RareApe Việt Nam: Khi code không nói dối, nhưng người deploy thì có
Đặng Phúc
Không deploy chính là một deploy vụng về.
Tháng 4 năm 2025, tôi nhận được một tip từ một người dùng ẩn danh qua Telegram: một dự án NFT tên “VietMonkey” vừa presale xong, floor price đang lao dốc. Tôi mở Etherscan, trace luồng tiền từ hợp đồng presale. 70% ETH (khoảng 420 ETH) đã được chuyển vào ba ví cá nhân trong vòng một tuần. Tôi viết thread 15 tweet, công bố hash giao dịch, thời gian, số dư. Floor price giảm 90% trong hai giờ. Team im lặng và biến mất. Bài thread đạt 50k lượt share. Đó là năm 2021. Bây giờ là 2025, và câu chuyện lặp lại với một biến thể mới: dự án “Lotus Finance” – một yield farming protocol trên BSC, do team Việt Nam phát triển, hứa hẹn APY 2000%.
Bối cảnh: thị trường đi ngang, TVL DeFi sụt giảm, các dự án mới vật lộn thu hút thanh khoản. Lotus Finance xuất hiện vào tháng 6, fork từ PancakeSwap với một lớp “auto-compounding” và tokenomics kiểu rebase. Họ có website đẹp, audit từ một công ty không tên tuổi, và một loạt KOL Việt Nam quảng cáo. Tổng TVL đạt 12 triệu USD trong ba tuần. Tôi bắt đầu nghi ngờ khi thấy contract không có hàm disable trading, và owner có quyền mint token unlimited. Bằng chứng nằm ở những gì họ cố tình quên deploy.
Core: Tôi mở BscScan, kiểm tra mã nguồn của hợp đồng chính – LotusFarm.sol. Dòng 142: function harvest() public onlyOwner { ... }. Chỉ owner mới có thể harvest phần thưởng. Một dòng revert là đủ. Tôi trace tiếp: ví deployer (0xabc...123) đã nhận 5 triệu token LOTUS ngay sau khi deploy, sau đó chuyển sang ba ví phụ. Các ví này bắt đầu dump trên PancakeSwap trong các lệnh nhỏ, tạo thanh khoản giả. Tôi viết script Python để phân tích mẫu giao dịch: 85% các lệnh swap từ những ví mới tạo, không có lịch sử, thời gian giữa các lệnh dưới 30 giây. Đây là wash trading có tổ chức. Hợp đồng có upgrade? Có nghĩa là có trap door. Tôi kiểm tra proxy: contract có hàm upgradeTo(address) không được bảo vệ. Bất kỳ ai có private key của proxy admin đều có thể thay thế logic contract. Ví deployer rỗng? Thường là sắp biến mất. Đúng vậy, sau khi tôi publish thread, contract bị selfdestruct, toàn bộ TVL mất.
Contrarian: Phe bò sẽ nói: “Đây chỉ là một dự án non, không đại diện cho toàn bộ blockchain Việt Nam.” Tôi đồng ý. Nhưng chính xác vì nó non mà nó nguy hiểm. Cộng đồng Việt Nam có tinh thần “ăn xổi” mạnh, dễ bị dụ bởi APY ảo. Những dự án như Lotus Finance khai thác lòng tin vào đồng hương. Tôi từng thấy điều này ở RareApe, nhưng lần này nó tinh vi hơn: họ fake audit, fake KOL, và thậm chí tạo cả group Telegram với 10k thành viên bot. Code không nói dối, nhưng người deploy thì có. Điểm mù của phe bò là họ tin vào “cộng đồng” hơn là vào bytecode. Một bài học đắt giá.
Takeaway: Mỗi lần tôi trace một dự án rug, tôi lại thấy cùng một pattern: sự vội vàng, lòng tham, và sự thiếu trách nhiệm. Cắt dây gas fee, lộ đuôi scam. Đã kiểm tra. Không phải lỗi, là ý đồ. Bạn có tiếp tục đầu tư vào những dự án “made in Vietnam” mà không kiểm tra mã nguồn? Hay bạn sẽ tự hỏi: “Ai đang đứng sau hợp đồng này?” Câu hỏi đó, tôi để lại cho bạn.