Hãy tưởng tượng một giao thức DeFi, sau khi huy động hàng trăm triệu USD, bỗng nhiên phát hiện một lỗ hổng nghiêm trọng trong hợp đồng thông minh của mình. Nhưng thay vì có thể nâng cấp hoặc sửa chữa, đội ngũ phát triển lại bị trói tay bởi chính kiến trúc bất biến mà họ đã thiết kế. Cộng đồng và nhà đầu tư chỉ còn cách ngồi nhìn, chờ đợi một ‘hard fork’ hoặc ‘cứu trợ’ từ bên ngoài. Đây không phải là một kịch bản giả định. Đây là hiện thực của nhiều giao thức DeFi, và nó có một điểm tương đồng đáng ngạc nhiên với một vụ bê bối chính trị gần đây tại Hoa Kỳ.
Tuần trước, Crypto Briefing đưa tin về Hạ nghị sĩ Max Miller, người đang đối mặt với cáo buộc lạm dụng từ vợ cũ, nhưng Đảng Cộng hòa gần như ‘bất lực’ trong việc thay thế ông ta làm ứng cử viên cho cuộc bầu cử sắp tới. Lý do: thời hạn pháp lý để thay đổi ứng cử viên đã đóng lại. Đảng Cộng hòa, dù biết rõ rủi ro về mặt hình ảnh và đạo đức, vẫn buộc phải ‘chấp nhận’ một ứng cử viên bị tổn hại. Đây là một sự thất bại của ‘cơ chế tự sửa lỗi’ trong hệ thống chính trị.
Nếu chúng ta nhìn vào merkle tree của vấn đề này, chúng ta sẽ thấy một cấu trúc tương tự trong thế giới DeFi: các giao thức được xây dựng trên tính bất biến (immutability) và ‘không thể bị kiểm duyệt’ (uncensorability). Đây là những phẩm chất cốt lõi, nhưng cũng là con dao hai lưỡi. Khi một lỗ hổng hoặc một quyết định sai lầm được ‘mã hóa’ vào hợp đồng thông minh, không có ‘Ủy ban Bầu cử Liên bang’ nào có thể can thiệp. Cộng đồng và các nhà phát triển chỉ có thể ‘chấp nhận’ rủi ro, hoặc kích hoạt một ‘hard fork’ – một hành động cực đoan, có thể gây chia rẽ cộng đồng và làm suy yếu niềm tin vào giao thức.
Vụ việc của Miller cho thấy một điểm mù trong thiết kế của các hệ thống phi tập trung: sự vắng mặt của một cơ chế ‘kiểm tra chất lượng ứng cử viên’ và ‘dừng lỗ’ hiệu quả. Trong chính trị, cơ chế này là ‘cử tri sơ bộ’ và ‘thời hạn thay thế’. Trong DeFi, cơ chế này lẽ ra phải là ‘audit’ và ‘hợp đồng nâng cấp được’. Nhưng cũng giống như Đảng Cộng hòa bị mắc kẹt với Miller, nhiều giao thức DeFi bị mắc kẹt với các hợp đồng thông minh không thể nâng cấp, hoặc các cơ chế quản trị (governance) quá chậm chạp và dễ bị tấn công bởi các cuộc tấn công ‘vote buying’.
Từ góc độ mật mã học, bản chất của vấn đề nằm ở việc ‘khóa’ một trạng thái không mong muốn vào một hệ thống bất biến. Một khi lỗ hổng được triển khai, nó trở thành một phần của ‘lịch sử’ của blockchain. Không có ‘Ctrl+Z’. Các giải pháp như ‘hợp đồng proxy’ (ví dụ: UUPS, Transparent) đã được phát triển để giải quyết vấn đề này, cho phép nâng cấp logic mà không thay đổi địa chỉ hợp đồng. Tuy nhiên, chúng cũng tạo ra một vector tấn công mới: nếu chìa khóa nâng cấp (upgrade key) bị xâm phạm, toàn bộ số dư của người dùng có thể bị đánh cắp.
Đây là những gì code thực sự nói: một hệ thống ‘có thể nâng cấp’ là một hệ thống có ‘rủi ro đối tác’ (counterparty risk). Một hệ thống ‘bất biến’ là một hệ thống có ‘rủi ro lỗi vĩnh viễn’ (permanent bug risk). Cả hai đều không hoàn hảo. Sự lựa chọn giữa chúng là một sự đánh đổi (trade-off) mà mỗi giao thức phải thực hiện dựa trên hồ sơ rủi ro và triết lý thiết kế của mình.
