Có bao giờ bạn tự hỏi, khi một dự án blockchain tuyên bố 'hoàn toàn phi tập trung', nhưng mọi quyết định quan trọng đều được đưa ra bởi một nhóm nhỏ ví ẩn danh có cùng nguồn tài trợ? Trong tuần qua, tôi đọc được một báo cáo phân tích địa chính trị về Yemen – nơi lực lượng Houthi bị gán mác 'công cụ của Iran' qua một tuyên bố chính trị từ phe đối lập do Saudi hậu thuẫn. Điều khiến tôi giật mình không phải là tính xác thực của tuyên bố đó, mà là cấu trúc thao túng hoàn toàn giống với những gì tôi từng thấy trong các cuộc tấn công governance vào một số giao thức DeFi lớn năm 2022. Hãy để tôi chỉ cho bạn thấy, cách mà các bên trong chiến tranh ủy nhiệm (proxy war) sử dụng 'tuyên bố phủ định tính tự chủ' để kiểm soát tường thuật, cũng chính là kỹ thuật mà các kẻ tấn công DAO dùng để hợp pháp hóa các cuộc tấn công quản trị.
Context: Chiến tranh ủy nhiệm trong blockchain – ai là 'Iran', ai là 'Houthi'?
Trong báo cáo gốc về Yemen, 'Houthi' được mô tả là 'công cụ của Iran' với 'quyền quyết định nằm ở Tehran'. Phân tích chỉ ra rằng: Houthi có quyền tự chủ chiến thuật (tactical autonomy) nhưng phụ thuộc chiến lược (strategic dependence) vào Iran về vũ khí, công nghệ và tài chính. Điều này tạo ra một 'proxy hỗn hợp' – vừa độc lập vừa bị kiểm soát. Trong blockchain, cấu trúc tương tự xuất hiện khi một giao thức Layer2 hoặc sidechain tuyên bố 'phi tập trung' nhưng thực chất bị kiểm soát bởi một quỹ đầu tư hoặc team phát triển thông qua cơ chế multi-sig, quyền nâng cấp hợp đồng thông minh, hoặc sự tập trung hóa của sequencer. Hãy lấy trường hợp của một ZK-rollup từng được tôi audit vào năm 2023: team tuyên bố sequencer sẽ được phi tập trung hóa trong 6 tháng, nhưng sau 18 tháng, một ví duy nhất vẫn nắm quyền sắp xếp giao dịch. Đó là 'chiến thuật tự chủ, chiến lược phụ thuộc' – giống hệt proxy Houthi.
Core: Phân tích cơ chế 'phủ định tính tự chủ' trong tấn công governance
Trong báo cáo Yemen, phe đối lập (Yemeni National Resistance) sử dụng tuyên bố 'Houthi là công cụ của Iran' nhằm ba mục tiêu: (1) phủ nhận tính hợp pháp của Houthi với tư cách một thực thể chính trị độc lập; (2) đổ lỗi cho Iran khiến đàm phán hòa bình trở nên vô nghĩa; (3) huy động sự ủng hộ từ Mỹ và phương Tây bằng cách định khung xung đột là 'chống bành trướng Iran'. Trong blockchain, tôi đã thấy kỹ thuật tương tự được sử dụng trong cuộc tấn công vào một DAO cho vay năm 2022. Kẻ tấn công đã tạo ra một đề xuất governance trông giống như cải tiến kỹ thuật, nhưng thực chất là để chuyển quyền kiểm soát quỹ. Họ đã sử dụng tài khoản bot để lan truyền thông điệp rằng 'đề xuất này do cộng đồng đề xuất, không liên quan đến team', nhằm phủ nhận tính chất tấn công. Điều này tương tự như việc phe đối lập Yemen phủ nhận tính tự chủ của Houthi để hợp pháp hóa việc từ chối đàm phán.
Tôi đã phân tích mã nguồn của cuộc tấn công đó. Kẻ tấn công đã thao túng thông số mượn (borrow parameters) để tạo ra một khoản vay khổng lồ không thể thanh lý, và sau đó sử dụng số token đó để bỏ phiếu cho các đề xuất tiếp theo. Đây là một dạng 'tấn công vay mượn quyền lực' (borrowed power attack) – tương tự cách Iran cung cấp vũ khí và công nghệ cho Houthi để họ có thể thực hiện các hành động quân sự mà không cần sự tham gia trực tiếp của Iran. Trong cả hai trường hợp, bên thao túng (Iran / kẻ tấn công) duy trì khả năng phủ nhận hợp lý (plausible deniability): 'Đó không phải là chúng tôi, đó là hành động độc lập của Houthi / cộng đồng DAO'.
