DeFi APY: Khi TVL là ảo ảnh và con số biết nói dối
Hook
Một giao thức lending trên Arbitrum vừa công bố TVL đạt 2,3 tỷ USD, APY cho stablecoin lên tới 45%. Trong vòng 48 giờ, token của nó tăng 80%. Ba tuần sau, TVL giảm 90%, token mất 70% giá trị, và nhà đầu tư lẻ không kịp rút tiền. Không có hack. Không có lỗi hợp đồng. Chỉ có một thứ: math — thứ mà số đông cố tình quên.
Context
Chúng ta đang sống trong chu kỳ giảm của thị trường crypto. Khi BTC và ETH trượt dài, các dự án DeFi không có doanh thu thực lại trở nên hấp dẫn hơn bao giờ hết bởi những con số APY khủng. Nhưng có một sự thật ngược đời: APY càng cao, càng ít khả năng đó là lợi nhuận thực.
TVL (Total Value Locked) là thước đo được mọi người dùng để đánh giá sức khỏe của một giao thức. Nhưng TVL chỉ cho bạn biết bao nhiêu tiền đang ở trong hợp đồng, chứ không cho bạn biết bao nhiêu trong số đó là tiền thật và bao nhiêu đến từ chính đội ngũ dự án bơm vào.
Hãy nhìn vào lịch sử: năm 2020-2021, hàng loạt dự án yield farming với APY 1000%+ đã sụp đổ ngay sau khi lượng phát thải token giảm. Năm 2022, Terra/Luna — câu chuyện về APY 20% từ Anchor Protocol — đã dạy cho cả thị trường một bài học đắt giá. Vậy mà đến nay, mô hình ‘in token → trả lãi → kéo TVL → tăng giá token → in thêm’ vẫn đang được tái sử dụng như một công thức ma thuật.
Core: Mổ xẻ cấu trúc lừa đảo APY
1. Nguồn gốc của APY: Doanh thu thật hay in tiền?
Khi một giao thức lending cung cấp APY 45% cho stablecoin, bạn phải tự hỏi: Ai trả khoản lãi đó? Nếu là từ phí giao dịch hoặc lợi nhuận cho vay thực, hãy kiểm tra doanh thu hàng ngày của giao thức. Nếu tổng doanh thu chỉ bằng 1/10 số lãi phải trả, thì 9/10 còn lại đến từ đâu? Câu trả lời duy nhất: từ việc in thêm token và bán cho người dùng mới — một chu trình Ponzi kinh điển.
Tôi đã kiểm toán một dự án như vậy vào năm 2023. Hợp đồng của họ có một hàm mintReward không giới hạn, được kích hoạt mỗi khi người dùng claim lãi. Đội ngũ nói đó là "inflationary reward mechanism" – cái tên nghe hay nhưng bản chất là in tiền trả lãi. Tôi phát hiện ra rằng nếu tất cả người dùng cùng rút một lúc, hợp đồng sẽ không đủ thanh khoản. Họ đã sửa lỗi đó… bằng cách thêm một tham số maxWithdraw giới hạn 10% TVL mỗi ngày. Đúng vậy, họ biến nó thành một cái bẫy rút tiền chậm.
2. TVL ảo: Khi đội ngũ tự chơi với chính mình
Không có gì dễ hơn việc tạo TVL ảo. Một đội ngũ có thể deploy hàng trăm ví, mỗi ví deposit 100 ETH từ quỹ riêng, sau đó dùng số ETH đó để đi vay, tạo ra hiệu ứng đòn bẩy. Kết quả: TVL hiển thị trên bảng điều khiển là 200 ETH, nhưng thực tế chỉ có 100 ETH đến từ bên ngoài. Phần còn lại là vòng lặp giữa các ví nội bộ.
Tôi từng trace một giao thức trên BNB Chain. Bằng cách phân tích on-chain, tôi thấy 70% số lượng giao dịch deposit đến từ 3 địa chỉ duy nhất, tất cả đều được tài trợ bởi cùng một địa chỉ deployer. TVL ghi nhận 500 triệu USD, nhưng dòng tiền thực từ người dùng mới chỉ là 150 triệu. Còn lại là tiền của team tự xoay vòng. Khi APY bắt đầu giảm, các ví đó rút tiền ngay lập tức, khiến TVL sụp đổ và người dùng thật mắc kẹt.
