Tuần trước, khi eo biển Hormuz bị phong tỏa kéo dài ngày thứ ba, giá dầu Brent chạm mốc 158 USD/thùng—mức cao nhất kể từ năm 2008. Trên màn hình terminal của tôi, một dòng tweet từ PetroDAO Foundation vang lên: 'Tài sản thế giới thực của chúng tôi an toàn, giá trị stablecoin PETRO vẫn neo 1:1 với quyền khai thác dầu tương lai.' Tôi mở trình duyệt, vào Etherscan, và bắt đầu đọc hợp đồng thông minh của họ. Chỉ sau 47 dòng code, tôi đã thấy một lỗ hổng mà không ai trong số 12.000 người nắm giữ token nhận ra.
PetroDAO là một giao thức DeFi được ra mắt vào tháng 3 năm 2026, huy động 45 triệu USD từ các quỹ đầu tư mạo hiểm hàng đầu. Ý tưởng của họ đơn giản: tạo ra một stablecoin được hỗ trợ bởi quyền khai thác dầu thô từ các mỏ ở Vịnh Ba Tư, với giá trị được neo thông qua một oracle giá dầu phi tập trung. Người dùng có thể mint PETRO bằng cách khóa USDC hoặc ETH, và giao thức sẽ sử dụng số tiền đó để mua quyền khai thác dầu kỳ hạn từ các công ty đối tác. Trong whitepaper, họ tuyên bố rằng 'mỗi PETRO đại diện cho 1/1000 thùng dầu sẽ được khai thác trong 6 tháng tới'. Khi tôi kiểm tra mã nguồn, điều đầu tiên tôi chú ý đến là hàm getCollateralFactor() — nó tính toán tỷ lệ thế chấp dựa trên giá dầu lấy từ một oracle duy nhất: OilPriceOracle.sol do chính đội ngũ PetroDAO triển khai, không có cơ chế fallback.
Dựa trên kinh nghiệm audit 0x Protocol v2 của tôi, tôi biết rằng một oracle đơn điểm là điểm thất bại chết người. Trong trường hợp này, oracle PetroDAO sử dụng một hợp đồng trung gian gọi là ChainlinkAdapter nhưng thực tế nó chỉ gọi một API off-chain từ một nguồn duy nhất—một công ty phân tích dầu mỏ có trụ sở tại Dubai. Khi eo biển Hormuz bị phong tỏa, nguồn dữ liệu đó có thể bị gián đoạn hoặc thao túng. Tôi đã kiểm tra lịch sử giao dịch: trong 24 giờ qua, oracle đã cập nhật giá dầu 12 lần, nhưng không có bất kỳ bằng chứng nào về việc kiểm tra chéo từ nhiều nguồn. Điều này có nghĩa là nếu oracle bị tấn công hoặc ngừng hoạt động, toàn bộ hệ thống thanh lý của PetroDAO sẽ dựa vào một giá trị sai lệch. Lỗ hổng cốt lõi nằm ở chỗ: hàm liquidate() sử dụng giá từ oracle mà không có bất kỳ khoảng thời gian trễ hoặc cơ chế xác thực nào.
Tôi tiếp tục đào sâu vào logic thanh lý. Trong PetroDAO, khi giá trị tài sản thế chấp giảm xuống dưới 150% giá trị khoản vay, bất kỳ ai cũng có thể gọi liquidate() để trả nợ và nhận tài sản thế chấp với mức chiết khấu 5%. Vấn đề là: tỷ lệ thế chấp được tính toán dựa trên giá dầu tương lai, vốn là một biến số không thể kiểm soát on-chain. Khi Hormuz bị phong tỏa, giá dầu tương lai kỳ hạn 6 tháng đã tăng vọt 40% do kỳ vọng thiếu hụt nguồn cung, nhưng oracle của PetroDAO chỉ cập nhật giá spot—giá giao ngay—vì hợp đồng của họ được cấu hình sai tham số. Kết quả: tỷ lệ thế chấp hiển thị trên giao diện người dùng là 180% (an toàn), nhưng trên thực tế, nếu tính theo giá tương lai, tỷ lệ này chỉ còn 110%—dưới ngưỡng thanh lý. Đây là một lỗ hổng kinh tế học giao thức kinh điển: sự không khớp giữa giá được sử dụng để tính toán thế chấp (spot) và giá thực tế quyết định rủi ro (future).
