IOSG: DeFi đang ở thời điểm nguy hiểm nhất — lỗ hổng thực sự không nằm trong mã nguồn
Tuyển chọn TechFlowTuyển chọn TechFlow
IOSG: DeFi đang ở thời điểm nguy hiểm nhất — lỗ hổng thực sự không nằm trong mã nguồn
Mối đe dọa lớn nhất đối với DeFi hiện nay đã chuyển từ các lỗ hổng trong mã nguồn sang sự mất kiểm soát ở tầng vận hành như khóa, trình xác thực (validator), v.v.
Chuyên sâu báo cáo Web3Tác giả: Darko, IOSG Ventures
Vào ngày 1 tháng 4 năm 2026, lúc 16:05:18 UTC, một kẻ tấn công đã gửi một giao dịch tới giao thức Drift Protocol. Một giây sau, một giao dịch khác phê duyệt giao dịch đó.
Mười hai phút sau, 285 triệu đô la Mỹ bốc hơi không để lại dấu vết. Mười bảy ngày sau, một trình xác thực bị xâm nhập trên cầu nối chéo chuỗi (cross-chain bridge) của KelpDAO đã tự mình đúc ra 292 triệu đô la Mỹ tiền mã hóa không được đảm bảo, gây ra dòng tiền rút khoảng 8,5 tỷ đô la Mỹ khỏi Aave trong vòng 48 giờ và khoảng 4,5 tỷ đô la Mỹ từ các giao thức DeFi khác.
Lại thêm mười hai ngày sau, một kẻ tấn công nắm giữ khóa riêng của nhà triển khai bị đánh cắp đã rút đi 4,5 triệu đô la Mỹ từ Wasabi Protocol trên bốn chuỗi khác nhau.
Không sự kiện nào trong số này là do khai thác lỗ hổng hợp đồng thông minh.
Trong suốt gần một thập kỷ, phần lớn hệ sinh thái DeFi tin chắc rằng an ninh là vấn đề thuộc về mã nguồn. Kiểm toán, xác minh hình thức (formal verification), giải thưởng tìm lỗi (bug bounty)—toàn bộ ngành công nghiệp tự tổ chức dựa trên một tiền đề: chỉ cần logic hợp đồng thông minh chặt chẽ thì giao thức sẽ an toàn. Toán học chính là pháp luật. Tháng Tư năm 2026 chính là tháng tiền đề này sụp đổ trước mắt công chúng.
Chỉ trong một tháng, hơn 30 sự kiện xảy ra trên khắp các chuỗi với tổng thiệt hại vượt quá 625 triệu đô la Mỹ—theo dữ liệu từ DefiLlama, đây là tháng bị tấn công nặng nề nhất trong lịch sử tiền mã hóa xét theo số lượng sự kiện—và mỗi khoản thất thoát lớn đều bắt nguồn từ khóa riêng của quản trị viên, trình xác thực cầu nối chéo chuỗi, điểm mù của oracle hoặc tấn công kỹ thuật xã hội (social engineering), tất cả đều là những thành phần thuộc “cơ sở vận hành” mà kiểm toán chưa bao giờ được thiết kế để bao quát.
Bài viết này kể về cuộc di chuyển này. Chúng ta sẽ phân tích ba vụ tấn công nghiêm trọng trong tháng Tư thành ba biểu hiện khác nhau của cùng một thất bại nền tảng; tái dựng cách cấu hình cầu nối chéo chuỗi sai lầm của một giao thức dẫn đến việc một giao thức khác có quy mô lớn hơn 25 lần phải chịu dòng tiền rút lên tới 13,2 tỷ đô la Mỹ; và thẳng thắn nhìn nhận diện mạo thực sự của DeFi ngày nay—đó thực chất là cơ sở hạ tầng mở được tăng cường bởi các yếu tố vận hành đáng tin cậy, ngay cả khi lời quảng bá không thừa nhận điều đó. Vấn đề không nằm ở toán học.
Vấn đề nằm ở “mô hình tư duy” bao quanh toán học.
Toán học chưa hỏng. Thứ hỏng là mô hình tư duy đặt lên trên toán học—và chi phí cho sự lệch pha này đang buộc toàn ngành phải tái xem xét ý nghĩa thực sự của cụm từ “phi tập trung”.
Khoảng trống trong mô hình tư duy
Trong phần lớn lịch sử DeFi, văn hóa an ninh chủ lưu dựa trên Solidity. Kiểm toán tập trung vào logic hợp đồng. Giải thưởng tìm lỗi trả tiền cho các lỗ hổng như gọi đệ quy (re-entrancy), tràn số nguyên (integer overflow), sai sót trong bộ sửa đổi quyền truy cập (access modifiers). Xác minh hình thức chứng minh tính bất biến (invariant) cho mã trên chuỗi. Giả định ngầm là: mọi thứ nằm ngoài hợp đồng—đa chữ ký (multisig), khóa riêng của nhà triển khai, trình xác thực cầu nối chéo chuỗi, cơ sở hạ tầng relayer, kênh liên lạc nội bộ nhóm—hoặc nằm ngoài phạm vi kiểm tra, hoặc là “vấn đề của người khác”.
Giả định này chỉ đúng khi kẻ tấn công khai thác lỗ hổng trong Solidity.
Các vụ tấn công tháng Tư năm 2026 có một đặc điểm cấu trúc mà báo cáo kiểm toán không thể mô tả: bản thân hợp đồng thông minh hoàn toàn không có lỗ hổng. Theo phân tích độc lập từ các nhà nghiên cứu chuỗi, mã nguồn của Drift đã được Trail of Bits kiểm toán vào năm 2022 và ClawSecure kiểm toán vào tháng Hai năm 2026—cả hai đều đạt kết quả “đạt yêu cầu”.
Cả hai báo cáo kiểm toán đều không bao quát cấu hình đa chữ ký của Drift, cách xử lý logic “durable nonce”, cũng như bề mặt tấn công kỹ thuật xã hội xoay quanh Hội đồng An ninh (Security Council) của nó. Bộ thích nghi LayerZero của KelpDAO sử dụng mẫu mã OFT (Omnichain Fungible Token) tiêu chuẩn—bản thân hợp đồng hoàn toàn không có vấn đề gì. Sai lầm nằm ở cấu hình triển khai—thứ thường không nằm trong phạm vi kiểm toán Solidity thông thường.
Hợp đồng Vault của Wasabi được thiết kế cho khả năng nâng cấp—chính thiết kế này đã là một lỗ hổng.
Tháng Tư không làm sập toán học—mà làm sập cơ sở vận hành nơi toán học dựa vào để hoạt động.
Ba vụ phân tích: Ba khuôn mặt của cùng một thất bại
Ba vụ tấn công nghiêm trọng trong tháng Tư năm 2026—Drift, KelpDAO và Wasabi—đại diện cho ba dạng “thất bại phi mã nguồn” hoàn toàn khác biệt.
Cả ba vụ cùng bao quát phần lớn các bề mặt tấn công mới nổi và chia sẻ một đặc điểm cấu trúc giống nhau: trong mỗi trường hợp, chỉ một hoặc hai cá nhân hoặc cơ sở hạ tầng bị xâm nhập đã tạo ra hiệu ứng domino ảnh hưởng toàn bộ giao thức.
