Nếu tuần trước thị trường tiền mã hóa vẫn còn say sưa trong sự hưng phấn của “giao dịch khi tiền tệ mất giá”, thì tin tức này chính là mặt lạnh lẽo phía sau màn cuồng hoan. Ngày 23/8, Chủ nhật, giao thức cho vay lãi suất cố định trên Ethereum là Term Finance đã vướng phải một cuộc tấn công quản trị, khiến kho chiến lược bị đánh cắp khoảng 8,5 triệu USD. Các đơn vị an ninh như PeckShield và CertiK sau đó ước tính kẻ tấn công đã rút đi khoảng 2.843 ETH, trị giá khi đó khoảng 6,9 triệu USD, kèm theo 1,68 triệu USDC; sau đó, chúng đổi USDC sang gần 1,68 triệu DAI. Giá trị bị khóa trong kho, chiếm gần hai phần ba, đã bốc hơi chỉ trong một đêm.

Điều khiến vụ việc này lạnh sống lưng nhất là: không có hợp đồng thông minh nào bị phá, cũng không có dòng mã nào đã được kiểm toán bị lỗi. Thứ thất thủ là chính cơ chế quản trị của giao thức.

Kẻ tấn công không “bẻ khóa”, mà chỉ “mua lại luật chơi”

Các két chiến lược của Term Finance được xây trên hạ tầng Yearn V3, về bản chất là các két token hóa ERC-4626, có nhiệm vụ phân bổ vốn giữa thị trường cho vay lãi suất cố định của Term và giao thức cho vay lãi suất thả nổi. Sau khi sự việc xảy ra, phía Yearn phản hồi rằng lỗ hổng nằm ở “lớp bao quản trị tùy chỉnh” bên ngoài két, còn két Yearn tiêu chuẩn không bị ảnh hưởng và số tiền gửi vào vẫn an toàn.

Rắc rối nằm chính ở “lớp bao quản trị tùy chỉnh” đó. Thiết kế két của Term xây dựng một kiến trúc quản trị tách “quyền vận hành” và “quyền giám sát tiền gửi”: vai trò “manager” phụ trách vận hành đấu giá, còn vai trò “governor” phụ trách tham số rủi ro, cấu hình giao thức và các hàm khẩn cấp. Về lý thuyết, các nhà cung cấp thanh khoản của két với tư cách thành viên DAO có thể dùng cửa sổ khóa thời gian 7 ngày để bỏ phiếu phủ quyết các giao dịch quản trị đang xếp hàng; chỉ cần phủ quyết thành công, giao dịch sẽ mất hiệu lực trước khi thực thi.

Nhưng các cơ chế bảo vệ đó vẫn không chặn được cuộc tấn công. Phân tích on-chain cho thấy kẻ tấn công đã tích lũy đủ token quản trị TERM, nắm khoảng 91% quyền biểu quyết của Meta Vault trên Ethereum, và kiểm soát hoàn toàn bốn két USDC chiến lược. Sau đó, chúng nộp một đề xuất độc hại, chỉ đạo các két chuyển tiền đến một địa chỉ duy nhất. Nói thẳng ra, kẻ tấn công không xâm nhập hệ thống, mà chỉ mua được quyền biểu quyết đủ rẻ để viết lại luật chơi. Đó mới là chỗ nguy hiểm nhất của tấn công quản trị — nó không cần lỗ hổng mã quá tinh vi, chỉ cần tìm ra kẽ hở nơi thanh khoản token quản trị thấp và mức độ tham gia bỏ phiếu không đủ.

Khóa thời gian 7 ngày và quyền phủ quyết của LP, sao lại vô hiệu?

Vụ việc này để lại một điểm nghi vấn đến nay vẫn khó lý giải: khóa thời gian 7 ngày cộng với cơ chế phủ quyết của LP, về lý thuyết đã là lớp chốt cuối cùng rồi. Theo giải thích chính thức của Term, governor có thể sửa bộ điều khiển giao thức, oracle giá, giới hạn rủi ro, và cũng có thể tạm dừng tiền gửi hoặc hoạt động chiến lược; còn một lần phủ quyết LP thành công lẽ ra phải vô hiệu hóa mọi giao dịch đang chờ. Vậy vì sao những cơ chế này lại không giữ được?

Term Labs đến nay vẫn chưa tiết lộ kẻ tấn công đã dùng vai trò nào, cũng chưa giải thích vì sao khóa thời gian và quyền phủ quyết của LP không ngăn được việc thực thi. Phân tích bên ngoài nhìn chung có hai suy đoán.

Một quan điểm là token quản trị quá tập trung, mức độ tham gia bỏ phiếu quá thấp. Khi kẻ tấn công nắm khoảng 91% quyền biểu quyết, cái gọi là “quyền phủ quyết trên danh nghĩa” thực ra đã vô dụng. Điều quyết định đề xuất có được thông qua nữa hay không không còn là ý kiến của đa số LP, mà là số phiếu do kẻ tấn công kiểm soát. Quyền biểu quyết vốn chính là đạn dược của quản trị; khi đạn bị độc quyền, luật lệ dù chặt chẽ đến đâu cũng chỉ là quay chay.

