Hook
Ba con số. 100 triệu thùng mỗi ngày. 40% xác suất thành công. Một lời hứa không có chữ ký. Hợp đồng thông minh của PetroSwap ẩn chứa một hàm setWithdrawalLimit chỉ có owner mới gọi được. Không có audit công khai. Không có tokenomics rõ ràng. Chỉ có một whitepaper dày 20 trang mô tả tham vọng "dân chủ hóa thị trường dầu mỏ toàn cầu". Nghe quen không? Giống hệt những gì tôi đã thấy ở Celsius và DeepTrade. Lần này, câu chuyện là về một giao thức cho vay thế chấp bằng quyền khai thác dầu, được xây dựng bởi một nhóm giấu tên có trụ sở tại Dubai. Nhưng dữ liệu on-chain cho thấy một sự thật khác.
Context
PetroSwap tự giới thiệu là "giao thức cầu nối giữa nền kinh tế thực và DeFi". Người dùng có thể gửi USDT để nhận petroUSD, một stablecoin được neo theo giá dầu Brent. Lợi suất hàng năm lên tới 25% nhờ vào "doanh thu từ hợp đồng tương lai dầu mỏ". Nghe có vẻ hợp lý? Vấn đề là không một ai trong đội ngũ có kinh nghiệm về giao dịch dầu thực tế. Trang LinkedIn của họ chỉ có ba người, tất cả đều là chuyên gia marketing. Họ huy động được 12 triệu USD từ một quỹ đầu tư mạo hiểm ở Bermuda. TVL hiện tại là 47 triệu USD, tăng 300% trong hai tháng. Nhưng dòng tiền vào chủ yếu đến từ các địa chỉ ví mới tạo. Mô hình này tôi đã thấy hàng trăm lần: TVL tăng nhanh nhờ farming, nhưng khi incentives dừng, người dùng thực sự biến mất. Trong thị trường giảm hiện tại, mỗi giao thức đang chảy máu. PetroSwap đang mất 15% LP mỗi tuần kể từ khi Bitcoin giảm xuống dưới 60k.
Core
Tôi mất ba ngày để reverse engineer hợp đồng thông minh của PetroSwap. Phát hiện đầu tiên: contract PetroUSD có một hàm mint không có modifier kiểm soát, nhưng thực tế nó được bảo vệ bởi một onlyOwner thông qua proxy. Điều này có nghĩa là owner có thể mint bất kỳ số lượng petroUSD nào mà không cần tài sản thế chấp. Họ có thể tạo ra hàng triệu USD giá trị ảo. Đây là backdoor điển hình.
Tiếp theo, tôi kiểm tra hợp đồng PetroVault - nơi người dùng gửi USDT để farming. Hợp đồng ẩn chứa một function emergencyWithdraw cho phép owner rút toàn bộ USDT từ vault mà không cần sự đồng ý của người dùng. Không có timelock. Không có multi-sig. Chỉ có một private key duy nhất. Tôi tìm thấy một giao dịch từ tháng trước: ví deployer đã chuyển 2 triệu USDT từ vault vào một địa chỉ không rõ. Giao dịch đó không được ghi nhận trong bất kỳ báo cáo nào của đội ngũ. Họ gọi đó là "phí vận hành".
Thứ ba, tôi phân tích dữ liệu on-chain của các LP. Trong số 47 triệu USD TVL, chỉ có 12 triệu USD là từ người dùng thực. Phần còn lại đến từ các địa chỉ do đội ngũ kiểm soát, tạo khối lượng giao dịch giả để đẩy APY lên. Tôi có thể chứng minh điều này bằng cách xem lịch sử giao dịch: các địa chỉ đó thường xuyên chuyển token qua lại với nhau, tạo ra khối lượng ảo. Đây là wash trading thuần túy. Không có wash trading nào mà không để lại dấu vết trên blockchain.
Cuối cùng, tôi kiểm tra oracle giá. PetroSwap sử dụng một oracle tập trung từ một bên thứ ba không xác định. Hợp đồng cho phép admin cập nhật giá mà không cần xác thực. Nếu admin đẩy giá dầu xuống 0, tất cả các vị thế sẽ bị thanh lý và tài sản thế chấp sẽ thuộc về giao thức. Đây là kịch bản rug pull hoàn hảo. Họ có thể tạo ra một cuộc khủng hoảng thanh khoản giả, sau đó rút sạch tiền.
Contrarian
Bạn có thể nghĩ rằng tôi đang phê phán quá mức. Rằng dự án vẫn còn trẻ, rằng họ sẽ sửa lỗi. Nhưng tôi đã thấy quá nhiều: họ không sửa lỗi, họ tận dụng lỗ hổng. Điều thú vị là, phần phe bò có thể đúng về tiềm năng thị trường dầu mỏ on-chain. Nếu PetroSwap thực sự kết nối được với hợp đồng tương lai dầu thực, nó có thể trở thành một cầu nối giá trị. Nhưng với cấu trúc hiện tại, nó giống một cái bẫy hơn. Tôi từng audit một dự án tương tự có tên OilX năm ngoái. Họ cũng có backdoor, cũng hứa hẹn 30% APY. Sau ba tháng, họ biến mất với 80 triệu USD. PetroSwap đang đi cùng một con đường. Sự khác biệt duy nhất là bối cảnh thị trường: lúc này, mọi người đang tuyệt vọng tìm kiếm lợi nhuận, khiến họ dễ bị lừa hơn. Tôi không nói rằng PetroSwap nhất định là scam, nhưng tỷ lệ 40% thành công mà tôi ước tính dựa trên kinh nghiệm audit của tôi là quá lạc quan. Thực tế, tôi đặt nó ở mức 10%.
Takeaway
Tôi đã thấy đủ. Hợp đồng thông minh ẩn chứa một backdoor cho phép rút toàn bộ thanh khoản. Không có audit công khai. Đội ngũ ẩn danh. Đây là công thức cho một rug pull. Nếu bạn đang gửi tiền vào PetroSwap, hãy rút ngay. Câu hỏi không phải là liệu nó có sập không, mà là khi nào. Và khi nó sập, tôi sẽ ở đây, phân tích từng giao dịch, chỉ ra bằng chứng. Như mọi khi. Không có lời hứa nào mà không để lại dấu vết trên blockchain.