. Phát hiện đầu tiên: một địa chỉ ví (0xAbc...123) đã rút toàn bộ số dư stETH 5,000 ETH khỏi pool MoonFi chỉ trong 1 giờ. Lượng rút này tương đương 15% TVL của pool. Dấu vết trên blockchain không biết nói dối. Tôi kiểm tra liên kết: địa chỉ đó nhận được stETH từ một hợp đồng flash loan trên Aave, vay 50 triệu USDC trong 2 block. Con số biết kể câu chuyện của chúng: đây là một cuộc tấn công có tổ chức, không phải hành vi FUD của nhà đầu tư lẻ.
Tôi tiếp tục theo dõi dòng tiền. Địa chỉ 0xAbc...123 gửi stETH đến hợp đồng “QuickSwapRouter”, sau đó staked vào lending pool của MoonFi. Khoảng 2 giờ sau, họ bắt đầu vay USDC tối đa (tỷ lệ 95% LTV), rồi chuyển USDC sang sàn CEX Binance. Tổng cộng 4,500 ETH đã bị convert thành stablecoin và rút khỏi giao thức. Số còn lại (500 ETH) được dùng để thanh lý các vị thế của người dùng khác, tạo hiệu ứng domino.
Tôi không tin vào cảm xúc, tôi tin vào thuật toán. Tôi tính toán lại dòng thanh khoản: chỉ trong 6 giờ, MoonFi mất 40% TVL, trong đó 35% đến từ một địa chỉ. Điều này cho thấy giao thức đang bị nhắm mục tiêu. Hợp đồng MoonFi cho phép vay tối đa 95% LTV trên stETH – cao hơn mức an toàn 80%. Đây là lỗ hổng do tham số quá lỏng lẻo, tạo điều kiện cho kẻ tấn công rút tiền nhanh chóng.
Contrarian
Nhiều người trên Twitter cho rằng sự sụt giảm của MoonFi là do thị trường bear, người dùng rút tiền hàng loạt. Nhưng dữ liệu chỉ ra điểm khác: trong cùng thời gian, lending protocol Aave mất chưa đến 5% TVL, Uniswap mất 7%. Sự tương quan giữa giá ETH (giảm 8%) và TVL MoonFi (giảm 40%) là 1:5 – không thể chỉ do biến động thị trường. Tôi phát hiện: kẻ tấn công đã lợi dụng tâm lý sợ hãi, dùng flash loan để khuếch đại tác động. Họ không bán stETH trên thị trường mở, mà chuyển sang vay stablecoin rồi chạy trốn. Đây là chiến thuật "killing the pool" – thanh lý chéo người dùng khác để tạo làn sóng rút tiền, sau đó chốt lời.
Takeaway
Tuần tới, nếu thị trường tiếp tục giảm, các giao thức với tỷ lệ LTV >90% trên tài sản thanh khoản yếu sẽ trở thành mục tiêu. Tôi khuyến nghị kiểm tra TVL của từng pool, theo dõi địa chỉ ví có dòng chảy bất thường. Bóc tách lớp vỏ bọc, tôi tìm ra sự thật: kẻ tấn công đã để lại dấu vết. Họ sử dụng địa chỉ mới, nhưng liên kết với sàn CEX thông qua deposit. Hành động này không phải ngẫu nhiên. Con số đã nói hết.