Tôi vừa kết thúc audit một giao thức lending sử dụng AI để dự đoán giá thanh lý. Hợp đồng thông minh trông rất sạch. Mã nguồn được verify trên Etherscan. Documentation thì dày 50 trang. Họ gọi nó là "Neural Oracle v2".
Nhưng sau 72 giờ mổ xẻ, tôi phát hiện ra thứ mà họ không viết trong whitepaper: một cơ chế "oracle slippage" được tối ưu cho mục đích rửa tiền, không phải stability.
Tôi sẽ kể cho bạn nghe toàn bộ câu chuyện.
Context: Kỷ nguyên AI + DeFi
Năm 2026, câu chuyện "AI + Crypto" đang là hot trend. Mọi dự án đều nhét chữ "AI" vào tên để hút vốn. Từ decentralized compute cho đến AI oracle, tất cả đều hứa hẹn "thông minh hơn, nhanh hơn, an toàn hơn".
Giao thức này (tôi tạm gọi là NOLend) không ngoại lệ. Họ tuyên bố sử dụng mô hình học máy để dự đoán biến động giá thị trường, từ đó đưa ra quyết định thanh lý tự động với độ trễ thấp nhất.
Tôi được thuê audit với giá $15,000. Đây là lần thứ ba tôi audit một dự án AI. Cảm giác của tôi: càng ngày càng thấy nhiều lỗ hổng hơn.
Core: Phát hiện "Oracle Slippage"
Điều đầu tiên tôi làm là deploy toàn bộ smart contract lên testnet. Tôi chạy mô phỏng thanh lý với 100 kịch bản khác nhau. Kết quả: hệ thống hoạt động ổn.
Nhưng tôi không tin vào các bài test có sẵn. Tôi quyết định trace từng cuộc gọi oracle.
Cơ chế của NOLend: mỗi khi có biến động giá, oracle AI sẽ trả về một "giá điều chỉnh" dựa trên mô hình dự đoán. Thay vì dùng giá spot từ Chainlink, họ dùng giá "tương lai" do AI ước tính.
Nghe có vẻ thông minh. Nhưng thực tế: oracle này cho phép chủ sở hữu (admin) thay đổi tham số của mô hình AI mà không cần bất kỳ sự đồng thuận nào. Tôi tìm thấy một hàm có tên updateModelParameters() với quyền onlyOwner.
Tôi đào sâu hơn. Trong một phiên bản thử nghiệm, tôi phát hiện rằng tham số "slippage" của oracle có thể được set đến 10%. Nghĩa là: AI có thể báo cáo giá chênh lệch tới 10% so với thị trường thật, mà không bị phát hiện.
Kết hợp với quyền admin, kẻ tấn công có thể: 1. Thay đổi tham số để oracle báo giá thấp hơn khi một ví lớn sắp bị thanh lý. 2. Mua tài sản thanh lý với giá rẻ. 3. Sau đó, thay đổi tham số để oracle báo giá cao hơn, rút thanh khoản từ pool.
Đây không phải là lỗi kỹ thuật. Đây là backdoor có chủ ý.
Tôi kiểm tra lịch sử giao dịch của admin. Phát hiện: địa chỉ admin đã thực hiện các giao dịch test với số tiền nhỏ (khoảng 0.5 ETH) để kiểm tra cơ chế này. Mỗi lần thay đổi tham số, họ đều đặt một lệnh mua/bán tương ứng.
Điều này chứng tỏ team biết về backdoor và đã thử nghiệm nó.
Tôi viết một exploit chi tiết, gồm 10 bước, để chứng minh cách rửa tiền qua oracle này. Tôi gửi report cho team. Họ trả lời: "Đây là tính năng, không phải bug". Họ giải thích rằng tham số slippage dùng để điều chỉnh trong trường hợp thị trường biến động mạnh.
Nhưng tôi không mua. Tôi yêu cầu họ public mã nguồn của mô hình AI. Họ từ chối.
Contrarian: Phe bò có lý?
Dĩ nhiên, không phải tất cả đều xấu. Nếu NOLend thực sự muốn tối ưu hóa stability, việc có một oracle AI có thể dự đoán trước biến động là một lợi thế. Các giao thức lending hiện tại (Aave, Compound) sử dụng oracle spot, khiến họ dễ bị tấn công flash loan.
Nhưng vấn đề là: không có cơ chế kiểm soát nào cho mô hình AI. Nếu tham số được set bởi DAO hoặc một multisig đáng tin cậy, rủi ro sẽ giảm. Ở đây, admin toàn quyền thay đổi.
Hơn nữa, việc từ chối public mã AI càng làm tôi nghi ngờ. Trong crypto, "trust but verify" là nguyên tắc vàng. Nếu bạn không thể verify, bạn không nên trust.
Takeaway: Bài học cho cả ngành
Sau audit này, tôi publish một whitepaper critique với 10 exploits chi tiết. Nó gây ra tranh cãi lớn trong cộng đồng AI+Crypto. Một số người gọi tôi là FUDster. Nhưng tôi không quan tâm.
Vấn đề không nằm ở AI. Vấn đề nằm ở quyền lực không kiểm soát. Bất kỳ oracle nào có quyền thay đổi tham số sau triển khai đều là một backdoor tiềm năng.
Nếu bạn đầu tư vào một dự án AI + DeFi, hãy tự hỏi: ai kiểm soát mô hình? Làm thế nào để verify rằng oracle không bị thao túng? Nếu câu trả lời là "trust us", hãy chạy ngay lập tức.
Tôi vẫn chờ đợi ngày một AI oracle thực sự phi tập trung ra đời. Nhưng cho đến lúc đó, hãy nhớ: "smart" là cái vỏ, còn lỗ hổng mới là sự thật.
