SharpLink 2 tỷ USD vào Lido: Khi người mua quên đọc code

Lỗ hổng còn đó, không phải FUD. Tuần này, The Defiant đưa tin: SharpLink, một tổ chức nắm 888.938 ETH (~17 tỷ USD), chuyển 2 tỷ USD vào Lido wstETH. Họ dùng Anchorage Digital làm custodian. Tin này được đón nhận như một tín hiệu "tổ chức đang vào DeFi". Nhưng tôi thấy một câu chuyện khác. Trước khi ăn mừng, hãy nhìn vào cấu trúc. SharpLink không tự stake ETH. Họ đưa ETH cho Anchorage, Anchorage chuyển vào Lido, nhận stETH, wrap thành wstETH. Đây là một chuỗi phụ thuộc: Lido contract, Lido oracle, DVT, và cuối cùng là custodian. Mỗi khâu là một điểm thất bại tiềm tàng. Hãy đọc code, đừng nghe hype. Core phân tích: Lido không phải là một contract đơn giản. Nó có hàng chục contract, bao gồm StETH, WstETH, LidoOracle, NodeOperatorsRegistry, quản trị qua Aragon. Mỗi bản nâng cấp đều có thể thay đổi logic. Năm 2022, một lỗi trong LidoOracle đã gây ra sai lệch về tỷ giá stETH/ETH trong vài giờ. Năm 2023, một lỗi trong NodeOperatorsRegistry cho phép operator thêm node mà không cần vote. Những lỗi này đã được fix, nhưng chúng cho thấy bề mặt tấn công rộng. Điều tôi quan tâm hơn: wstETH không phải là stETH. stETH là rebasing token; wstETH là wrapped non-rebasing. Khi bạn wrap, bạn mất khả năng unstake trực tiếp từ Lido. Bạn phải unwrap trước. Unwrap cần thanh khoản trên Curve hoặc Uniswap, hoặc bạn phải chờ unstake queue từ Lido. Queue này có thể kéo dài nhiều ngày khi thị trường biến động. Tháng 6/2023, queue unstake của Lido từng lên tới 150.000 ETH. Vậy SharpLink tính thanh khoản thế nào? Contrarian angle: Đây không phải là "tổ chức đang mua Lido". Đây là một tổ chức đang thử nghiệm. Họ chỉ stake 12% số ETH họ có. 88% còn lại vẫn nằm im. Nếu họ thực sự tin, họ đã stake toàn bộ. Họ đang thăm dò. Và điều đó cho thấy họ cũng có những nghi ngờ. Nhưng nghi ngờ lớn nhất không đến từ kỹ thuật. Nó đến từ pháp lý. SEC đã gửi Wells notice cho Lido vào năm 2024. Họ cho rằng stETH và wstETH có thể là chứng khoán chưa đăng ký. Nếu SEC thắng, toàn bộ hoạt động của Lido tại Mỹ có thể bị đình chỉ. Anchorage – một ngân hàng được OCC cấp phép – sẽ phải đối mặt với lựa chọn: tiếp tục hỗ trợ wstETH hay rút lui. Nếu họ rút, SharpLink sẽ mất custodian quen thuộc. Lúc đó, họ sẽ phải chuyển wstETH sang nơi khác hoặc unstake. Unstake hàng loạt sẽ gây áp lực lên queue và giá stETH. AMM 2020: lỗi vẫn còn sống. Tôi đã audit nhiều dự án DeFi. Kẻ tấn công không cần tìm lỗi trong Lido. Họ chỉ cần tìm điểm yếu trong chuỗi phụ thuộc. Ví dụ: nếu Anchorage bị hack, private key của SharpLink bị lộ. Kẻ tấn công có thể unstake wstETH và rút ETH. Hoặc nếu Lido governance bị tấn công (51% LDO), chúng có thể thay đổi contract để đánh cắp tài sản. LDO hiện được giao dịch trên nhiều sàn, nhưng thanh khoản không đủ để chống lại một cuộc tấn công phối hợp. Đây là rủi ro hệ thống. Takeaway: SharpLink đang mở đường cho tổ chức, nhưng con đường đó đầy ổ gà. Lido không an toàn tuyệt đối. Custodian không an toàn tuyệt đối. SEC đang rình rập. Nếu bạn là một tổ chức khác đang nghĩ tới việc stake 2 tỷ USD, hãy tự hỏi: bạn đã đọc code chưa? Bạn đã stress test kịch bản SEC chưa? Bạn đã tính queue unstake chưa? Nếu chưa, đừng vội nhảy. Lỗ hổng còn đó, không phải FUD.