Drift: Đa chữ ký do con người điều khiển (285 triệu đô la Mỹ)
Vụ tấn công Drift là một chiến dịch tình báo chứ không phải khai thác lỗ hổng. Theo phân tích của TRM Labs, Elliptic và chính Drift với sự hỗ trợ từ SEAL 911, thủ phạm được xác định là nhóm Lazarus của Triều Tiên, cụ thể là phân nhánh UNC4736, vốn trước đây đã bị Mandiant liên kết với vụ tấn công Radiant Capital vào tháng Mười năm 2024.
Kẻ tấn công lên kế hoạch cho chiến dịch này trong khoảng nửa năm. Tấn công kỹ thuật xã hội bắt đầu từ các hội nghị ngành vào mùa thu năm 2025, còn chuẩn bị trên chuỗi thì chỉ khởi động ba tuần trước thời điểm xảy ra sự việc.
Ngày 11 tháng Ba năm 2026, hành động bắt đầu bằng một giao dịch gửi 10 ETH qua Tornado Cash. Ngày hôm sau, vào khoảng 9 giờ sáng theo giờ Bình Nhưỡng, số tiền này được triển khai trên Solana dưới dạng token CarbonVote (CVT). Kẻ tấn công tạo một hồ thanh khoản nhỏ trên Raydium, thực hiện các giao dịch đối xứng (wash trading) để neo giá CVT gần mức 1 đô la Mỹ, rồi xây dựng một oracle giá do chính họ kiểm soát, đưa giá nhân tạo này vào Drift.
Việc tồn tại các giao dịch đối xứng nhằm khiến đầu ra của oracle “trông hợp pháp”—bất kỳ kiểm tra ngẫu nhiên nào cũng sẽ thấy giá thị trường trùng khớp với giá oracle báo.
Đồng thời, kẻ tấn công đóng vai một tổ chức giao dịch lượng tử (quant firm), dùng vài tuần để xây dựng mối quan hệ với các cộng tác viên của Drift. Mục đích không phải để đánh cắp thông tin, mà là tích lũy lòng tin trước một thời điểm cụ thể.
Thời điểm ấy phụ thuộc vào một tính năng trên Solana mang tên “durable nonces” (nonce bền vững): một cơ chế hợp pháp cho phép “ký hôm nay, thực thi sau”. Từ ngày 23 đến 30 tháng Ba, kẻ tấn công đã lấy được chữ ký durable nonce từ ít nhất hai thành viên trong Hội đồng An ninh gồm năm người của Drift.
Từ góc nhìn của người ký, họ phê duyệt một giao dịch thông thường. Còn từ góc nhìn mạng lưới, những chữ ký này là giấy ủy quyền hợp lệ, đang trong trạng thái “ngủ” nhưng vẫn hiệu lực.
Ngày 26 tháng Ba, Drift đưa ra một quyết định mang tính thảm họa khi nhìn lại: chuyển sang một hội đồng đa chữ ký Security Council hoàn toàn mới với cấu hình 2/5 và timelock bằng 0. Việc chuyển đổi này loại bỏ cửa sổ trễ vốn có thể phát hiện hoặc can thiệp vào cuộc tấn công.
Vào lúc 16:05:18 UTC ngày 1 tháng Tư, kẻ tấn công gửi giao dịch đầu tiên đã được ký sẵn với durable nonce—một đề xuất chuyển toàn bộ quyền kiểm soát quản trị tới địa chỉ H7PiGqqUaanBovwKgEtreJbKmQe6dbq6VTrw6guy7ZgL. Một giây sau, lúc 16:05:19 UTC, giao dịch thứ hai đã được ký sẵn cũng được thực thi ngay lập tức nhằm phê duyệt và áp dụng đề xuất đó. Kẻ tấn công đã chiếm quyền kiểm soát Drift.
Những việc tiếp theo chỉ mất mười hai phút. Kẻ tấn công liệt kê CVT—token vô giá trị—là tài sản thế chấp, từ đó có hạn mức vay gần như vô hạn; sau đó, họ gửi 500 triệu CVT vào theo giá oracle bị thao túng, rồi rút đi 285 triệu đô la Mỹ tài sản thật từ ba vault cốt lõi—JLP, USDC, SOL, cbBTC, wBTC và ETH. TVL của Drift sụp từ 550 triệu đô la Mỹ xuống còn khoảng 250 triệu đô la Mỹ. Hai người ký, một giao thức, hợp đồng thông minh hoạt động hoàn toàn đúng như thiết kế. Lỗ hổng nằm ở “con người”.
Có một điểm đáng chú ý trong phản ứng hậu sự cố của Drift vì nó đặt ra tiêu chuẩn mà các giao thức nạn nhân tiếp theo nên hướng tới: báo cáo hậu sự cố của Drift cực kỳ thẳng thắn.
Chỉ năm ngày sau khi lỗ hổng bị phơi bày, đội ngũ đã công bố một bản phân tích chi tiết về vụ tấn công kỹ thuật xã hội—bao gồm những sự thật sau: các cộng tác viên bị tiếp cận nhiều lần trong suốt sáu tháng; hai cộng tác viên trong số đó có thể đã bị xâm nhập thông qua việc sao chép kho mã nguồn và phiên bản thử nghiệm TestFlight của ví; các tin nhắn trò chuyện Telegram với kẻ tấn công bị xóa trước và sau thời điểm xảy ra sự việc; quyết định chuyển sang đa chữ ký với timelock bằng 0 sáu ngày trước sự việc đã loại bỏ hoàn toàn cửa sổ phát hiện cuối cùng.
Đội ngũ cũng công khai mức độ tin cậy trung bình về việc xác định thủ phạm (UNC4736 / Citrine Sleet), phối hợp với SEAL 911 và chia sẻ các chi tiết vận hành giúp các giao thức khác nhận diện cùng một phương pháp tấn công.
Các giao thức nạn nhân thường co mình lại trong sự thận trọng pháp lý và ngôn ngữ mơ hồ; còn Drift chọn công bố một câu chuyện mang tính điều tra, đủ chi tiết để biến một sự kiện đơn lẻ thành thông tin cảnh báo mối đe dọa chung cho toàn ngành. Bản thân sự việc vẫn là một vụ tấn công mạng, lỗ hổng quản trị nền tảng vẫn là lỗ hổng. Nhưng việc sẵn sàng công khai “tấn công kỹ thuật xã hội vận hành như thế nào” chính là ranh giới phân biệt rõ ràng giữa những giao thức đóng góp vào học tập tập thể của ngành và những giao thức lặng lẽ nuốt chửng tổn thất.
KelpDAO: Một trình xác thực duy nhất (292 triệu đô la Mỹ)
Mười bảy ngày sau, vào ngày 18 tháng Tư, cùng một kiểu hành vi đe dọa đã tạo ra một cuộc tấn công mang cấu trúc hoàn toàn khác. KelpDAO là một giao thức tái ký quỹ thanh khoản (liquidity restaking), phát hành rsETH—một token đại diện cho tiền gửi của người dùng, được định tuyến qua EigenLayer nhằm tạo thêm lợi nhuận.