Trong quá trình kiểm toán Uniswap v2, tôi đã học được rằng các giao thức DeFi thường mắc sai lầm khi cố gắng 'tái tạo' tài sản thế giới thực mà không hiểu đầy đủ về cấu trúc thị trường phái sinh. PetroDAO đã tạo ra một stablecoin được hỗ trợ bởi quyền khai thác dầu, nhưng họ quên mất một điều: quyền khai thác dầu là một hợp đồng tương lai, không phải tài sản giao ngay. Khi tôi kiểm tra hàm mint(), tôi thấy rằng người dùng khóa USDC, và giao thức sẽ tự động mua quyền khai thác thông qua một hợp đồng OTC với đối tác. Nhưng không có cơ chế nào để xác minh rằng quyền khai thác đó thực sự tồn tại. Hợp đồng OTC chỉ là một chữ ký số từ một công ty có tên 'Gulf Oil Ventures'—một thực thể mà tôi không tìm thấy bất kỳ giấy phép kinh doanh nào trên các cơ sở dữ liệu công khai. Điều này có nghĩa là toàn bộ stablecoin PETRO thực chất là một IOU không có tài sản đảm bảo thực sự, chỉ dựa trên lòng tin vào một đối tác không rõ ràng.
Góc nhìn phản trực giác ở đây là: thị trường đang lạc quan về PetroDAO vì họ nghĩ rằng nó mang lại sự ổn định trong thời kỳ hỗn loạn địa chính trị. Nhưng sự thật là, chính sự hỗn loạn đó lại phơi bày điểm yếu chết người của giao thức. Khi giá dầu biến động mạnh, oracle đơn điểm dễ bị thao túng, và hợp đồng OTC mất giá trị nếu đối tác mất khả năng thanh toán. Trong một kịch bản cực đoan, nếu Hormuz bị phong tỏa kéo dài 6 tháng, các công ty khai thác dầu ở Vịnh Ba Tư sẽ phá sản, và quyền khai thác mà PetroDAO nắm giữ trở thành vô giá trị. Khi đó, người dùng sẽ đổ xô đi mint PETRO để lấy lại USDC, nhưng giao thức không có đủ dự trữ vì phần lớn tài sản đã được dùng để mua quyền khai thác. Đây là điểm mù bảo mật mà hầu hết các nhà đầu tư bỏ qua: rủi ro đối tác (counterparty risk) trong các giao thức DeFi kết nối với tài sản thế giới thực.
Tôi đã dành 3 giờ để phân tích từng dòng code của PetroDAO, và tôi đi đến một kết luận khó chịu: giao thức này không phải là một DeFi, mà là một hợp đồng phái sinh dầu mỏ được ngụy trang dưới vỏ bọc stablecoin. Nó thiếu các cơ chế bảo vệ cơ bản như oracle đa nguồn, kiểm tra chéo dữ liệu, và minh bạch về tài sản thế chấp. Trong bối cảnh căng thẳng Hormuz, tôi khuyên bất kỳ ai đang nắm giữ PETRO nên xem xét rút lui ngay lập tức. Còn về dài hạn, câu chuyện này cho thấy một thực tế rằng: các giao thức DeFi cố gắng token hóa tài sản thế giới thực sẽ luôn đối mặt với rủi ro từ các yếu tố địa chính trị mà hợp đồng thông minh không thể kiểm soát. Liệu chúng ta có thực sự sẵn sàng cho một tương lai nơi stablecoin phụ thuộc vào hòa bình thế giới?