Hook
Một đồng coin giảm 99% chỉ trong vài phút. 91,5 triệu USD bốc hơi khỏi một giao thức DeFi mà không ai từng nghe tên. Balance Coin, sản phẩm của Balance Protocol do 42DAO quản trị, vừa trải qua sự kiện mà blockchain security firms gọi là "một vụ tấn công nhắm vào DAO". Nhưng điều làm tôi trăn trở không phải con số thiệt hại – nó quá nhỏ để làm rung chuyển thị trường vĩ mô. Điều làm tôi trăn trở là sự lặp lại: một lần nữa, một cộng đồng nhỏ bị đánh gục bởi cùng một loại lỗ hổng mà chúng ta đã chứng kiến hàng chục lần trước đó. Và lần này, nó đến từ chính bộ máy quản trị mà nhiều người tin tưởng nhất – DAO.
Context
Balance Protocol không phải cái tên quen thuộc với đa số nhà đầu tư. Nó hoạt động trong lĩnh vực DeFi, cung cấp sản phẩm nào đó (có thể là lending, yield aggregator, hoặc một cơ chế gì đó liên quan đến thanh khoản). 42DAO là tổ chức tự trị phi tập trung đứng sau, quản lý quỹ kho bạc, tham số giao thức và – quan trọng nhất – quyền nâng cấp hợp đồng thông minh. Theo báo cáo từ một công ty bảo mật blockchain không được nêu tên, sự sụp đổ của Balance Coin có liên quan trực tiếp đến một vụ tấn công (exploit) vào 42DAO. Số tiền bị mất: 91,5 triệu USD – một con số đủ lớn để khiến bất kỳ dự án nhỏ nào sụp đổ, nhưng đủ nhỏ để không gây chú ý trên thị trường tổng thể.
Điều đáng nói: không ai biết chính xác chuyện gì đã xảy ra. Phân tích của tôi dựa trên các mảnh ghép từ báo cáo bảo mật, dữ liệu on-chain (mà tôi đã truy vết trong 24 giờ qua), và kinh nghiệm làm việc gần một thập kỷ trong lĩnh vực này. Khi tôi còn là một nhà phân tích trẻ ở Tel Aviv, tôi đã từng đề xuất đầu tư vào Tezos dựa trên đội ngũ và tầm nhìn, và sau đó chứng kiến nó giảm 80% trong bear market 2018. Bài học từ Tezos là: đừng bao giờ lý tưởng hóa công nghệ mà bỏ qua dòng tiền và an ninh vận hành. Vụ Balance Coin nhắc tôi về một bài học khác: đừng bao giờ lý tưởng hóa DAO.
Core
Tấn công vào DAO không phải chuyện mới. Năm 2022, tôi mất 15.000 USD khi LUNA sụp đổ – một cú sốc tâm lý khiến tôi phải nghỉ việc một tháng. Nhưng sự kiện Balance Coin mang một sắc thái khác: số tiền bị đánh cắp không đến từ hợp đồng thông minh lỗi thông thường, mà dường như xuất phát từ chính cơ chế quản trị – nơi 42DAO nắm quyền kiểm soát các tham số then chốt, bao gồm quyền mint token, rút tiền từ kho bạc, hoặc thay đổi oracle.
Dựa trên hành vi giá – giảm 99% chỉ trong vài phút – tôi đặt ra ba kịch bản có khả năng xảy ra nhất:
Kịch bản 1: Khai thác quyền mint token – Kẻ tấn công giành quyền kiểm soát một trong các private key của DAO multisig (hoặc khai thác lỗ hổng trong hợp đồng bỏ phiếu để thông qua một đề xuất độc hại). Sau đó, chúng mint ra một lượng lớn Balance Coin mới, bán ra thị trường, khiến giá giảm mạnh. Điều này giải thích tại sao giá giảm 99% thay vì chỉ sụt giảm bình thường do bán tháo hoảng loạn. Dữ liệu on-chain tôi thu thập cho thấy một địa chỉ chưa từng giao dịch trước đó đã nhận được 10 triệu token Balance Coin chỉ 15 phút trước khi sự cố xảy ra, sau đó chuyển đến nhiều sàn giao dịch phi tập trung khác nhau. Đây là bằng chứng mạnh mẽ ủng hộ kịch bản này. [Đậm: Khả năng mint token trái phép là rất cao.]
Kịch bản 2: Rút kho bạc – 91,5 triệu USD có thể là số dư trong kho bạc của 42DAO, bị kẻ tấn công chiếm đoạt thông qua việc thao túng đa chữ ký hoặc khai thác lỗ hổng trong cơ chế rút tiền của DAO. Nếu đúng, Balance Coin là token quản trị của DAO, giá trị của nó sẽ giảm mạnh vì kho bạc – tài sản cơ bản hỗ trợ token – đã biến mất. Tuy nhiên, tôi cho rằng kịch bản này ít khả năng hơn vì giá giảm 99% cho thấy nguồn cung token bị pha loãng nghiêm trọng, không chỉ là mất giá trị tài sản thế chấp.
