BonkDAO bị "rút ruột" 20 triệu USD: Khi kẻ tấn công dùng chính lá phiếu quản trị để cướp ngân quỹ
Ngày 6/7/2026, kho bạc (treasury) của BonkDAO — tổ chức tự trị phi tập trung đứng sau đồng meme coin đình đám BONK trên hệ sinh thái Solana — đã bị hút mất khoảng 20 triệu USD giá trị token. Điều đáng chú ý là kẻ tấn công không khai thác một lỗ hổng kỹ thuật nào trong hợp đồng thông minh. Chúng chỉ đơn giản… bỏ phiếu. Vụ việc phơi bày một điểm yếu cốt lõi của mô hình "quản trị bằng token" mà hàng loạt dự án DeFi đang áp dụng: khi quyền biểu quyết có thể mua được bằng tiền, thì cả kho bạc cũng có thể bị mua đứt.
Chuyện gì đã xảy ra?
Theo dữ liệu on-chain và xác nhận từ chính BonkDAO, một đề xuất quản trị mang mã BIP #76 - "Sowellian BonkDAO" đã được thông qua và tự động chuyển 4,43 nghìn tỷ BONK — tương đương khoảng 20 triệu USD theo giá thời điểm đó — từ ví kho bạc của DAO sang ví của kẻ tấn công. Toàn bộ quy trình diễn ra hợp lệ về mặt kỹ thuật: đề xuất được đưa ra, đạt ngưỡng số phiếu tối thiểu (quorum), được thông qua, và cơ chế thực thi tự động (on-chain execution) làm phần còn lại.
Điểm gây sốc nằm ở tỷ lệ tham gia bỏ phiếu. Đề xuất được thông qua với chỉ 7 ví bỏ phiếu thuận, trong khi hơn 18.000 thành viên còn lại không hề tham gia — tỷ lệ tham gia vỏn vẹn khoảng 2,9%. Kết quả biểu quyết đạt tới 99,9% phiếu "đồng ý", và vượt ngưỡng quorum một cách sát sao: 882,38 tỷ BONK ủng hộ so với ngưỡng tối thiểu 879,95 tỷ BONK. Nói cách khác, chỉ cần thiếu đi một lượng nhỏ phiếu, âm mưu này đã thất bại.
Kẻ tấn công đã làm điều đó như thế nào?
Đây không phải một vụ hack theo nghĩa thông thường. Không có lỗi tràn số, không có lỗ hổng reentrancy, không có private key nào bị lộ. Thay vào đó, kẻ tấn công khai thác chính luật chơi của DAO.
Theo tái dựng từ các nhà phân tích on-chain, kẻ tấn công đã bỏ ra khoảng 4,4 triệu USD để âm thầm gom hơn 1% tổng cung BONK trong nhiều ngày, sử dụng các ví nạp/rút từ sàn giao dịch để tránh bị chú ý. Trong một cuộc bỏ phiếu có tỷ lệ tham gia cực thấp, chỉ hơn 1% nguồn cung đó đã đủ để trở thành lá phiếu quyết định — biến một cá nhân thành "đa số tạm thời" có thể định đoạt cả kho bạc.
Sau khi tích đủ quyền biểu quyết, kẻ tấn công đưa ra đề xuất với nội dung duy nhất: chuyển toàn bộ khoản BONK trong kho bạc sang ví của chính mình. Vì phần lớn cộng đồng thờ ơ hoặc không kịp phản ứng, đề xuất trôi qua vòng biểu quyết và được thực thi trước khi ai kịp ngăn chặn. Đây là một phép tính lợi nhuận lạnh lùng: chi 4,4 triệu USD để chiếm đoạt 20 triệu USD.
Vì sao "quản trị bằng token" lại mong manh đến vậy?
Mô hình DAO dựa trên biểu quyết theo trọng số token (token-weighted voting) có một giả định ngầm: những người nắm giữ token sẽ hành động vì lợi ích chung, và số đông sẽ tham gia đủ để cân bằng quyền lực. Vụ BonkDAO cho thấy giả định đó sụp đổ ra sao trong thực tế.
Thứ nhất, quyền biểu quyết là một loại hàng hóa có thể mua được. Khi thị trường đủ thanh khoản, bất kỳ ai có tiền đều có thể mua đủ token để đạt ngưỡng quyết định — nhất là với các đề xuất chỉ cần quorum thấp.
