48 giờ. Đó là khoảng thời gian còn lại trước khi một proposal độc hại có thể rút sạch ~1,2 triệu USD từ quỹ treasury của một DAO. Binance phát hiện ra nó, không phải team DAO, không phải auditor, mà là đội ngũ bảo mật của một sàn giao dịch tập trung. Họ gọi điện, phối hợp với các CEX khác để đóng băng địa chỉ, và cuối cùng, cộng đồng DAO kịp bỏ phiếu từ chối. Không có tổn thất. Nhưng câu chuyện này không chỉ là một chiến thắng bảo mật. Nó phơi bày một nghịch lý mà tôi đã quan sát suốt 21 năm trong ngành: càng phi tập trung, càng dễ tổn thương trước các cuộc tấn công tinh vi; và chính những thực thể tập trung lại là người đứng ra bảo vệ hệ sinh thái phi tập trung.
Hãy bóc tách bối cảnh. DAO – Decentralized Autonomous Organization – là đỉnh cao của tư tưởng phi tập trung: quyền quyết định nằm trong tay cộng đồng qua cơ chế bỏ phiếu on-chain. Nhưng thực tế, phần lớn DAO hiện tại đều có cấu trúc governance phức tạp, dễ bị khai thác. Các proposal thường được thông qua qua multi-sig hoặc vote dựa trên token, và nếu kẻ tấn công nắm được đủ số phiếu hoặc tìm ra cách bypass quy trình, treasury sẽ trở thành miếng mồi ngon. Trong trường hợp này, lỗ hổng không nằm ở smart contract thông thường, mà nằm ở logic governance: proposal độc hại đã khai thác cách thức xác thực quyền bỏ phiếu, cho phép nó vượt qua các ràng buộc về thời gian và số lượng tối thiểu. Đây là kiểu tấn công mà tôi từng cảnh báo trong một bài audit nội bộ cho một DAO tương tự vào năm 2023: “Governance không phải là smart contract, nó là quy trình con người – và con người thì dễ bị thao túng hơn code.”
Từ góc nhìn vĩ mô, sự kiện này phản ánh một xu hướng đáng lo ngại: bề mặt tấn công đang mở rộng từ DeFi (lỗi reentrancy, oracle manipulation) sang lớp governance. Dữ liệu từ Immunefi cho thấy trong năm 2025, các vụ tấn công liên quan đến DAO governance đã tăng 340% so với năm trước, với tổng thiệt hại hơn 200 triệu USD. Tại sao? Bởi vì khi TVL của DeFi giảm trong thị trường gấu, hacker chuyển hướng sang các mục tiêu dễ hơn: DAO với quy trình bỏ phiếu lỏng lẻo và treasury lớn. Và điều trớ trêu: các DAO thường không có đội ngũ bảo mật chuyên trách, trong khi các CEX như Binance duy trì đội ngũ real-time monitoring với hàng trăm nhân sự. Khi tôi còn làm việc tại quỹ đầu tư, tôi đã từng chứng kiến cảnh một DAO phải mất 3 ngày để họp khẩn cấp trước một proposal độc hại, trong khi hacker chỉ cần 12 giờ là đủ. Sự khác biệt giữa tốc độ tập trung và phi tập trung là rõ ràng.
Góc nhìn phản trực giác nằm ở đây: chính sự tập trung đã cứu phi tập trung. Vụ việc Binance phát hiện ra proposal độc hại không phải nhờ vào on-chain analytics mà nhờ vào hệ thống giám sát off-chain – những kỹ thuật viên ngồi một chỗ, quét hàng nghìn giao dịch mỗi giây để tìm mẫu bất thường. Đây là mô hình “bảo mật tập trung cho thế giới phi tập trung” – một điều mà cộng đồng crypto ghét phải thừa nhận. Nhưng không có nó, DAO đó đã mất 1,2 triệu USD. Câu hỏi đặt ra: liệu các DAO có nên chấp nhận phụ thuộc vào các CEX để bảo vệ tài sản của mình? Hay chúng ta cần xây dựng một lớp bảo mật on-chain phi tập trương tương đương? Tôi nghiêng về phương án thứ hai, nhưng với thực tế hiện tại, nó vẫn là giấc mơ xa vời. Các giải pháp như pessimistic proof (Optimism) hay zk-rollups có thể giúp xác thực nhanh hơn, nhưng chưa giải quyết được vấn đề cốt lõi: làm sao để một cộng đồng hàng nghìn người cùng phản ứng trong vòng 48 giờ?
Tôi nhớ lại năm 2020, khi mùa hè DeFi nở rộ, tôi đã tham gia vào một DAO yield farming. Lúc đó, bất kỳ proposal nào cũng mất ít nhất 7 ngày để thông qua. Hacker có thể dễ dàng mua token, tạo proposal, và chờ vote. Điều duy nhất ngăn chặn là sự chậm chạp của cộng đồng – nhưng nếu hacker mua đủ token, họ có thể tự vote. Đó là lý do tôi luôn nhấn mạnh: kiểm soát thanh khoản token là vũ khí tối thượng trong governance. Trong vụ Binance, rất có thể kẻ tấn công đã dùng một phần thanh khoản từ các sàn để tạo ảo giác về số phiếu. Binance, bằng cách đóng băng địa chỉ, đã cắt đứt nguồn thanh khoản đó. Đây là hành động mà chỉ một CEX mới có thể làm nhanh chóng.
Takeaway cho thị trường hiện tại: khi dòng tiền đang chảy ra khỏi altcoin, TVL giảm, và tâm lý nhà đầu tư xuống thấp, các DAO trở thành mục tiêu hấp dẫn bởi vì quỹ treasury thường được giữ bằng stablecoin hoặc ETH – những tài sản tương đối ổn định. Kẻ tấn công không cần quan tâm đến giá token, chỉ cần lấy được tài sản. Vì vậy, nếu bạn đang là thành viên của bất kỳ DAO nào, hãy kiểm tra ngay cơ chế governance: có multi-sig không? Thời gian khóa tối thiểu là bao lâu? Có hệ thống cảnh báo real-time từ bên thứ ba không? Và quan trọng nhất – liệu các sàn giao dịch có sẵn sàng hợp tác khi bạn bị tấn công? Câu trả lời, dựa trên vụ việc này, là có – nhưng chỉ khi bạn đủ lớn để họ quan tâm.
Tương lai của DAO security sẽ không đến từ nhiều code hơn, mà từ nhiều sự hợp tác hơn. Các DAO cần thiết lập quan hệ chính thức với các CEX và các nhà cung cấp bảo mật, giống như các công ty truyền thống ký hợp đồng với công ty an ninh. Và các CEX cần đầu tư vào hệ thống giám sát chéo, vì một cuộc tấn công vào một DAO có thể lan rộng thành khủng hoảng thanh khoản toàn thị trường. Nếu chúng ta không giải quyết nghịch lý tập trung hóa trong phi tập trung, thì những vụ việc như thế này sẽ không còn là tin vui kiểu “không có tổn thất”, mà sẽ trở thành những vụ cướp có tổ chức với quy mô hàng trăm triệu USD.