Tôi đang ngồi trong một quán cà phê nhỏ ở Nairobi, nhìn ra đường phố nhộn nhịp. Một người bạn gửi cho tôi link bài báo: 'Trader mất 550.000 USD vì quảng cáo Google giả mạo Hyperliquid.' Tôi dừng lại. Không phải vì con số – trong crypto, 550.000 USD chỉ là một giọt nước. Mà vì câu chuyện này quá quen thuộc. Nó giống như những gì tôi đã thấy ở các làng mạc Kenya: nông dân bị lừa bởi phân bón giả, bởi vì họ tin vào cái bao bì đẹp đẽ. Ở đây, cái bao bì là quảng cáo Google. Và nạn nhân là một người dùng DeFi, có lẽ cũng từng tự tin như tôi hồi DeFi Summer năm 2020.
Hãy nói về bối cảnh. Hyperliquid là một sàn giao dịch phái sinh phi tập trung (perp DEX) đang nóng nhất hiện nay. Nó xây dựng trên L1 riêng, với sổ lệnh hiệu suất cao, phí thấp, và thu hút hàng tỷ USD thanh khoản. Khi một dự án đủ lớn, nó trở thành mục tiêu. Không phải tấn công hợp đồng thông minh – mà là tấn công vào niềm tin của người dùng. Kẻ lừa đảo mua quảng cáo Google với từ khóa 'Hyperliquid', đưa người dùng đến một trang web giả mạo, y hệt như thật. Người dùng click, kết nối ví, ký giao dịch – và 550.000 USD biến mất.
Đây không phải lỗi của Hyperliquid. Protocol vẫn an toàn. Nhưng nó phơi bày một khoảng trống chết người: sự tin tưởng mù quáng vào cổng vào tập trung (Google Ads) để bước vào thế giới phi tập trung. Trong một thế giới lý tưởng, mọi người dùng đều gõ trực tiếp URL, hoặc dùng bookmark. Nhưng thực tế, phần lớn người mới tìm kiếm 'Hyperliquid' trên Google, và click vào kết quả đầu tiên – đó là quảng cáo. Kẻ tấn công không cần biết viết smart contract, chỉ cần biết cách chạy chiến dịch Google Ads và làm một landing page đẹp.
Tôi nhớ lại năm 2020, khi tôi mất 40% danh mục vì impermanent loss trên Uniswap – lỗi do thiếu hiểu biết về thị trường. Còn đây là lỗi do thiếu hiểu biết về bảo mật căn bản. Code là thép, nhưng con người là lửa. Dù protocol có mạnh đến đâu, lửa vẫn có thể thiêu rụi mọi thứ nếu không được kiểm soát. Vụ lừa đảo này là một lời nhắc nhở rằng: ranh giới giữa 'an toàn' và 'mất trắng' chỉ là một cú click.
Phân tích kỹ thuật cho thấy đây là một cuộc tấn công 'malvertising' – quảng cáo độc hại. Kẻ tấn công đăng ký tên miền giả mạo, ví dụ 'hyper1iquid.xyz' thay vì 'hyperliquid.xyz', và mua quảng cáo Google. Google Ads có chính sách bảo vệ thương hiệu, nhưng rõ ràng nó không đủ mạnh để ngăn chặn các biến thể tinh vi. Người dùng không thể kiểm tra từng ký tự trên URL mỗi khi click. Đây là lỗ hổng thiết kế của toàn bộ hệ sinh thái Web3: chúng ta xây dựng các lớp bảo mật phi tập trung ở tầng ứng dụng, nhưng lại phụ thuộc vào các cổng vào tập trung (Google, Twitter, Discord) để dẫn lối.
Một góc nhìn phản trực giác: vụ việc này thực sự là một tín hiệu tốt cho Hyperliquid. Bị giả mạo là một 'huy hiệu danh vọng' – nó chứng tỏ thương hiệu của bạn đủ lớn để kẻ xấu muốn lợi dụng. Nhưng nó cũng là lời cảnh báo: nếu Hyperliquid không hành động nhanh, nó sẽ mất dần lòng tin. Tôi đã thấy điều này ở Kenya: khi một thương hiệu cà phê nổi tiếng bị làm giả, người nông dân mất niềm tin vào toàn bộ chuỗi cung ứng. Giải pháp không chỉ là kêu gọi 'cẩn thận', mà là xây dựng các công cụ xác thực phi tập trung – ví dụ như ENS domain, hoặc các plugin trình duyệt tự động kiểm tra contract address.
Vậy chúng ta học được gì? Hype chết, giá trị còn. Nhưng giá trị không chỉ nằm ở TVL hay APY, mà ở sự an toàn của từng người dùng. Tôi kêu gọi: mỗi người hãy dùng bookmark, không click quảng cáo. Các ví như MetaMask, Phantom hãy tích hợp sẵn cảnh báo phishing. Và Google, nếu muốn duy trì vai trò cửa ngõ, phải áp dụng KYC cho quảng cáo crypto. Thế giới phi tập trung không thể phát triển nếu cổng vào vẫn là cái bẫy.
Tôi kết thúc bài viết này bằng một câu hỏi: bạn có chắc lần tiếp theo bạn gõ 'Hyperliquid' vào Google, kết quả đầu tiên không phải là cái bẫy?
