Lỗ hổng NovaSwap: Khi Audit Không Cứu Được Thiết Kế Kinh Tế

Hôm qua, hợp đồng thông minh của NovaSwap đã bị tấn công flash loan, mất 12 triệu USD từ pool USDC-ETH. Nhưng sự thật phía sau còn nghiêm trọng hơn: lỗ hổng không nằm ở code, mà nằm ở giả định kinh tế mà đội ngũ phát triển cố tình bỏ qua. Khi tôi đọc báo cáo audit của họ, các red flag tôi tìm thấy trong tài liệu của họ đã chỉ ra vấn đề này từ tháng trước, nhưng thị trường vẫn mù quáng chạy theo APR cao đến 500%. Bối cảnh thị trường hiện tại đang đi ngang, thanh khoản tập trung vào các pool ổn định. NovaSwap ra mắt với lời hứa về một AMM thế hệ mới, sử dụng công thức giá trung bình trọng số thời gian (TWAP) thay vì giá tức thời để chống lại sandwich attack. Họ tự quảng cáo là "Uniswap v3 nhưng an toàn hơn". Tuy nhiên, thiết kế này có một điểm mù chết người mà tôi sẽ phân tích dưới đây. Hãy cùng trace execution path của cuộc tấn công. Kẻ tấn công vay flash loan 100 triệu USDC từ Aave, sau đó thực hiện một loạt giao dịch trên NovaSwap. Đầu tiên, họ swap 50 triệu USDC lấy ETH trong pool USDC-ETH, làm giá ETH tăng đột biến. Ngay sau đó, họ swap lượng ETH đó sang một pool khác mà họ đã setup sẵn với thanh khoản mỏng, kích hoạt cập nhật oracle TWAP. Cuối cùng, họ quay lại pool chính và swap ETH lấy USDC với giá được tính dựa trên TWAP đã bị thao túng. Kết quả: họ rút được 112 triệu USDC, lợi nhuận 12 triệu sau khi trả phí flash loan. Điều tinh tế (và đáng sợ) trong thiết kế này là công thức TWAP của NovaSwap chỉ lấy mẫu giá mỗi 15 phút, nhưng không yêu cầu bằng chứng từ oracle ngoài chuỗi. Kẻ tấn công có thể dễ dàng thao túng hai mẫu liên tiếp trong một block duy nhất bằng cách sử dụng flash loan. Báo cáo audit từ CertiK đã cảnh báo về rủi ro này, nhưng team NovaSwap quyết định không sửa vì cho rằng "chi phí oracle quá cao sẽ làm giảm APR". Họ ưu tiên APR hơn bảo mật. Chu kỳ thanh khoản toàn cầu đang thay đổi. Trong 9 năm quan sát thị trường, tôi thấy những dự án chạy theo APR thường kết thúc trong thảm họa. NovaSwap không phải ngoại lệ. Họ đã hy sinh tính bền vững của giao thức để thu hút vốn ngắn hạn. Sau vụ tấn công, TVL giảm 80%, LP rút lui hàng loạt. Setup tôi đang theo dõi ngay bây giờ là các pool thanh khoản tập trung trên các sàn DEX khác như Uniswap v3 và Curve. Chúng có thể hưởng lợi từ dòng vốn chảy ra khỏi NovaSwap. Tuy nhiên, thị trường đi ngang khiến nhà đầu tư thận trọng. Tôi khuyên độc giả nên kiểm tra kỹ các báo cáo audit trước khi đầu tư vào bất kỳ dự án nào có APR bất thường. Bây giờ, tôi sẽ đi sâu vào phân tích tokenomics của NovaSwap. Token NOVA được phát hành với tổng cung 1 tỷ, trong đó 40% dành cho team và nhà đầu tư, 30% cho liquidity mining, 20% cho treasury, 10% cho public sale. Team và nhà đầu tư có lock-up 12 tháng, nhưng token dành cho liquidity mining được phát hành ngay lập tức. Điều này tạo áp lực bán mạnh, vì người dùng có thể claim token và bán ngay. APR 500% được tính dựa trên giá token giả định cao, nhưng thực tế lượng token phát hành ra thị trường mỗi ngày là 1.37 triệu NOVA, tương đương 0.137% tổng cung. Nếu giá NOVA giảm, APR thực tế sẽ thấp hơn nhiều. NovaSwap cũng không có cơ chế đốt token hay chia sẻ doanh thu. Toàn bộ phí giao dịch (0.3%) được chia cho LP, nhưng LP phải stake token NOVA để nhận được phí. Điều này buộc LP phải nắm giữ token rủi ro cao. Khi giá NOVA giảm, LP sẽ rút lui, tạo vòng xoáy tử thần. So sánh với Uniswap, Uniswap không có token native cho đến khi ra mắt UNI, và UNI không bắt buộc để nhận phí. Thiết kế của NovaSwap là một bước lùi rõ ràng. Nó biến LP thành nạn nhân của ponzi kinh tế. Về mặt kỹ thuật, hợp đồng thông minh của NovaSwap sử dụng Vyper, ngôn ngữ dễ mắc lỗi integer overflow. Mặc dù audit không tìm thấy lỗi này, nhưng tôi nghi ngờ có rủi ro tiềm ẩn. Họ cũng sử dụng một oracle TWAP tự chế, không có cơ chế proof-of-reserve. Điều này khiến giao thức dễ bị tấn công flash loan như đã thấy. Từ góc nhìn phản trực giác, tôi cho rằng vụ tấn công này thực tế có lợi cho thị trường dài hạn. Nó phơi bày sự yếu kém của các dự án chạy theo APR và buộc nhà đầu tư phải thận trọng hơn. Các dự án thực sự có giá trị như Aave, Compound, Uniswap sẽ hưởng lợi khi dòng vốn chảy về chúng. Kết luận: Thị trường đi ngang không phải lúc nào cũng xấu. Nó là cơ hội để sàng lọc dự án. Nhà đầu tư nên tập trung vào các giao thức có nền tảng kinh tế vững chắc và an toàn kỹ thuật cao. Hãy nhớ: không có APR nào là miễn phí. Nếu nó quá tốt để là thật, thì nó không phải là thật. Các câu hỏi tiếp theo cần theo dõi: Liệu nhóm NovaSwap có khả năng recovery không? Họ sẽ mint token mới để bù đắp? Các cơ quan quản lý có can thiệp không? Tôi sẽ cập nhật trong các bài viết sau.