Một DEX Việt Nam bị rút thanh khoản 40% trong 1 giờ: Phân tích on-chain từ Data Detective

Vào lúc 14:23 ngày 22/07/2025, bot giám sát của tôi ghi nhận một bất thường: pool USDT/VNDC trên MekongSwap mất 43% thanh khoản chỉ trong 48 phút. Xác suất hành động có chủ đích tính từ ba nguồn dữ liệu độc lập vượt 92%. Đây không phải lần đầu tôi thấy kịch bản này — năm 2017, tôi đã mất 6 tháng để phân tích 20 ICO và phát hiện 12 trong số đó có dòng tiền bất thường tương tự. Khi đó, công ty tôi bỏ qua cảnh báo. Kết quả là 10 ICO sụp đổ, gây thiệt hại 15 triệu USD. Từ bài học đó, tôi xây dựng bot Python theo dõi thanh khoản Uniswap v2 vào năm 2020. Bot đó đã cứu tôi khỏi vụ tấn công pool YFI/WETH. Và hôm nay, bot lại reo lên cho một dự án Việt Nam. MekongSwap là một DEX hoạt động trên blockchain riêng có tên Mekong Chain, ra mắt đầu năm 2025 với TVL đạt 100 triệu USD nhờ các chương trình liquidity mining hấp dẫn. APY một số pool lên tới 200%. Nhưng dựa trên kinh nghiệm audit của tôi, APY thanh khoản về cơ bản là dự án bù đắp cho con số TVL — dừng incentive và người dùng thực sự sẽ biến mất. Sự kiện hôm nay cho thấy điều đó. Trước khi rút thanh khoản, pool USDT/VNDC có TVL 42 triệu USD. Chỉ trong 48 phút, nó giảm xuống 24 triệu USD. Địa chỉ rút chính: 0x3f…a7b2. Tôi đã theo dõi địa chỉ này từ 3 tuần trước, nó nhận tiền từ sàn Binance và sau đó thực hiện hàng loạt giao dịch nhỏ để tránh bị chú ý. Mỗi sổ cái đều để lại dấu vết cho người biết đọc. Phân tích dữ liệu on-chain cho thấy một chuỗi giao dịch tinh vi. Địa chỉ 0x3f…a7b2 đã rút thanh khoản qua 5 hợp đồng thông minh khác nhau, mỗi hợp đồng xử lý khoảng 3-4 triệu USD. Các giao dịch được thực hiện gần như đồng thời, với thời gian chênh lệch không quá 2 giây. Điều này chỉ có thể thực hiện bằng bot tự động. Tôi đã truy vết dòng tiền sau khi rút: 70% số VNDC được chuyển đổi sang USDT qua một aggregator, sau đó rút về Binance. Số còn lại được chuyển vào một địa chỉ ví lạnh chưa từng xuất hiện trước đây. Xác suất đây là một cuộc tấn công có tổ chức rất cao. Năm 2021, tôi đã từng phân tích 80% khối lượng giao dịch NFT đến từ wash trading — kịch bản tương tự về mặt kỹ thuật: người trong cuộc tạo ra thanh khoản giả để thu hút vốn, sau đó rút sạch. Góc nhìn phản trực giác: Nhiều người cho rằng đây là do cá voi rút vốn vì thị trường giảm, nhưng dữ liệu cho thấy trước đó đã có dấu hiệu wash trading từ chính địa chỉ đó. Trong 2 tuần trước sự kiện, địa chỉ 0x3f…a7b2 thực hiện hơn 200 giao dịch mua bán chéo với chính mình qua các ví trung gian, đẩy khối lượng giao dịch của pool lên 300% so với trung bình. Đây là chiến thuật cổ điển: tạo ảo giác thanh khoản dồi dào, dụ người dùng tham gia, rồi rút thảm. Tương quan không phải nhân quả — người dùng thấy TVL tăng, nhưng nguyên nhân thực sự là hành vi gian lận. Tôi đã thấy kịch bản này vào năm 2017 với các ICO: token được tạo khối lượng giả, sau đó founder biến mất. Lần này cũng vậy. Takeaway: Cộng đồng DeFi Việt Nam cần cảnh giác. Dừng lại và kiểm tra số liệu trước khi kết luận. Pool USDT/VNDC hiện tại đã ổn định nhưng dòng tiền từ địa chỉ 0x3f…a7b2 vẫn chưa được giải ngân toàn bộ. Tuần tới, tôi sẽ theo dõi các pool khác của MekongSwap, đặc biệt là pool VNDC/ETH. Nếu cùng mô hình, hai kết quả — hãy xem lại. Bot của tôi đã phát hiện bất thường từ sớm. Liệu bạn có đang lắng nghe dữ liệu không?