Lỗi ở dòng 147. Hàm withdrawOil() cho phép admin rút toàn bộ thanh khoản mà không cần xác thực. Mất hết. Còn 0 token trong pool. Đội ngũ Caspian Energy Token (CET) biến mất sau 48 giờ.
Bối cảnh: Giữa lúc căng thẳng Mỹ - Iran leo thang, tháng 6/2026, một dự án tự xưng “Oil-Backed Token” xuất hiện trên Ethereum. Hứa hẹn mỗi token CET được thế chấp bởi 1 barrel dầu thô Iran - nhưng không có bất kỳ hợp đồng khai thác nào. Trang web chỉ là landing page với logo 3D, roadmap 6 tháng, và đội ngũ 5 người ẩn danh. Tôi đã thấy mô hình này 3 lần rồi: Global Gold Token (2017), Yield Farm 88 (2020), Decentralized GPT (2026). Lần nào cũng kết thúc giống nhau.
Họ nói “token hóa dầu mỏ để né trừng phạt”. Nhưng không có giấy phép xuất khẩu, không có kho chứa, không có kiểm toán. Chỉ có một hợp đồng thông minh fork từ Uniswap V3, thêm một hàm withdrawOil() với modifier onlyOwner. Tôi phân tích từ dòng 1 đến dòng 200. Dòng 47 có comment “// emergency drain”, dòng 147 là hàm thực thi. Logic: admin có thể rút tất cả token ERC-20 từ contract mà không cần bất kỳ điều kiện nào. Đó là cửa sau. Không phải lỗi, là tính năng.
Tôi đào thêm on-chain: ví deployer nhận 10 triệu CET (80% tổng cung) ngay block đầu. 3 ngày sau, 3 địa chỉ liên kết bắt đầu wash-trading trên Uniswap - tự mua tự bán, tạo volume ảo. Mỗi giao dịch gas 0.01 ETH - cao gấp 3 lần bình thường. Dữ liệu từ Dune Analytics cho thấy 90% volume đến từ 5 ví. Tôi gọi đây là “The Wash-Trading Factory” - giống vụ CryptoPunks V2 năm 2021.
Phần contrarian: Một số KOL trên X nói “CET có thể thực sự kết nối với Iran qua hợp đồng ngoại vi”. Họ chỉ ra rằng Iran đang tìm cách xuất dầu bất chấp lệnh cấm, và token hóa là kênh tiềm năng. Nhưng tôi kiểm tra: không có oracle nào feed giá dầu Iran, không có multi-sig, không có audit. Đội ngũ viết trong whitepaper “smart contract được kiểm tra bởi đội ngũ nội bộ” - tức là chính họ. Còn “địa chỉ công ty tại Dubai” là một bưu điện. Tôi đã gọi số điện thoại trên website - số máy bàn ở Tehran không ai bắt máy. Đây không phải đổi mới, đây là lừa đảo có kịch bản.
Takeaway: Khi thế giới thực sôi sục vì chiến tranh và trừng phạt, những kẻ lừa đảo lợi dụng nhu cầu “thoát khỏi hệ thống” để mint token rác. Lỗi ở dòng 147 là kỹ thuật, nhưng lỗi thực sự là tin vào một dự án không có bằng chứng on-chain. Còn ai đổ tiền vào CET bây giờ? Chỉ có những ví đã rút thanh khoản trước 48 giờ.