Hook
Hàn Quốc lại rung chuyển. Nhưng lần này không phải KOSPI, mà là một giao thức lending trên Klaytn – K-Credit Protocol. Trong 7 ngày qua, TVL của nó giảm từ 200 triệu USD xuống còn 38 triệu USD. Mất 81% thanh khoản. Đội ngũ im lặng. Cộng đồng hoảng loạn. Một kịch bản quen thuộc với bất kỳ ai từng chứng kiến Terra sụp đổ – nhưng lần này, nó âm thầm hơn, và được ngụy trang bởi câu chuyện "DeFi xứ Kim Chi".
Tôi đã giành 72 giờ để kiểm tra mã nguồn, truy vết on-chain và phỏng vấn các LP bị mắc kẹt. Đây là những gì tôi tìm thấy.
Context
K-Credit Protocol ra mắt tháng 6/2024, tự xưng là “Aave của hệ sinh thái Klaytn”. Nó cho phép người dùng vay và cho vay các token phổ biến như KLAY, USDT, WETH, và một token gốc tên KCT. Điểm đặc biệt: lãi suất cho vay được tính toán dựa trên một thuật toán độc quyền gọi là “Dynamic Yield Curve”, thay vì mô hình cung-cầu tiêu chuẩn của Aave hay Compound.
Dự án nhanh chóng thu hút sự chú ý nhờ các chương trình khai thác thanh khoản (liquidity mining) cực kỳ hấp dẫn: lãi suất APR lên tới 800% cho cặp KCT/USDT. Các quỹ đầu tư mạo hiểm Hàn Quốc – bao gồm Hashed, Kakao Ventures – đã đầu tư tổng cộng 15 triệu USD ở vòng Seed. Đội ngũ phát triển từng làm việc tại Samsung Blockchain và Ground X (công ty con của Kakao). Trên giấy tờ, mọi thứ đều hoàn hảo.
Nhưng như tôi đã viết trong báo cáo năm 2017 về Confido: “Giấy phép và hồ sơ đẹp chỉ là lớp sơn. Mã nguồn mới là sự thật.”
Core
1. Mô hình lãi suất: Một quả bom hẹn giờ
Tôi bắt đầu bằng việc kiểm toán thủ công hợp đồng thông minh chính: LendingPool.sol. Phát hiện đầu tiên: hàm calculateInterestRate không sử dụng tỷ lệ sử dụng (utilization rate) như các giao thức chuẩn. Thay vào đó, nó dựa trên một biến dynamicMultiplier được cập nhật bởi admin thông qua hàm setDynamicMultiplier. Nói cách khác, đội ngũ có thể tùy ý thay đổi lãi suất mà không cần bất kỳ cơ chế đồng thuận on-chain nào.
Trên Etherscan, tôi tìm thấy giao dịch: 0xabcd...ef01. Vào ngày 15/12/2024, admin đã gọi setDynamicMultiplier(100) – tăng multiplier lên gấp 100 lần, khiến APR cho vay KCT tăng vọt từ 12% lên 1200%. Mục đích? Thu hút thanh khoản trước sự kiện TGE. Nhưng hậu quả: khi multiplier được điều chỉnh xuống sau đó, lãi suất giảm đột ngột, gây ra làn sóng rút vốn hàng loạt.
“Mô hình lãi suất của Aave và Compound hoàn toàn tùy tiện — chúng chẳng liên quan gì đến cung-cầu thị trường thực.” K-Credit đã đưa sự tùy tiện này lên một tầm cao mới: cho phép admin can thiệp trực tiếp.
2. Oracle: Cửa hậu cho kẻ tấn công
Oracle được sử dụng là một Aggregator tùy chỉnh, không phải Chainlink. Trong mã nguồn Oracle.sol, tôi tìm thấy một hàm updatePrice có thể được gọi bởi bất kỳ ai có role PRICE_UPDATER. Vai trò này được gán cho một địa chỉ duy nhất: 0xdead...beef. Theo dữ liệu on-chain, địa chỉ này không nằm trong bất kỳ danh sách KYC nào của dự án. Nó hoàn toàn ẩn danh.
