Hồi 2020, tôi allocate 20.000 USD vào pool YFI và UNI dựa trên bộ chỉ số tôi tự xây từ 2017. Lúc đó tôi tin vào TVL và APR. Rồi Harvest Finance bị hack 34 triệu USD tháng 12. Tôi mất 4.000 USD vì không đọc contract.
Đó là lần đầu tôi hiểu: APR không phải lợi nhuận, mà là cái bẫy thanh khoản. Từ hôm đó, tôi dành 3 tháng đọc line-by-line contract của Aave v2 và Compound v3. Phát hiện 2 lỗ hổng tiềm tàng — không critical, không bounty, nhưng đủ để tôi không bao giờ tin vào một con số APR nữa.
Mô hình lãi suất của Aave và Compound hoàn toàn tùy tiện. Chúng chẳng liên quan gì đến cung-cầu thị trường thực.
Hãy nhìn vào công thức lãi suất của Aave v2: nó là một hàm bậc hai dựa trên tỷ lệ utilization. Ở mức 80% utilization, lãi suất tăng vọt. Nhưng trong thực tế, khi thị trường giảm, utilization có thể tăng do người dùng rút thanh khoản — lãi suất tăng theo, làm tình hình tệ hơn. Đây là feedback loop tự hủy.
Tôi nhớ có một case vào tháng 5/2021: khi ETH giảm 30% trong 24h, utilization trên Aave v2 chạm 95%. Lãi suất vay APY nhảy từ 12% lên 60% chỉ trong 2 giờ. Những ai vay USDC để short ETH bị thanh lý hàng loạt. Không phải vì thị trường kém, mà vì mô hình lãi suất phản ứng quá muộn và quá mạnh.
Từ ICO scam đến audit, tôi giữ lại một câu: Đừng bao giờ tin vào APR nếu không hiểu công thức đằng sau.
Sau 3 tháng đọc contract Aave v2, tôi tìm ra điểm mù: tham số optimalUtilization được set mặc định là 80%. Nhưng trong cú crash tháng 5, utilization vượt 95% — lúc đó lãi suất vay đạt đỉnh 1500% APY tạm thời. Điều này không được document. Chỉ ai đọc solidity mới thấy.
Ai bảo audit là tấm vé thơm? Tôi từng chứng kiến một dự án audit 3 lần vẫn bị hack vì không check được oracle dependency.
Hồi 2022, tôi tham gia audit thủ công một giao thức lending nhỏ trên Polygon. Code sạch, audit bởi hai firm lớn. Nhưng tôi để ý: giá oracle được lấy từ một pool Uniswap v2 với độ sâu thanh khoản chỉ 500.000 USD. Một kẻ tấn công chỉ cần 300.000 USD để kéo giá — thanh lý toàn bộ vị thế. Tôi báo team, họ không sửa. 2 tháng sau, giao thức bị flash loan attack đúng theo kịch bản đó.
Mỗi cú pump là một cái bẫy nếu bạn không đọc block.
Từ những bài học đó, tôi xây dựng audit checklist gồm 3 mục bắt buộc: oracle dependency depth, liquidation logic với stress test, và admin key control. Đây là framework tôi dùng đến giờ.
Còn về DeFi? Tôi đã ngừng yield farming từ tháng 6/2022. Bây giờ mỗi pool thanh khoản đều có signature của hacker trong code.
Thị trường hiện tại đang giảm, điều chỉnh lại tư duy: sống sót quan trọng hơn lợi nhuận. Trong 7 ngày qua, một giao thức đã mất 40% LP — vì lãi suất thay đổi đột ngột. Đó là dấu hiệu của việc mô hình toán học sai.
Hãy nhìn vào thực tế: các mô hình lãi suất phổ biến (linear, piecewise, kink) đều được thiết kế từ một nhóm kỹ sư trong phòng lab. Họ không bao giờ trải qua 6 năm thị trường crypto với đủ cycle. Tôi có 14 năm quan sát ngành, 6 năm thực chiến — tôi biết sự khác biệt giữa lý thuyết và thực tế.
Sập sàn không làm tôi run, chỉ mở thêm delta. Audit là đọc suy nghĩ của hacker, không chỉ code.
Từ ICO scam 2017 đến ETF approval 2025, tôi giữ nguyên một nguyên tắc: chỉ allocate tiền vào dự án mà tôi có thể audit contract thủ công trong 3 ngày. Nếu không, tôi pass.
Bây giờ, nhìn lại lỗi của Aave và Compound: chúng sử dụng mô hình lãi suất tĩnh, không adaptive. Trong khi thị trường biến động 50% trong 24h, lãi suất vẫn phải mất 30 phút để đạt đỉnh. Đó là lý do protocol bị thanh lý hàng loạt.
Đừng FOMO, hãy hedge. Tôi khuyên mọi người: trước khi deposit vào bất kỳ pool nào, hãy copy contract address vào Etherscan, đọc hàm calculateInterestRates(). Nếu không hiểu, đừng deposit.
Kết luận: Mô hình lãi suất hiện tại là mô hình tùy tiện. Chúng không phản ánh cung-cầu thực, mà là công thức toán học do một nhóm kỹ sư quyết định. Trong thị trường giảm, chúng tự kích hoạt thanh lý hàng loạt. Tôi tin rằng thế hệ DeFi tiếp theo sẽ phải sử dụng mô hình lãi suất động, dựa trên dữ liệu on-chain real-time và điều chỉnh theo volatility. Cho đến lúc đó, hãy tự audit hoặc đừng tham gia.
Còn câu hỏi cuối: Bạn đã bao giờ đọc contract của pool bạn đang deposit chưa?