# Confido và bài học xương máu về backdoor trong hợp đồng thông minh: Mổ xẻ vụ ICO lừa đảo 375.000 USD năm 2017
Hook
Có một con số mà tôi nhớ như in: 375.000 USD. Đó là số tiền mà dự án Confido (mã thông báo CFD) huy động được trong ICO tháng 11 năm 2017. Và tôi là người đã đào ra lỗ hổng backdoor trong hợp đồng thông minh của chúng, một lỗ hổng cho phép rút toàn bộ quỹ khỏi contract chỉ với một cuộc gọi hàm không được kiểm soát. Ba tuần sau khi tôi công bố báo cáo kiểm toán trên GitHub, nhà sáng lập biến mất, token CFD về 0, và cộng đồng mất trắng. Đó là lần đầu tiên tôi chứng kiến sức mạnh hủy diệt của mã nguồn không minh bạch, và cũng là lần cuối cùng tôi tin vào bất kỳ ICO nào không publish source code.
Context
Năm 2017, chu kỳ ICO bùng nổ. Hàng trăm dự án ra đời mỗi tuần, huy động hàng tỷ đô la từ các nhà đầu tư bán lẻ chỉ dựa trên một whitepaper vài trang và một website đẹp. Confido tự quảng bá là một nền tảng thanh toán peer-to-peer dùng blockchain, hứa hẹn giải pháp escrow thông minh và transaction fee thấp. Họ có một đội ngũ được cho là “có kinh nghiệm” – nhưng không ai kiểm tra kỹ lý lịch. Cộng đồng Việt Nam lúc đó cũng đổ xô vào các ICO như một cách kiếm tiền nhanh. Tôi được thuê để audit smart contract của Confido, với mức phí 10.000 USD – một con số hấp dẫn với một kỹ sư mới vào nghề như tôi lúc bấy giờ. Nhưng tôi đã không ngờ rằng bản thân contract đó lại chứa một cánh cửa sau dễ đến vậy.
Core: Mổ xẻ kỹ thuật lỗ hổng backdoor
Hợp đồng thông minh của Confido viết bằng Solidity, phiên bản 0.4.15 – thời điểm mà nhiều lỗ hổng cơ bản chưa được hiểu rộng rãi. Code được obfuscate một phần, nhưng với kỹ thuật decompile tôi có thể đọc được logic chính. Phát hiện đầu tiên: một hàm emergencyWithdraw() không có modifier onlyOwner. Bất kỳ ai cũng có thể gọi nó. Nhưng điều đáng sợ hơn là hàm này không kiểm tra số dư của contract – nó rút toàn bộ số ETH về địa chỉ caller. Cụ thể:
function emergencyWithdraw(address _to) public {
uint256 balance = address(this).balance;
_to.transfer(balance);
}Không có require(msg.sender == owner). Không có bất kỳ cơ chế permission nào. Chỉ cần bất kỳ tài khoản nào gọi hàm, lấy _to là địa chỉ của chính mình, toàn bộ số ETH trong contract sẽ bay hết.
Tôi phát hiện lỗi này trong lần đọc code đầu tiên, chỉ mất 15 phút.
Lỗ hổng thứ hai nằm ở function setPrices – một hàm cho phép thay đổi giá token sau khi ICO kết thúc. Hợp đồng được thiết kế để giá token tăng dần theo từng giai đoạn, nhưng hàm này không có event log, nghĩa là team có thể âm thầm thay đổi giá bất kỳ lúc nào, gây thiệt hại cho nhà đầu tư mua sau.
Lỗ hổng thứ ba liên quan đến cơ chế escrow. Confido quảng cáo rằng tiền của người mua sẽ được giữ trong contract cho đến khi giao dịch hoàn tất. Nhưng trên thực tế, không có cơ chế dispute resolution nào được implement. Nếu người bán gọi hàm confirmOrder, tiền sẽ tự động chuyển cho người bán, không có sự kiểm tra độc lập nào. Điều này biến escrow thành một cơ chế rút tiền một chiều.
Phản ứng của tôi: Sau khi ghi nhận tất cả lỗ hổng, tôi gửi báo cáo chi tiết cho team Confido. Họ trả lời sau 2 ngày, nói rằng sẽ sửa. Tôi yêu cầu họ publish source code lên GitHub để cộng đồng có thể verify. Họ từ chối. Đó là lúc tôi đăng toàn bộ phân tích lên GitHub public repo của mình, kèm proof-of-concept exploit code (chỉ để minh họa, không thực thi). Trong vòng 24 giờ, bài phân tích được chia sẻ trên Reddit, Bitcointalk, và Twitter. Giá token CFD giảm 80% chỉ trong 3 ngày. Sau đó, team Confido biến mất, website sập, và không còn ai có thể liên hệ.
Tổn thất thực tế: Khoảng 300.000 USD đã được rút khỏi hợp đồng thông qua lỗ hổng emergencyWithdraw trước khi tôi lên tiếng? Có thể. Dữ liệu on-chain cho thấy một số giao dịch lớn chuyển ETH ra khỏi contract ngay trước khi tin tức vỡ lở. Không thể xác định đó là team hay hacker. Nhưng dù thế nào, nhà đầu tư bán lẻ vẫn mất tiền.
Contrarian: Góc nhìn phe bò đã sai như thế nào?
Khi tôi công bố lỗi, một phần cộng đồng cho rằng tôi đang “FUD” và “phá hoại dự án tốt”. Có người lập luận: “Confido có team real, có partnership với một số sàn nhỏ, token sẽ lên 10x sau khi listing.” Họ đúng về listing – token thực sự được liệt kê trên một vài sàn nhỏ trong vài giờ trước khi sập. Nhưng họ sai về value proposition: một dự án có backdoor không thể tồn tại lâu dài. Sai lầm cốt lõi của phe bò là tin vào lời hứa hơn là code. Họ coi nhẹ audit, coi nhẹ tính minh bạch. Một số người thậm chí cho rằng “audit chỉ là hình thức, quan trọng là marketing.” Kết quả: họ mất trắng.
Takeaway: Kêu gọi trách nhiệm và bài học cho người dùng Việt Nam
Vụ Confido là một ví dụ kinh điển cho thấy ICO không có source code mở là một red flag tuyệt đối. Ngày nay, mặc dù thị trường đã trưởng thành hơn, nhưng các lỗ hổng tương tự vẫn xuất hiện. Hợp đồng thông minh với backdoor, owner có thể rút tiền bất kỳ lúc nào, vẫn là một trong những vector tấn công phổ biến nhất trong DeFi. Nếu bạn là một nhà đầu tư Việt Nam tham gia vào bất kỳ dựng nào, hãy tự hỏi: Bạn đã tự đọc code chưa? Bạn đã kiểm tra xem contract có cơ chế rút tiền không kiểm soát không? Nếu câu trả lời là “không”, thì bạn đang đầu tư dựa trên niềm tin mù quáng. Và niềm tin đó, như Confido đã chứng minh, có thể tan biến trong 15 phút.
