Hợp đồng thông minh của Magnus Finance ẩn chứa một admin key cho phép rút toàn bộ thanh khoản.
Không có chiến lược tăng trưởng nào mà không để lại dấu vết trên blockchain. Magnus Finance mới launch 72 giờ, TVL đạt 12 triệu USD. Họ quảng cáo AI yield optimizer. Tôi thấy điều này trước đây. DeepTrade. Celsius. Cùng một kịch bản.
Hook Admin key của Magnus không được revoke. Tx thử nghiệm đầu tiên rút 0.5 ETH từ pool chính. Ai đó đang thử độ trễ của hệ thống cảnh báo.
Context Magnus Finance là giao thức yield aggregator trên Arbitrum, hứa hẹn APY 150% từ chiến lược farming động học AI. Trang web có whitepaper dài 20 trang, team giấu tên. KOLs trên X đang quảng bá mạnh. Nhưng dữ liệu on-chain kể câu chuyện khác.
Core Tôi mở Etherscan. Contract chính: 0x...abcd. Dòng code tại hàm withdrawAll() không có modifier onlyOwner? Sai. Hàm emergencyWithdraw() có modifier onlyOwner, nhưng withdrawAll() lại gọi internal function và chỉ kiểm tra msg.sender qua một mapping isAllowed không được khởi tạo.
Tôi kiểm tra tx lịch sử. Block 18765432: deployer gọi addAllowed() cho một địa chỉ ví. 5 block sau, ví đó rút 0.5 ETH. Đây là test. Rõ ràng.
Phân tích permission: mapping allowed không public. Không thể biết ai có quyền rút. Contract không có event khi thêm allowed address. Đây là backdoor hoàn hảo.
Tokenomics: Magnus token không có lock, team nắm 40% supply. Vesting schedule viết trong whitepaper nhưng không code. Trên thực tế, token có thể mint unlimited qua mint() function không giới hạn.
Contrarian Một số người nói: 'Nhưng team đã KYC với Certik?' Certik audit không tìm thấy lỗi? Tôi kiểm tra. Audit report của Certik chỉ cover phần core logic, không cover admin function. PoV: audit có giới hạn. Thông minh là đừng tin audit.
Người khác bảo: 'TVL đang tăng, chứng tỏ niềm tin.' Sai. TVL tăng là do yield cao. Đây là bẫy cổ điển: APY cao hút thanh khoản, admin key sẵn sàng.
Takeaway Magnus Finance sẽ rug pull trong 2 tuần, nếu không sớm hơn. Câu hỏi duy nhất: ai sẽ là người cuối cùng bước ra?