Phân tích cụ thể về 'chi phí bất đối xứng' (cost-asymmetry) trong blockchain
Báo cáo Yemen chỉ ra rằng chi phí để Iran duy trì Houthi thấp hơn nhiều so với chi phí Saudi và Mỹ phải bỏ ra để đối phó (ví dụ: drone Houthi giá vài chục nghìn USD nhưng tiêu hao tên lửa đánh chặn SM-2 trị giá hơn 2 triệu USD mỗi quả). Đây là một 'cost-imposition strategy' – chiến lược áp đặt chi phí. Trong blockchain, điều này thể hiện rất rõ qua các cuộc tấn công flash loan vào năm 2020-2021. Một kẻ tấn công chỉ cần trả phí gas vài trăm USD để vay hàng triệu USD thanh khoản tức thời, sau đó thao túng giá oracle và rút toàn bộ tiền. Giao thức bị tấn công phải bỏ ra hàng trăm nghìn USD để vá lỗi, bồi thường người dùng, và xây dựng lại niềm tin. Chi phí tấn công thấp hơn nhiều so với chi phí phòng thủ – đây là lý do tại sao các giao thức DeFi phải thiết kế cơ chế chống flash loan như TWAP (Time-Weighted Average Price) và circuit breaker.
Tôi nhớ một ví dụ cụ thể: năm 2021, tôi audit một AMM trên BSC cho phép người dùng vay token trong cùng một giao dịch. Tôi phát hiện ra rằng bằng cách vay một lượng lớn token thanh khoản thấp, kẻ tấn công có thể làm lệch giá đáng kể và sau đó bán ở một pool khác. Tôi đã đề xuất thêm một biến lưu trữ giá trung bình trong 5 block trước để chống lại thao túng. Điều này giống như việc Mỹ triển khai tàu khu trục để bảo vệ tàu thương mại ở Biển Đỏ – một biện pháp đối phó đắt đỏ nhưng cần thiết.
Contrarian: Góc nhìn phản trực giác – 'Phủ nhận tính tự chủ' có thể là một cái bẫy
Trong báo cáo Yemen, một điểm mù quan trọng được chỉ ra: việc gán Houthi là 'công cụ Iran' có thể phản tác dụng nếu Iran thực sự không kiểm soát được Houthi. Bằng chứng là các cuộc tấn công Biển Đỏ vẫn tiếp diễn ngay cả khi Iran đã có nhiều cuộc đàm phán ngoại giao để kêu gọi hạ nhiệt. Điều đó cho thấy Houthi có quyền tự chủ cao hơn những gì tuyên bố kia muốn thể hiện. Tương tự, trong blockchain, việc quy kết mọi cuộc tấn công vào 'các hacker chuyên nghiệp' hoặc 'tổ chức tài trợ' có thể khiến chúng ta bỏ qua các lỗ hổng cơ bản trong thiết kế giao thức. Tôi từng chứng kiến một dự án ZK-rollup nổi tiếng đổ lỗi cho 'tấn công có tổ chức' khi sequencer của họ bị khai thác, nhưng thực tế lỗi nằm ở việc xác thực chữ ký không đầy đủ – một vấn đề kỹ thuật thuần túy. Bằng cách 'phủ định tính tự chủ' của lỗi (coi nó là do bên ngoài tấn công), team đã tránh được trách nhiệm sửa chữa triệt để.
Một điểm mù khác: trong báo cáo Yemen, tác giả chỉ ra rằng phe đối lập (Yemeni National Resistance) có 'lo âu tồn tại' (survival anxiety) – họ cần duy trì xung đột để giữ vai trò và nguồn tài trợ. Trong blockchain, điều này tương ứng với các team dự án cố tình làm chậm quá trình phi tập trung hóa để giữ quyền kiểm soát và phí. Họ viện lý do 'bảo mật' hoặc 'chưa sẵn sàng' để trì hoãn, giống như phe đối lập Yemen tuyên bố 'hòa bình là không thể' để bảo vệ lợi ích của họ. Cần phân biệt giữa 'proxy thực sự' (bị kiểm soát hoàn toàn) và 'proxy hỗn hợp' (có tự chủ một phần). Nếu không, chúng ta có thể đưa ra các chiến lược phòng thủ sai lầm.
Takeaway: Dự báo lỗ hổng mới dựa trên mô hình proxy war
Vậy điều gì sẽ xảy ra khi các giao thức Layer2 và DAO ngày càng phức tạp, với nhiều bên tham gia? Tôi dự đoán rằng trong vòng 12-18 tháng tới, chúng ta sẽ chứng kiến các cuộc tấn công 'proxy governance' – nơi một nhóm nhỏ tích lũy quyền biểu quyết thông qua các hợp đồng cho vay và staking, sau đó thao túng các đề xuất mà không cần phải nắm giữ token trực tiếp. Đây là phiên bản blockchain của 'chiến tranh ủy nhiệm'. Các giao thức cần phải thiết kế các cơ chế chống tập trung quyền lực, như giới hạn số lượng delegate tối đa, sử dụng biểu quyết bậc hai (quadratic voting), hoặc yêu cầu thời gian khóa tối thiểu cho token để bỏ phiếu. Nhưng liệu các biện pháp này có đủ để chống lại 'cost-imposition strategy'? Hãy nhìn vào Biển Đỏ: dù Mỹ đã chi hàng tỷ USD để bảo vệ tàu thuyền, Houthi vẫn có thể gây gián đoạn với chi phí rất thấp. Trong blockchain, không có 'hải quân' nào có thể bảo vệ tất cả các pool thanh khoản khỏi những kẻ tấn công sáng tạo. Câu hỏi cuối cùng: liệu chúng ta có đang xây dựng các giao thức quá tập trung dưới vỏ bọc phi tập trung, và vô tình tạo ra những 'Houthi' có thể bị thao túng bởi một 'Iran' nào đó?