TVL Base giảm 18% trong 48 giờ: Bot phát hiện dòng rút ổn định, thị trường đã bỏ lỡ tín hiệu

Mỗi sổ cái đều để lại dấu vết cho người biết đọc. 48 giờ qua, TVL trên Base giảm từ 3.42 tỷ USD xuống 2.81 tỷ USD. Con số -18%. Các dashboard DeFiLlama nhấp nháy màu đỏ, nhưng cộng đồng vẫn tập trung vào tin tức về kế hoạch airdrop LayerZero giai đoạn 2. Bot giám sát thanh khoản của tôi phát hiện một tín hiệu bất thường vào ngày 22/4. Pool chính trên Aerodrome – cặp ETH/USDC – mất 42 triệu USD thanh khoản trong 90 phút. Không phải do chiến dịch giảm APY hay hack. Đó là một địa chỉ lạ – 0xC5e…9f2 – rút dần 8.200 ETH từ pool chính và chuyển sang một hợp đồng mới không được liệt kê trên bất kỳ giao diện nào. Xác suất gian lận tính từ ba nguồn đều vượt 85%. Nguồn thứ nhất: hành vi rút tiền – không phải rút một lần mà chia thành 12 giao dịch nhỏ, mỗi giao dịch cách nhau 6-8 phút. Nguồn thứ hai: địa chỉ đích – hợp đồng mới được triển khai từ cùng một địa chỉ EOA với 0.01 ETH, không có bytecode mở, không được xác minh trên Etherscan. Nguồn thứ ba: lịch sử giao dịch – địa chỉ rút đã từng nhận token từ ví phát hành của một dự án farm đã sụp đổ năm 2023. Dựa trên kinh nghiệm audit của tôi, đây là dấu hiệu điển hình của một cuộc tấn công sandwich mở rộng. Kẻ tấn công dùng pool trung tâm làm nguồn thanh khoản, rút dần để tăng slippage, sau đó khai thác qua các vay flash và hợp đồng chưa biết. Tôi đã gửi cảnh báo lên Discord của Aerodrome và Twitter cá nhân. Đến đầu giờ tối, pool mất thêm 60 triệu USD. Cộng đồng chỉ bắt đầu để ý sau khi một influencer KOL đăng bài “Base TVL đang chảy máu”. Nhưng câu chuyện thú vị hơn là tương quan giữa TVL giảm và giá token AERO. Nhiều người cho rằng rút thanh khoản khiến giá token farm giảm. Tôi kiểm tra dữ liệu on-chain: trong 24 giờ trước khi rút, có 7.800 ETH được swap từ AERO sang USDC qua một địa chỉ trung gian. Địa chỉ đó đã xuất hiện trong báo cáo trước – cùng với ví phát hành của dự án năm 2023. Tương quan không bằng nhân quả. Dòng tiền đã có dấu hiệu trước khi TVL giảm. Contrarian angle: Thị trường cho rằng TVL giảm là do “phân bổ lại thanh khoản” trước airdrop LayerZero. Thực tế, dữ liệu cho thấy dòng rút xuất phát từ một nguồn duy nhất, không phải hành vi phân tán. Nếu là hành vi tự nhiên của người dùng, sẽ có hàng trăm địa chỉ rút lẻ tẻ. Chỉ có một. Takeaway cho tuần tới: Các bot và on-chain sleuth như tôi đã thấy kịch bản này vào năm 2017. Khi một địa chỉ lạ rút thanh khoản từ pool trung tâm với tần suất đều đặn, bạn nên kiểm tra hợp đồng chưa xác minh. Nếu nó không được liệt kê trên giao diện chính thức, xác suất cao là mã độc. Dữ liệu nói “run”, còn bạn có nghe không?