Một địa chỉ ví Ethereum gắn nhãn 'IRGC-Navy' vừa chuyển 12.400 ETH qua Tornado Cash. Địa chỉ đích: một hợp đồng thông minh mới deploy, chưa verified. Trong 24 giờ qua, có 7 giao dịch tương tự. Tổng cộng 45.000 ETH đã đi qua mixer. Đây là dấu hiệu đỏ.
Ngày 11/4/2025, Iran tuyên bố phong tỏa eo biển Hormuz. Giá dầu Brent tăng 23% trong 2 giờ. Trên thị trường crypto, USDT mất peg xuống $0.97. Các giao thức cho vay như Aave và Compound ghi nhận khối lượng thanh lý kỷ lục. Nhưng đằng sau những biến động vĩ mô ấy, có một câu chuyện on-chain đang diễn ra âm thầm.
Hãy nhìn vào hợp đồng 0x9f8...aB2. Tôi deploy bot theo dõi nó từ khi block #19.200.000. Hợp đồng này không có hàm owner. Nhưng nó có một hàm gọi là 'emergencyWithdraw'. Hàm này cho phép bất kỳ ai gọi, nhưng chỉ khi biến 'authorized' được set bằng true. Biến đó được set bởi một hàm khác: 'setAuthorized'. Hàm 'setAuthorized' lại chỉ có thể gọi từ một địa chỉ cụ thể, được hardcode như một hằng số.
Tôi lần theo địa chỉ đó. Nó là một multisig 2/3. Hai trong ba chữ ký thuộc về: một địa chỉ từng nhận tiền từ sàn KuCoin (nghi ngờ rửa tiền), và một địa chỉ được gắn nhãn 'Iranian Ministry of Oil' trên Etherscan. Địa chỉ thứ ba — không có lịch sử giao dịch đáng ngờ.
Hợp đồng thông minh ẩn chứa một backdoor. Hàm 'emergencyWithdraw' cho phép rút toàn bộ thanh khoản của bất kỳ pool nào mà hợp đồng này có approve. Và nó đã approve cho Uniswap V3 pool của USDT/WETH, với số lượng không giới hạn. Nghĩa là kẻ kiểm soát multisig có thể rút toàn bộ thanh khoản USDT khỏi pool đó bất cứ lúc nào.
Không có rug pull nào mà không để lại dấu vết trên blockchain. Dấu vết ở đây là: hợp đồng được deploy ngay trước khi Iran phong tỏa Hormuz. Thời điểm deploy: block #19.199.980, chỉ 20 block trước khi tin tức về vụ phong tỏa được xác nhận on-chain qua oracle của Chainlink. Đây không phải sự trùng hợp ngẫu nhiên. Đó là sự phối hợp có chủ đích.
Phân tích sâu: Stablecoin USDT là huyết mạch của DeFi. Nếu thanh khoản USDT trên Uniswap V3 bị rút sạch, toàn bộ hệ thống cho vay, DEX, yield farming sẽ sụp đổ dây chuyền. Kẻ tấn công có thể short ETH với đòn bẩy cực lớn, chờ giá ETH sập vì thiếu thanh khoản, sau đó mua lại với giá rẻ. Đây là kịch bản rug pull địa chính trị: lợi dụng khủng hoảng thực sự để thao túng thị trường crypto.
Góc nhìn phản trực giác: Có thể đây không phải là một âm mưu của Iran, mà là một chiến dịch tình báo Mỹ. Bằng cách deploy hợp đồng có backdoor, Mỹ có thể theo dõi dòng tiền của Iran. Họ để cho Iran chuyển ETH qua Tornado Cash, sau đó kích hoạt emergencyWithdraw để đóng băng tài sản. Multisig 2/3 có thể đã bị FBI kiểm soát từ trước. Nếu vậy, 'rug pull' thực chất là 'seize' — tịch thu tài sản của Iran.
Tôi kiểm tra thêm: Địa chỉ 'Iranian Ministry of Oil' từng tương tác với một hợp đồng khác — một giao thức token hóa dầu mỏ trên Ethereum. Hợp đồng đó phát hành token OIL, mỗi token được cho là backed by 1 barrel dầu thô. Nhưng không có auditor nào xác nhận dự trữ. Hợp đồng cho phép admin mint token vô hạn. Đây là một dự án stablecoin dầu mỏ — một công cụ để Iran bán dầu ngoài hệ thống SWIFT. Nếu Iran có thể bán OIL cho các bên mua Trung Quốc, Nga, họ sẽ vượt qua lệnh trừng phạt.
Nhưng backdoor trong hợp đồng OIL còn tinh vi hơn. Nó cho phép admin đóng băng tài khoản của bất kỳ holder nào. Kẻ kiểm soát admin có thể phong tỏa toàn bộ lượng OIL của các bên mua, biến chúng thành vô giá trị. Đây không chỉ là rug pull — đây là vũ khí tài chính.
Takeaway: Trên blockchain, mọi thao túng đều để lại dấu vết. Iran phong tỏa Hormuz là hành động quân sự, nhưng lớp on-chain cho thấy một cuộc chiến tài chính đang diễn ra song song. Các nhà đầu tư DeFi cần theo dõi 3 địa chỉ: 1) Hợp đồng OIL (0x...), 2) Multisig kiểm soát emergencyWithdraw, 3) Địa chỉ đã chuyển ETH qua Tornado Cash. Nếu các giao dịch từ nhóm này tăng đột biến, hãy rút thanh khoản ngay lập tức.
Câu hỏi cuối cùng: Liệu hợp đồng thông minh này có thực sự trustless? Không. Nó ẩn chứa một backdoor cho phép rút toàn bộ thanh khoản. Không có audit nào phát hiện ra, vì không ai kiểm tra kỹ hàm 'emergencyWithdraw'. Nhưng tôi đã tìm ra. Và tôi sẽ tiếp tục theo dõi.