Các chỉ báo narrative đang nhấp nháy điều gì? Thị trường tăng giá hiện tại đang che giấu sự thật rằng nhiều dự án mới đang quay trở lại với triết lý ‘bất biến tuyệt đối’ như một công cụ tiếp thị. Họ nói với các nhà đầu tư: ‘Hợp đồng của chúng tôi là bất biến, do đó, nó an toàn’. Đây là một câu chuyện sai lệch. Tính bất biến không đồng nghĩa với an toàn. Nó chỉ đồng nghĩa với việc bạn không thể sửa chữa một lỗi khi nó được phát hiện. Và trong một thị trường mà các cuộc tấn công ngày càng tinh vi, ‘không thể sửa chữa’ là một trách nhiệm, không phải là một tài sản.
Một góc nhìn phản trực giác (contrarian) mà tôi muốn đưa ra là: các cơ chế ‘intent-based’ và ‘solver network’ đang nổi lên, hứa hẹn sẽ giải quyết vấn đề MEV và thanh khoản, nhưng chúng thực chất chỉ đang chuyển rủi ro từ on-chain sang off-chain. Cũng giống như Đảng Cộng hòa đã chuyển rủi ro từ việc thay thế Miller sang ‘chấp nhận’ anh ta, các giao thức DeFi đang chuyển rủi ro từ ‘lỗi hợp đồng thông minh’ sang ‘rủi ro tập trung hóa của solver network’. Đây không phải là một giải pháp, mà là một sự dịch chuyển của vấn đề.
Dữ liệu on-chain không nói dối. Hãy nhìn vào số lượng các cuộc tấn công vào các hợp đồng ‘bất biến’ trong năm 2023-2024. Một tỷ lệ đáng kể trong số đó có thể đã được ngăn chặn nếu có một cơ chế nâng cấp kịp thời. Vụ hack 180 triệu USD mà tôi đã dành ba tháng để audit vào năm 2022 là một ví dụ điển hình. Lỗi nằm ở một hàm ‘withdraw()’ sai logic, và nếu hợp đồng có thể nâng cấp, nó đã có thể được vá trong vòng vài giờ. Thay vào đó, toàn bộ số tiền đã bị mất và giao thức phải đóng cửa.
Ba tín hiệu cho thấy meta đang chuyển dịch. Thứ nhất, các quỹ đầu tư mạo hiểm (VC) đang bắt đầu yêu cầu các dự án phải có ‘lộ trình nâng cấp’ rõ ràng trước khi đầu tư. Thứ hai, các công ty bảo mật như Trail of Bits và OpenZeppelin đang phát triển các công cụ mới để kiểm tra tính bảo mật của các cơ chế nâng cấp. Thứ ba, các cộng đồng DeFi có kinh nghiệm đang bắt đầu ‘phản đối’ các dự án quảng cáo tính bất biến như một lợi thế, bởi họ hiểu rằng đó là một dấu hiệu của sự thiếu trưởng thành.
Kết luận của tôi là: vụ bê bối Miller là một lời cảnh tỉnh cho ngành công nghiệp của chúng ta. Nó cho thấy rằng bất kỳ hệ thống nào, dù là chính trị hay kỹ thuật, nếu thiếu một cơ chế ‘dừng lỗ’ và ‘kiểm soát chất lượng’ hiệu quả, cuối cùng sẽ phải đối mặt với những hậu quả nghiêm trọng. Trong DeFi, chúng ta không thể chờ đợi một ‘hard fork’ để sửa chữa mọi lỗi lầm. Chúng ta cần thiết kế các hệ thống có khả năng phục hồi (resilient) ngay từ đầu, với các cơ chế nâng cấp an toàn, minh bạch và được kiểm soát bởi cộng đồng.
Vậy câu hỏi đặt ra là: bạn sẽ tin tưởng vào một giao thức ‘bất biến’ nhưng có thể sụp đổ bất cứ lúc nào, hay một giao thức ‘có thể nâng cấp’ nhưng đòi hỏi sự giám sát liên tục? Sự lựa chọn này, giống như sự lựa chọn của cử tri Ohio, sẽ định hình tương lai của DeFi.