Futarchy vừa chặn đứng một vụ rút 1,5 triệu USD. Nhưng tôi không ăn mừng.

Có một câu tôi vẫn nói khi audit hợp đồng: Một bug có thể đánh sập cả tòa tháp. Không cần phải là bug phức tạp. Chỉ cần một lỗi overflow trong hàm tính phí, một quyền admin không khóa, một oracle xác thực sai. Cả tòa tháp tưởng chừng vững chắc sẽ sụp chỉ vì vài dòng code. Umbra Privacy vừa tránh được vụ sụp đó. Kho quỹ của dự án bị một vụ tấn công governance nhắm đến. Kẻ tấn công muốn rút 1,5 triệu USD. Nhưng giao thức đã chặn được. Theo Crypto Briefing, thứ đứng ra chặn đòn không phải một đàn anh validator, không phải một nhóm đa chữ ký hùng hậu. Đó là MetaDAO, với mô hình futarchy. Báo chí viết: "futarchy proves its worth". Nghe như một lời tuyên bố chiến thắng. Tôi không ăn mừng. Tôi mổ xẻ. Rug pull? Tôi đã thấy từ xa. Nhưng thứ tôi thấy ở đây còn thú vị hơn: một vụ cướp thất bại không phải vì khóa thông minh, mà vì thị trường đứng dậy chống lại kẻ cướp. Mở đầu bằng kỹ thuật, không bằng marketing. Trong một thị trường tăng, ai cũng nhìn vào TVL, roadmap, thông điệp của đội ngũ. Tôi nhìn vào hợp đồng. Tôi nhìn vào quyền admin. Tôi nhìn vào thanh khoản. Và tôi nhìn vào nơi quyền lực thực sự nằm. Vụ Umbra Privacy là một ví dụ tuyệt vời để thực hành điều đó. Bối cảnh: Umbra Privacy là một giao thức tập trung vào quyền riêng tư. Giống như nhiều DAO, nó có một treasury. Kẻ tấn công đã sử dụng governance attack: họ dùng một đề xuất bỏ phiếu để chuyển tài sản khỏi kho. Trong một DAO bình thường, thứ duy nhất đứng giữa kẻ tấn công và 1,5 triệu USD là số phiếu bầu. Nếu đủ phiếu, proposal được thông qua. Nếu đủ nhiều phiếu, hợp đồng thực thi. Đơn giản đến đáng sợ. Nhưng Umbra Privacy không dùng mô hình bình thường. Họ dùng futarchy từ MetaDAO. Futarchy, nói ngắn gọn, là mô hình quản trị dựa trên thị trường dự đoán. Thay vì hỏi "cộng đồng có muốn proposal này không?", futarchy hỏi "thị trường tin proposal này sẽ giúp giá token tăng hay giảm?". Mỗi proposal tạo ra hai thị trường. Thị trường đầu tiên định giá token nếu proposal được thông qua. Thị trường thứ hai định giá token nếu proposal bị từ chối. Nếu giá của thị trường "đồng ý" cao hơn thị trường "từ chối", proposal được thông qua. Nếu không, proposal bị bỏ. Điều này nghe lạ. Nhưng nó không phải là thứ xa lạ với thị trường tài chính. "Để thị trường quyết định" chính là triết lý đã chạy hàng thế kỷ qua trên phố Wall. Chỉ có điều, trên blockchain, nó được nhét vào một hợp đồng thông minh. Và vừa rồi, nó chặn một vụ trộm. Phân tích kỹ thuật: Tôi muốn đi vào cơ chế. Giả sử kẻ tấn công muốn rút 1,5 triệu USD. Đầu tiên, hắn cần tạo một proposal. Proposal đó có thể mô tả bằng một câu chuyện bi thảm, hoặc một lý do kỹ thuật nào đó để không bị nghi ngờ. Hắn cần đủ voting power. Có thể hắn mua token, vay token, hoặc thuyết phục những người có token bỏ phiếu cùng. Ở một DAO kiểu cũ, chuyện đến đây là tàn. Trong futarchy, proposal phải đi tiếp vào hai thị trường dự đoán. Những người tham gia thị trường sẽ đặt cược