Web3 DAO có phải là giả đề không? Phân tích sâu tại sao Bonk bị tấn công quản trị

Tác giả: Biteye; Nguồn: X, @BiteyeCN

Cái gì? Kẻ tấn công chỉ cần 4 triệu USD để chiếm đoạt kho bạc DAO trị giá 20 triệu USD?

Sáng sớm hôm qua, BONK DAO đã hứng chịu một cuộc tấn công quản trị. Kẻ tấn công đã lợi dụng các khiếm khuyết trong thiết kế như ngưỡng quản trị thấp của BONK, cơ chế biểu quyết đa số đơn giản và thiếu cơ chế trì hoãn Timelock, thông qua một đề xuất độc hại nhằm chuyển tài sản của kho bạc.

Vậy, quy trình quản trị của một DAO trưởng thành được thiết kế như thế nào? Tại sao các giao thức như Aave, ENS, Lido lại giảm thiểu rủi ro thông qua quản trị đa lớp, trong khi BONK dễ bị tấn công quản trị hơn?

Bài viết này sẽ phân tích quy trình quản trị DAO qua năm giai đoạn: Đề xuất → Thảo luận cộng đồng → Snapshot kiểm tra nhiệt độ → Biểu quyết on-chain → Thực thi qua Timelock

1. Giai đoạn đề xuất (Proposal)

Trong hệ sinh thái DAO, giai đoạn đề xuất là điểm khởi đầu của mọi hành động quản trị.

Nội dung cốt lõi của một đề xuất chính thức thường bao gồm điều chỉnh tham số giao thức, niêm yết tài sản mới, phân bổ vốn từ kho bạc (Treasury), nâng cấp hợp đồng, sửa đổi chương trình khuyến khích và tái cấu trúc quy tắc quản trị.

Để cân bằng hiệu quả quản trị và ngăn chặn các đề xuất rác, các giao thức lớn đặt ra các ngưỡng nắm giữ hoặc ủy quyền token khác nhau cho người khởi xướng:

• Aave: Ngưỡng cao, cần khoảng 0,5% quyền biểu quyết AAVE.
• ENS: Đề xuất thực thi cần 100.000 ENS được ủy quyền, đề xuất xã hội cần khoảng 10.000 ENS.
• Lido: Cần thảo luận trên diễn đàn trước và đáp ứng ngưỡng tối thiểu 1.000 LDO.
• BONK: Ngưỡng thấp, chỉ cần 100M Bonk (425,99 USD), đây cũng là lý do Bonk bị tấn công quản trị.

2. Giai đoạn thảo luận cộng đồng (Governance Forum)

Thảo luận cộng đồng là bước sàng lọc trước khi biểu quyết chính thức. Hầu hết các DAO trưởng thành yêu cầu đề xuất phải vào diễn đàn quản trị chính thức trước, thông qua thảo luận công khai để hoàn thành:

• Công bố phương án và thu thập ý kiến: Giúp cộng đồng hiểu trước nội dung đề xuất và đặt câu hỏi.
• Tối ưu hóa phương án đề xuất: Điều chỉnh tham số và chi tiết thực thi dựa trên phản hồi, nâng cao chất lượng đề xuất.
• Lọc các đề xuất chất lượng thấp: Tránh các đề xuất độc hại hoặc chưa chín muồi trực tiếp vào biểu quyết on-chain.

Tuy nhiên, không phải DAO nào cũng có giai đoạn này. Ví dụ với BONK DAO, BONK không có quy trình Governance Forum chính thức, chủ yếu gửi trực tiếp đề xuất BIP qua Solana Realms và biểu quyết.

Các DAO trưởng thành thường hình thành tường lửa quản trị thông qua các cơ chế đa lớp như Governance Forum, Snapshot, Timelock, trong khi các Meme DAO như BONK thiên về biểu quyết trực tiếp hơn, tăng hiệu quả ra quyết định nhưng cũng hạ thấp ngưỡng tấn công.

