NamiChain: Một Layer-2 Việt Nam và 100 tỷ đồng đã bay đi đâu?

Khi một dự án Layer-2 huy động được 100 tỷ đồng từ cộng đồng Việt, câu chuyện thường kết thúc bằng một bài post trên Medium khoe roadmap. Nhưng khi 100 tỷ đó biến mất sau 48 giờ, kèm theo một lỗ hổng trong hợp đồng thông minh, tôi buộc phải mở mã nguồn để tìm câu trả lời. Đây không phải là một bài viết về thua lỗ của nhà đầu tư – đó là chuyện của thị trường. Đây là bài viết về một lỗi logic đơn giản đến mức ai cũng có thể thấy, nhưng không ai muốn nhìn. NamiChain tự xưng là giải pháp mở rộng cho hệ sinh thái DeFi Việt Nam, hứa hẹn tốc độ 10.000 TPS và phí gần như bằng 0. Để đạt được điều đó, họ xây dựng một sidechain với cơ chế đồng thuận dPOS, kết nối với Ethereum thông qua cầu nối do chính họ viết. Whitepaper của họ dày 40 trang, nhưng mã nguồn chỉ vỏn vẹn 2.000 dòng Solidity và 5.000 dòng Rust cho sidechain. Tôi đã audit loại dự án này hàng chục lần. Hầu hết đều giống nhau: một đội ngũ trẻ, nhiệt huyết, thiếu kinh nghiệm về bảo mật hợp đồng. Nhưng NamiChain có điểm khác biệt: họ bị tấn công chỉ một tuần sau khi mainnet launch, và số tiền mất tương đương 60% tổng giá trị locked. Phân tích kỹ thuật của tôi bắt đầu từ cầu nối. Cầu nối của NamiChain sử dụng mô hình lock-and-mint: người dùng gửi ETH vào hợp đồng trên Ethereum, sau đó validator trên sidechain xác nhận và mint token tương ứng. Lỗ hổng nằm ở hàm