Vào tháng 3 năm 2025, một DAO quản lý quỹ 500 triệu USD đã sụp đổ sau một cuộc tấn công governance. Không phải do exploit smart contract, không phải do flash loan hay reentrancy – mà bởi một chiến dịch thông tin được thiết kế tinh vi, phối hợp qua nhiều kênh, tận dụng tâm lý FOMO và sự thiếu minh bạch trong quy trình đề xuất. Kẻ tấn công đã phát hành một bộ phân tích “giả mạo” về một giao thức cạnh tranh, thao túng vote của các token holder để thông qua một proposal chuyển quỹ sang một bridge mà sau này được phát hiện là do họ kiểm soát. Tôi đọc lại báo cáo kiểm toán của mình cho Uniswap V2 năm 2020, và nhận ra một điểm chung: trong cả bảo mật smart contract lẫn quản trị DAO, kẻ thù nguy hiểm nhất không phải là lỗi code, mà là lỗ hổng trong xử lý thông tin.
Bối cảnh của vụ việc này không đơn thuần là một hack. Nó phản ánh một xu hướng đáng lo ngại: sự chuyên nghiệp hoá của các cuộc tấn công phi kỹ thuật vào DAO. Khi mà thị trường giảm, các quỹ đầu tư mạo hiểm rút vốn, những kẻ tấn công chuyển hướng từ exploit on-chain sang thao túng tín hiệu quản trị. Họ không cần phải tìm lỗi trong code; họ chỉ cần khiến cộng đồng tin vào một điều sai lệch. Đây là lý do tại sao, sau gần 10 năm làm việc trong lĩnh vực này, tôi tin rằng bảo mật thông tin và OSINT cần trở thành một phần cốt lõi trong framework quản trị của bất kỳ DAO nào.
Hãy nhìn vào vụ việc qua lăng kính 7 chiều mà tôi thường dùng để đánh giá rủi ro chiến lược – một khung phân tích tôi mượn từ các báo cáo tình báo địa chính trị, nhưng điều chỉnh cho phù hợp với không gian phi tập trung.
1. Khả năng tấn công hợp đồng thông minh – Trong vụ này, smart contract của DAO không bị khai thác. Nhưng kẻ tấn công đã lợi dụng một oracle yếu kém trong việc xác thực nguồn tin. Họ đã tạo ra một website giả mạo với giao diện giống hệt một nền tảng phân tích dữ liệu on-chain nổi tiếng, đăng tải một báo cáo sai lệch về hiệu suất của giao thức đối thủ. Vì DAO không có cơ chế xác minh độc lập cho các nguồn dữ liệu bên ngoài, proposal dựa trên báo cáo đó đã vượt qua quorum một cách dễ dàng. Lỗ hổng không nằm ở code, mà ở quy trình đầu vào thông tin.
2. Phân phối token và động lực bỏ phiếu – DAO này sử dụng cơ chế weighted voting dựa trên số lượng token nắm giữ. Kẻ tấn công đã tích luỹ token thông qua nhiều ví trong 6 tháng, không gây chú ý. Khi proposal được đưa ra, họ kích hoạt toàn bộ số token đó để vote thuận. Điều này cho thấy mô hình quản trị dựa trên số dư token đơn thuần là một lỗ hổng cấu trúc, dễ bị thao túng bởi những kẻ có vốn lớn hoặc có khả năng phối hợp. Trong báo cáo tôi viết cho Aragon năm 2018, tôi đã chỉ ra rằng cần phải kết hợp thời gian nắm giữ và danh tiếng on-chain để giảm thiểu rủi ro này. ArtDAO – cộng đồng NFT mà tôi từng thiết kế framework – đã áp dụng đúng nguyên tắc đó, và tỷ lệ tham gia vote của họ vẫn duy trì ở mức cao ngay cả khi thị trường giảm.
3. Cơ chế bỏ phiếu – DAO sử dụng voting với thời gian chặn (block-based voting) và không có giai đoạn “xem xét” (review period). Kẻ tấn công đã chọn thời điểm cuối tuần, khi ít người online, để đưa proposal vào vote. Chỉ trong vòng 12 giờ, proposal đã đạt ngưỡng thông qua. Một cơ chế bảo vệ đơn giản như “delay execution 48 giờ” có thể đã ngăn chặn thảm họa. Nhưng như tôi thường nói với các đội ngũ phát triển: bảo mật không phải là một tính năng, nó là một quá trình – và quá trình đó thường bị bỏ qua khi thị trường tăng, nhưng lại trở nên sống còn khi thị trường giảm.
