Một tuần trước, tôi nhận được một cuộc gọi khẩn. Một dự án DeFi, tự xưng là dẫn đầu cuộc cách mạng 'Restaking 2.0', đã bị hack. Hacker rút được 2.000 ETH từ pool thanh khoản. Nguyên nhân? Không phải lỗi re-entrancy cơ bản, không phải flash loan attack. Nguyên nhân là một lỗi logic trong cơ chế 'phân bổ tài sản thế chấp động' mà họ gọi là 'bảo mật cấp độ quỹ đạo'.
Tôi lặng lẽ mở contract code. Năm phút. Tôi tìm ra lỗi. Lập trình viên của họ đã viết một hàm claimRewards() mà không kiểm tra msg.sender có đang ở trong restaking pool hay không. Bất kỳ ai cũng có thể gọi nó, nếu biết địa chỉ pool. Đây không phải là một lỗi tinh vi. Đây là một sai lầm của một kỹ thuật viên mới ra trường.
Nhưng điều khiến tôi khó chịu không phải là vụ hack. Điều khiến tôi khó chịu là cái gọi là EigenLayer, và toàn bộ câu chuyện 'Restaking' đã tạo ra một lớp ảo tưởng về bảo mật, khiến các đội ngũ ngu ngốc nhất cũng có thể huy động được hàng triệu đô la.
Chúng ta đang ở đâu? Chúng ta đang ở trong một chu kỳ thị trường đi ngang. Không có 'DeFi Summer' 2.0. Không có 'NFT Ape' tiếp theo. Nhưng các VC thì vẫn đang có tiền. Họ cần một câu chuyện mới để bơm thanh khoản.
Và đây là lúc EigenLayer xuất hiện. Nó được bán như một 'Internet Bond' cho Ethereum. Một lớp bảo mật có thể mở rộng. Một giải pháp cho tất cả các vấn đề về bảo mật của các giao thức Layer 2. Nhưng hãy để tôi giải phẫu nó dưới lăng kính của một người đã audit hàng trăm contract.
Tôi sẽ nói thẳng: Mô hình 'Restaking' của EigenLayer là một hình thức phức tạp hóa rủi ro tài chính, không phải là một phát minh về bảo mật. Nó lấy một tài sản duy nhất (ETH) và 'dán' nó vào nhiều điểm yếu của hệ thống. Đây giống như việc bạn dùng một cái khóa duy nhất để khóa tất cả các cánh cửa trong nhà. Nếu có một kẻ trộm phá được cái khóa đó, hắn sẽ vào được tất cả các phòng.
Để hiểu rõ hơn, chúng ta cần bóc tách lớp xương của nó.
Phần 1: Lớp vỏ của sự thổi phồng. (Hook)
EigenLayer không phải là một dự án xấu. Về mặt kỹ thuật, nó có một đội ngũ giỏi. Họ giải quyết được vấn đề 'bootstrap security' cho các giao thức mới. Thay vì phải tạo ra một validator set riêng, một dự án có thể mượn bảo mật từ những người staking ETH trên Ethereum. Điều đó có ý nghĩa.
Nhưng vấn đề là câu chuyện đã bị thổi phồng quá mức. Các VC nhìn thấy một thị trường 'Restaking' tiềm năng hàng trăm tỷ đô. Họ bắt đầu đổ tiền vào bất kỳ dự án nào có chữ 'Restaking' trong whitepaper. Họ tạo ra một lớp thanh khoản giả tạo, nơi các token LRT (Liquid Restaking Token) được giao dịch với premium so với tài sản gốc.
Và tôi thấy điều đó ba lần rồi. Lần đầu là năm 2017 với các ICO. Lần thứ hai là năm 2020 với các yield farming. Lần thứ ba là năm 2021 với các NFT lending. Mỗi lần, câu chuyện đều giống nhau: một lớp trừu tượng hóa được quảng bá như một 'cỗ máy in tiền', và kết thúc là một đống lỗ hổng.
Phần 2: Giải phẫu lớp bảo mật giả. (Core Insight)
Hãy nhìn vào cốt lõi: EigenLayer sử dụng một cơ chế 'Slashing' để trừng phạt các validator nếu họ hành xử sai trên các giao thức được bảo vệ.
Đây là logic: Nếu bạn staking ETH vào một Actively Validated Service (AVS) như một oracle, và oracle đó đưa ra dữ liệu sai, bạn sẽ bị mất một phần (hoặc toàn bộ) ETH của mình.
Vấn đề là: Bạn đang đặt một tài sản không có rủi ro (ETH staking) vào một môi trường có rủi ro rất cao (một dự án mới, code chưa được audit kỹ).
Đây giống như việc bạn dùng tiền tiết kiệm của mình (đã gửi ngân hàng) để bảo lãnh cho một khoản vay ngắn hạn cho một người lạ trên mạng. Rủi ro là cực kỳ cao.
Tôi đã audit một AVS muốn tích hợp vào EigenLayer. Code của họ có một lỗi cho phép attacker giả mạo bất kỳ tin nhắn nào. Nếu tôi không tìm ra lỗi đó, bất kỳ ai staking ETH vào AVS đó đều có thể bị mất tiền. Và đội ngũ của họ vẫn tự tin rằng EigenLayer sẽ 'bảo vệ' họ.
