91,5 triệu USD. Con số không quá lớn trong thế giới crypto, nhưng khi nó biến mất chỉ trong vài phút và kéo theo giá trị một đồng coin giảm 99%, thì đó là tín hiệu đáng báo động cho bất kỳ ai đang quản lý tài sản trong hệ sinh thái DeFi. Sự kiện liên quan đến Balance Coin và tổ chức 42DAO đã làm dấy lên câu hỏi: Liệu một DAO có thực sự an toàn hơn một đội ngũ tập trung? Hay đây chỉ là một vụ hack khác trong vô vàn những vụ hack mà chúng ta đã chứng kiến?
Bối cảnh: Khi DAO là 'người gác cổng' của một giao thức
Balance Protocol là một nền tảng DeFi được quản lý bởi 42DAO – một tổ chức tự trị phi tập trung với các thành viên nắm giữ token quản trị. Trong thiết kế thông thường, DAO nắm quyền kiểm soát các tham số chính: phí, danh sách tài sản thế chấp, thậm chí cả quyền nâng cấp hợp đồng thông minh. Cơ chế đa chữ ký (multi-sig) thường được dùng để thực thi các quyết định của DAO, với một nhóm nhỏ người ký – thường là các thành viên sáng lập hoặc cố vấn – có thể can thiệp khi khẩn cấp.
Vào thời điểm sự kiện xảy ra, một công ty bảo mật blockchain (không được nêu tên) đã liên kết sự sụp đổ giá của Balance Coin với một cuộc tấn công nghi ngờ vào 42DAO. Kết quả: 91,5 triệu USD bị rút khỏi hệ thống, token giảm 99% giá trị, và niềm tin của người dùng tan biến chỉ sau một đêm. Điều này khác với một vụ hack thông thường – nạn nhân ở đây không phải người dùng riêng lẻ, mà là chính giao thức và những người nắm giữ token quản trị.
Phân tích kỹ thuật: Lỗ hổng nằm ở đâu?
Dựa trên kinh nghiệm kiểm toán hợp đồng thông minh từ năm 2017, tôi có thể chỉ ra một số điểm yếu tiềm ẩn mà kẻ tấn công có thể đã khai thác. Dữ liệu hiện có chỉ cho thấy số tiền 91,5 triệu USD bị lấy đi và token giảm giá gần như hoàn toàn. Điều này gợi ý hai kịch bản: (1) một lượng lớn token mới được đúc trái phép (inflate supply) và bán ra thị trường; hoặc (2) kẻ tấn công đã chiếm quyền kiểm soát hợp đồng kho quỹ của DAO và rút tài sản thế chấp.
Trong cả hai trường hợp, lỗ hổng nằm ở lớp quản lý quyền truy cập. Một DAO thường trao quyền đúc token hoặc rút quỹ cho một địa chỉ multi-sig. Nếu địa chỉ đó bị xâm phạm – dù do lỗi kỹ thuật (ví dụ: reentrancy trong logic bỏ phiếu) hay do quản lý khóa riêng yếu kém – thì hậu quả thảm khốc. Các cuộc tấn công gần đây vào các giao thức DeFi nhỏ cho thấy tỷ lệ thành công cao khi kẻ tấn công tập trung vào nhóm người ký ít (3/5 hoặc 5/7), dễ dàng bị tấn công xã hội hoặc lừa đảo.
Trong quá khứ, khi kiểm toán hợp đồng Aragon vào năm 2017, tôi đã phát hiện ra bốn lỗi logic trong cơ chế bỏ phiếu – tất cả đều liên quan đến việc một người dùng độc hại có thể vượt qua quyền kiểm soát đa số. Sau 6 tuần phân tích và 30 trang báo cáo, nhóm Aragon đã vá lỗi và trả thù lao 25.000 USD. Nhưng không phải dự án nào cũng may mắn như vậy. Ở đây, số tiền thiệt hại 91,5 triệu USD tương đối nhỏ, cho thấy Balance Protocol có thể là một dự án nhỏ với TVL chỉ vài triệu USD. Điều này khiến nó trở thành mục tiêu dễ dàng cho kẻ tấn công, vì chi phí khai thác thấp hơn nhiều so với lợi nhuận tiềm năng.
Góc nhìn phản trực giác: Có thể nào vụ tấn công này là 'tự hủy'?
Chúng ta thường nghĩ rằng hầu hết các vụ hack trong DeFi là do lỗ hổng hợp đồng thông minh. Nhưng có một khả năng khác: vụ tấn công đến từ bên trong tổ chức DAO. Khi một nhóm người ký đa chữ ký nắm giữ quyền lực tuyệt đối, và một trong số họ quyết định rút tiền và đổ lỗi cho hacker bên ngoài, thì đó là một 'rug pull' có tổ chức. Điều này đã xảy ra nhiều lần trong lịch sử crypto, từ các dự án DeFi đến NFT.
Thực tế, việc 42DAO bị nghi ngờ là mục tiêu tấn công – thay vì giao thức Balance Protocol – cho thấy điểm yếu tập trung ở cấp quản trị. Nếu kẻ tấn công thực sự là một người trong cuộc, thì không có bản nâng cấp hay sửa lỗi nào có thể cứu vãn lòng tin. Ngược lại, nếu là hacker bên ngoài khai thác lỗi mã, thì dự án có thể phục hồi một phần nhờ công bố minh bạch và bồi thường từ quỹ dự trữ – nhưng khả năng này rất thấp vì quỹ dự trữ thường không được tiết lộ.
Takeaway: Dự báo lỗ hổng và bài học cho người dùng
Sự kiện Balance Coin là một lời nhắc nhở rõ ràng: DAO không tự động đồng nghĩa với an toàn. Cấu trúc multi-sig tập trung quyền lực vào một nhóm nhỏ, và nếu nhóm đó bị xâm phạm, toàn bộ hệ sinh thái sụp đổ. Trong 5 năm tiếp theo, tôi dự đoán các cuộc tấn công nhắm vào tầng quản trị (governance layer) sẽ gia tăng, khi kẻ tấn công nhận ra rằng việc chiếm quyền kiểm soát multi-sig dễ hơn nhiều so với việc khai thác lỗi phức tạp trong AMM hay lending protocol.
Đối với người dùng nắm giữ token quản trị: hãy kiểm tra danh sách người ký multi-sig của DAO. Nếu có ít hơn 7 người, hoặc nếu các thành viên không được tiết lộ công khai, thì đó là một rủi ro tiềm ẩn. Đối với các nhà đầu tư: đừng bao giờ coi TVL cao là bảo chứng cho sự an toàn. Một vụ hack 91,5 triệu USD có thể xóa sổ hoàn toàn giá trị token của bạn, và không có hợp đồng thông minh nào có thể bảo vệ bạn khỏi sự phản bội của con người.