3. Cơ chế ‘rug pull mềm’ qua APY giảm dần
Một biến thể tinh vi hơn là ‘APY decay schedule’. Dự án hứa APY 1000% trong tháng đầu, 500% tháng hai, 200% tháng ba… Điều này tạo cảm giác ‘có kế hoạch’, nhưng thực chất là để kéo dài thời gian cho team dump token. Người dùng FOMO vào sớm, kiếm lãi token, nhưng giá token giảm dần do lượng phát thải lớn. Cuối cùng, người đến sau gánh chịu toàn bộ thiệt hại. Đây là Ponzi có lịch trình.
Tôi đã phân tích một dự án như vậy trên Polygon: APY giảm 10% mỗi tuần, token giảm giá 15% mỗi tuần. Người dùng tính toán rằng nếu stake từ đầu, họ vẫn lời, nhưng thực tế do giá giảm nhanh hơn APY, họ lỗ. Dự án thu về 50 triệu USD phí vào những ngày đầu, sau đó biến mất.
4. Cross-chain: nơi kẻ tấn công chơi cờ ba chiều
Các giao thức cross-chain farming là mảnh đất màu mỡ nhất cho lừa đảo APY. Bởi vì người dùng khó kiểm tra thanh khoản thực sự trên mỗi chain. Một dự án có thể khoe TVL 1 tỷ USD trên 5 chain, nhưng mỗi chain chỉ có 200 triệu, và trong đó một nửa là token của chính dự án. Cầu nối cross-chain thường có độ trễ thông tin, cho phép team tạo ảo giác thanh khoản trước khi kéo thảm.
Cross-chain: nơi kẻ tấn công chơi cờ ba chiều. Bạn không thể nhìn thấy toàn bộ bàn cờ nếu chỉ nhìn vào một chain. Tôi từng mất 2 tháng để lần ra dấu vết của một vụ rug pull qua 4 chain, với 12 hợp đồng trung gian. Đích đến cuối cùng là một địa chỉ trên Ethereum đã được rửa qua Tornado Cash.
Contrarian: Phần phe bò đúng
Dù vậy, không phải tất cả các dự án có APY cao đều là lừa đảo. Một số giao thức thực sự tạo ra doanh thu từ phí giao dịch, phí thanh lý, hoặc từ việc cung cấp dịch vụ tài chính phi tập trung. Ví dụ: các giao thức lending như Aave hay Compound có APY dao động 2-5% vào thời điểm thị trường yên ắng, nhưng khi thị trường biến động, APY có thể tăng vọt lên 20-30% do nhu cầu vay margin. Đó là APY thực — đến từ cung cầu thị trường, không phải từ in token.
Phe bò sẽ nói: "Hãy nhìn vào doanh thu thực tế, số lượng người vay thực, tỷ lệ thanh lý. Đó mới là thước đo." Họ đúng. Nhưng vấn đề là phần lớn người dùng không đọc audit, không trace mã nguồn, không kiểm tra ví deployer. Họ chỉ nhìn vào con số APY và TVL.
Takeaway
APY không phải là lợi nhuận, TVL không phải là sự tin tưởng. Trong thị trường giảm, khi mọi thứ đều đỏ, những con số xanh rực rỡ từ các dự án ‘yield’ thường là bẫy. Tôi không nói bạn đừng tham gia DeFi. Tôi nói: trước khi deposit, hãy dành 30 phút để đọc hợp đồng, xem lịch sử phát thải token, kiểm tra xem ai đứng sau. Nếu bạn không làm được, hãy tưởng tượng bạn đang đưa tiền cho một người lạ trên phố hứa trả lãi 45% mỗi tháng. Có tin không?
Câu hỏi cuối cùng: Bao nhiêu phần trăm trong số những người đọc bài này sẽ thực sự kiểm tra on-chain trước khi đầu tư tiếp? Tôi cá là dưới 5%. Và đó là lý do thị trường này vẫn còn nhiều cơ hội cho những ai chịu khó đào sâu.