Balance Coin mất 99%: DAO quản lý kém, hacker cười thầm

Mất 915.000 USD trong một vụ khai thác, Balance Coin rơi 99% chỉ trong vài phút. Đây không phải là một tai nạn—đó là hậu quả tất yếu của một DAO yếu kém, nơi kiểm soát truy cập và logic hợp đồng được viết như trò chơi ghép hình. Bối cảnh: Balance Protocol là một giao thức DeFi do DAO 42 quản lý. 42DAO nắm quyền kiểm soát các tham số chính, bao gồm khả năng mint/burn token và rút quỹ dự trữ. Khi một báo cáo an ninh mạng cho thấy 42DAO bị tấn công, giá Balance Coin lao dốc. Tổn thất 915.000 USD – con số nhỏ với thị trường, nhưng đủ lớn để phá hủy niềm tin vào một giao thức nhỏ. Lõi kỹ thuật: Dựa trên kinh nghiệm kiểm toán của tôi, đây là một vụ khai thác điển hình liên quan đến quyền truy cập quá mức. Khi tôi kiểm toán hợp đồng ICO cho OmiseGO năm 2017, tôi phát hiện lỗ hổng Access Control cho phép bất kỳ ai gọi hàm withdraw nếu biết địa chỉ. Ở đây, cũng vậy: 42DAO có quyền mint token không giới hạn, và hacker đã khai thác quyền đó thông qua một đề xuất độc hại hoặc đánh cắp private key của một signer. Kết quả? Hàng triệu token được mint và dump ra thị trường. Balance Coin – vốn dĩ chỉ là một token quản trị mỏng manh – không có cơ chế phòng thủ nào. Hãy nhìn vào số liệu: 99% sụp đổ trong vài phút. Không có cắt lỗ, không có module pause, không có multi-sig trì hoãn. Điều đó cho thấy dự án không được xây dựng với tư duy bảo mật. Tôi đã chứng kiến điều tương tự với Terra/Luna năm 2022: cơ chế mint không giới hạn, không có giới hạn tần suất, dẫn đến vòng xoáy tử thần. Balance Coin là một bản sao nhỏ hơn của thảm họa đó. Góc nhìn nghịch chiều: Một số nhà đầu tư cho rằng đây là cơ hội mua đáy—vì dự án có thể hoàn trả thông qua quỹ dự trữ hoặc fork lại. Sai lầm. Niềm tin đã chết. Khi một DAO bị tấn công, lòng tin vào khả năng quản lý của nó tan vỡ. Ngay cả khi họ tìm lại được 915.000 USD (điều không chắc chắn), cộng đồng sẽ bỏ đi. Các dự án DeFi nhỏ không có bộ đệm uy tín. Bài học từ Yearn Finance hay Aave: họ sống sót vì có đội ngũ kỹ thuật mạnh và quy trình khẩn cấp. 42DAO có gì? Một thông báo mơ hồ và im lặng. Thông điệp chốt: Balance Coin là một hồi chuông cảnh tỉnh cho tất cả các DAO. Đừng để quyền lực tập trung vào một nhóm nhỏ signer mà không có lớp bảo vệ nhiều lớp. Hợp đồng ICO: code thì non, lỗi thì già. Câu nói đó vẫn đúng sau 7 năm. Bạn muốn giao dịch trên một giao thức nơi một hacker có thể mint token vô hạn? Tôi thì không.