Đừng tin ai bảo bạn rằng một giao thức đã chạy được 6 tháng thì an toàn.
Tối thứ Bảy tuần trước, một ánh sáng xanh lóe lên trên màn hình của tôi: BLC, đồng stablecoin thuật toán của 42DAO, giảm 99% chỉ trong vài block. 91.5 triệu USD bay hơi. Tin nhắn từ nhóm bảo mật TenArmor: “Phát hiện hoạt động tấn công đáng ngờ liên quan đến GemJoin…”. Và rồi, im lặng.
42 giờ trôi qua, không một lời giải thích chính thức, không một kế hoạch khắc phục. Điều đó mới đáng sợ hơn cả đợt sụp đổ.
Bối cảnh: Giấc mơ thuật toán và cái bẫy quen thuộc
BLC là một stablecoin thuật toán, hoạt động trong hệ sinh thái 42DAO – một tổ chức tự trị phi tập trung trên BNB Chain. Cơ chế của nó vay mượn từ UST của Terra: duy trì neo giá 1 USD thông qua chênh lệch cung cầu và cơ hội chênh lệch giá cho các nhà đầu tư. Nhưng thay vì dùng LUNA như Terra, 42DAO sử dụng token DAO của mình để hấp thụ biến động. Nghe có vẻ quen thuộc? Đúng vậy, vì nó đã thất bại một lần vào năm 2022. Lần này, thất bại còn nhanh và ồn ào hơn.
Tôi nhớ lại mùa hè 2020, khi tôi viết những hướng dẫn DeFi đầu tiên trên Medium. Lúc đó, tôi từng nghĩ các giao thức thuật toán sẽ thay đổi thế giới. Nhưng 5 năm trong ngành đã dạy tôi một bài học: bất cứ thứ gì dựa vào niềm tin thuần túy mà không có tài sản thế chấp đều là một canh bạc.
Phân tích cốt lõi: Vết nứt trong hợp đồng thông minh
Dựa trên kinh nghiệm audit của tôi, sự kiện này không đơn giản là một cuộc tấn công thị trường.
Đầu tiên, hãy nhìn vào con số: mất 91.5 triệu USD. Với một giao thức nhỏ trên BNB Chain, đây là một khoản tiền rất lớn. Nhưng điều khiến tôi nghi ngờ là khoảng thời gian im lặng của đội ngũ. Trong thế giới crypto, 42 giờ không nói gì đồng nghĩa với một trong hai điều: hoặc họ không biết chuyện gì đã xảy ra (dấu hiệu của quản lý yếu kém), hoặc họ biết nhưng không muốn nói (dấu hiệu của một vụ rug-pull hoặc đàm phán ngầm).
TenArmor nhắc đến “GemJoin”. Với những ai quen thuộc với MakerDAO, GemJoin là module cho phép trao đổi tài sản thế chấp. Trên BNB Chain, một module tương tự có thể đã bị khai thác thông qua một cuộc tấn công vay nhanh. Kẻ tấn công mượn một lượng lớn BN B, dùng nó để làm lệch tỷ lệ trong pool BLC/BN B, sau đó kích hoạt một loạt thanh lý hoặc đúc BLC không có tài sản đảm bảo. Kết quả: giá BLC lao dốc và kẻ tấn công rút sạch thanh khoản.
Điều đáng nói là không có báo cáo kiểm toán nào được công bố cho 42DAO. Đây là lá cờ đỏ lớn nhất. Bất kỳ giao thức stablecoin thuật toán nào không có ít nhất 2-3 cuộc kiểm toán từ các công ty uy tín (như Trail of Bits, OpenZeppelin) đều đáng bị nghi ngờ.
Góc nhìn phản trực giác: Cộng đồng đã tự lừa dối mình
Chúng ta thường đổ lỗi cho hacker hoặc lỗi code. Nhưng thực tế, sự sụp đổ của BLC là thất bại của triết lý DAO hơn là thất bại kỹ thuật.
Tôi đã tham gia nhiều cộng đồng DAO. Họ thường tự hào về tính phi tập trung, nhưng lại bỏ qua các vấn đề quản trị cơ bản: ai có quyền nâng cấp hợp đồng? Quỹ DAO được quản lý như thế nào? Có cơ chế khẩn cấp để đóng băng giao thức không? Trong trường hợp 42DAO, câu trả lời dường như là “không”.
Khi một giao thức không công bố nguyên nhân sau 48 giờ, đó không còn là bug nữa, đó là sự lựa chọn. Và cộng đồng, bằng cách tin tưởng mù quáng vào “phi tập trung”, đã tự tạo ra cái bẫy cho chính mình. Tôi nhớ đến năm 2021, khi tôi tổ chức workshop về NFT an toàn tại Hà Nội. Một nghệ sĩ đã hỏi tôi: “Làm sao để biết một dự án có an toàn?”. Tôi trả lời: “Hãy nhìn vào cách họ đối xử với cộng đồng khi có lỗi.” 42DAO im lặng – đó là câu trả lời rõ ràng nhất.
Takeaway: Câu hỏi cho tương lai
Sự kiện này không chỉ là một vụ hack nữa. Nó là lời nhắc nhở rằng công nghệ không thể thay thế trách nhiệm giải trình. Một DAO không có trách nhiệm pháp lý cũng giống như một con tàu không có phao cứu sinh.
Điều gì sẽ xảy ra nếu chúng ta, với tư cách là cộng đồng, yêu cầu các giao thức phải có “kế hoạch dự phòng” trước khi ra mắt? Điều gì sẽ xảy ra nếu các nhà đầu tư đòi hỏi báo cáo kiểm toán và bằng chứng dự trữ trước khi bỏ tiền? Có lẽ thị trường gấu là thời điểm tốt nhất để đặt những câu hỏi này.
Bởi vì nếu chúng ta không học từ 91.5 triệu USD đã mất, thì lần tiếp theo, con số đó có thể là của bạn.