Tính đến tháng Tư năm 2026, TVL của rsETH đã vượt quá 1 tỷ đô la Mỹ và được triển khai trên hơn 20 chuỗi thông qua tiêu chuẩn OFT (Omnichain Fungible Token) của LayerZero.
Hợp đồng không có vấn đề. Cấu hình mới là vấn đề.
Cầu nối chéo chuỗi của KelpDAO chạy trên một mạng lưới trình xác thực phi tập trung (Decentralized Verifier Network – DVN) với cấu hình 1/1—tức là chỉ có một trình xác thực duy nhất. Một nút duy nhất đủ điều kiện phê duyệt một thông điệp chéo chuỗi. “Phi tập trung” ở đây chỉ là từ ngữ, không phải kiến trúc.
Cuộc tấn công được tiến hành theo từng giai đoạn. Trước tiên, kẻ tấn công xâm nhập nút RPC nội bộ mà trình xác thực dựa vào để đọc trạng thái chuỗi nguồn, sau đó phát động một cuộc tấn công DDoS phối hợp vào các nút bên ngoài, buộc hệ thống phải quay trở lại cơ sở hạ tầng bị nhiễm độc. Sau khi kiểm soát được nguồn dữ liệu, chúng giả mạo một thông điệp chéo chuỗi, ra lệnh cho hợp đồng rsETH trên Ethereum Mainnet đúc rsETH dựa trên một giao dịch “không hề tồn tại trên bất kỳ chuỗi nguồn nào”.
Vào lúc 17:35 UTC, hợp đồng đã phát hành 116.500 rsETH—có giá trị khoảng 292 triệu đô la Mỹ, tương đương khoảng 18% tổng nguồn cung lưu hành—gửi tới địa chỉ do kẻ tấn công kiểm soát. Trong vài phút, số rsETH này đã được gửi làm tài sản thế chấp vào Aave, với mức định giá khoảng 2.500 đô la Mỹ/token.
Kẻ tấn công dùng tài sản thế chấp không được đảm bảo để vay WETH, USDC và wBTC thật, và rút đi hơn 82.600 ETH (khoảng 191 triệu đô la Mỹ) trước khi KelpDAO tạm dừng hợp đồng vào lúc 18:21 UTC.
Hai nỗ lực tiếp theo vào lúc 18:26 và 18:28 UTC, mỗi lần nhằm rút thêm 40.000 rsETH, đều bị hoàn tác. Việc tạm dừng đã ngăn chặn tổn thất thêm, nhưng không ngăn được khoản đầu tiên.
Không có lỗ hổng gọi đệ quy, không thiếu kiểm tra quyền truy cập, cũng không có thao túng oracle nào trong logic nội tại của Kelp. Bất biến kế toán định nghĩa cầu nối chéo chuỗi—tài sản được phát hành trên chuỗi đích phải bằng tài sản bị tiêu hủy trên chuỗi nguồn—bị vi phạm ở cấp độ hệ thống, chứ không ở cấp độ giao dịch. Một nút duy nhất, tổn thất hàng trăm triệu đô la Mỹ.
Điều tiếp theo xảy ra là một tranh luận công khai: trách nhiệm rốt cuộc thuộc về bên nào? Báo cáo hậu sự cố ban đầu của LayerZero đổ lỗi trực tiếp cho Kelp, viện dẫn lý do Kelp vi phạm hướng dẫn khi lựa chọn cấu hình DVN 1/1. Trong bản ghi nhớ phản bác ngày 5 tháng Năm, Kelp vẽ một bức tranh khác: lúc đó, 47% ứng dụng OApp hoạt động trên LayerZero—khoảng 1.250 ứng dụng, với tổng giá trị thị trường vượt 4,5 tỷ đô la Mỹ—đều đang chạy trên cùng cấu hình trình xác thực duy nhất.
Kelp lập luận: Các tài liệu hướng dẫn OFT Quickstart, ví dụ trên GitHub và mẫu code dành cho nhà phát triển của LayerZero đều mặc định sử dụng DVN do chính LayerZero Labs vận hành như trình xác thực bắt buộc duy nhất—và không có lựa chọn nào khác; đồng thời họ cung cấp ảnh chụp màn hình Telegram từ nhân viên LayerZero, người này trong suốt hai năm rưỡi và tám lần thảo luận tích hợp đều khẳng định với đội Kelp rằng “dùng giá trị mặc định là ổn”.
Nhà nghiên cứu an ninh Sujith Somraaj (cựu kiểm toán viên LayerZero) từng gửi báo cáo giải thưởng tìm lỗi trên Immunefi mô tả chính xác mô hình tấn công này, nhưng bị LayerZero từ chối với lý do “việc lựa chọn mạng lưới trình xác thực thuộc về cấu hình ở tầng ứng dụng”.
Phản hồi của LayerZero đối với bản ghi nhớ của Kelp là: tuyên bố này gây hiểu nhầm. Việc loại trừ “cấu hình ở tầng ứng dụng” ra khỏi phạm vi giải thưởng tìm lỗi là một ranh giới chuẩn giữa “nền tảng / ứng dụng” (phát ngôn viên LayerZero nhấn mạnh rằng nếu không thì “bất kỳ ứng dụng nào cũng có thể tự đặt mình làm DVN duy nhất nhằm chiếm đoạt phần thưởng một cách độc ác”); giá trị mặc định thực tế trên hầu hết các đường dẫn của giao thức là DVN đa nút; còn các mẫu có cấu hình 1/1 thì DVN duy nhất trong đó trỏ tới một hợp đồng “place-holder” tên là “DeadDVN”, sẽ từ chối mọi thông điệp, buộc nhà phát triển phải tự cấu hình ngăn xếp bảo mật trước khi triển khai.
Đối với Kelp, LayerZero khẳng định Kelp ban đầu triển khai với DVN đa nút, sau đó chủ động hạ cấp xuống cấu hình 1/1—chứ không phải “dùng giá trị mặc định”.
Ranh giới giữa “nền tảng và ứng dụng” thực sự là một điểm tranh luận thực tế, và các kỹ sư có lập trường khách quan sẽ có quan điểm khác nhau về việc “một nền tảng có thể được cấu hình thành trạng thái nguy hiểm ngay từ ban đầu thì có nên chịu trách nhiệm với cấu hình thực tế mà người dùng triển khai hay không”.
Điều không gây tranh cãi hơn cả là phần thứ hai trong phản hồi cuối cùng của LayerZero. Vào ngày 8 tháng Năm, ba tuần sau báo cáo hậu sự cố đầu tiên, LayerZero đảo ngược lập trường và xin lỗi: “Chúng tôi đã phạm sai lầm khi cho phép DVN của mình hoạt động như một DVN 1/1 trong các giao dịch có giá trị cao. Chúng tôi chưa từng ràng buộc DVN của mình vào việc cung cấp mức độ bảo vệ nào.”
Giao thức ngừng hỗ trợ cấu hình DVN 1/1 trong hệ thống DVN, chuyển giá trị mặc định sang 5/5, nâng ngưỡng đa chữ ký nội bộ từ 3/5 lên 7/10, và công bố nền tảng giám sát mới dành cho nhà phát hành (Console).