3. Snapshot kiểm tra nhiệt độ (Biểu quyết ngoài chuỗi - Off-chain Voting)

Trước khi biểu quyết on-chain chính thức, nhiều DAO sẽ tiến hành biểu quyết ngoài chuỗi qua Snapshot như một bài kiểm tra ý chí cộng đồng.

Giai đoạn này thường được gọi là: Temperature Check (Kiểm tra nhiệt độ)

Các tác dụng chính:

• Giảm chi phí biểu quyết: Biểu quyết ngoài chuỗi không tốn Gas, thành viên cộng đồng có thể tham gia với chi phí thấp.
• Xác minh đồng thuận trước: Quan sát xem đề xuất có nhận được đủ hỗ trợ hay không, tránh các phương án chưa chín muồi trực tiếp vào thực thi on-chain.
• Tối ưu hướng đề xuất: Dựa trên kết quả biểu quyết và phản hồi cộng đồng, điều chỉnh chi tiết phương án.

Nếu Snapshot kiểm tra nhiệt độ không đạt, thường có nghĩa là cộng đồng chưa hình thành đủ đồng thuận, đề xuất sẽ bị chấm dứt hoặc trả về để sửa đổi, không vào giai đoạn biểu quyết on-chain chính thức.

Và chính vì Bonk DAO không thiết kế lớp bảo vệ quan trọng này (Snapshot) nên mới bị "kẻ trộm" dễ dàng đột nhập.

4. Biểu quyết on-chain chính thức (On-chain Governance)

Sau khi thảo luận cộng đồng và Snapshot kiểm tra nhiệt độ (nếu dự án áp dụng), đề xuất sẽ vào giai đoạn quản trị on-chain chính thức.

Giai đoạn này được thực thi bởi các khung quản trị on-chain, ví dụ:

• Hợp đồng Governor (phổ biến trong hệ sinh thái Ethereum)
• Aragon (khung quản lý DAO)
• Realms (khung quản trị Solana)

Để đảm bảo tính nghiêm túc và an toàn của biểu quyết on-chain, hợp đồng thông minh sẽ kiểm tra nghiêm ngặt hai chỉ số cốt lõi sau khi thanh toán.

Ngưỡng tham gia tối thiểu: Là ranh giới đỏ an toàn của quản trị DAO, Quorum quy định tổng lượng biểu quyết tối thiểu cần đạt để một đề xuất có hiệu lực pháp lý.

Nếu tổng số token tham gia biểu quyết không đạt ngưỡng, dù tỷ lệ ủng hộ lên tới 100%, đề xuất cũng sẽ bị bác bỏ trực tiếp.

Ví dụ trong mô hình token có tổng cung 100 triệu, nếu Quorum đặt ở mức 5%, thì cần ít nhất 5 triệu token tham gia biểu quyết. Các DAO lớn chính thống có thiết lập Quorum khác nhau:

• Lido đặt ngưỡng cao 5% tổng cung (khoảng 50 triệu LDO)
• Aave (khoảng 2% tổng cung) và ENS, BONK (1% tổng cung) tương đối thông thường
• Optimism linh hoạt hơn, điều chỉnh động từ 3% đến 30% tùy loại đề xuất.

Điều kiện thông qua biểu quyết: Sau khi đạt Quorum (ngưỡng tham gia tối thiểu), đề xuất cần đáp ứng tỷ lệ ủng hộ tương ứng để chính thức được thông qua.

Hầu hết các DAO trong quản trị hàng ngày sử dụng chế độ đa số đơn giản (Simple Majority), tức là: Số phiếu thuận (YES) > Số phiếu chống (NO)

Tuy nhiên, đối với các thay đổi lớn liên quan đến quy tắc cốt lõi của giao thức, như sửa đổi hiến pháp ENS, điều chỉnh các tham số quản trị quan trọng hoặc nâng cấp giao thức cơ bản, DAO thường sử dụng chế độ siêu đa số (Super Majority).

