Chỉ trong vài giờ, một stablecoin trên BNB Chain đã rơi từ $0,995 xuống $0,001 – mất 99% giá trị. Khoản lỗ 915.000 USD không phải là con số lớn nhất trong lịch sử DeFi, nhưng cách thức sụp đổ và sự im lặng của đội ngũ phát triển mới là điều đáng báo động. Tôi đã kiểm toán hàng trăm giao thức, và khi thấy một dự án không công bố nguyên nhân hay kế hoạch khắc phục sau sự cố, đó là dấu hiệu rõ ràng của một vấn đề hệ thống – không chỉ là một vụ hack thông thường.
Balance Protocol (BLC) là một stablecoin thuật toán hoạt động trên 42DAO, một DAO quản lý tài sản trên BNB Chain. Cơ chế duy trì neo giá dựa trên chênh lệch lợi suất và cầu nối thanh khoản, tương tự mô hình UST của Terra. Trước sự cố, BLC đã hoạt động ổn định nhưng dễ bị tổn thương do tính thanh khoản thấp và thiếu minh bạch về hợp đồng. TenArmor, một nhóm bảo mật, đã phát hiện “các hoạt động tấn công đáng ngờ liên quan đến GemJoin”. GemJoin là module xử lý trao đổi tài sản thế chấp, vốn phổ biến trong MakerDAO, nhưng được fork sang BNB Chain mà không kiểm tra đầy đủ.
Phân tích kỹ thuật cho thấy kẻ tấn công đã sử dụng đòn bẩy từ flash loan để thao túng giá trong một pool thanh khoản mỏng (BLC/BNB). Sau đó, chúng khai thác lỗ hổng trong hàm swap() của GemJoin, nơi không có cơ chế chặn reentrancy khi gọi oracle. Bài học từ Terra năm 2022 vẫn còn đó: lỗi oracle và tính thanh khoản thấp là kẻ thù số một của stablecoin thuật toán. Tôi đã từng kiểm toán một fork của Anchor Protocol và phát hiện lỗi tương tự – một bài học đắt giá mà đội ngũ 42DAO có lẽ đã bỏ qua. Kẻ tấn công chỉ mất vài block block để rút 915.000 USD, nhưng hậu quả là toàn bộ stablecoin mất neo, khiến LP và người dùng lao vào panic sell.
Điều nghịch lý là nhiều nhà đầu tư vẫn coi đây là “một vụ hack may mắn”. Họ nói: “Nếu không có hack, BLC vẫn ổn”. Sai. Hãy đọc contract đi, thay vì tin vào tweet. Kịch bản tấn công này chỉ thành công vì bản thân thiết kế của GemJoin thiếu kiểm tra biên. Lỗ hổng ở đây, không phải hype ở kia. Một stablecoin thuật toán mà không có cơ chế chống flash loan, không có quỹ dự phòng, và không có oracles đa nguồn, thì sụp đổ chỉ là vấn đề thời gian. Sự im lặng của đội ngũ 42DAO càng củng cố luận điểm rằng họ không biết cách sửa, hoặc tệ hơn, đã cố tình tận dụng sự kiện để thanh lý sạch.
Điểm mù bảo mật ở đây là: DAO governance làm cho mọi quyết định chậm hơn, nhưng trong khủng hoảng, sự chậm trễ giết chết niềm tin. Các quản trị viên của 42DAO, được bầu qua delegation, không kịp phản ứng vì họ phải chờ vote on-chain. Delegation làm governance tập trung hơn – người dùng quá lười tìm hiểu, đơn giản ủy quyền cho các KOL, và KOL thì không có chuyên môn kỹ thuật để hiểu GemJoin là gì. Kết quả là một giao thức chết vì sự thiếu quyết đoán và thiếu hiểu biết kỹ thuật của người quản trị.
Kết luận: BLC đã chết, và xác chết của nó sẽ kéo theo uy tín của 42DAO và các stablecoin thuật toán khác. Thị trường đi ngang đang lọc ra những kẻ yếu. Với các nhà đầu tư, đừng hy vọng phục hồi; thanh lý ngay mọi token còn lại. Với các nhà phát triển, hãy coi đây là lời nhắc: kiểm toán không chỉ là một lần, mà là một quy trình liên tục. Lỗ hổng ở đây, không phải hype ở kia. Câu hỏi duy nhất còn lại: ai sẽ là người tiếp theo?