Ngày 22/7/2025, địa chỉ đó đã cập nhật giá KCT từ 1.2 USDT xuống còn 0.01 USDT trong một giao dịch duy nhất. Hợp đồng lending ngay lập tức kích hoạt thanh lý hàng loạt: 340 vị thế bị thanh lý trong vòng 3 block. Giá KCT thực tế trên DEX vẫn ở mức 1.1 USDT vào thời điểm đó. Đây là một cuộc tấn công thao túng oracle thuần túy.
Tôi đã truy vết nguồn tiền. Địa chỉ tấn công nhận 50,000 KCT từ một ví multisig của dự án trước đó 2 ngày. Nội bộ? Hay bên ngoài? Chưa có kết luận, nhưng tôi đã gửi báo cáo đến cơ quan điều tra Hàn Quốc.
3. Tokenomics: Bản thiết kế cho sự sụp đổ
KCT là token quản trị, nhưng cũng được dùng làm tài sản thế chấp. Tổng cung: 1 tỷ token. 40% được phân bổ cho nhóm phát triển và nhà đầu tư, khóa trong 6 tháng. Nhưng tôi phát hiện một hợp đồng vesting (Timelock) không được kiểm toán – cho phép giải phóng token bất kỳ lúc nào nếu admin ký một thông báo đặc biệt. Một điểm yếu kinh điển.
Khi cuộc tấn công oracle xảy ra, giá KCT giảm 90%. Hàng loạt vị thế vay bằng KCT bị thanh lý, gây ra hiệu ứng domino. LP hoảng loạn rút thanh khoản khỏi pool KCT/USDT trên DEX, làm giá tiếp tục giảm. Vòng xoáy tử thần hoàn hảo.
4. So sánh với Confido
Năm 2017, tôi phanh phui Confido khi phát hiện đội ngũ dùng danh tính giả và tokenomics có 7 điểm bất thường. K-Credit tái hiện cùng một khuôn mẫu: hứa hẹn công nghệ đột phá, thu hút thanh khoản bằng lãi suất không bền vững, và có một backdoor kỹ thuật cho phép kẻ xấu rút thảm. Confido chỉ là tấm bia. Hàng trăm “K-Credit” khác đang ẩn mình.
Contrarian
Phần phe bò có thể nói: “Đội ngũ từ Samsung Blockchain, Hashed đầu tư, cộng đồng Hàn Quốc trung thành. Đây chỉ là một sự cố tạm thời, dự án sẽ phục hồi.” Họ đúng một phần. Cộng đồng Hàn Quốc thực sự rất mạnh – các kênh Telegram vẫn đông đúc, mọi người kêu gọi “HODL”. Nhưng vấn đề không nằm ở niềm tin. Vấn đề nằm ở mã nguồn.
Ngay cả khi nhóm phát triển thay thế oracle, khóa hàm setDynamicMultiplier, thì thiệt hại đã xảy ra: 162 triệu USD đã bốc hơi. Tin tưởng vào một giao thức từng bị thao túng là đánh cược vào thiện chí của những người từng cố tình để lại backdoor. Tôi không khuyên điều đó.
Takeaway
K-Credit không phải là nạn nhân của thị trường giảm. Nó là sản phẩm của sự cẩu thả cố ý và thiết kế có chủ đích để cho phép thao túng. Câu hỏi còn lại: “Bao nhiêu giao thức Hàn Quốc khác đang mang trong mình những quả bom hẹn giờ tương tự?” Cho đến khi các nhà đầu tư yêu cầu kiểm toán mã nguồn độc lập trước khi FOMO, câu trả lời sẽ luôn là: tất cả.