Không, nó sẽ không. EigenLayer chỉ là một lớp trung gian để chuyển rủi ro từ AVS sang người staking. Nó không tạo ra bảo mật mới. Nó chỉ phân phối lại rủi ro.
Phần 3: Sự thật đằng sau APY. (Context & Core)
Tại sao mọi người lại đổ xô vào EigenLayer? Bởi vì họ thấy APY cao.
Hãy phân tích APY đó đến từ đâu: - Rewards từ AVS: Các dự án mới trả phí cao cho người staking để thu hút bảo mật. - Airdrop: Các token EigenLayer hoặc các token AVS được tặng cho người dùng sớm. - LRT farming: Các pool thanh khoản cho phép bạn giao dịch LRT với ETH.
Nhưng tất cả những thứ này đều là phần thưởng đến từ rủi ro chưa được định giá.
Tôi đã thấy điều này trong mùa DeFi 2020. Tôi audit SushiSwap và thấy cách các pool thanh khoản mới có thể bị thao túng bởi một người có thể gọi nhiều contract. APY 1000% không phải là phép màu. Đó là một mức bù rủi ro cho việc bạn trở thành người bảo lãnh cuối cùng cho một hệ thống dễ vỡ.
Các token LRT cũng vậy. Họ hứa hẹn một lợi suất 'kép' từ ETH staking + EigenLayer rewards. Nhưng họ lại tạo ra một lớp rủi ro mới: rủi ro về việc token LRT có thể mất peg so với ETH nếu nhu cầu rút tiền đột ngột tăng. Đây chính là một 'stablecoin' nội bộ, nhưng không có bất kỳ cơ chế ổn định nào.
Một phân tích cơ bản: Nếu một sự kiện black swan xảy ra (ví dụ một lỗi code làm mất toàn bộ quỹ EigenLayer), giá của LRT sẽ giảm mạnh, và người staking ETH sẽ không còn cách nào để rút ETH của mình. Đây là một vấn đề thanh khoản có hệ thống.
Phần 4: Góc nhìn trái chiều. (Contrarian Angle)
Nhưng hãy nói về phía phe bò.
Các nhà phát triển của EigenLayer có thể đúng. Họ có thể đang tạo ra một cơ sở hạ tầng cho một kỷ nguyên mới của các ứng dụng phi tập trung.
Họ có thể giải phóng thanh khoản bị khóa trong ETH staking. Hiện tại, có hàng trăm ngàn ETH đang bị khóa trong các pool staking. EigenLayer cho phép số ETH đó 'đi làm việc' và kiếm thêm tiền.
Họ có thể tạo ra một 'lớp bảo mật toàn cầu' cho tất cả các dự án. Thay vì phải xây dựng cơ sở hạ tầng riêng, các dự án mới có thể tập trung vào sản phẩm của họ và mượn bảo mật từ Ethereum.
Nhưng tôi vẫn giữ vững lập trường của mình: Điều này chỉ hiệu quả nếu EigenLayer và các AVS của nó được thiết kế với một tầm nhìn về hệ thống, chứ không phải là một cơn sốt đầu cơ.
Những người xây dựng EigenLayer thực sự đang giải quyết một vấn đề cốt lõi: sự phân mảnh của bảo mật. Nhưng họ đang làm điều đó bằng cách tăng sự phức tạp của hệ thống lên một tầm cao mới. Và sự phức tạp đó chính là kẻ thù của bảo mật.
Tôi có thể đặt cược rằng trong vòng 6 tháng tới, sẽ có ít nhất một lỗi nghiêm trọng khác trong hệ sinh thái EigenLayer. Và nó sẽ không phải là lỗi của code. Nó sẽ là lỗi của thiết kế kinh tế. Một lỗi trong cách thức phân phối phần thưởng, hoặc cách thức xử lý slashing.
Khi thị trường sụp đổ, tôi sẽ không tham gia bán tháo. Tôi sẽ lặng lẽ mua ETH khi nó xuống dưới 2000. Bởi vì tôi biết rằng những câu chuyện thổi phồng sẽ tan biến, nhưng tài sản cơ bản vẫn còn đó.
Chỉ có hệ thống mới tồn tại. Còn những lớp ảo tưởng như EigenLayer có thể sẽ nuốt chửng những người đầu cơ thiếu hiểu biết. Và lịch sử sẽ lặp lại, như nó đã từng làm với ICO, DeFi, NFT.
Kết luận: (Takeaway)
EigenLayer không phải là một mảnh ghép xấu. Nó là một mảnh ghép nguy hiểm nếu không được đặt đúng chỗ. Nhưng trong tay của những kẻ đầu cơ, nó sẽ trở thành một vũ khí hủy diệt hàng loạt.
Bạn có muốn đặt cược rằng lần này là khác không? Tôi thì không. Các lỗi hệ thống sẽ không bao giờ thay đổi. Chúng chỉ thay đổi hình dạng.
Đây là những gì tôi muốn gửi đến bạn: Đừng nhìn vào APY. Đừng nhìn vào token. Hãy nhìn vào các lỗ hổng mà bạn không thấy. Bởi vì đó là nơi những kẻ săn mồi đang ẩn nấp.