Một lỗ hổng trong cơ chế quản trị của Token of Power (TOP) đã bị khai thác, khiến khoảng 944,2 WETH, tương đương khoảng 1,58 triệu USD, bị rút khỏi một pool Balancer V1 trên Ethereum.
Vụ việc cho thấy rủi ro không chỉ nằm ở mã hợp đồng thông minh mà còn ở cấu hình quản trị, đặc biệt với token có nguồn cung nhỏ và quyền biểu quyết tập trung.
- Kẻ tấn công đã nắm hơn 50% quyền biểu quyết của TOP để thông qua đề xuất một cách đơn phương.
- Đề xuất được tạo, bỏ phiếu và thực thi trong cùng một giao dịch vì không có timelock.
- Balancer không bị lỗi; pool chỉ là nơi số TOP bị pha loãng được đổi sang WETH.
Cách vụ khai thác diễn ra
Kẻ tấn công đã gom 8.192,000001 TOP, vượt ngưỡng 50% cần để tự thông qua đề xuất quản trị. Sau đó, người này tạo đề xuất, bỏ phiếu và thực thi ngay trong một giao dịch duy nhất.
TOP là MiniMeToken vận hành qua hạ tầng bỏ phiếu của Aragon. Việc không có timelock trong ứng dụng bỏ phiếu khiến không có khoảng đệm để các bên khác can thiệp trước khi đề xuất được thực thi.
Phân tích của Blockaid cho biết tổng cung TOP chỉ là 16.384 token, nên việc nắm quyền kiểm soát trở nên khả thi với số lượng không quá lớn.
Khoản tiền bị rút đi từ đâu?
Khoản rút 944,2 WETH đến từ TOP/WETH Balancer V1 BPool trên Ethereum. Balancer không phải mục tiêu bị lỗi; đây chỉ là nơi kẻ tấn công chuyển số TOP vừa được mint thành WETH.
BlockSec Phalcon xác nhận đề xuất đã mint một lượng lớn TOP mới vào địa chỉ của kẻ tấn công, rồi số token này được dùng để rút thanh khoản khỏi pool.
Địa chỉ ví của kẻ tấn công là 0xff8eF7bC455a57e5893232203052Ce0232b39Fa2 và đã được nạp qua Tornado Cash. Blockaid cho biết toàn bộ quy trình khai thác được thực hiện trong một giao dịch thông qua một hợp đồng riêng.
Vì sao đây là một vụ tấn công quản trị điển hình
Đây không phải lỗi smart contract theo nghĩa truyền thống mà là một sai cấu hình quản trị. Với nguồn cung nhỏ và vốn hóa thấp, việc mua đủ quyền biểu quyết để chi phối DAO có thể trở nên rẻ hơn nhiều so với mức độ thiệt hại có thể gây ra.
Khi cơ chế bỏ phiếu cho phép tạo đề xuất, bỏ phiếu và thực thi trong cùng khối, rào cản giữa việc giành quyền kiểm soát và rút tài sản gần như bị xóa bỏ. Không có timelock hoặc độ trễ quorum cũng đồng nghĩa những người nắm token khác không có thời gian phản ứng.
Tài liệu an ninh DAO của Aragon nhấn mạnh rằng các chức năng trên chuỗi mặc định có thể truy cập rộng rãi và cần được giới hạn quyền khi liên quan đến mint token hoặc di chuyển tài sản.
Tình hình hiện tại và điểm cần theo dõi
Hiện chưa có tuyên bố chính thức từ đội Token of Power hoặc Aragon về vụ việc này. Số WETH bị rút vẫn có thể theo dõi trên chuỗi, nhưng việc ví tấn công được cấp vốn qua Tornado Cash khiến khả năng thu hồi phức tạp hơn.
Trường hợp TOP là lời nhắc rằng timelock, ngưỡng quorum và độ trễ thực thi là các lớp bảo vệ quan trọng với DAO có token nguồn cung thấp nhưng kiểm soát treasury lớn.
Tổng kết
Vụ khai thác TOP cho thấy rủi ro quản trị có thể nghiêm trọng không kém lỗi kỹ thuật, nhất là khi quyền biểu quyết tập trung và thiếu độ trễ thực thi.