4. Kênh giao tiếp và thông tin – Kẻ tấn công đã xây dựng một narrative mạnh mẽ: họ lan truyền thông tin rằng giao thức đối thủ sắp bị hack, và đề xuất chuyển quỹ sang bridge “an toàn” do họ tạo ra. Họ sử dụng nhiều tài khoản Twitter giả, các group Telegram và Discord để tạo hiệu ứng đám đông. Đây là một chiến dịch thông tin bài bản, tương tự như các hoạt động ảnh hưởng trong địa chính trị. DAO thiếu một lớp xác thực thông tin trung lập, như một “OSINT DAO” hoặc một nhóm moderator độc lập. Trong cuốn sách tôi viết năm 2023, tôi đã đề xuất một framework “Trusted Information Layer” cho các DAO lớn, nhưng chưa ai thực sự triển khai.
5. Chiến tranh thông tin (Information Warfare) – Đây là chiều quan trọng nhất. Vụ tấn công này không phải là một exploit kỹ thuật; nó là một chiến dịch thông tin. Kẻ tấn công đã tận dụng sự thiếu hiểu biết của cộng đồng về kỹ thuật, kết hợp với tâm lý sợ hãi (FUD) và lòng tham (FOMO) để thao túng hành vi vote. Họ thậm chí còn tạo ra một báo cáo phân tích giả mạo với đồ thị và số liệu trông rất chuyên nghiệp. Thị trường giảm càng làm trầm trọng thêm hiệu ứng này, vì các holder lo lắng về tài sản của mình, dễ tin vào những giải pháp “cứu cánh” có vẻ hợp lý.
6. Kinh tế và trừng phạt – Hậu quả kinh tế là rõ ràng: token của DAO mất 90% giá trị trong vòng 24 giờ. Nhưng còn một tác động sâu xa hơn: niềm tin vào cơ chế quản trị phi tập trung bị tổn hại. Các quỹ đầu tư bắt đầu yêu cầu các DAO phải có “bảo hiểm quản trị” – một thị trường mới nổi mà tôi thấy có nhiều tiềm năng, nhưng cũng đi kèm rủi ro tập trung hóa. Nếu không có giải pháp, DAO sẽ mất đi lợi thế cốt lõi so với các tổ chức truyền thống: sự minh bạch và phi tập trung.
7. Tình báo nguồn mở (OSINT) – Sau vụ việc, cộng đồng đã phát hiện ra rằng địa chỉ ví của kẻ tấn công có liên hệ với một sàn giao dịch tập trung thông qua các giao dịch test. Nhưng thông tin này đến quá muộn. DAO cần có một hệ thống OSINT chủ động, giống như cách các quốc gia theo dõi các mối đe dọa. Trong thực tế, tôi đã đề xuất một “DAO Security Council” với quyền phủ quyết tạm thời đối với các proposal có rủi ro cao, nhưng ý tưởng này thường bị chỉ trích là “quá tập trung”. Tuy nhiên, sau vụ việc này, tôi tin rằng sự cân bằng giữa bảo mật và phi tập trung là bài toán sống còn.
Góc nhìn phản trực giác: Nhiều người trong cộng đồng cho rằng giải pháp là tăng cường kiểm toán smart contract, nhưng thực tế, lỗ hổng nằm ở tầng thông tin và quy trình con người. Một DAO có thể có code hoàn hảo, nhưng nếu cộng đồng của nó dễ bị thao túng bởi thông tin sai lệch, thì nó vẫn sẽ sụp đổ. Điều này đặt ra một câu hỏi khó: liệu phi tập trung có thực sự khả thi khi mà tâm lý đám đông dễ bị khai thác hơn bất kỳ lỗi code nào? Hay chúng ta đang chứng kiến sự ra đời của một loại hình “chiến tranh lai” (hybrid warfare) trong không gian crypto?
Kết luận: Bài học từ vụ tấn công này rất rõ ràng: DAO cần phải đầu tư vào “bảo mật thông tin” ngang bằng với bảo mật smart contract. Điều này bao gồm việc xây dựng các cơ chế xác thực nguồn tin độc lập, thiết lập giai đoạn “cooling-off” cho các proposal nhạy cảm, và đào tạo cộng đồng về nhận diện thông tin sai lệch. Tương lai của quản trị phi tập trung không chỉ nằm ở code, mà còn ở khả năng chống lại chiến tranh thông tin. Nếu không, những gì chúng ta xây dựng sẽ chỉ là một hệ thống dễ bị tổn thương hơn cả các tổ chức tập trung mà chúng ta muốn thay thế.