Gần đây tôi đang nghiên cứu về vấn đề an toàn của DeFi, phát hiện ra rằng vay nặng lãi trong chớp nhoáng thật sự là con dao hai lưỡi.

Nói về vay nặng lãi trong chớp nhoáng, nó thực ra là một khái niệm khá mới trong tài chính phi tập trung, sau khi Aave ra mắt lần đầu vào đầu năm 2020, ngày càng nhiều giao thức bắt đầu hỗ trợ. Nhìn qua, vay nặng lãi trong chớp nhoáng cung cấp cơ hội arbitrage và phương thức giao dịch nhanh mà tài chính truyền thống không thể làm được, nghe có vẻ rất tuyệt vời.

Nhưng vấn đề then chốt là, phương thức vay không thế chấp, không kiểm tra tín dụng này cũng trở thành nơi trú ẩn của các kẻ tấn công. Tôi đã xem qua một vài vụ tấn công điển hình, trong đó đáng chú ý nhất là vụ xảy ra vào năm 2020. Kẻ tấn công đã lấy được một lượng ETH lớn qua dYdX dưới dạng vay nặng lãi trong chớp nhoáng, rồi gửi lần lượt đến Compound và Fulcrum, sau đó dùng các DEX như Kyber và Uniswap để thao túng giá của WBTC. Vì tính thanh khoản của Uniswap khá thấp, các lệnh lớn đã đẩy giá lên cao, khiến Fulcrum buộc phải mua WBTC với giá cao hơn nhiều so với thị trường. Kẻ tấn công đã hoàn tất toàn bộ thao tác trong cùng một giao dịch, và khi đến lúc thanh lý, đã kiếm được tiền rồi.

Còn một ví dụ khác, có người lợi dụng vay nặng lãi trong chớp nhoáng để thao túng giá của sUSD lên 2 đô la (mục tiêu là neo giá 1 đô la), rồi dùng giá trị thế chấp giả cao để vay thêm ETH. Nhìn vào đây, vấn đề nằm ở chỗ — hợp đồng thông minh có thể nhận biết dữ liệu giá, nhưng chúng hoàn toàn không hiểu giá trị của stablecoin nên nên giữ cố định như thế nào.

Vậy làm sao để phòng ngừa? Tôi nghĩ cốt lõi vẫn là phải giải quyết vấn đề định giá.

Trước tiên, dùng các oracle phi tập trung là cách an toàn nhất. Đừng dựa vào một nguồn giá duy nhất, mà hãy tổng hợp “giá thực” từ nhiều nguồn khác nhau. Như vậy, ngay cả khi ai đó cố gắng thao túng giá qua các lệnh lớn, oracle cũng có thể chống lại. Bởi toàn bộ chuỗi tấn công phải hoàn tất trong cùng một block, nhưng cơ chế gửi dữ liệu của oracle phi tập trung sẽ khiến điều này gần như không thể xảy ra.

Thứ hai, có thể tăng tần suất cập nhật giá. Các pool thanh khoản sẽ thường xuyên truy vấn giá mới, nên cửa sổ thao túng giá sẽ bị thu hẹp đáng kể. Dù trong thực tế có thể tốn kém hơn, nhưng tăng cường an toàn là xứng đáng.

Còn một kỹ thuật nữa gọi là định giá trung bình theo trọng số thời gian (TWAP), tức là không lấy giá tại một thời điểm duy nhất, mà lấy trung bình của nhiều khối. Bởi vì tấn công vay nặng lãi trong chớp nhoáng phải hoàn tất trong một khối, nên không thể thao túng giá trung bình của nhiều khối liên tiếp.

Một số giao thức còn tích hợp các công cụ phát hiện tấn công, có thể nhận diện các mô hình giao dịch bất thường kịp thời. Dù các công cụ này vẫn cần thêm thực tiễn để xác nhận hiệu quả, nhưng ý tưởng là đúng.

Thành thật mà nói, lĩnh vực DeFi vẫn đang phát triển nhanh chóng, sau mỗi vụ tấn công vay nặng lãi trong chớp nhoáng, toàn bộ hệ sinh thái đều đang học hỏi và hoàn thiện các cơ chế phòng thủ. Tôi tin rằng, khi các oracle phi tập trung và các chiến lược định giá mới ngày càng được phổ biến, vay nặng lãi trong chớp nhoáng sẽ dần dần trở lại với mục đích ban đầu — cung cấp các chức năng tài chính sáng tạo, chứ không còn là công cụ tấn công hay nguồn rủi ro nữa.