Cấu hình nền tảng rốt cuộc là lỗi của Kelp, lỗi của LayerZero, hay—có khả năng cao nhất—sự thất bại chung giữa một nền tảng có thể được cấu hình nguy hiểm ngay từ ban đầu và một nhà tích hợp chủ động hạ cấp? Cả hai bên cuối cùng đều đi đến cùng một đáp án: cấu hình trình xác thực 1/1 là không an toàn ở quy mô lớn, và ngành công nghiệp không nên phải trả học phí 292 triệu đô la Mỹ để học điều này.
Wasabi: Khóa riêng của quản trị viên (4,5 triệu đô la Mỹ)
Sự việc Wasabi vào ngày 30 tháng Tư nhỏ hơn hai vụ kia một bậc, và cũng chính vì vậy mà càng đáng xấu hổ hơn. Đây là một “vụ tấn công nhàm chán”.
Một EOA triển khai—địa chỉ 0x5c629f8c0b5368f523c85bfe79d2a8efb64fb0c8—giữ vai trò ADMIN_ROLE trong bộ quản lý hợp đồng vĩnh cửu (perpetual contracts manager) của Wasabi trên các chuỗi Ethereum, Base, Blast và Bera. Không có đa chữ ký. Khung hợp đồng vốn hỗ trợ timelock, nhưng giá trị cấu hình là 0.
Kẻ tấn công đã chiếm được khóa riêng đó—có thể do lừa đảo (phishing), xâm nhập thiết bị hoặc tấn công chuỗi cung ứng; Wasabi chưa đưa ra kết luận cuối cùng. Sau khi có ADMIN_ROLE, chúng cấp vai trò này cho một hợp đồng phụ trợ độc hại, thực hiện nâng cấp proxy UUPS cho hợp đồng Vault và quét sạch tài sản thế chấp cùng số dư hồ thanh khoản. Tổng tổn thất chéo chuỗi là từ 4,5–5,5 triệu đô la Mỹ.
Wasabi không sử dụng bất kỳ công nghệ mới nào. Lỗ hổng này đã được cảnh báo nhiều năm như một phản mẫu (anti-pattern) trong DeFi: quyền quản trị tập trung quá mức, thiếu tách biệt quyền lực, không có cửa sổ trễ. Đây chính là cùng một lỗ hổng mà DeFi đã phải hứng chịu và viết báo cáo hậu sự cố từ năm 2020, nhưng mãi đến nay vẫn chưa thay đổi trong thực tiễn.
Kết nối ba vụ việc lại: về cốt lõi, chúng là cùng một kiểu tấn công. Dù quyền truy cập đặc quyền được giành được bằng cách thao túng người ký, xâm nhập nút xác thực hay đánh cắp khóa riêng của nhà triển khai, bề mặt tấn công đều giống nhau—sự tập trung quyền lực và thiếu bảo vệ ở lớp ngoài hợp đồng thông minh. Đồng thời, mô hình này cũng là một lời cảnh báo: trong mỗi sự việc, chỉ một hoặc hai thực thể bị xâm nhập đã kích hoạt một chuỗi domino mà dù bạn có gia cố Solidity nhiều đến đâu cũng không thể ngăn chặn được.
Hiệu ứng domino bất đối xứng
Vụ việc KelpDAO mang ý nghĩa vượt xa giá trị tài chính của nó, bởi điều xảy ra sau đó—đây là lần đầu tiên tính khả tích (composability) của DeFi thực sự chịu bài kiểm tra căng thẳng dưới thất bại vận hành—đồng thời cũng là ví dụ rõ ràng nhất cho thấy “sự lan truyền toán học có thể phi đối xứng một cách phi lý đến mức nào”.
Đặt quy mô vào đúng bối cảnh: tại thời điểm xảy ra sự việc, TVL rsETH của KelpDAO khoảng 1 tỷ đô la Mỹ; tổng tài sản quản lý (AUM) của Aave trên tất cả các chuỗi vượt 25 tỷ đô la Mỹ. Một giao thức nhỏ hơn Aave khoảng 4%, chỉ bằng một lần sự việc, đã rút đi 8,45 tỷ đô la Mỹ từ riêng Aave trong vòng 48 giờ—và con số này tăng lên 15,1 tỷ đô la Mỹ trong vòng ba ngày rưỡi—trong khi toàn bộ TVL DeFi giảm 13,21 tỷ đô la Mỹ trong cùng cửa sổ 48 giờ. Chính sự bất đối xứng mới là câu chuyện thật sự.
Một giao thức nhỏ với cấu hình cầu nối chéo chuỗi sai lầm đã gây ra hiện tượng “rút tiền ồ ạt” (bank run) đối với một giao thức lớn hơn nhiều, vốn về mọi chỉ số hợp đồng đều “hoạt động đúng quy chuẩn”.
Khi kẻ tấn công đúc rsETH không được đảm bảo và gửi vào Aave, các hợp đồng của Aave hoàn toàn tuân thủ đúng quy chuẩn. Oracle của Aave trong khoảng thời gian ngắn kẻ tấn công vay tiền vẫn đọc rsETH gần như tỷ lệ 1:1. Hồ vay phát hành WETH thật, dựa trên một tài sản thế chấp mà tất cả hệ thống trên chuỗi đều thấy là “hiệu lực”.
Phản ứng thị trường là tức thì. Trong vài giờ, rsETH đã giao dịch với chiết khấu sâu trên các sàn DEX, phản ánh một sự bất định thực tế—82% phần còn lại của nguồn cung liệu có còn được đảm bảo đầy đủ hay không. Aave V3 và V4 đóng băng thị trường rsETH; Fluid, Compound, Euler và Morpho lần lượt làm theo trong vài giờ (SparkLend thậm chí đã gỡ rsETH từ tháng Một).
Người nắm giữ rsETH trên Arbitrum, Base, Mantle, Linea, Blast và Scroll lúc này không còn chắc chắn rằng token của họ có thể đổi lại 1:1 trên Ethereum Mainnet hay không.
Dòng tiền rút sau đó không phải vì Aave bị tấn công, mà vì người gửi tiền không thể xác định được tài sản thế chấp đảm bảo khoản vay của họ còn có khả năng thanh toán hay không.
Vài tuần trước khi sự việc bùng phát, Aave đã tích lũy một vị thế rsETH đáng kể, do người dùng tận dụng đòn bẩy để thực hiện giao dịch tái ký quỹ; giao thức thu phí từ hoạt động này mà không đặt giới hạn cho vị thế mở. Vì vậy, sự lan truyền này không hoàn toàn theo logic “bên thứ ba vô tội”—Aave chủ động chấp nhận rủi ro đối ứng—nhưng sự kiện kích hoạt lại nằm ngoài hợp đồng của nó và cũng nằm ngoài phạm vi quản trị mà nó có thể kiểm soát.