Yêu cầu tỷ lệ ủng hộ cao hơn, ví dụ: trên 2/3 (khoảng 66,7%) thuận; hoặc tỷ lệ hỗ trợ cao hơn.

Cơ chế này ngăn chặn một số ít cá voi nắm giữ token thúc đẩy các sửa đổi lớn ảnh hưởng toàn bộ giao thức thông qua đa số đơn giản.

Một lý do quan trọng khác khiến BONK bị tấn công quản trị là các tham số quản trị DAO của nó tương đối lỏng lẻo.

Ngưỡng tham gia tối thiểu chỉ cần đạt 1% tổng cung quyền biểu quyết BONK để vào biểu quyết hợp lệ. Và điều kiện thông qua biểu quyết sử dụng chế độ đa số đơn giản: YES > NO

Điều này có nghĩa là kẻ tấn công không cần sở hữu phần lớn BONK, chỉ cần kiểm soát khoảng 1% tổng cung và làm cho đề xuất của mình nhận được đa số ủng hộ là có thể thúc đẩy thực thi quản trị.

5. Trì hoãn thực thi Timelock và thực thi on-chain (Execution)

Các DAO trưởng thành thường không thực thi đề xuất ngay sau khi biểu quyết thông qua, mà thêm cơ chế Timelock (khóa thời gian): Biểu quyết thông qua → Chờ Timelock → Thực thi on-chain.

Vai trò của Timelock là cung cấp thời gian đệm cho cộng đồng, giúp các thành viên có thể:

• Kiểm tra mã đề xuất;
• Phát hiện rủi ro tấn công tiềm ẩn;
• Tổ chức phản đối hoặc thực hiện các biện pháp khẩn cấp.

Sau khi giai đoạn chờ kết thúc, đề xuất mới được tự động thực thi bởi khung quản trị.

Một lý do quan trọng khiến Bonk bị tấn công quản trị là quy trình quản trị của nó thiếu giai đoạn trì hoãn thực thi Timelock tiêu chuẩn: Biểu quyết thông qua → Thực thi trực tiếp

Trong sự kiện tấn công quản trị BIP #76, kẻ tấn công đã lợi dụng đặc điểm thiếu cơ chế trì hoãn thực thi trong quy trình quản trị của BONK, nhanh chóng thực hiện các thao tác độc hại sau khi đề xuất được thông qua.

Lời kết

Sự kiện tấn công quản trị BONK đã hé lộ một vấn đề tồn tại lâu dài trong DeFi: Nếu không ai tham gia quản trị, liệu DAO có thực sự cần thiết?

Khi quản trị cộng đồng trở thành một màn trình diễn, DAO có thực sự cần thiết? Thực tế, sự vắng mặt của sự tham gia quản trị khiến cấu trúc DAO giống như một gánh nặng kém hiệu quả hơn là một sự bảo vệ cho giao thức.

Khi quyền quản trị thực sự chỉ nằm trong tay một số ít người, còn đa số người dùng chỉ là khán giả im lặng, việc cố gắng theo đuổi sự phân quyền trên danh nghĩa không chỉ làm tăng chi phí ra quyết định mà còn để lộ những lỗ hổng bảo mật lớn cho giao thức.

Có lẽ, chúng ta nên thừa nhận rằng không phải dự án nào cũng cần DAO. Giống như trong thế giới kinh doanh trưởng thành, để những người ra quyết định cốt lõi nắm quyền định hướng lớn thường mang lại hiệu quả thực thi cao hơn và khả năng chống rủi ro mạnh mẽ hơn. Sau cơn sốt phi tập trung, chúng ta cần quay lại bản chất: Sự vững chắc của giao thức thường phụ thuộc vào trách nhiệm rõ ràng và đội ngũ thực thi tập trung, chứ không phải bỏ phiếu toàn dân giả tạo.