Cách phát hiện dự án DeFi lừa đảo
Nội dung bài12 phần
- Vì sao DeFi dễ bị lợi dụng
- Bước 1: Kiểm nguồn dẫn tới dự án
- Bước 2: Kiểm đội ngũ
- Bước 3: Kiểm hợp đồng
- Bước 4: Kiểm thanh khoản, phân bổ
- Bước 5: Kiểm lời hứa lợi nhuận
- Bước 6: Kiểm quyền bạn sắp cấp
- Bước 7: Kiểm cầu nối và hạ tầng
- Dấu hiệu nên dừng ngay
- Quản lý rủi ro sau khi kiểm
- Học tiếp trong khoá Crypto
- Câu hỏi thường gặp
Độ khó: Trung cấp
DeFi (tài chính phi tập trung) chạy bằng hợp đồng thông minh mà ai cũng có thể triển khai, nên không có cơ quan hay sàn nào duyệt dự án trước khi bạn gửi tiền. Việc kiểm tra thuộc về người dùng. Bài này là checklist theo thứ tự các câu hỏi nên đặt ra. Nội dung chỉ nhằm giải thích kiến thức, không phải khuyến nghị đầu tư.
Điểm chính
- Ai cũng tạo được token và niêm yết trên sàn phi tập trung, thường không cần kiểm toán mã.
- Ba nhóm rủi ro: lừa chủ động (rug pull, token không bán được), lỗi hợp đồng và quyền cấp phép quá rộng.
- Lợi suất quá cao, đội ẩn danh và thanh khoản không khoá là dấu hiệu nên dừng.
- Không checklist nào bảo đảm an toàn, nên chỉ đặt số tiền có thể mất.
Vì sao DeFi dễ bị lợi dụng
Theo Chainalysis, tạo token và niêm yết trên sàn phi tập trung rẻ và dễ, và hầu hết các sàn đó không yêu cầu kiểm toán mã. Cơ chế lừa phổ biến là tạo token, quảng bá bằng lời hứa sai, thu tiền của nhà đầu tư qua quỹ thanh khoản, rồi rút quỹ khiến giá về không.
Đây là rug pull. Bài rug pull là gì đi sâu vào kiểu này. Bài này mở rộng sang các kiểm tra khác trước khi bạn góp tiền.
Bước 1: Kiểm nguồn dẫn tới dự án
- Link đến từ đâu: quảng cáo, tin nhắn riêng, bình luận hay người nổi tiếng giới thiệu.
- Tên miền có đúng với dự án thật không. Mở bằng địa chỉ bạn tự gõ.
- Dự án có thật sự liên kết với thương hiệu nó nói không. Ví dụ token SQUID tự nhận là đối tác của một loạt phim, nhưng CoinMarketCap cho biết không có liên kết chính thức.
Bước 2: Kiểm đội ngũ
- Có tên thật, hồ sơ kiểm chứng được qua nguồn độc lập không.
- Đội ẩn danh không tự động là lừa đảo, nhưng bạn mất đi cách đòi trách nhiệm.
- Có lịch sử dự án trước đó, và các dự án đó kết thúc ra sao.
Bước 3: Kiểm hợp đồng
- Mã nguồn có được xác minh công khai trên trình khám phá blockchain không.
- Có báo cáo kiểm toán của bên thứ ba không, và báo cáo áp dụng đúng địa chỉ hợp đồng đang dùng. Xem kiểm toán hợp đồng thông minh.
- Chủ hợp đồng có quyền đặc biệt không: phát hành thêm token, tạm dừng giao dịch, chặn địa chỉ, nâng cấp mã.
- Thử bán một lượng rất nhỏ trước khi bỏ vào khoản lớn. Với SQUID, người mua không bán được trên PancakeSwap, thị trường duy nhất của token.
Kiểm toán giảm rủi ro lỗi, không chứng minh ý định của đội dự án.
Bước 4: Kiểm thanh khoản, phân bổ
- Quỹ thanh khoản có bị khoá, bao lâu, bởi ai.
- Một vài ví có giữ phần lớn nguồn cung không.
- Thanh khoản mỏng làm giá dễ bị thao túng, và rút thanh khoản gây sập giá như Chainalysis mô tả.