vào giá token sau khi proposal được thông qua. Họ không làm điều đó vì lòng tốt. Họ làm điều đó vì tiền. Nếu họ tin proposal đó sẽ làm giảm giá trị token, họ bán token trên thị trường "đồng ý". Giá thị trường đó tụt xuống dưới thị trường "từ chối". Proposal fail. Hợp đồng thông minh không thực thi. Đó chính là điều tôi gọi là "kinh tế học bảo mật". Năm 2022, tôi đóng góp code cho phần fraud proof của Optimism. Tôi học được rằng bảo mật không chỉ nằm ở việc chứng minh ai đúng. Nó nằm ở việc làm cho hành vi nói dối trở nên quá đắt. Futarchy hoạt động theo cùng logic. Kẻ tấn công thất bại không phải vì không đủ phiếu. Hắn thất bại vì thị trường nhìn thấy proposal và từ chối. Đám đông được trả tiền để nói "không". Đó là tường thành. Nhưng tôi không dừng ở đây. Tôi muốn kiểm tra tường thành có thật không. Vấn đề nằm ở giả định "thị trường đúng". Futarchy đặt cược toàn bộ an ninh lên độ sâu thanh khoản và hành vi hợp lý của người tham gia. Nếu thanh khoản đủ dày, một proposal xấu sẽ bị bán mạnh. Nhưng nếu thanh khoản mỏng, kẻ tấn công có thể đứng về phía "đồng ý" và đẩy giá lên bằng chính vốn của hắn. Hắn không cần thuyết phục ai. Hắn chỉ cần khống chế giá trong cửa sổ thanh toán. Đây là nơi tôi thấy một bug tiềm ẩn to hơn bất kỳ lỗi overflow nào: futarchy biến thị trường thành oracle. Và oracle thì có thể bị lừa. Tôi từng audit một hợp đồng oracle AI. Hợp đồng kiểm tra chữ ký nhưng không kiểm tra danh sách nguồn dữ liệu được phép. Kẻ tấn công có thể gửi dữ liệu giả mạo có chữ ký hợp lệ, và hợp đồng sẽ "tin". Nó không phải lỗi mã hóa. Nó là lỗi tin tưởng. Futarchy cũng vậy. Nó tin "thị trường". Nếu thị trường bị khống chế, kết quả cũng sai như một contract không kiểm tra input. Năm 2017, tôi tìm thấy lỗi overflow trong hợp đồng ICO Bancor. Hàm tính phí có thể bị overflow để mint token không giới hạn. Đội ngũ đã sửa lỗi và trả thưởng 15 ETH. Từ ngày đó, tôi không bao giờ tin whitepaper trước khi đọc code. Một bug có thể đánh sập cả tòa tháp. Nhưng có một loại bug mà tôi không thể nhìn thấy trong code: bug trong thiết kế niềm tin. Với futarchy, thiết kế niềm tin là thị trường. Mà thị trường thì không công bằng. Một người bỏ ra 10 triệu USD có nhiều tiếng nói hơn một triệu người bỏ ra 10 USD. Đây không phải một token một phiếu. Đây là một đô la một phiếu. Nó không dân chủ hơn. Nó trung thực hơn theo cách tàn nhẫn: thị trường chỉ phản ánh ai sẵn sàng trả giá cao nhất. Điều đó có nghĩa là futarchy không chống được kẻ tấn công giàu. Nó chỉ chống được kẻ tấn công keo kiệt. Nếu số tiền hắn có thể lấy ra từ treasury lớn hơn số tiền hắn phải bỏ ra để khống chế thị trường, proposal vẫn có thể thắng. Một trăm năm mươi triệu USD có thể khác. Một phẩy năm triệu USD thì nhỏ. Tôi không biết chi tiết thanh khoản của thị trường dự đoán trong vụ Umbra Privacy. Nhưng tôi biết một thứ: nếu thanh khoản sâu 2 triệu USD, kẻ tấn công cần chưa tới 1 triệu USD để làm lệch giá trong thời gian ngắn. Vậy mà hắn vẫn thua. Điều đó cho thấy thị trường có