Lỗi ở dòng 47 của hợp đồng thông minh. Mất toàn bộ tài sản thế chấp. Còn lại 0 đồng.
Đội ngũ PetroV trả lời: 'Đó là lỗi kỹ thuật nhỏ, chúng tôi đã vá.'
Nhưng tôi không tin. Tôi đã nhìn thấy mã nguồn. Dòng 47 là hàm withdraw() không có kiểm tra require. Bất kỳ ai cũng có thể rút toàn bộ thanh khoản. Và ai đó đã làm điều đó.
Đây không phải là lần đầu tiên. Tháng 8/2024, PetroV huy động 5 triệu USDT từ cộng đồng Việt Nam với lời hứa 'token hóa quyền khai thác dầu khí'. Họ khoe giấy phép của Bộ Công Thương, hợp đồng với Tập đoàn Dầu khí Quốc gia Việt Nam (Petrovietnam). Tất cả đều giả.
Context: Chu kỳ thổi phồng RWA on-chain
Năm 2024-2025, làn sóng Real World Assets (RWA) tràn vào Việt Nam. Hàng chục dự án mọc lên, token hóa bất động sản, vàng, dầu khí. PetroV là một trong số đó. Họ tuyên bố đã ký hợp đồng độc quyền với Petrovietnam để token hóa sản lượng dầu thô từ mỏ Bạch Hổ. White paper dày 200 trang, đầy đủ sơ đồ kỹ thuật, đội ngụcố vấn từng làm việc tại Shell, BP. Nhưng không có gì là thật.
Thị trường bảo hiểm toàn cầu đang giảm giá để thu hút các dự án dầu khí ít rủi ro – theo FT. Điều này tạo ra mảnh đất màu mỡ cho lừa đảo: khi bảo hiểm rẻ, nhà đầu tư nghĩ rủi ro thấp, họ đổ tiền vào. PetroV lợi dụng tâm lý đó. Họ mua một hợp đồng bảo hiểm giả từ một công ty bảo hiểm không tên ở Cayman Islands, in logo lên website. Đủ để gây ấn tượng.
Core: Tháo gỡ có hệ thống – Mọi thứ đều sai
Tôi dành 6 tuần để điều tra PetroV. Tôi bắt đầu từ hợp đồng thông minh. Họ deploy trên BNB Chain, địa chỉ: 0x... (tôi không tiết lộ để tránh lan truyền). Hợp đồng chính là PetroVault.sol. Dòng 47 – lỗi kinh điển: không kiểm tra số dư trước khi transfer. Nhưng đó chỉ là phần nổi.
Tiếp theo, tôi kiểm tra tuyên bố về hợp đồng với Petrovietnam. Tôi gửi email đến bộ phận quan hệ nhà đầu tư của Petrovietnam. Họ trả lời: 'Chưa từng có thỏa thuận nào với PetroV.' Tôi hỏi về giấy phép Bộ Công Thương: số giấy phép trên white paper không tồn tại trong hệ thống tra cứu.
Đội ngũ PetroV gồm 5 người. Tôi tra ra hồ sơ LinkedIn của CEO Nguyễn Văn A: từng làm sales bất động sản, không có kinh nghiệm dầu khí. CTO Trần Thị B: tốt nghiệp đại học online, chưa từng viết hợp đồng thông minh nào được audit. Các cố vấn: ảnh đại diện là người nước ngoài, nhưng tôi tìm thấy ảnh đó trên một trang stock photo. Một người tên 'John Smith' – thực ra là diễn viên đóng thế.
Dữ liệu on-chain: PetroV tạo ra 1 triệu token PVT, giá khởi điểm 0.5 USDT. Họ dùng 3 địa chỉ để wash-trading, tạo khối lượng ảo. Tôi phân tích bằng Dune Analytics: 80% volume đến từ 2 địa chỉ tự mua bán lẫn nhau, gas fee trung bình gấp 3 lần bình thường. Mô hình giống hệt vụ CryptoPunks V2 tôi phát hiện năm 2021.
Họ còn mua bài PR trên các trang tin crypto Việt Nam với giá 2000 USDT mỗi bài. Một bài trên CryptoVietnam24h viết: 'PetroV được định giá 100 triệu USD sau vòng Series A.' Không có Series A. Chỉ có một quỹ đầu tư tên 'Dragon Capital Blockchain Fund' – tôi tìm kiếm, không thấy đăng ký kinh doanh, website chỉ là landing page 5 trang.
Contrarian: Phần phe bò đúng
Nhưng tôi phải công bằng. Có người sẽ nói: 'Dự án còn trẻ, lỗi kỹ thuật có thể sửa, đội ngũ có thể học hỏi.' Họ có lý. Năm 2017, tôi từng phát hiện Global Gold Token, nhưng sau đó một số dự án tương tự đã pivot thành công, trở thành nền tảng RWA hợp pháp. Việt Nam có thể là nơi thử nghiệm cho token hóa tài sản thực – nếu có khung pháp lý rõ ràng.
Thị trường bảo hiểm dầu khí đang giảm giá, điều đó thực sự phản ánh rủi ro thấp hơn do công nghệ và quy trình an toàn tốt hơn. Các dự án RWA chân chính có thể hưởng lợi từ môi trường này. PetroV có thể là một dự án non trẻ, sai lầm nhưng không cố ý lừa đảo.
Nhưng tôi không mua điều đó. Vì hành vi có chủ đích: họ cố tình làm giả giấy tờ, thuê diễn viên đóng giả cố vấn, wash-trading. Đó không phải sai lầm. Đó là kế hoạch.
Takeaway: Câu hỏi cho cộng đồng
Vậy ai sẽ chịu trách nhiệm? Các sàn giao dịch niêm yết PVT? Gate.io đã niêm yết, nhưng sau khi tôi gửi báo cáo, họ gỡ bỏ. Các KOL quảng bá? Họ im lặng. Các nạn nhân? Họ mất tiền, nhưng không thể kiện vì hợp đồng thông minh có điều khoản 'arbitration' ở Singapore.
Lỗi ở dòng 47. Mất hết. Còn bài học nào không?
Đội ngũ PetroV đã biến mất. Nhưng những dự án tương tự sẽ tiếp tục xuất hiện. Bởi vì bảo hiểm rẻ khiến lòng tham rẻ hơn. Và Việt Nam là mảnh đất màu mỡ cho những kẻ khai thác lòng tin.
Tôi sẽ tiếp tục theo dõi. Còn bạn?
