Hook
21h tối qua, MegaLayer chính thức công bố vòng Series A trị giá 100 triệu USD do a16z và Paradigm dẫn đầu. Token chưa launch, nhưng điểm nóng đã xuất hiện. Tôi mở block explorer ra kiểm tra hợp đồng của họ – và phát hiện một điều khiến tôi phải dừng lại.
Context
MegaLayer là một Layer 2 ZK-Rollup được quảng cáo là “giải pháp mở rộng cho DeFi thế hệ mới”. Họ hứa hẹn TPS 50.000, phí gần như bằng 0. Đội ngũ gồm 3 cựu kỹ sư từ StarkWare và một PhD về mật mã. Thị trường đang trong giai đoạn tăng, memecoin và AI agent đang làm mưa làm gió, nhưng những dự án “fundamental” như MegaLayer mới thực sự thu hút dòng tiền lớn từ các quỹ. Cộng đồng Việt Nam cũng xôn xao: nhiều người đã mua OTC token với giá 0.5 USD, kỳ vọng x10 khi lên sàn.
Core
Tôi đọc contract chính của MegaLayer – một proxy với implementation có thể nâng cấp. Vấn đề nằm ở hàm initialize trong contract MegaLayerCore.sol. Hàm này không có modifier onlyInitializing đúng cách, và quan trọng hơn: nó cho phép bất kỳ ai gọi lại sau khi triển khai nếu chưa gọi initialize lần đầu. Điều này tạo ra một attack vector: kẻ tấn công có thể chiếm quyền kiểm soát contract bằng cách gọi initialize trước owner thật, sau đó set mình làm admin. Đây là lỗi kinh điển của mô hình proxy – từng xảy ra với nhiều dự án DeFi năm 2021.
Tôi kiểm tra thêm deploy script. Họ dùng hardhat-deploy nhưng không có bước verify rằng initialize đã được gọi trong cùng một transaction với deployment. Trong testnet, họ deploy và gọi initialize riêng rẽ. Điều này có nghĩa là nếu ai đó front-run transaction initialize, toàn bộ contract sẽ thuộc về họ.
Không dừng lại ở đó. Tôi tra cứu dữ liệu on-chain testnet của họ. Có một transaction thất bại vào ngày 12/10 – ai đó đã thử gọi initialize trước, nhưng fail vì contract chưa được deploy? Không đúng: họ deploy lúc 13h, transaction tấn công lúc 13h02. Rõ ràng là có người đã phát hiện nhưng chưa kịp. Nếu tôi không audit kỹ, chắc chắn đây là “bom nổ chậm” khi mainnet launch.
Contrarian
Hầu hết các bài phân tích hiện tại đều tung hô MegaLayer vì đội ngũ mạnh, quỹ lớn, và công nghệ ZK tiên tiến. Nhưng điều họ bỏ qua: 100 triệu USD đến từ marketing, không phải từ bảo mật. Đội ngũ này từng làm việc với các dự án lớn, nhưng áp lực thị trường tăng khiến họ phát hành nhanh, cắt bước audit. Tôi có kinh nghiệm từ vụ Harvest Finance 2020: mất 2 ETH vì tin vào “thương hiệu”. Lần này, MegaLayer chưa từng công bố audit từ bất kỳ công ty nào có tiếng. Họ chỉ nói “đã audit nội bộ”. Trong thị trường tăng, FOMO che mờ lý trí. Các quỹ đầu tư cũng không có thời gian – họ chỉ nhìn vào team và valuation.
Takeaway
Tôi sẽ theo dõi MegaLayer vào ngày mainnet launch (dự kiến 15/11/2025). Nếu họ không khắc phục lỗ hổng initialize này, tôi cá rằng sẽ có một hack ngay trong 24 giờ đầu. Còn nếu họ fix, thì đó là một tín hiệu cho thấy họ thực sự hiểu rủi ro. Dù sao, tôi không mua OTC. Còn bạn, bạn có dám đặt cược vào “bom nổ chậm” không?