Phản ứng của Aave đối với sự việc này đáng được ghi nhận riêng, vì nó thiết lập một tiêu chuẩn mà các giao thức cho vay lớn khác sẽ dùng để so sánh. Chỉ trong vài giờ sau khi sự việc được phơi bày, quản trị viên khẩn cấp của giao thức đã đóng băng thị trường rsETH trên V3 và V4 ở tất cả các chuỗi bị ảnh hưởng, đặt tỷ lệ LTV về 0 để chặn tổn thất tiếp theo.
Trong vòng 48 giờ, nhà cung cấp dịch vụ của Aave đăng tải một báo cáo sự việc chi tiết trên diễn đàn quản trị, công khai mô hình hóa hai kịch bản nợ xấu khác nhau—nếu Kelp phân bổ tổn thất cho toàn bộ người nắm giữ rsETH, nợ xấu là 123,7 triệu đô la Mỹ; nếu tổn thất bị cô lập vào triển khai trên L2, nợ xấu là 230,1 triệu đô la Mỹ—đồng thời đính kèm bảng phân tích theo từng chuỗi, nêu rõ thị trường nào sẽ chịu khoản thiếu hụt nào.
Người sáng lập Aave, Stani Kulechov, cam kết đóng góp 5.000 ETH để bồi hoàn; Liên minh DeFi United do nhà cung cấp dịch vụ Aave dẫn đầu—kêu gọi Lido, EtherFi, LayerZero, Mantle và nhiều bên khác—đã huy động được hơn 300 triệu đô la Mỹ cam kết để bù đắp khoản thiếu hụt rsETH. Đây là lần cứu trợ chéo giao thức lớn nhất trong ngành cho đến nay.
Phần chỉ trích hẹp hơn và nên được xem xét riêng biệt với phần phản ứng: thái độ của Aave đã có sự dịch chuyển khi khoảng nợ xấu dần rõ ràng. Ban đầu cam kết quỹ dự phòng Umbrella sẽ bù đắp khoản thiếu hụt, nhưng chỉ trong vài ngày đã được làm mềm thành “đang khám phá các phương án bù đắp khoản thiếu hụt”. Sự dịch chuyển trong cách kể chuyện tuy nhỏ nhưng đáng chú ý—bảo hiểm cấp giao thức trong bối cảnh trừu tượng nghe có vẻ chắc chắn, nhưng khi số liệu cụ thể hiện ra thì lại trở thành điều có thể thương lượng.
Việc Aave xử lý tốt ở cấp độ vận hành không thay đổi thực tế ở cấp độ cấu trúc: người gửi USDC vào giao thức phải chịu rủi ro đối ứng với một token mà họ thậm chí có thể chưa từng biết đến, trong khi cơ chế bảo hiểm của giao thức cuối cùng lại yếu hơn nhiều so với những gì tài liệu gợi ý.
Đây mới là vấn đề cấu trúc sâu sắc hơn. Thiết kế hồ đơn (single-pool) giúp Aave đạt được thanh khoản sâu và trải nghiệm gọn nhẹ, nhưng cũng đồng nghĩa với việc việc niêm yết một tài sản thế chấp tồi tệ sẽ tạo ra bán kính nổ trên toàn bộ giao thức. Ngay cả khi quản trị của Aave chăm chỉ và hợp đồng vững chắc, giao thức vẫn nằm ở hạ lưu của sự thất bại an ninh từ một đối tác nhỏ hơn nhiều—và hạ lưu này đủ sức gây áp lực lên tiền gửi của người dùng ở mức chín chữ số và kích hoạt việc đóng băng thị trường trên chín giao thức.
Tính khả tích—động lực thúc đẩy tăng trưởng DeFi—cũng đồng thời là kênh lan truyền rủi ro, và tháng Tư năm 2026 là lần đầu tiên hóa đơn này được thanh toán ở quy mô lớn. Không có cải cách rõ ràng. Tính khả tích từng thúc đẩy tăng trưởng DeFi nay đã trở thành kênh truyền dẫn “sự thất bại vận hành của một giao thức nhỏ như thế nào biến thành hiện tượng rút tiền ồ ạt tại một giao thức khác”.
Sự thật về OpenFi
Chúng ta đã bước vào một cuộc trò chuyện mà ngành công nghiệp luôn né tránh.
Hãy gọi nó là OpenFi: cơ sở hạ tầng tài chính mở, không cần cấp phép, kiểm toán được trên chuỗi, nhưng vẫn phụ thuộc vào các bên thứ ba đáng tin cậy ở những điểm then chốt—những điểm mà luận điểm “phi tập trung” ban đầu cho rằng nên loại bỏ trung gian. Theo định nghĩa này, phần lớn những thứ hiện nay được tiếp thị dưới danh nghĩa DeFi thực chất đều là OpenFi. Một Hội đồng An ninh có quyền chuyển giao toàn bộ quyền kiểm soát quản trị.
Một cầu nối chéo chuỗi chỉ có một trình xác thực duy nhất. Một EOA triển khai sở hữu vai trò ADMIN_ROLE chéo chuỗi. Một token quản trị tập trung đến mức một thiểu số kiên nhẫn có thể chiếm đoạt kho bạc—như Nouns. Mỗi yếu tố này đều là những “mối nối đặc quyền” được vá vào một hệ thống được quảng cáo là liền mạch.
Đáng để nhắc lại luận điểm gốc rốt cuộc nói gì. Tính toán “giảm thiểu niềm tin” (trust-minimized) của Szabo, cơ sở hạ tầng “trung lập đáng tin cậy” (trustworthy neutral) của Buterin, và lập trường của Cypherpunk về “quyền riêng tư và tự do đòi hỏi loại bỏ chứ không phải kiểm toán trung gian”—tất cả những điều này đều không nói về “minh bạch”. Minh bạch là điều cần thiết, và cũng dễ thực hiện. Khẳng định thực sự khó khăn—khẳng định đủ mạnh để “trả tiền” cho mọi ma sát khi “chạy máy trạng thái toàn cầu trên hàng chục nghìn nút dư thừa”—là “không bên nào trong hệ thống có thể bị ép buộc, chiếm đoạt, hối lộ hoặc xâm nhập để thay đổi quy tắc”.
Một sổ cái công khai mà bạn có thể kiểm tra nhưng không thể ảnh hưởng đến, khác hẳn một sổ cái công khai mà khóa riêng của quản trị viên nằm trong ví phần cứng ở trong két sắt của một người nào đó. OpenFi giữ trọn vẹn nửa đầu của giao dịch này, nhưng âm thầm đánh mất nửa sau.
Các giao thức khác nhau phụ thuộc vào các loại niềm tin khác nhau, và mô hình thất bại cũng khác nhau.
Việc đặt tên rõ ràng cho từng loại là hữu ích: Niềm tin quản lý (có người giữ tài sản thật thay bạn, bạn giao dịch trên quyền đòi hỏi đối với tài sản đó—cầu nối chéo chuỗi, token được bao bọc); Niềm tin nâng cấp (sau khi bạn gửi tiền vào, có người có thể thay đổi hành vi hợp đồng—quản trị viên proxy, Hội đồng An ninh); Niềm tin oracle (có người cung cấp dữ liệu mà hợp đồng không thể tự tạo ra—giá feed); Niềm tin hoạt động (hệ thống vận hành bình thường phụ thuộc vào việc có người vận hành liên tục—bộ sắp xếp (sequencer), relayer, keeper); Niềm tin quản trị (người nắm giữ token, hoặc một thiểu số nhỏ có thể tập hợp đủ số phiếu trong các cuộc biểu quyết gây tranh cãi).
