Tuần trước, cộng đồng của giao thức LendVault dậy sóng. Một nhà sáng lập chính – người nắm quyền kiểm soát duy nhất trên hợp đồng multi-sig – biến mất khỏi Twitter và Discord suốt 3 tuần. Không có lời giải thích, không có ETA. Chỉ còn lại những dòng code lạnh lẽo trên Etherscan.
Một sự kiện tương tự như lời kêu gọi của Thống đốc Kentucky đối với Thượng nghị sĩ McConnell: 'Hoặc chứng minh năng lực, hoặc từ chức'. Trong thế giới crypto, nó vang lên như một lời cảnh tỏa: Khi người giữ chìa khóa biến mất, niềm tin bay theo.
Hai năm trước, tôi – Dương Khánh, Kỹ sư bảo mật blockchain chuyên kiểm toán hợp đồng thông minh – đã chứng kiến một kịch bản tương tự với dự án bZx. Lần đó, lỗi flash loan bị bỏ qua vì đội ngũ từ chối thừa nhận báo cáo của tôi. Kết quả: 350.000 USD bốc hơi. Nhưng lần này, vấn đề không nằm ở code, mà nằm ở con người.
LendVault từng là top 10 DeFi trên Ethereum với hơn 2 tỷ USD TVL. Token của nó, LVT, đã mất 40% giá trị chỉ trong một tuần. Nhưng thực tế, mã nguồn của hợp đồng chính vẫn không thay đổi. Vậy tại sao cộng đồng lại hoảng loạn? Bởi vì một lỗ hổng mang tên 'lãnh đạo tập trung' không thể được vá bằng code. Hợp đồng có immutable, nhưng quyền nâng cấp proxy – nếu có – lại nằm trong tay một người duy nhất. Và khi người đó mất tích, bạn chẳng còn gì để tin tưởng.
Tôi đã đọc mã nguồn của LendVault trên Etherscan. Hợp đồng proxy UUPS sử dụng hàm upgradeTo chỉ được bảo vệ bởi modifier onlyOwner. Và owner là một địa chỉ multi-sig với 2/3 chữ ký. Tuy nhiên, khi kiểm tra lịch sử giao dịch, tôi thấy rằng trong 6 tháng qua, tất cả các lần nâng cấp đều được thực hiện chỉ với một chữ ký duy nhất từ người sáng lập đó. Điều này có nghĩa multi-sig chỉ là hình thức, thực tế là single point of failure. Một dòng code, một tỷ đô la bay hơi – nhưng lần này, lỗi không nằm trong code, mà nằm trong niềm tin giữa cộng đồng và người tạo ra nó.
Từ góc nhìn 'giải phẫu lạnh lùng', tôi thấy đây là một trường hợp kinh điển của 'hoài nghi thể chế hóa'. Dự án đã được kiểm toán bởi một công ty uy tín, nhưng kiểm toán chỉ xác nhận code không có lỗi kỹ thuật, chứ không thể kiểm tra ý định của người sáng lập. Câu chuyện này vạch trần một sự thật: Trong thế giới phi tập trung, sự tập trung quyền lực vào một cá nhân vẫn là rủi ro lớn nhất. Nó giống như việc một quốc gia phụ thuộc vào sức khỏe của một thượng nghị sĩ để thông qua ngân sách quốc phòng.
Nhưng hãy nhìn từ góc nhìn ngược lại. Những người ủng hộ LendVault lập luận: 'Hợp đồng đã được kiểm toán và không thể thay đổi, vậy việc founder vắng mặt có ý nghĩa gì? Cộng đồng vẫn có thể sử dụng giao thức một cách bình thường.' Họ có lý do của mình: hợp đồng thực sự immutable. Nhưng họ quên rằng giao thức phụ thuộc vào oracle giá, và oracle đó có thể bị thao túng nếu không có ai giám sát. Họ quên rằng quyền nâng cấp proxy vẫn còn đó, và nếu kẻ tấn công chiếm được private key của founder, toàn bộ số dư trong pool có thể bị rút sạch chỉ trong một khối.
Kinh nghiệm từ vụ Wormhole năm 2024 cho tôi thấy: lỗi xác thực chữ ký chỉ là một dòng code sai, nhưng hậu quả là 100 triệu USD bị đe dọa. Trong trường hợp LendVault, lỗi không nằm ở code, mà nằm ở cơ chế quản trị. Khi bạn xây dựng một hệ thống mà quyền lực tối cao thuộc về một người, bạn đang tạo ra một mục tiêu di động cho kẻ tấn công. Và khi mục tiêu đó biến mất, bạn không thể biết nó đang ở đâu – liệu có bị hack, bị bắt cóc, hay chỉ đơn giản là đi nghỉ? Sự không chắc chắn đó tự nó đã là một lỗ hổng bảo mật.
Từ góc nhìn chiến lược, đây là một bài kiểm tra 'khả năng chống chịu' của hệ thống. Nếu LendVault muốn tồn tại, nó cần một cơ chế chuyển giao quyền kiểm soát khẩn cấp – ví dụ như một DAO có thể bầu ra người quản lý mới nếu founder mất tích quá 30 ngày. Nhưng hiện tại, không có cơ chế nào. Cộng đồng chỉ có thể ngồi chờ, giống như chờ một chính trị gia trở lại ghế quyền lực.
Tôi kết luận: Đừng bao giờ đặt niềm tin tuyệt đối vào một cá nhân, dù code có hay đến đâu. Hãy kiểm tra không chỉ mã nguồn, mà còn kiểm tra 'mã nguồn của tổ chức' – cơ cấu quản trị, quyền lực, và kế hoạch dự phòng. Một dòng code, một tỷ đô la bay hơi – nhưng lần này, lỗi không nằm trong code, mà nằm trong niềm tin giữa cộng đồng và người tạo ra nó. Bạn có dám tiếp tục stake không?
