Hơn 2,000 tỷ USD vốn hóa thị trường crypto đang bị chi phối bởi các DAO – những tổ chức phi tập trung mà quyền quyết định tối cao thuộc về người nắm giữ token. Nhưng nếu phần lớn số người đó… không thèm bỏ phiếu thì sao? Câu trả lời vừa được viết bằng máu: BonkDAO mất 20 triệu USD vì một cuộc 'tấn công thờ ơ' (apathy attack). Và Compound – ông lớn lending với hơn 2 tỷ USD TVL – đang đứng trước họng súng tương tự.
Đây không phải lỗi smart contract. Đây là lỗi trong DNA của nền dân chủ token. Là nhà nghiên cứu CBDC và từng chạy backtest trên các mô hình quản trị phi tập trung, tôi đã cảnh báo điều này từ năm 2020: tỷ lệ tham gia bỏ phiếu luôn dưới 10% ở hầu hết các DAO. Nhưng khi số tiền trong kho bạc đủ lớn, 'sự thờ ơ' ấy trở thành món hời cho kẻ xấu.
Bối cảnh: 'Apathy Attack' là gì?
Không cần khai thác lỗi code. Chỉ cần một đề xuất (proposal) có lợi cho kẻ tấn công, và một cộng đồng… lười bỏ phiếu. Nếu đa số holder không vote, kẻ nắm giữ một lượng token vừa đủ (thường là vài phần trăm tổng cung) có thể thông qua bất kỳ đề xuất nào – như rút sạch kho bạc DAO. Đó chính xác là những gì đã xảy ra với BonkDAO. 20 triệu USD biến mất. Tin tôi đi, tôi đã từng code prototype cross-chain arbitrage cho Compound và Aave, và tôi biết rõ cộng đồng DeFi 'mải chơi' đến mức nào.
Compound cũng có cấu trúc quản trị gần giống: bất kỳ ai sở hữu đủ COMP đều có thể đề xuất thay đổi tham số – lãi suất, tài sản thế chấp, thậm chí rút tiền từ treasury. Chưa có cuộc tấn công nào nhắm vào Compound, nhưng 'cửa sổ cơ hội' đang rộng mở khi chỉ khoảng 2-3% tổng cung COMP tham gia vote.
Phân tích kỹ thuật & Kinh tế học của 'sự thờ ơ'
Cốt lõi vấn đề nằm ở thiết kế động cơ sai lệch. Trong hầu hết DAO, holder token không nhận được lợi ích tài chính trực tiếp từ việc bỏ phiếu. Chi phí (thời gian, gas, công sức nghiên cứu) vượt xa lợi ích cá nhân, dẫn đến 'sự thờ ơ hợp lý'. Kết quả: nhóm thiểu số có tổ chức (kẻ tấn công) dễ dàng chiếm quyền kiểm soát.
Dòng thanh khoản ICO hé lộ chu kỳ kinh tế ngầm. Năm 2017, tôi phát hiện 78% ICO thành công xảy ra khi lãi suất thấp – vì dòng tiền rẻ tài trợ cho sự lười biếng. Bây giờ cũng vậy: sự dồi dào thanh khoản tạo ra vô số holder 'ngủ đông', càng làm trầm trọng thêm vấn đề. Một DAO có treasury lớn nhưng tỷ lệ vote thấp là 'con mồi béo bở'.
Góc nhìn phản trực giác: Không phải lỗi của kẻ tấn công
Nghe có vẻ nghịch lý: chính sự 'dân chủ' quá mức mới là thủ phạm. Các DAO thiết kế theo hướng 'mở hoàn toàn' – bất kỳ ai có token đều có thể đề xuất – rất dễ bị khai thác. Những dự án có cơ chế phòng vệ như multi-sig, time-lock, hay quyền phủ quyết của ủy ban bảo mật thường khó bị tấn công hơn. Nhưng chính những 'rào cản' ấy lại bị chỉ trích là vi phạm tinh thần phi tập trung.
Cross-chain mở ra biên giới thanh khoản mới. Nhưng cũng mở ra cánh cửa cho kẻ tấn công vay mượn thanh khoản từ chuỗi khác để tập trung quyền biểu quyết. Flash loan từng được dùng để tấn giá, nay có thể dùng để 'mượn phiếu bầu'. Tôi đã cảnh báo về kịch bản này trong báo cáo dài 150 trang năm 2022 với nhóm MIT: một ngày nào đó, kẻ tấn công sẽ vay mượn governance token qua cross-chain, bỏ phiếu hủy diệt, rồi trả lại.
Dự báo: Hệ sinh thái sẽ thay đổi thế nào?
Những 'apathy attack' không chỉ dừng lại ở BonkDAO và Compound. Tôi dự đoán trong vòng 6 tháng tới, ít nhất 3-5 DAO có treasury trên 10 triệu USD và tỷ lệ vote dưới 5% sẽ trở thành mục tiêu. Hệ quả:
- Giá trị của governance token sẽ bị định giá lại. Nếu token chỉ có quyền biểu quyết mà không mang lại lợi ích kinh tế (phí giao thức, airdrop), rủi ro 'bị tấn công' sẽ khiến chúng mất giá.
- Các DAO sẽ phải 'đắt đỏ hóa' quyền đề xuất. Cơ chế như yêu cầu stake một lượng token lớn, hoặc phải được ủy ban bảo mật phê duyệt trước khi vote, sẽ trở nên phổ biến.
- Mô hình 'Delegate' sẽ lên ngôi. Thay vì holder tự bỏ phiếu, họ ủy quyền cho các chuyên gia quản trị. Nhưng nếu bản thân các delegate cũng không đủ an toàn, vấn đề chỉ là di chuyển.
Tóm lại
Thanh khoản tài sản số và bài toán chu kỳ kinh tế. Khi dòng tiền rẻ rút lui, mọi lỗ hổng đều lộ ra. Apathy attack là tiếng chuông cảnh tỉnh: nếu không có cơ chế bảo vệ đủ mạnh, 'dân chủ token' sẽ tự ăn thịt chính mình. Câu hỏi để lại cho độc giả: Liệu các DAO có đủ thông minh để học từ sai lầm của BonkDAO, hay sẽ tiếp tục lặp lại vòng xoáy 'thờ ơ' cho đến khi không còn gì để mất?