thể đã phản ứng dữ dội. Hoặc hắn đã làm quá kém. Tôi thích giả thuyết thứ hai. Nhưng tôi không đánh cược vào nó. Một điểm mù nữa: con người. Futarchy đòi hỏi người tham gia hiểu thị trường. Không phải ai cũng hiểu. DAO thì ai cũng có thể tham gia. Khi người nắm token không hiểu cơ chế, họ có thể bỏ phiếu theo cảm xúc, và những người hiểu thị trường sẽ săn lùng họ. Đây không phải giả thuyết. Đây là cách finance vận hành: những người ít hiểu biết trả tiền cho những người hiểu biết. Vậy nên futarchy có thể tạo ra một lớp "chuyên gia quản trị" rất nhỏ, thao túng proposal theo hướng có lợi cho họ. Nó không loại bỏ đầu cơ. Nó thể chế hóa đầu cơ. Tôi sẽ nói rõ hơn. Ở một DAO thường, quyền lực nằm ở nhà tạo lập proposal: người viết lời, người thuyết phục, người có nhiều token. Ở futarchy, quyền lực nằm ở nhà tạo lập thị trường: người có vốn, có bot, có thông tin nhanh hơn. Bạn không bỏ phiếu bằng niềm tin. Bạn bỏ phiếu bằng tiền. Và với những ai từng nhìn thấy một sàn giao dịch bị kéo giá, điều đó đáng sợ. Năm 2020, tôi mất 10 ETH trong vụ YAM Finance. Tôi tự viết bot flash loan arbitrage, nhưng tôi không kiểm tra kỹ tokenomics và quyền admin. Dự án bị tấn công rebase. Tôi mất một nửa số ETH tôi kiếm được từ audit. Bài học không phải "bot không đáng tin". Bài học là "hiểu quyền lực đang nằm ở đâu". Kẻ tấn công không phá thuật toán arbitrage của tôi. Hắn phá hợp đồng. Trong futarchy, hợp đồng bảo vệ bạn chính là một thị trường. Hãy chắc chắn bạn hiểu ai đang nắm quyền trên thị trường đó. Một điểm kỹ thuật quan trọng nữa: thời điểm thanh toán. Futarchy không phải là một cuộc bỏ phiếu tức thời. Proposal có thể kéo dài nhiều ngày. Trong khoảng thời gian đó, giá token bị ảnh hưởng bởi mọi thứ: tin tức, sàn giao dịch, cá voi, bot. Nếu kẻ tấn công có thể giữ giá thị trường "đồng ý" cao hơn chỉ vài phút quanh thời điểm snapshot, hắn có thể thắng. Cơ chế chống lại điều này là dùng giá trung bình theo thời gian hoặc yêu cầu thanh khoản tối thiểu. Nhưng mỗi biện pháp lại làm chậm quyết định. Và một DAO chậm trễ cũng là một DAO yếu. Tựu trung, futarchy là một cuộc đánh đổi. Nó đánh đổi sự đơn giản của một phiếu một người để lấy độ chính xác của thị trường. Nhưng thị trường không chính xác một cách tự động. Thị trường chính xác khi nó sâu. Thị trường chính xác khi nó có người tham gia lý trí. Thị trường chính xác khi kẻ tấn công không đủ giàu để mua sự thật. Những điều kiện này không đến từ code. Chúng đến từ hành vi con người. Và hành vi con người thì không thể audit bằng smart contract. Tôi từng thiết kế contract token hóa trái phiếu cho một quỹ ở Los Angeles. Chúng tôi chọn Optimism để giảm gas. Gas giảm thật. Nhưng tôi không bao giờ quên rằng rollup vẫn có một sequencer tập trung. Tôi chấp nhận trade-off đó. Nhưng tôi không bao giờ gọi nó là hoàn toàn phi tập trung. Với futarchy, tôi cũng nói vậy: hãy gọi nó là quản trị dựa trên thị trường, đừng gọi nó là quản trị hoàn hảo. Góc nhìn ngược: Bây giờ, tôi nói điều trái ngược. Futarchy vừa