Thứ hai, sự thờ ơ của cử tri (voter apathy) là tử huyệt. Với hơn 18.000 thành viên nhưng chỉ 7 ví bỏ phiếu, BonkDAO cho thấy phần lớn cộng đồng không theo dõi hoạt động quản trị. Ngưỡng quorum thấp vốn được đặt ra để giúp DAO không bị tê liệt lại vô tình mở toang cánh cửa cho kẻ tấn công.
Thứ ba, cơ chế thực thi tự động không có "van an toàn". Khi một đề xuất được thông qua và tự động chuyển tiền ngay lập tức, cộng đồng không có khoảng thời gian trì hoãn (timelock) để phát hiện và phủ quyết một đề xuất độc hại. Nhiều DAO lớn đã áp dụng timelock nhiều ngày cho các giao dịch từ kho bạc chính vì lý do này.
Tác động thị trường
Ngay sau khi thông tin lan rộng, giá BONK giảm khoảng 8–9%, phản ánh cú sốc niềm tin hơn là thiệt hại trực tiếp lên từng nhà đầu tư nhỏ lẻ. Với một đồng meme coin vốn dựa nhiều vào tâm lý cộng đồng, đòn giáng vào uy tín quản trị có thể còn dai dẳng hơn con số 20 triệu USD.
BonkDAO cho biết đã nhận diện được các ví sàn mà kẻ tấn công sử dụng để gom token trước cuộc bỏ phiếu, và đang phối hợp với các sàn giao dịch, các cầu nối (bridge) cùng Solana Foundation để xử lý hậu quả và truy vết dòng tiền. Tuy nhiên, khả năng thu hồi tài sản trong các vụ việc kiểu này thường rất hạn chế một khi token đã bị phân tán qua nhiều ví và cầu nối chuỗi chéo.
Trộm cắp hay chỉ là khai thác kẽ hở luật lệ?
Vụ BonkDAO làm sống lại một tranh luận triết học vốn đã ám ảnh giới DeFi từ lâu: nếu một hành động tuân thủ đúng mọi quy tắc được lập trình sẵn ("code is law"), thì đó là trộm cắp hay chỉ là tận dụng một luật chơi thiết kế kém? Kẻ tấn công không xâm nhập trái phép vào bất cứ đâu — chúng làm đúng những gì hệ thống cho phép: mua token, bỏ phiếu, thực thi kết quả.
Về mặt đạo đức và pháp lý, đa số cộng đồng xem đây là hành vi chiếm đoạt tài sản. Nhưng về mặt kỹ thuật, nó cho thấy ranh giới mờ giữa "khai thác lỗ hổng" và "chơi đúng luật". Chính sự mơ hồ này khiến việc khởi kiện hoặc truy cứu trách nhiệm trong không gian phi tập trung trở nên vô cùng phức tạp.
Bài học cho nhà đầu tư và các dự án DeFi
Đối với các dự án, vụ việc là lời cảnh tỉnh về thiết kế quản trị: cần có timelock cho giao dịch kho bạc, ngưỡng quorum và ngưỡng thông qua đủ cao, cơ chế phát hiện gom phiếu bất thường, và có thể là các mô hình biểu quyết chống lại việc "mua quyền lực" như quadratic voting hay yêu cầu khóa token dài hạn.
Đối với nhà đầu tư, thông điệp rõ ràng hơn: giá trị của một token quản trị không chỉ nằm ở tiện ích, mà còn ở mức độ an toàn của chính cơ chế quản trị đó. Một kho bạc lớn không được bảo vệ bằng thiết kế quản trị vững chắc chẳng khác nào một két sắt mà chìa khóa được bán công khai trên thị trường.
Kết luận
Vụ BonkDAO mất 20 triệu USD không phải là một vụ hack kỹ thuật, mà là một thất bại về thiết kế quản trị — và điều đó khiến nó đáng lo ngại hơn. Nó chứng minh rằng trong thế giới DeFi, mã nguồn an toàn thôi là chưa đủ; chính luật chơi của cộng đồng cũng cần được kiểm định và gia cố như một bề mặt tấn công thực thụ. Khi ngày càng nhiều giá trị được đưa vào tay các DAO, câu hỏi "ai thực sự kiểm soát kho bạc?" sẽ còn được đặt ra nhiều lần nữa.
⚠️ Tuyên bố miễn trừ trách nhiệm: Bài viết chỉ mang tính chất thông tin và phân tích tham khảo, không phải là lời khuyên đầu tư. Thị trường tài sản số tiềm ẩn rủi ro cao; nhà đầu tư cần tự nghiên cứu và cân nhắc kỹ trước khi ra quyết định.