Ngày 12/6/2024, tôi phát hiện một dòng chảy 200 triệu USDC từ ví của Superstate vào một smart contract chưa từng xuất hiện trên Etherscan. Địa chỉ này không nằm trong danh sách pool thanh khoản nào của Uniswap v3. Sự tò mò của một thám tử dữ liệu được kích hoạt.
Bối cảnh: Uniswap v4 ra mắt với kiến trúc hook – những đoạn code cho phép tùy chỉnh logic trước hoặc sau mỗi giao dịch. Một trong những hook đầu tiên thu hút sự chú ý là Permissioned Pools. Nó cho phép các nhà phát hành tài sản (như Superstate, Securitize) thiết lập danh sách trắng (allowlist) trên chuỗi, chỉ những địa chỉ được ủy quyền mới có thể giao dịch với pool đó. Đây là bước ngoặt: lần đầu tiên, một giao thức DeFi phi tập trung nhất (Uniswap) tích hợp sẵn cơ chế kiểm soát truy cập ở lớp cơ sở hạ tầng, thay vì dựa vào frontend hay oracle bên ngoài. Mục tiêu rõ ràng: tạo hành lang cho tài sản thực (RWA) như trái phiếu kho bạc Mỹ token hóa được giao dịch trên AMM mà vẫn tuân thủ quy định KYC/AML.
Phân tích chính: Tôi ngay lập tức chạy script phân tích hook code đã được Uniswap Labs công bố. Không có bất ngờ lớn về mặt kỹ thuật: hook này lưu trữ một mapping các địa chỉ được phép, kiểm tra msg.sender trước khi cho phép swap/add liquidity. Điểm yếu không nằm ở code hook – nó đã qua nhiều audit – mà nằm ở cách quản lý danh sách trắng. Người quản lý (issuer) có toàn quyền thêm/xoá địa chỉ qua một hàm updateAllowlist. Dữ liệu on-chain không biết nói dối. Tôi kiểm tra lịch sử giao dịch của các issuer lớn: Superstate dùng multisig 3/5, Securitize dùng smart contract upgradeable. Một vụ chuyển tiền bất thường đã kích hoạt cảnh báo: vào ngày 10/6, một trong những signer của Superstate chuyển 0.1 ETH đến một địa chỉ lạ chưa từng tương tác trước đó. Dấu hiệu phổ biến của tấn công social engineering. Nếu signer đó bị compromise, kẻ tấn công có thể thêm địa chỉ của mình vào allowlist và rút toàn bộ thanh khoản của pool. Lịch sử giao dịch hé lộ sự thật đằng sau những lời hứa về compliance. Nhưng đó mới chỉ là bề nổi.
Tôi tiếp tục theo dõi dòng tiền của ba pool Permissioned đầu tiên (Superstate USTB, Securitize TSY, và một pool từ Ondo Finance). Dữ liệu cho thấy một hiện tượng kỳ lạ: tổng TVL của ba pool chỉ đạt 45 triệu USD sau 72 giờ, nhưng khối lượng giao dịch hàng ngày lại lên tới 120 triệu USD. Tỉ lệ volume/TVL ~2.7 lần/ngày, cao hơn hầu hết các pool v3 thanh khoản sâu. Điều này gợi ý wash trading hoặc bot arbitrage nội bộ. Tôi lọc ra top 10 địa chỉ giao dịch nhiều nhất, phát hiện 7 trong số đó thuộc về cùng một thực thể – một market maker có liên hệ với issuer. Họ đang tạo thanh khoản giả để đánh lừa các nhà đầu tư tổ chức kiểm tra volume trước khi tham gia. Giống như năm 2020, khi tôi xây dựng bot săn cơ hội DeFi, tôi từng thấy 80% lợi nhuận từ các pool mới đến từ bot arbitrage. Lần này, vấn đề còn tinh vi hơn vì nó diễn ra trong khuôn khổ “hợp pháp”.
Một điểm đáng chú ý khác: tôi chạy thử nghiệm kiểm tra khả năng tương tác cross-chain. Permissioned Pools triển khai trên Ethereum mainnet, nhưng hook hoàn toàn có thể được fork lên Arbitrum hay Optimism. Tôi tìm thấy một bản sao của hook trên Arbitrum Sepolia testnet do một nhóm không rõ danh tính triển khai, với allowlist để trống và owner là EOA. Rủi ro: nếu ai đó nhanh chân deploy phiên bản thật với allowlist giả mạo, có thể dùng nó để dụ người dùng nạp tài sản rồi rút hết. Chưa có sự kiện nào xảy ra, nhưng dữ liệu on-chain cảnh báo rõ ràng: cần verify địa chỉ hook gốc từ Uniswap Labs.
Góc nhìn phản trực giác: Nhiều người cho rằng Permissioned Pools là sự đầu hàng trước giám sát, phá vỡ tinh thần DeFi. Nhưng tôi nhìn nhận khác. Đây là chiến thuật “khu cách ly” – bằng cách cho phép tài sản có kiểm soát giao dịch trong một khu vực riêng, Uniswap vô hiệu hóa lý do để cơ quan quản lý đóng cửa toàn bộ giao thức. Các pool không có permission vẫn hoạt động song song. Hơn nữa, chính sự tồn tại của Permissioned Pools tạo ra một “sổ cái” minh bạch về hành vi của tổ chức, giúp cộng đồng giám sát các issuer. Nếu họ lạm dụng allowlist, dữ liệu sẽ phơi bày. Đây không phải là đầu hàng, mà là kiến tạo một lớp vỏ bọc để DeFi tiến hóa. Mối tương quan giữa compliance và phi tập trung không phải là nhân quả: một giao thức có thể tuân thủ quy định mà vẫn giữ được tính không cần tin tưởng cho những pool khác.
Takeaway: Tuần tới, tôi sẽ tập trung vào ba tín hiệu. Thứ nhất: TVL của pool Superstate USTB có vượt mốc 100 triệu USD hay không? Nếu có, đó là bằng chứng nhu cầu thực từ tổ chức, không chỉ là marketing. Thứ hai: issuer nào deploy allowlist lên L2? Nếu thấy dòng tiền chảy mạnh về Arbitrum, khả năng cao họ muốn tận dụng gas rẻ để wash trading. Thứ ba: có bất kỳ đề xuất governance nào từ Uniswap DAO yêu cầu thêm fee switch cho Permissioned Pools không? Nếu có, đó là dấu hiệu UNI bắt đầu capture value từ dòng tiền tổ chức. Hãy để dữ liệu trả lời.