có một chiến thắng. Nhưng N=1 không phải bằng chứng. Survivorship bias đang chơi trò chơi với chúng ta. Chúng ta chỉ nhìn thấy vụ Umbra Privacy chặn đứng thành công. Chúng ta không thấy những vụ futarchy thất bại, hoặc những vụ kẻ tấn công còn không thèm tấn công vì biết thị trường quá mỏng để có lợi. Một hệ thống được gọi là an toàn không phải vì nó chặn được một vụ tấn công. Mà vì nó tồn tại qua nhiều vụ tấn công, với nhiều kịch bản khác nhau. Optimism fraud proof cần nhiều tháng và nhiều game theory để chín. Futarchy mới bắt đầu. Điều khiến tôi không yên là các cơ quan quản lý. Futarchy tạo ra một thị trường phái sinh từ mỗi proposal. Mỗi lần bỏ phiếu là một lần giao dịch dựa trên giá token trong tương lai. Đó là một dạng hợp đồng kỳ hạn. Nếu người dùng Mỹ tham gia, CFTC có thể gọi đó là sản phẩm phái sinh chưa đăng ký. Polymarket từng bị phạt vì điều này. Nếu người dùng châu Âu tham gia, MiCA sẽ hỏi: ai phát hành token? Ai dự trữ tài sản? Ai chịu trách nhiệm pháp lý? Một DAO ẩn danh không trả lời được. MiCA sẽ giết chết các dự án nhỏ trước khi chúng kịp mở thị trường. Một lần nữa, quy định "bảo vệ nhà đầu tư" lại tạo ra sân chơi chỉ dành cho kẻ giàu và luật sư. Ngoài ra, tôi không quên rằng futarchy không loại bỏ admin key. Nó chỉ chuyển hướng ánh mắt của cộng đồng. Trong khi mọi người nhìn vào thị trường dự đoán, một contract upgrade vẫn có thể thêm một địa chỉ rút tiền. Tôi đã quá quen với điều này: team nói "phi tập trung", nhưng quyền thay đổi code vẫn nằm trong 3 ví. Futarchy có thể là một lớp bảo vệ rất đẹp, nhưng nó không thể bảo vệ bạn khỏi chính người viết ra nó, trừ khi bạn đọc code của cả lớp admin. Cũng có một câu hỏi đạo đức chưa ai trả lời: ai là người giữ mạng cho thị trường? Trong futarchy, sự an toàn của một DAO phụ thuộc vào những market maker, arbitrageur, và người nội bộ. Họ có thể là anh hùng hôm nay. Nhưng nếu họ biến mất, hoặc nếu họ quay sang tấn công, DAO sẽ đứng một mình. Tôi không thấy báo cáo nào nói về đội ngũ market making của MetaDAO. Tôi không thấy báo cáo audit nào cho thị trường dự đoán. Tôi chỉ thấy một câu chuyện thành công. Thành công thì đáng đọc. Nhưng chưa đủ để tin. Kết luận: Vậy Umbra Privacy đã thắng. MetaDAO có một chiến tích. Nhưng tôi không đổi cách nhìn: tôi vẫn đọc code trước, mơ giàu sau. Một bug có thể đánh sập cả tòa tháp. Với futarchy, bug không nằm ở hàm số. Bug nằm ở giả định rằng thị trường luôn đúng. Thị trường đúng khi nó sâu. Thị trường đúng khi nó có người tham gia lý trí. Thị trường đúng khi kẻ tấn công không đủ giàu để mua sự thật. Nhưng bạn sẽ không biết những điều đó cho đến khi bạn kiểm tra thanh khoản, theo dõi bot, và đọc code. Câu hỏi tôi đặt ra không phải "futarchy có tốt hơn vote không?". Câu hỏi là: trong một thị trường tăng, khi ai cũng đang FOMO, ai sẽ dành thời gian để hiểu proposal đang định giá điều gì? Nếu không ai làm điều đó, tòa tháp kính sẽ đứng rất đẹp. Cho đến ngày một vụ rút tiền đủ lớn xuất hiện. Đọc code trước. Ngủ không yên sau.