Hầu hết các giao thức đồng thời phụ thuộc vào ba đến bốn loại niềm tin này. Phần lớn văn bản tiếp thị gom tất cả chúng vào một từ duy nhất là “phi tập trung”, để người đọc tự đoán phần còn lại.
Vấn đề lớn hơn là một số giả định này hoàn toàn bị giấu kín. Trong lời xin lỗi tháng Năm, LayerZero thừa nhận rằng ba năm rưỡi trước, một người ký đa chữ ký của họ từng sử dụng ví phần cứng trong môi trường sản xuất để thực hiện một giao dịch cá nhân. Sai sót nội bộ này sau đó đã được khắc phục nhưng chưa bao giờ được tiết lộ với người dùng; cuối cùng nó chỉ nổi lên như một phần trong thông báo tăng cường bảo mật, được đóng gói như một đợt chỉnh đốn thường kỳ chứ không phải lời thú nhận thẳng thắn. Người dùng của hệ thống niềm tin không có bất kỳ kênh nào để biết điều này, cũng không có bất kỳ cách nào để định giá rủi ro “nó thực sự đã xảy ra”.
Ngành công nghiệp có một cách nói nhẹ nhàng cho khoảng trống này: “bánh xe tập lái”. Điểm bán hàng là quản trị viên khóa riêng và Hội đồng An ninh chỉ là giải pháp tạm thời—tồn tại hôm nay, sẽ loại bỏ khi giao thức trưởng thành đủ để tự đi. Trên thực tế, bánh xe tập lái gần như chưa bao giờ được tháo ra. Chúng được đổi tên, đóng gói lại, gia hạn hoặc âm thầm chuyển sang tên quỹ.
Khung phân loại Stage 0 / Stage 1 / Stage 2 của L2Beat là ngoại lệ rõ ràng nhất, chứng minh rằng “ngành công nghiệp hoàn toàn có khả năng mô tả trung thực các giả định niềm tin thực tế của mình”. Gần như không có giao thức nào áp dụng cách biểu đạt theo kiểu L2Beat trong chiến lược tiếp thị của mình—điều này chính là bằng chứng cho thấy “sự thiếu trung thực là cấu trúc, chứ không phải ngẫu nhiên”.
Đây là thực tế kỹ thuật, và được định hình bởi các động lực thực tế mà những người xây dựng phải đối mặt ở mọi cấp độ. Nếu bạn muốn triển khai nhanh một sản phẩm phức tạp, phản ứng linh hoạt với lỗ hổng mà không cần phân nhánh giao thức, hỗ trợ các loại tài sản thế chấp mới, tích hợp với các phần khác trong hệ sinh thái, bạn cần đòn bẩy vận hành.
Hợp đồng hoàn toàn bất biến, không để lại bất kỳ quyền truy cập đặc quyền nào thì thực sự vững chắc, nhưng cũng rất giòn—mọi thay đổi đều đòi hỏi di chuyển toàn bộ, mọi lỗ hổng đều trở thành vĩnh viễn, mọi tính năng mới đều yêu cầu người dùng phải chọn tham gia lại vào phiên bản triển khai mới. Ngoài yếu tố kỹ thuật, còn có một thực tế khác: tiến độ của các quỹ đầu tư mạo hiểm (VC) không cho phép chu kỳ xác minh hình thức kéo dài ba năm, giao thức nào ra mắt trước sẽ giành được thanh khoản trước.
Tính khả tích còn khuếch đại vấn đề: một giao thức bất biến không thể kết nối với oracle mới, không hỗ trợ chuỗi mới, không sửa chữa lỗ hổng đã phát hiện—trừ khi buộc tất cả người dùng và bên tích hợp phải di chuyển.
Kết quả là: đối với bất kỳ nhóm nào, lựa chọn hợp lý là “triển khai với khóa riêng của quản trị viên và cam kết loại bỏ sau này”; còn đối với bất kỳ người dùng nào, lựa chọn hợp lý là chấp nhận sự đánh đổi này, vì các giao thức thay thế hoặc không tồn tại, hoặc không có thanh khoản. OpenFi không phải là thất bại đạo đức của một vài nhà xây dựng. Đó là cân bằng Nash của lĩnh vực này.
Cách diễn đạt trung thực là: DeFi gần như phổ biến lựa chọn hy sinh một phần tính phi tập trung để đổi lấy khả thi trong vận hành. Sự lựa chọn này có thể biện minh được. Điều thiếu trung thực nằm ở chỗ không nêu rõ sự đánh đổi, và tiếp tục tiếp thị giao thức như “phi tập trung”, trong khi mô hình an ninh thực tế của chúng lại phụ thuộc vào một vài người ký, một trình xác thực duy nhất, hoặc một đa chữ ký có thể bị tấn công kỹ thuật xã hội.
Con đường phía trước gần với “tiết lộ” hơn là “cách mạng”: bắt buộc gắn thẻ giả định niềm tin theo mô hình L2Beat; thiết lập thời gian trễ đủ dài để người dùng có thể rút tiền trước khi thao tác đặc quyền được hoàn tất; thị trường bảo hiểm định giá “rủi ro vận hành” thay vì “rủi ro thuần về mã nguồn” vốn chỉ là hư cấu; và phân biệt rõ ràng giữa “những phần nào của hệ thống thực sự cần đường dẫn nâng cấp” và “những phần nào chỉ được thiết lập có thể thay đổi do thói quen kiến trúc”. Tháng Tư năm 2026 không chứng minh OpenFi là không khả thi.
Nó chứng minh rằng: khi một hệ thống OpenFi được tiếp thị như DeFi, người dùng của nó hoàn toàn không được chuẩn bị cho các mô hình thất bại thực tế mà hệ thống đó sở hữu. Để hệ thống như vậy an toàn, bước đầu tiên là trung thực thừa nhận rằng chúng ta thực sự đã xây dựng chính thứ này.
Đồng xu hai mặt của sự tập trung
Sự đánh đổi cốt lõi của OpenFi trở nên rõ ràng như ban ngày trong sự kiện đóng băng của Arbitrum. Ba ngày sau khi lỗ hổng của KelpDAO bị khai thác, Hội đồng An ninh của Arbitrum đã biểu quyết đóng băng 30.766 ETH—khoảng 71 triệu đô la Mỹ—đã bị chuyển tới Arbitrum One bởi kẻ tấn công. Việc đóng băng được thực hiện phối hợp với cơ quan thực thi pháp luật và theo hầu hết các tiêu chuẩn thì đây là kết quả tốt: tài sản bị đánh cắp bị ngăn chặn rửa tiền, các kênh hạ lưu của kẻ tấn công bị cắt đứt, và một phần tổn thất của người dùng có thể được phục hồi.