Bước 5: Kiểm lời hứa lợi nhuận
ethereum.org nhắc rằng các kế hoạch hứa lợi nhuận lớn hiếm khi hợp pháp, và cảnh giác với ai yêu cầu bạn gửi tiền để kiếm thêm.
Phép tính minh hoạ: một nơi hứa 1% mỗi ngày nghĩa là khoảng 37,8 lần vốn sau một năm nếu lãi gộp hằng ngày (1,01 mũ 365), tức 1.000 USD thành khoảng 37.800 USD.
Hiếm hoạt động tạo lợi nhuận thật nào cung cấp được mức đó ổn định cho mọi người gửi. Nếu lãi chỉ có được nhờ người mới nạp tiền trả cho người trước, đó là cấu trúc Ponzi.
Bước 6: Kiểm quyền bạn sắp cấp
Nhiều thiệt hại xảy ra không phải do gửi nhầm mà do ký quyền. ScamSniffer ghi nhận chữ ký Permit là phương thức chính của phishing token năm 2024, và trong 30 vụ mất trên 1 triệu USD, Permit chiếm 56,7% thiệt hại.
ethereum.org khuyên không cho phép giới hạn chi tiêu không giới hạn, chỉ duyệt số lượng giao dịch cần, và thu hồi quyền cũ qua công cụ thu hồi. Xem thêm lừa đảo airdrop.
Bước 7: Kiểm cầu nối và hạ tầng
Dự án hoạt động trên nhiều chuỗi phụ thuộc vào cầu nối, thêm một lớp rủi ro mã. Xem lỗ hổng bảo mật cầu nối.
Dấu hiệu nên dừng ngay
Dấu hiệu | Gợi ý hành động |
|---|---|
Không bán được token | Không mua thêm, đừng cấp thêm quyền |
Yêu cầu seed phrase hoặc khoá riêng | Dừng, đây là lừa đảo |
Lợi suất cố định rất cao, "không rủi ro" | Coi là cảnh báo đỏ |
Phải mời thêm người mới mới nhận thưởng | Mô hình kim tự tháp |
Áp lực thời hạn: "chỉ còn vài phút" | Không quyết định trong lúc bị hối |
Cửa sổ ký không giải thích được | Từ chối ký |
Quản lý rủi ro sau khi kiểm
Ngay cả dự án qua hết checklist vẫn có thể bị khai thác lỗi mã. Dùng ví riêng cho DeFi, chỉ nạp số tiền có thể mất, không để toàn bộ tài sản ở ví đó. Xem ví nóng và ví lạnh và tổng quan bảo mật tiền mã hóa.
Học tiếp trong khoá Crypto
Các bài học liên quan trong Khoá học Crypto của HODL.VN:
- Smart contract và dApp: ứng dụng chạy trên Ethereum
- Dấu hiệu nhận biết lừa đảo crypto: 9 cờ đỏ
- Cách tự vệ trước lừa đảo crypto: 10 thói quen bảo vệ tiền
Câu hỏi thường gặp
Dự án có kiểm toán là an toàn?
Không chắc. Kiểm toán xem mã tại một thời điểm, không bảo đảm ý định của đội ngũ và có thể bỏ sót lỗi. Cần kiểm thêm quyền chủ hợp đồng và thanh khoản.
Đội ẩn danh có phải dấu hiệu lừa đảo không?
Không tự động. Nhưng bạn không có người chịu trách nhiệm khi dự án sập, nên mức rủi ro cao hơn.
Làm sao biết một token có bán được không?
Thử bán lượng rất nhỏ trước khi mua nhiều. Nếu giao dịch bán bị từ chối hoặc phí bất thường, đó là cảnh báo.
Lợi suất bao nhiêu là quá cao?
Không có ngưỡng cố định. Câu hỏi hữu ích là lợi nhuận đến từ đâu: nếu nguồn lãi không giải thích được ngoài việc người mới nạp tiền, hãy coi là cảnh báo.
Tôi đã cấp quyền cho dự án đáng ngờ, làm gì?
Thu hồi quyền bằng công cụ thu hồi và chuyển tài sản còn lại sang ví mới nếu nghi khoá có thể bị lộ.
Duyệt bởi Ban biên tập HODL.VN · Cập nhật 09/11/2026
Ứng dụng HODL
Tải app HODL
Bảng giá, cảnh báo giá và bài phân tích ngay trên điện thoại.