Một cách nhìn khác là thiết kế quản trị đã không “tách vật lý” đủ triệt để giữa quyền vận hành và quyền giám sát. Hai vai trò quản lý và quản trị tuy chức năng khác nhau, nhưng khi bị cùng một thế lực kiểm soát, cơ chế kiềm chế và đối trọng ban đầu sẽ trở nên vô nghĩa. Term đến nay vẫn chưa công bố bản tổng kết kỹ thuật, cũng chưa đưa ra phương án bồi hoàn, nên bên ngoài nhìn chung vẫn giữ thái độ thận trọng về khả năng thu hồi. Hơn nữa, kẻ tấn công đã dùng Tornado Cash để trộn tiền trước khi hành động, rõ ràng là có chuẩn bị từ trước.

Đây không phải trường hợp cá biệt, thâu tóm quản trị đang ngày càng rẻ

Các cuộc tấn công thâu tóm quản trị đã tồn tại từ lâu, và thủ đoạn ngày càng rẻ hơn. Năm 2022, Beanstalk đã mất khoảng 182 triệu USD trong một cuộc tấn công quản trị bằng flash loan, trở thành một vụ việc mang tính biểu tượng; tháng 3 năm nay, kẻ tấn công chỉ bỏ ra khoảng 1.800 USD để mua token rồi thúc đẩy một đề xuất đe dọa 1,08 triệu USD tài sản của Moonwell. Chi phí của các cuộc tấn công quản trị đã bị kéo xuống mức đáng lo ngại.

Năm 2026, loại sự cố này đã lan ra ngoài Ethereum. Tháng 7, BonkDAO trên Solana bị thiệt hại khoảng 20 triệu USD khi kẻ tấn công dùng một đề xuất độc hại trong hệ thống Realms; tháng 6, giao thức Ethereum nhỏ TOP mất khoảng 1,6 triệu USD sau khi kẻ tấn công mua phần lớn nguồn cung token; Verus-Ethereum Bridge cũng bị đánh cắp hai lần vào tháng 7 và tháng 5, lần lượt thiệt hại khoảng 7,54 triệu USD và 11,58 triệu USD.

Một báo cáo của Blockaid bao phủ nửa đầu năm 2026 cho thấy thiệt hại do trộm cắp và lừa đảo tiền mã hóa đã vượt 1 tỷ USD, trong đó Ethereum chiếm tỷ trọng lớn nhất, khoảng 332 triệu USD, chủ yếu do các lỗ hổng ở hợp đồng thông minh và tầng ứng dụng. Vụ việc Term Finance này chỉ là thêm một dòng nữa trong danh sách “đổ máu” của cả năm.

Bài học thực sự cần được ghi nhớ từ vụ việc này

Tôi nghĩ điều đáng suy ngẫm nhất ở vụ Term Finance không phải là “lại có giao thức bị đánh cắp”, mà là an ninh quản trị giờ cũng quan trọng như an ninh hợp đồng thông minh. Trước đây, mọi người thường xem “hợp đồng đã được kiểm toán” như một nhãn an toàn, nhưng kẻ tấn công đang chuyển sang con đường không cần phá mã, chỉ cần thao túng luật chơi. Với bất kỳ giao thức nào có token quản trị, có quyền bỏ phiếu, có điều phối kho quỹ, câu hỏi “ai kiểm soát được quản trị” đang trở nên cấp bách hơn cả “ai có thể phá được hợp đồng”.

Đối với người dùng phổ thông, vụ này cũng là một lời nhắc rất thực tế: gửi tiền vào két không có nghĩa là “giao cho mã nguồn quản lý”, mà còn phải xem bạn đang giao vốn cho “quản trị” của ai. Những két có token quản trị tập trung cao, vai trò then chốt do số ít chủ thể kiểm soát, và mức độ tham gia bỏ phiếu thấp kéo dài, dù hợp đồng có được kiểm toán nghiêm ngặt đến đâu thì vẫn phơi mình trước rủi ro đuôi của “thâu tóm quản trị”. An toàn của vốn, cuối cùng phụ thuộc vào mức độ phân tán và phi tập trung của quản trị, chứ không phải một bản báo cáo kiểm toán.

Đồng thời, vụ việc này cũng gióng lên hồi chuông cảnh báo cho toàn ngành: khóa thời gian, quyền phủ quyết của LP, tách vai trò — nếu trong tình huống cực đoan khi “quyền bỏ phiếu bị độc quyền” mà các thiết kế này không thực sự phát huy tác dụng, thì chúng chỉ là ranh giới an toàn trên giấy. An toàn thực sự đòi hỏi những cơ chế này vẫn có khả năng “phanh” khi đối mặt với đa số ác ý. Và bài học này, nhiều giao thức DeFi đến giờ vẫn chưa bù đắp được.

Cảnh báo rủi ro: Bài viết này chỉ là tổng hợp thông tin và ghi chú nghiên cứu cá nhân, không cấu thành khuyến nghị đầu tư. Tài sản tiền mã hóa biến động mạnh, quyết định xin tự chịu trách nhiệm và cân nhắc rủi ro.