Nhưng hãy lưu ý điều gì đã khiến việc đóng băng này trở nên khả thi: Arbitrum có một Hội đồng An ninh có quyền “can thiệp trực tiếp vào việc chuyển tiền trên chuỗi”. Đây không phải đặc tính của cơ sở hạ tầng phi tập trung. Đây là một công tắc tắt tập trung được thiết kế sẵn—có thể biện minh được dưới lý do “phản ứng khẩn cấp”, và đã được sử dụng theo đúng cách mà các nhà phê bình luôn lo ngại—không nhất thiết là điều tồi tệ, nhưng chắc chắn có hậu quả nghiêm trọng.
Cùng một cơ chế khiến Arbitrum đóng vai “người tốt” sau sự việc Kelp cũng chính là cơ chế tương tự khiến Drift bị xâm nhập—một nhóm nhỏ những người ký đáng tin cậy nắm giữ quyền thực hiện các thao tác cấp giao thức, chỉ khác nhau ở mức độ “quyền lực này bị ràng buộc mạnh đến đâu”. Một lần, quyền lực này được sử dụng hợp pháp để đóng băng tài sản bị đánh cắp; lần khác, nó bị tấn công kỹ thuật xã hội chiếm đoạt để rút sạch tiền gửi của người dùng. Đòn bẩy, hai mặt đều có thể cắt người.
“Công tắc tắt” đã thất bại qua ít nhất năm kênh khác nhau—tấn công kỹ thuật xã hội (Ronin, Drift), nhân viên nội bộ bị xâm nhập (Multichain), áp lực chủ quyền, bắt buộc pháp lý (Tornado Cash, USDC), và chiếm đoạt quản trị (Beanstalk, Mango Markets). Mỗi loại là một cuộc tấn công khác nhau, có cách phòng thủ khác nhau, và câu nói “Hội đồng thất bại” che phủ toàn bộ. Việc chỉ ra kênh thất bại cụ thể là bước đầu tiên để bắt đầu phòng thủ chống lại nó.
Đây chính là “đồng xu hai mặt của sự tập trung” trong DeFi—cũng là điều quan trọng nhất về trạng thái hiện tại của ngành: mỗi đòn bẩy vận hành có thể mang lại “kết quả tốt” trong tình huống khẩn cấp, đồng thời cũng là một bề mặt tấn công—nó sẽ gây ra kết quả tồi tệ trong một sự việc khác.
Vấn đề sâu xa hơn là: trong trường hợp Arbitrum, từ “kết quả tốt” mang quá nhiều hàm ý. Tính hợp pháp là thứ được xây dựng bởi xã hội, và cùng một dạng đòn bẩy đã từng được kéo trong các bối cảnh mà sự đồng thuận còn xa mới trong sáng. Phân nhánh DAO trên Ethereum năm 2016 vẫn là ví dụ kinh điển: một nửa cộng đồng khẳng định việc đảo ngược lỗ hổng 60 triệu đô la Mỹ là cách sử dụng rõ ràng và hợp pháp nhất của sự đồng thuận xã hội; nửa còn lại khẳng định đây là sự phản bội chết người đối với nguyên tắc “mã nguồn là pháp luật”, và phân nhánh ra, để chuỗi gốc tiếp tục tồn tại dưới dạng Ethereum Classic.
Circle và Tether thường xuyên đóng băng địa chỉ USDC và USDT, đôi khi để đáp ứng lệnh trừng phạt của OFAC, đôi khi chỉ dựa trên nghi ngờ—người dùng bị ảnh hưởng hoàn toàn không có kênh kháng nghị nào—việc đóng băng được đóng gói dưới danh nghĩa tuân thủ, nhưng thực chất là thẩm quyền tùy ý. Việc đóng băng của Arbitrum đã thành công. Việc phân nhánh DAO, theo một nghĩa nào đó, cũng đã thành công.
Việc đóng băng USDC diễn ra thường xuyên và đều thành công. Câu hỏi trung thực không phải là “công tắc tắt có thể tạo ra kết quả tốt hay không”, mà là “ai quyết định thế nào là kết quả tốt”—và người dùng của giao thức đã được thông báo rõ ràng đến đâu về quy trình ra quyết định này.
Không có phiên bản nào của sự đánh đổi có thể “chỉ chọn một mặt”. Hoặc bạn có công tắc tắt, thì bạn cũng có một thứ có thể bị chiếm đoạt, thao túng hoặc tấn công kỹ thuật xã hội; hoặc bạn không có, thì bạn phải chấp nhận rằng một số sự việc sẽ là vĩnh viễn và không thể khắc phục được.
Các đòn bẩy này cũng không thể hoán đổi cho nhau. Hội đồng An ninh của Arbitrum có thể nhanh chóng chuyển tiền ở ngưỡng thấp thông qua quy trình khẩn cấp—sự kết hợp “tốc độ + phạm vi” khiến việc đóng băng trở nên khả thi, nhưng cũng chính sự kết hợp này khiến mô hình thất bại khi Hội đồng bị xâm nhập trở nên thảm khốc.
Đòn bẩy của THORChain hẹp hơn: có thể tạm dừng và tái cấp vốn thông qua việc phát hành thêm RUNE, nhưng không có quyền tịch thu hoặc chuyển hướng tài sản người dùng. Quản trị viên khẩn cấp của Aave có thể đóng băng thị trường, điều chỉnh các tham số rủi ro, nhưng không thể chuyển số dư người dùng. Cơ chế đóng khẩn cấp của MakerDAO là một lối thoát một chiều, chứ không phải công cụ tịch thu. Hình thái khác nhau, sự đánh đổi khác nhau, nhưng trong tên gọi đều được gọi chung là “công tắc tắt”. Một giao thức sẵn sàng đối xử trung thực với mô hình niềm tin của chính mình, nợ người dùng không phải là phạm trù chung chung, mà là hình thái cụ thể.
Ngành công nghiệp còn có xu hướng né tránh một sự phân biệt khác: sự khác biệt giữa “đòn bẩy chỉ được sử dụng trong các tình huống cực đoan” và “đòn bẩy được vận hành trong nhịp độ thường nhật”.
Bitcoin và Ethereum về nguyên tắc đều có công tắc tắt—một sự phối hợp đủ mức giữa các nút, thợ đào, trình xác thực và sàn giao dịch có thể phân nhánh bất kỳ chuỗi nào chỉ trong một ngày. Hai chuỗi này vẫn được xem là “giảm thiểu niềm tin một cách đáng tin cậy” vì công tắc này gần như chưa bao giờ được kéo, và mỗi lần kéo đều phải trả giá bằng một sự chia rẽ cộng đồng vĩnh viễn.
Phân nhánh DAO đã diễn ra được mười năm, nhưng vẫn là sự kiện gây tranh cãi nhất trong lịch sử Ethereum. Bitcoin chưa từng trải qua phân nhánh tương tự.
Công tắc tồn tại, nhưng trong các công việc thường nhật thì được cam kết một cách đáng tin cậy là “không sử dụng”, chính lịch sử kiềm chế dài hạn này đã mang lại cho hệ thống nền tảng mức độ đáng tin cậy mà bất kỳ đặc tính thiết kế nào riêng lẻ đều không thể trao tặng.