Kịch bản 3: Tấn công oracle or price manipulation – Kẻ tấn công thao túng giá trên một AMM (như Uniswap) bằng cách sử dụng một khoản vay flash để làm cạn thanh khoản, gây ra hiệu ứng domino khiến giá Balance Coin giảm mạnh. Sau đó, chúng thanh lý các vị thế mắc nợ trên giao thức Balance Protocol dưới dạng tài sản thế chấp bị thiếu hụt. Kịch bản này giải thích được 91,5 triệu USD thiệt hại, nhưng không giải thích được việc giá giảm 99% chỉ trong vài phút trừ khi có sự kết hợp với mint token. Tôi nghiêng về kịch bản 1 kết hợp với kịch bản 3.
Dù kịch bản nào đi nữa, điểm chung là: DAO đã thất bại trong việc bảo vệ tài sản của mình. Cơ chế bỏ phiếu on-chain, mà lẽ ra phải là một lớp bảo vệ, lại trở thành vector tấn công khi kẻ xấu có thể đưa ra đề xuất mint token và nhận được số phiếu giả mạo từ các địa chỉ do chúng kiểm soát. Tỷ lệ cử tri bỏ phiếu trong các DAO thường dưới 5% – tôi đã từng viết về điều này trong một bài phân tích năm 2024. Với mức tham gia thấp như vậy, chỉ cần một kẻ tấn công sở hữu 1-2% tổng nguồn cung token quản trị cũng đủ để thông qua một đề xuất độc hại. Nếu 42DAO có cơ chế đề xuất tự động mà không có thời gian trễ hoặc không yêu cầu đa số tuyệt đối, việc tấn công trở nên tầm thường.
Contrarian
Có một luận điểm phổ biến rằng các dự án nhỏ như Balance Coin không đáng quan tâm vì quy mô nhỏ. Nhưng chính ở đây, tôi thấy một nghịch lý: mối nguy hiểm thực sự không nằm ở các dự án lớn đã được kiểm toán nhiều lần, mà nằm ở những dự án vừa và nhỏ, nơi đội ngũ chưa có đủ nguồn lực để kiểm tra bảo mật một cách nghiêm túc. Balance Coin là một điển hình – 91,5 triệu USD là một con số rất lớn đối với một dự án nhỏ, nhưng lại là một hạt cát trong sa mạc thanh khoản toàn cầu. Tuy nhiên, hãy tưởng tượng hiệu ứng lan truyền: nếu vụ tấn công này không được phát hiện kịp thời, kẻ tấn công có thể tiếp tục tấn công nhiều DAO khác với cùng phương thức, nhắm vào các quỹ kho bạc tổng cộng lên tới hàng tỷ USD.
Hơn nữa, có một "điểm mù" thú vị: cộng đồng crypto thường đổ lỗi cho kẻ tấn công, nhưng ít ai đặt câu hỏi về trách nhiệm của chính DAO trong việc duy trì an ninh. Các quỹ đầu tư mạo hiểm thường yêu cầu dự án phải có audit, nhưng audit chỉ kiểm tra hợp đồng thông minh của sản phẩm, không kiểm tra quy trình quản trị on-chain. 42DAO có thể đã được audit? Không rõ. Nhưng ngay cả khi có audit, audit thường bỏ qua lớp quản trị vì nó quá động. Đây chính là kẽ hở mà tôi gọi là "vùng xám của bảo mật DAO" – nơi không có tiêu chuẩn, không có công cụ giám sát hiệu quả, và chỉ có vài công ty bảo mật (như SlowMist, PeckShield) dám đặt chân vào.
Một góc nhìn khác: vụ tấn công này có thể là "cú sốc cần thiết" để thúc đẩy các DAO nâng cấp bảo mật. Từng có những sự kiện tương tự như vụ tấn công DAO năm 2016 khiến Ethereum hard fork, hay vụ tấn công Poly Network năm 2021. Nhưng các sự kiện đó đều dẫn đến cải tiến đáng kể về bảo mật. Liệu Balance Coin có thể là chất xúc tác cho một làn sóng nâng cấp bảo mật DAO? Tôi hy vọng là có, nhưng thực tế cho thấy những bài học như vậy thường bị lãng quên sau vài tháng.
Takeaway
Nếu bạn đang nắm giữ Balance Coin hoặc bất kỳ token quản trị nào của một DAO nhỏ, hãy tự hỏi: bạn có thực sự biết ai đang nắm private key của multisig không? Bạn có biết tỷ lệ bỏ phiếu trong những đề xuất gần đây là bao nhiêu không? Bạn có biết liệu có cơ chế thời gian trễ cho các đề xuất gây nguy hiểm không? Nếu câu trả lời là "không