48 giờ. Đó là khoảng thời gian còn lại trước khi một đề xuất quản trị độc hại được thực thi. Một đề xuất được thiết kế tinh vi, nhắm vào chính trái tim của DAO – kho bạc. 1.2 triệu USD đã được đặt lên bàn cân. Và nếu không có một nhóm bảo mật theo dõi 24/7, số tiền đó đã biến mất.
Tôi đã nhìn thấy điều này từ cách đây rất lâu. Khi tôi còn xây dựng bot giao dịch đầu tiên vào năm 2017, tôi đã hiểu rằng kẻ tấn công không bao giờ ngủ. Nhưng lần này, chúng không nhắm vào hợp đồng thông minh. Chúng nhắm vào quy trình bỏ phiếu. Vào chính cách mà một cộng đồng đưa ra quyết định.
Context: Tại sao lại là bây giờ?
Thị trường đang giảm. Mọi người đang lo lắng về thanh khoản, về việc liệu tài sản của họ có an toàn hay không. Và chính trong những thời điểm như thế này, các lỗ hổng mới xuất hiện. Khi các dự án cắt giảm nhân sự, khi các nhóm bảo mật bị thu hẹp, kẻ tấn công sẽ thử nghiệm ranh giới. Lần này, ranh giới đó là DAO – một cơ chế được ca ngợi là đỉnh cao của phi tập trung.
Sự kiện được Binance tiết lộ vào ngày 18 tháng 8 không phải là một vụ hack điển hình. Không có reentrancy, không có flash loan. Thay vào đó, kẻ tấn công đã khai thác một điểm yếu trong quy trình quản trị on-chain: một đề xuất độc hại được thiết kế để vượt qua các yêu cầu giao thức hiện có. Nó trông có vẻ hợp lệ. Đủ để không bị nghi ngờ trong vòng 48 giờ trước khi thực thi.
Core: Những gì đã thực sự xảy ra
Đội ngũ bảo mật của Binance, thông qua giám sát độc lập, đã phát hiện ra đề xuất này. Họ ngay lập tức nhận ra mối đe dọa: nếu được thông qua, nó sẽ cho phép kẻ tấn công rút toàn bộ kho bạc DAO – khoảng 1.2 triệu USD. Điều đáng sợ là đồng hồ đang tích tắc. Còn chưa đầy 48 giờ trước khi đề xuất được thực thi tự động.
Binance đã không chỉ đứng nhìn. Họ liên hệ với nhóm dự án. Họ phối hợp với các sàn tập trung khác đang niêm yết token đó. Họ yêu cầu tạm dừng nạp tiền liên quan đến token – một biện pháp phòng ngừa để ngăn chặn dòng tiền bị đánh cắp có thể chảy qua các nền tảng giao dịch. Cuối cùng, nhóm dự án đã kịp thời bỏ phiếu từ chối đề xuất độc hại. Cuộc tấn công đã bị ngăn chặn. Không có tổn thất tài chính.
Nhưng đây mới là phần khiến tôi trăn trở: sự kiện này cho thấy các rủi ro bảo mật trong ngành crypto đang mở rộng từ lỗ hổng hợp đồng thông minh truyền thống sang các lĩnh vực như cơ chế quản trị DAO, quyền truy cập người dùng và hành vi vận hành. Jimmy Su, Giám đốc An ninh của Binance, đã nói đúng. Chúng ta không còn chỉ đối phó với các lỗi code nữa. Chúng ta đang đối phó với các lỗi trong quy trình ra quyết định của con người.
Contrarian: Góc nhìn mà không ai nói đến
Hầu hết các bài báo sẽ ca ngợi Binance vì đã cứu vãn tình hình. Và đúng, họ xứng đáng được khen ngợi. Nhưng tôi nhìn thấy một vấn đề sâu xa hơn: sự phụ thuộc quá mức vào các sàn tập trung để bảo vệ các giao thức phi tập trung.
Hãy nghĩ mà xem. Một DAO – được cho là tự trị, phi tập trung – đã suýt bị tấn công. Và ai đã cứu nó? Một sàn tập trung. Một thực thể có thể đóng băng tiền nạp, có thể kiểm duyệt các giao dịch. Nếu điều này xảy ra ở một DAO không có token được niêm yết trên các sàn lớn, liệu nó có bị phát hiện kịp thời không?
Cảm xúc thị trường đang chuyển từ FOMO sang hoảng loạn, và chính trong sự hoảng loạn đó, các lỗ hổng quản trị mới bị phơi bày. Tôi đã từng chứng kiến điều tương tự trong mùa hè DeFi 2020, khi tôi mất 20% vốn vì một dự án rug pull. Lúc đó, tôi đã học được một bài học: không có cơ chế giám sát on-chain tự động, bạn sẽ phụ thuộc vào lòng tốt của người khác.
Takeaway: Bài học cho những người còn ở lại
Tuần này, tôi sẽ không nói về việc mua hay bán. Tôi sẽ nói về việc sống sót. Nếu bạn đang tham gia vào bất kỳ DAO nào, hãy tự hỏi: ai đang theo dõi các đề xuất? Có hệ thống cảnh báo tự động không? Hay bạn chỉ hy vọng rằng một sàn tập trung nào đó sẽ cứu bạn?
Đây là tín hiệu tôi đã chờ đợi: các cuộc tấn công quản trị sẽ gia tăng trong thị trường gấu. Và lần tới, có thể không có Binance ở đó để giúp đỡ. Hãy xây dựng hệ thống giám sát của riêng bạn. Hãy kiểm tra quyền hạn của kho bạc. Bởi vì trong thế giới crypto, sự sống còn không đến từ việc trở nên phi tập trung, mà từ việc trở nên cảnh giác.