Ngược lại, Hội đồng An ninh của Arbitrum hoạt động trong nhịp độ thường nhật. Nó thường xuyên biểu quyết nâng cấp. Trước sự kiện đóng băng Kelp, nó đã thực hiện các hành động khẩn cấp, và sau đó sẽ còn thực hiện thêm nhiều lần nữa. Nó không phải là một khả năng dự trữ đang “ngủ”, mà là một cơ quan quản trị đang hoạt động. Sự chỉ trích OpenFi áp dụng mạnh hơn nhiều đối với “đòn bẩy đang hoạt động” so với “đòn bẩy đang ngủ”, bởi vì sự kiềm chế của đòn bẩy đang ngủ bản thân nó đã là một tín hiệu—niềm tin mà những người vận hành có ngưỡng sử dụng cực cao giành được là thứ mà bản thân đòn bẩy không thể trao tặng. Đòn bẩy đang hoạt động không có tín hiệu như vậy. Chúng chỉ có thể được đánh giá dựa trên kiểm soát nội tại, và những kiểm soát này đã nhiều lần chứng minh là không đủ.
THORChain sau khi gặp lỗ hổng năm 2021 đã chọn con đường “không có đòn bẩy”, và bị chỉ trích vì thiếu khả năng can thiệp. Arbitrum chọn con đường “công tắc tắt” và được ca ngợi. Cả hai lựa chọn đều có thể biện minh được. Không lựa chọn nào là miễn phí. Ngành công nghiệp phải chấm dứt việc giả vờ có thể vừa có vừa không—và phải trung thực nói với người dùng từng giao thức cụ thể đã thực hiện lựa chọn nào.
Một bước ngoặt cuối cùng: sự đánh đổi này theo thời gian chỉ có thể xấu đi theo một hướng. Một khi một giao thức có thể đóng băng, các cơ quan quản lý và tòa án ngày càng có xu hướng phán quyết rằng nó “phải” đóng băng. Khả năng đóng băng USDC ban đầu là công cụ tuân thủ khẩn cấp, nhưng nay đã trở thành phản ứng bắt buộc thực tế đối với thông báo của OFAC cũng như danh sách thực thi pháp luật ngày càng mở rộng của các tiểu bang.
Quyết định “triển khai với công tắc tắt” đồng thời cũng là quyết định “kế thừa một danh sách yêu cầu sử dụng bắt buộc ngày càng dài hơn trong suốt vòng đời của giao thức”, trong đó nhiều yêu cầu sử dụng không phù hợp với định hướng mà cộng đồng giao thức tự thân sẽ ủng hộ. Do đó, lập trường “không có đòn bẩy” của THORChain không chỉ là lựa chọn kỹ thuật, mà còn là tư thế quản lý—bằng cách loại trừ trước “khả năng tuân thủ”, nó cũng loại trừ trước “nghĩa vụ tuân thủ”.
Liệu tư thế này có tồn tại được dưới áp lực thực thi pháp luật liên tục là một câu hỏi mở, nhưng sự bất cân xứng là có thật: giao thức có đòn bẩy có thể bị buộc phải sử dụng nó; giao thức không có thì không thể.
Đối với các tổ chức quan sát từ bên ngoài, sự trung thực này quan trọng hơn nhiều so với tiếp thị. Một công tắc tắt vận hành được tiết lộ rõ ràng, kèm theo ghi chép minh bạch về quản trị, quản lý khóa và phản ứng sự cố—đây là thứ mà một đội quản lý tài sản hoặc công ty bảo hiểm có thể bảo hiểm. Còn một giao thức tự quảng bá là “giảm thiểu niềm tin”, nhưng lại chạy trên đa chữ ký 2/5 với timelock bằng 0 thì không phải. Thứ nhất là một lựa chọn kỹ thuật hợp pháp. Thứ hai là một rủi ro mà không ai có thể định giá.
Điều gì sẽ xảy ra tiếp theo
Thói quen của chu kỳ ngành là lãng quên. Mỗi chu kỳ bốn năm đều tái phát minh các tổ chức mà DeFi vốn được tạo ra để thay thế, vì vậy phải chịu đòn, thoáng nhớ lại lý do vì sao các nguyên tắc tồn tại, rồi lại quên đi. Mọi điều xảy ra trong tháng Tư không phải chưa từng có tiền lệ. Đó là trạng thái cuối cùng có thể dự đoán được của một ngành công nghiệp đánh đổi tiện lợi lấy nguyên tắc mà không nêu rõ sự đánh đổi.
Ba quyết định hiện đang đặt trước mặt ngành công nghiệp, và không quyết định nào có thể hoãn lại thêm nữa.
Sự tập trung. Mỗi giao thức đều phải công khai lựa chọn những đòn bẩy vận hành nào mình sở hữu và giải thích rõ ràng lựa chọn đó với người dùng. Phiên bản trung thực của DeFi không phải là DeFi vừa tự tiếp thị là “phi tập trung”, vừa chạy trên đa chữ ký 2/5 với timelock bằng 0, mà là DeFi công khai cấu thành đa chữ ký, ngưỡng và timelock, cũng như điều kiện kích hoạt từng đòn bẩy. Việc nêu rõ sự đánh đổi mới là cách để sự đánh đổi ấy có thể tồn tại.
An ninh. Kiểm toán không phải là ranh giới cuối cùng. Những giao thức có thể sống sót qua chu kỳ tiếp theo sẽ coi an ninh vận hành—khóa, người ký, cầu nối chéo chuỗi, cấu hình, phản ứng sự cố—là một ngành khoa học ưu tiên hàng đầu, ngang tầm với việc kiểm tra Solidity. Phần lớn các nhóm hiện vẫn coi đây là công việc hậu cần. Thái độ này sẽ không còn hiệu lực kể từ khoảnh khắc những người phân bổ kho bạc bắt đầu đặt ra những câu hỏi mà họ hiện nay vẫn đang đặt ra.
Cấu trúc tài chính. Quyết định về tài chính cho chu kỳ tiếp theo nằm trong tay các quỹ hưu trí, các nhà phân bổ chủ quyền, kho bạc doanh nghiệp và bảng cân đối kế toán bảo hiểm—họ đang quan sát. Họ không cần sự giảm thiểu niềm tin tuyệt đối. Họ cần rủi ro vận hành có thể được bảo hiểm. Các giao thức trông giống cơ sở hạ tầng then chốt hơn là thí nghiệm sẽ hút dòng vốn này. Các giao thức khác sẽ tiếp tục giữ tiền của nhà đầu tư cá nhân, trong khi làn sóng tổ chức lướt qua họ.
Tháng Tư năm 2026 không phải là một cuộc khủng hoảng an ninh. Đó là khoảnh khắc mô hình tư duy của ngành hoàn toàn sụp đổ—và cũng là khoảnh khắc những giao thức có thể sống sót bắt đầu được phân biệt rõ ràng với những giao thức không thể.
Chào mừng tham gia cộng đồng chính thức TechFlow
Nhóm Telegram:https://t.me/TechFlowDaily
Tài khoản Twitter chính thức:https://x.com/TechFlowPost
Tài khoản Twitter tiếng Anh:https://x.com/BlockFlow_News
IOSG Ventures
