Smart Contracts — Liệu Chúng Có An Toàn?

Smart Contract là gì?

Chương trình tự động trên blockchain:

• Khi điều kiện A xảy ra → tự động thực hiện B
• Ví dụ: khi bạn gửi tiền → tự động trả lãi suất

Ưu: Không cần trusted middleman (ngân hàng). Nhược: Code lỗi → mất tiền không ai cứu được.

Rủi ro Smart Contract

1. Code bugs (lỗi code)

Ví dụ: Hàm transfer tính toán sai → gửi tiền gấp đôi.

Hoặc: Hàm approve có lỗi reentrancy → attacker gọi lại hàm, steal tiền.

2. Re-entrancy Attack

Attacker gọi hàm liên tục trước khi hàm khoá data:

Bạn gủi 100 USD
Contract: if (balance > 0) send 100 USD
Attacker: gọi lại send trước khi balance cập nhật
→ Attacker lấy 100 + 100 + 100... (vô hạn)

3. Admin rug pull

Smart contract có owner:

• Owner có thể mint token vô hạn
• Owner có thể drain pool
• Owner bán token → price crash

Ví dụ: Curve Finance hack 2023 (nhưng admin key có 2-of-3 multisig = safer).

4. Overflow/Underflow (OLD, Solidity < 0.8)

Con số quá lớn → tràn → kết quả sai.

Ví dụ: uint256 max = 2^256 - 1

• 1 = overflow → 0

Audit = Bảo vệ

Công ty security (Certik, Trail of Bits, OpenZeppelin) audit code:

• Đọc code dòng dòng
• Tìm bugs, lỗi logic
• Report: Critical, High, Medium, Low

Audit không phải 100% an toàn, nhưng giảm rủi ro rất nhiều.

Dự án có audit từ công ty nổi tiếng = tốn tiền → dev nghiêm túc hơn.

Red flags

1. Không audit hoặc audit từ công ty ẩn danh

   • Dự án bỏ tiền ~ 5k–50k USD cho audit tốt
   • Nếu không audit = không muốn kiểm tra → cảnh báo

2. Owner là ẩn danh hoặc multisig não không transparent

   • Transparent multisig (2-of-3, công khai signers) = safer
   • Owner ẩn danh = có thể rug pull

3. Code không open-source

   • Dự án tử tế = công khai code
   • Ẩn code = có gì cần ẩn → cảnh báo

4. Admin functions quá mạnh

   • setMaxWallet quá thấp (dev control)
   • setTax cao → dev rút hoa hồng vô hạn
   • pause function → dev pause transfer bất cứ khi nào

Cách kiểm tra contract

1. Vào Etherscan / BSCScan

2. Xem "Contract" tab → "Code"

3. Tìm red flags:

   • onlyOwner functions quá mạnh
   • _mint không có limit
   • Hàm transfer có require weird

4. Nếu không hiểu code → tránh

Tools hỗ trợ

• MythX (automated security analysis)
• Slither (static analyzer)
• OpenZeppelin Defender (monitor contract)

fastbot + Contract monitoring

fastbot có thể monitor smart contract nếu tích hợp (owner changes, mint events, v.v.).

👉 Dùng fastbot theo dõi contract — an toàn hơn.