ENS DAO đang bỏ phiếu để thành lập một Hội đồng Bảo mật mới. Nghe có vẻ như một bước tiến bình thường trong quy trình quản trị, nhưng nếu bạn nhìn vào dòng mã và lịch sử, bạn sẽ thấy một câu chuyện hoàn toàn khác. Mỗi bản nâng cấp là một cánh cửa cho lỗ hổng mới. Và lần này, cánh cửa đó đang mở toang.
Câu chuyện bắt đầu từ tháng trước, khi Nick Johnson, đồng sáng lập ENS, chặn việc gia hạn nhiệm kỳ cho Hội đồng Bảo mật hiện tại. Quyết định này đã tạo ra một khoảng trống quyền lực. Quyền phủ quyết khẩn cấp — thứ được thiết kế để bảo vệ giao thức ENS khỏi các đề xuất độc hại — biến mất. Giao thức ENS, xương sống của hệ sinh thái định danh trên Ethereum, bước vào một giai đoạn không có lớp bảo vệ cuối cùng.
Bối cảnh kỹ thuật ở đây rất quan trọng. ENS không chỉ là một hợp đồng thông minh đơn lẻ. Nó là một bộ các hợp đồng tương tác, quản lý việc đăng ký, phân giải và chuyển nhượng tên miền. Bất kỳ đề xuất nâng cấp độc hại nào — như thay đổi bộ điều khiển đăng ký, chuyển quỹ của DAO hoặc thao túng phí — nếu được thông qua bởi một cuộc bỏ phiếu của DAO, có thể gây ra thiệt hại không thể khắc phục. Hội đồng Bảo mật là van an toàn cuối cùng, một multi-sig có thể kích hoạt phủ quyết trước khi thảm họa xảy ra.
Core Insight của tôi nằm ở đây, dựa trên kinh nghiệm audit thực tế: Việc loại bỏ Hội đồng Bảo mật đã tạo ra một lỗ hổng kiến trúc nghiêm trọng. Trong bất kỳ hệ thống multi-sig nào, việc vô hiệu hóa một nhóm ký tên mà không có sự thay thế ngay lập tức là một sai lầm. Nó tương tự như việc tắt tường lửa trong khi đang cài đặt phần mềm mới. Khoảng trống quyền lực này khiến ENS dễ bị tổn thương trước một cuộc tấn công quản trị cấp cao.
Chúng ta đang nói về một cuộc tấn công nơi một kẻ xấu có thể mua hoặc tập hợp đủ phiếu bầu ENS để thông qua một đề xuất. Nếu không có Hội đồng Bảo mật để phủ quyết, đề xuất đó sẽ được thực thi ngay lập tức. Kết quả? Hacker có thể thay đổi bộ phân giải tên miền, chuyển hướng lưu lượng truy cập, hoặc đánh cắp quỹ từ Kho bạc. Đây không phải là viễn cảnh lý thuyết. Tôi đã phân tích các cuộc tấn công tương tự vào các bridge cross-chain, nơi việc thiếu một lớp phê duyệt cuối cùng đã dẫn đến thiệt hại hàng trăm triệu USD.
Vậy nên, cuộc bỏ phiếu hiện tại để thành lập một Hội đồng Bảo mật mới gồm 8 thành viên là một nỗ lực sửa chữa. Nhưng đây mới là phần Contrarian, thứ mà đám đông bỏ lỡ: Một quy trình quản trị đa dạng hơn với 8 người không tự động an toàn hơn một quy trình do một người kiểm soát, nếu cấu trúc khuyến khích sai lệch.
Nick Johnson ban đầu chặn việc gia hạn vì ông ấy lo ngại về việc Hội đồng cũ trở nên quá quyền lực hoặc bị lợi dụng. Đó là một mối lo hợp lý. Chuyển quyền phủ quyết cho một nhóm mới, nếu không có cơ chế rõ ràng về việc ai chọn ai, thời gian nhiệm kỳ, và quan trọng nhất là yêu cầu ký kết (threshold), có thể tạo ra một điểm mù bảo mật mới. Ví dụ, một multi-sig với ngưỡng 3/8, nếu 2 trong số 3 người ký là bạn bè hoặc đối tác, thực tế nó chỉ an toàn như một hệ thống 2 người. Chúng ta đang trao quyền phủ quyết mà quên rằng bản thân quyền phủ quyết đó cũng cần được kiểm tra và đánh giá rủi ro.
Ngoài ra, còn có một yếu tố thời gian chết. Hội đồng hiện tại sẽ hết hạn vào ngày 24 tháng 7. Nếu cuộc bỏ phiếu không được thông qua hoặc Hội đồng mới không được thành lập kịp thời, ENS sẽ bước vào một vùng đất không có phủ quyết. Đây là một sai lầm kỹ thuật cơ bản: không bao giờ để một hệ thống bảo vệ nhàn rỗi trước khi có hệ thống thay thế đã được kiểm tra và sẵn sàng hoạt động. Nó giống như việc rút pin khỏi máy tính trong khi đang tải xuống một bản cập nhật phần mềm quan trọng.
Dựa trên kinh nghiệm phân tích các cuộc tấn công vào Nomad bridge năm 2022, tôi có thể nói rằng: khoảng trống quyền lực này sẽ bị khai thác. Kẻ tấn công không cần phải tìm lỗi trong mã Solidity. Chúng chỉ cần điều khiển cuộc bỏ phiếu của DAO. Và nếu không có lớp phòng thủ cuối cùng, trò chơi kết thúc.
Bài học cuối cùng ở đây là: không có gì an toàn sau khi nâng cấp, đặc biệt là khi nâng cấp liên quan đến quyền lực quản trị. Hãy nhìn vào dòng code. Một multi-sig được thiết lập kém, với người ký không rõ ràng và cơ chế chuyển giao rời rạc, thực sự là một lỗ hổng còn nguy hiểm hơn việc không có multi-sig nào cả. Bởi vì nó tạo ra ảo tưởng về an toàn, trong khi thực tế, cánh cửa đã được khóa lại bằng một chìa khóa bằng giấy. Liệu một Hội đồng 8 người có đủ để bảo vệ ENS, hay chúng ta chỉ đang thay thế một sai lầm bằng một sai lầm khác? Câu hỏi này, tôi nghĩ, chỉ có dòng thời gian của blockchain mới có thể trả lời.
