Tôi nhìn vào số liệu TVL của một giao thức lending top 5 trên Ethereum. Nó tăng 40% trong tháng qua. APY cho vay USDC là 12%. Cộng đồng nói: “Thị trường tăng, mọi người đổ tiền vào DeFi.” Tôi không tin. Tôi mở mã nguồn của hợp đồng reward pool. Dòng 47, hàm updateReward không có checkpoint cho totalSupply. Đây là lỗi tôi đã thấy từ năm 2020. Một sai lầm kinh điển. Nhưng không ai nói về nó. Mọi người chỉ nhìn vào TVL và APY. Họ quên rằng TVL đang kể một câu chuyện khác.
DeFi TVL không phải là tín hiệu về sức khỏe giao thức. Nó là tín hiệu về dòng vốn nóng.
Khi bạn nhìn vào biểu đồ TVL của toàn thị trường, bạn thấy một đường cong đẹp. Nó đi lên từ tháng 6 năm 2026. Các tweet “DeFi Summer 2.0” bắt đầu xuất hiện. Nhưng hãy nhìn vào cấu trúc bên trong. Theo dữ liệu từ Dune Analytics, 70% TVL tăng trưởng trong tháng qua đến từ 3 giao thức: lending, liquid staking, và một DEX cross-chain. Không có sự đa dạng. Đây là dấu hiệu của sự tập trung rủi ro, không phải sự phục hồi tự nhiên.
Context: Cơ chế của TVL trong DeFi.
TVL không đo lường “niềm tin dài hạn”. Nó đo lường “số tiền đang được khóa” để kiếm lợi nhuận. Khi APY cao, vốn nóng chảy vào. Khi APY giảm, vốn nóng biến mất. Đây là bản chất của liquidity mining: bạn đang trả tiền để mượn TVL. Nếu bạn ngừng in token reward, TVL sẽ sụp đổ. Tôi đã chứng kiến điều này từ năm 2020, khi bot yield farming của tôi thua lỗ 30 ETH vì tôi không tính đến impermanent loss. Vốn nóng không có lòng trung thành. Nó đi theo APY, không phải theo công nghệ.
Core: Phân tích kỹ thuật của TVL hiện tại.
Tôi mở mã nguồn của giao thức lending đó. Tôi thấy một vấn đề: hàm rewardPerToken sử dụng block.timestamp để tính toán, nhưng không có cơ chế chống lại flash loan. Điều này có nghĩa là một kẻ tấn công có thể vay một lượng lớn USDC, gửi vào lending pool, kiếm reward, và rút ra trong cùng một block. Họ không cần giữ tiền lâu. Họ chỉ cần exploit khoảng thời gian giữa updateReward và withdraw. Tôi đã audit 20 dự án DeFi trong năm 2021. 12 trong số đó có lỗi tương tự. Đây là kiểu lỗi mà audit không bao giờ tìm thấy nếu auditor chỉ kiểm tra unit test. Họ cần kiểm tra integration test với các tình huống flash loan.
TVL hiện tại đang được thổi phồng bởi các bot và kẻ arbitrage. Tôi ước tính ít nhất 15% TVL của các lending pool hàng đầu là vốn “lạnh” — vốn chỉ xuất hiện để kiếm reward rồi biến mất. Đây là lý do tại sao APY có vẻ hấp dẫn. Nhưng nó là một cái bẫy.
Contrarian: Điểm mù của thị trường.
Mọi người đang nói về “Layer 2 giải quyết vấn đề mở rộng”. Họ nói về “cross-chain interoperability”. Tôi nói: hãy nhìn vào cấu trúc phí của các giao thức này. Lấy dự án token bridge phổ biến nhất hiện nay. Phí bridge là 0.1% mỗi giao dịch. Nhưng chi phí gas cho việc verify message trên chain là 0.05% — nếu bạn sử dụng oracle và relayer. Điều này có nghĩa là dự án đang kiếm 0.05% lợi nhuận trên mỗi giao dịch, nhưng rủi ro bảo mật lại cao hơn. Nếu oracle bị tấn công, toàn bộ số tiền bridge sẽ mất. Tôi đã phân tích cơ chế xác minh của LayerZero. Nó dựa vào giả định tin cậy của oracle và relayer. Đây là một cấu trúc phi tập trung giả. Nó chỉ an toàn khi cả hai bên đều trung thực. Nếu một bên bị tấn công, bridge sụp đổ.
TVL của các bridge này đang tăng. Nhưng đó là vì APY của liquidity mining. Khi APY giảm, bridge sẽ mất TVL. Và khi bridge mất TVL, rủi ro thanh khoản sẽ tăng lên. Đây là một vòng luẩn quẩn.
Một điểm mù khác: Lớp Data Availability (DA) bị thổi phồng.
99% rollup hiện tại không tạo đủ dữ liệu để cần DA chuyên dụng. Tôi đã xem xét dữ liệu từ Arbitrum và Optimism. Trung bình, mỗi ngày rollup tạo ra khoảng 10 MB dữ liệu. Một mạng DA như Celestia có thể xử lý 10 GB mỗi ngày. Đây là sự lãng phí tài nguyên. Các dự án DA đang bán một giải pháp cho một vấn đề chưa tồn tại. Họ đang kiếm tiền từ TVL của staking, nhưng không có đủ dữ liệu để chứng minh sự cần thiết.
Takeaway: Dự báo lỗ hổng.
Tôi không nói rằng thị trường sẽ sụp đổ. Nhưng tôi nói rằng hãy nhìn vào code. Đừng nhìn vào TVL. Đừng nhìn vào APY. Hãy mở hợp đồng thông minh. Hãy tìm kiếm dòng 47. Hãy kiểm tra hàm updateReward. Hãy hỏi: “Nếu APY giảm, TVL sẽ giảm bao nhiêu?” Nếu câu trả lời là “50%”, thì dự án đó đang xây cầu trên lửa.
Smart contract architect: người xây cầu trên lửa. Tôi đã nhìn thấy những cây cầu sụp đổ. Tôi đã thấy lỗi re-entrancy vào năm 2017, khi Status ICO suýt mất 2 triệu USD. Tôi đã thấy bot yield farming sụp đổ vào năm 2020. Tôi đã thấy lỗi zk-rollup vào năm 2022. Mỗi thị trường tăng đều che giấu lỗi kỹ thuật. Hãy nhìn xuyên qua marketing bằng con mắt audit code. Đây là cách duy nhất để sống sót.