Giao thức Token of Power(TOP) bị tấn công governance, mất 1,58 triệu USD do thiếu cơ chế timelock

Theo TRM 랩스(TRM Labs) đưa tin ngày 13 (giờ địa phương), giao thức **“Token of Power”** vừa bị tấn công *governance* với thiệt hại khoảng 1,58 triệu đô la Mỹ tài sản dựa trên Ethereum(ETH). Kẻ tấn công đã lợi dụng cấu trúc quản trị không có “*từ*timelock*từ*”, thực hiện đề xuất, bỏ phiếu và triển khai trong cùng một khối, qua đó rút tiền thành công trước khi cộng đồng kịp phản ứng.

Theo phân tích của TRM 랩스, kẻ tấn công bắt đầu bằng cách rút 662 ETH từ Tornado Cash, sau đó dùng số ETH này mua đủ lượng **Token of Power (TOP)** để nắm quyền biểu quyết. Tiếp đó, hắn thông qua một đề xuất cho phép *mint* 10 tỷ TOP mới, rồi mang lượng TOP vừa phát hành bơm vào pool trên Balancer để hoán đổi sang WETH. Toàn bộ số WETH thu được lại tiếp tục được chuyển ngược vào Tornado Cash nhằm che giấu nguồn gốc dòng tiền. *bình luận*: Tornado Cash trong trường hợp này chỉ là công cụ trộn và ẩn danh, không phải mục tiêu bị tấn công.

Vụ việc cho thấy các DAO thiếu cơ chế “*từ*timelock*từ*” rất dễ trở thành mục tiêu của tấn công *governance*. *Timelock* là lớp trì hoãn giữa lúc đề xuất được thông qua và lúc được triển khai trên chuỗi, tạo khoảng thời gian để người dùng, nhà phát triển và đội ngũ bảo mật kiểm tra, phát hiện bất thường và kích hoạt biện pháp khẩn cấp (như tạm dừng hợp đồng, vô hiệu hóa đề xuất). Khi không có cơ chế trì hoãn, như trường hợp Token of Power, một đề xuất ác ý có thể ngay lập tức chuyển hóa thành dòng tiền bị rút khỏi giao thức chỉ trong một khối.

Trong lĩnh vực tài chính phi tập trung (DeFi), rủi ro bảo mật không chỉ đến từ lỗi *smart contract* mà còn đến từ các điều kiện *governance*, cơ chế kiểm soát ngân quỹ, ngưỡng biểu quyết và cách thiết kế quyền lực biểu quyết gắn với token. Thị trường thường chú ý nhiều đến biến động giá của Bitcoin(BTC), Ethereum(ETH) hay các token DeFi lớn, nhưng trên thực tế, không ít sự cố phát sinh từ cấu trúc giao thức và cách tổ chức vận hành. *bình luận*: Những lỗi “thiết kế” như thiếu *timelock*, ngưỡng thông qua quá thấp hoặc quyền lực tập trung vào một số ví lớn thường chỉ bộc lộ khi xảy ra tấn công.

Bài học lớn mà thị trường có thể rút ra là rủi ro “*từ*thiết kế giao thức*từ*” chính là một phần cốt lõi của *DeFi security*. Việc kiểm tra an toàn không thể dừng lại ở *code audit*, mà cần đánh giá toàn diện mô hình *governance*, kịch bản tấn công kinh tế và quy trình phản ứng khẩn cấp. Theo TRM 랩스, dữ liệu *on-chain* kết hợp với phân tích bảo mật ngày càng trở thành căn cứ quan trọng để giới đầu tư và nhà phát triển đánh giá một giao thức. Trong thời gian tới, dòng dịch chuyển tiếp theo của lượng tài sản bị đánh cắp và cách đội ngũ Token of Power xử lý hậu quả, vá lỗi thiết kế sẽ là những diễn biến được cộng đồng DeFi đặc biệt theo dõi.