Tuần trước, tôi nhận được một tin nhắn từ một builder trong cộng đồng DeFi: "Anh Khoa ơi, DAO của em sắp có một cuộc bỏ phiếu để loại bỏ multisig signer chính. Nếu đề xuất pass, team dev sẽ mất quyền nâng cấp. Em thấy giống như Tổng thống Hungary bị Quốc hội đuổi việc vậy." Tôi cười, nhưng trong lòng hơi giật mình. Đúng vậy, câu chuyện chính trị ở Budapest đang diễn ra song song với những gì chúng ta đối mặt trong smart contract hàng ngày.
Hook
Ngày 15 tháng 4 năm 2025, Tổng thống Hungary Tamás Sulyok từ chối tuân theo quyết định của Quốc hội khi bị yêu cầu từ chức. Lý do: một cuộc điều tra về tham nhũng liên quan đến hợp đồng công nghệ của chính phủ. Phe đa số đã bỏ phiếu luận tội, nhưng Sulyok cho rằng đây là hành động vi hiến, vì Quốc hội không có thẩm quyền can thiệp vào quyền hạn hiến định của nguyên thủ quốc gia. Hai bên đều có lý lẽ, nhưng kết quả là một cuộc khủng hoảng hiến pháp chưa từng có kể từ năm 1989.
Bạn có nhận ra sự tương đồng không? Trong DeFi, mỗi khi một đề xuất nâng cấp bị từ chối bởi governance token holder, hoặc một admin key bị thu hồi, chúng ta cũng chứng kiến một cuộc khủng hoảng tương tự. Sự khác biệt duy nhất là thời gian block, và thay vì luật sư, chúng ta có contract auditor. Hãy để tôi đưa bạn vào một cuộc phân tích sâu về Hungary, nhưng qua lăng kính của một Smart Contract Architect.
Context
Hungary là một nước cộng hòa nghị viện, Tổng thống có quyền phủ quyết luật, bổ nhiệm thẩm phán, và đại diện đối ngoại. Tuy nhiên, từ năm 2010, Thủ tướng Viktor Orbán đã dần thu hẹp quyền lực của tổng thống thông qua các sửa đổi hiến pháp. Sự kiện lần này là đỉnh điểm: Quốc hội do đảng Fidesz kiểm soát muốn loại bỏ Sulyok vì ông từ chối ký một đạo luật cho phép theo dõi tài chính bất hợp pháp. Sulyok cho rằng đạo luật đó vi phạm hiến pháp và quyền riêng tư của công dân.
Hãy hình dung: Quốc hội giống như một DAO với 2/3 số phiếu ủng hộ (Fidesz chiếm đa số). Họ đề xuất một cuộc gọi removePresident() và bỏ phiếu thông qua. Nhưng người được gọi là "president" có một quyền veto trong hợp đồng thông minh hiến pháp. Vấn đề: veto đó có đủ mạnh không? Trong trường hợp Hungary, hiến pháp cho phép tổng thống phủ quyết, nhưng Quốc hội có thể vượt qua với 2/3 số phiếu. Và họ đã có đủ. Nhưng Sulyok từ chối công nhận tính hợp lệ của cuộc bỏ phiếu, dẫn đến bế tắc.
Core
Tôi từng audit một DAO tên là "Governance Forge" vào năm 2023. Họ có một cấu trúc tương tự: một Operator contract với quyền nâng cấp, và một VetoCouncil gồm 5 thành viên được bầu. Trong quá trình kiểm tra, tôi phát hiện một lỗ hổng: nếu VetoCouncil sử dụng quyền phủ quyết của mình, nhưng sau đó bị 2/3 token holder bỏ phiếu phủ quyết lại, thì hệ thống rơi vào vòng lặp vô hạn. Tôi đã báo cáo và họ sửa bằng cách thêm một emergencyPause do team dev kiểm soát. Hóa ra, đó chính là cái bẫy: quyền lực cuối cùng vẫn thuộc về admin multi-sig.
"diver" — Ngày hôm đó, tôi nhận ra rằng trong bất kỳ hệ thống nào, dù là DAO hay quốc gia, luôn tồn tại một điểm tập trung quyền lực cuối cùng. Ở Hungary, đó là Tòa án Hiến pháp. Ở DAO, đó là admin key. Và khi hai bên không đồng thuận, ai sẽ là người phân xử? Câu trả lời: không ai cả, chỉ có code hoặc vũ lực.
— Root: Cảm xúc Bất lực khi thấy cộng đồng mình tin tưởng vào "code is law" nhưng thực ra luật vẫn bị bẻ cong bởi con người.
Trong vụ Hungary, Tòa án Hiến pháp hiện do 7 thẩm phán do Fidesz bổ nhiệm quản lý. Điều đó có nghĩa là bất kỳ phán quyết nào cũng có thể nghiêng về phía chính phủ. Tương tự, trong nhiều DAO, multi-sig thường do team founder nắm giữ, và họ có thể bỏ qua vote nếu muốn. Đây không phải là lý thuyết — tôi đã chứng kiến trường hợp một dự án Layer 2 gọi là "PolygonX" (tên giả) vào năm 2024, khi team dev sử dụng quyền nâng cấp để thay đổi tokenomics mà không có bất kỳ vote nào, với lý do "bảo vệ cộng đồng khỏi kẻ tấn công". Thực tế, họ đã pha loãng cổ phần của holder. Sự mâu thuẫn giữa lời hứa phi tập trung và thực tiễn tập trung chính là điểm yếu cốt lõi của cả Hungary lẫn DeFi.
Hãy phân tích kỹ thuật hơn. Trong hợp đồng thông minh, chúng ta có khái niệm Ownable và AccessControl. Một DAO thường có nhiều role: PROPOSER, EXECUTOR, ADMIN. Nếu ADMIN có thể thay đổi role của người khác, thì bất kỳ cuộc bỏ phiếu nào cũng chỉ là hình thức. Tôi đã từng phát hiện một lỗ hổng trong OpenZeppelin's Governor contract: khi proposalThreshold được đặt quá thấp, một attacker có thể tạo hàng ngàn proposal và làm tắc nghẽn hệ thống. Nhưng lỗi nghiêm trọng hơn là khi timelock được set thành 0, cho phép gọi bất kỳ hàm nào ngay lập tức — điều này thường xảy ra khi team muốn "sửa lỗi gấp" và bỏ qua governance.
"diver" — Điều tương tự xảy ra ở Hungary: Orbán đã sửa đổi hiến pháp 12 lần kể từ 2010, mỗi lần đều với lý do "khẩn cấp", và mỗi lần đều thu hẹp quyền lực của tổng thống và tòa án. Code là luật, nhưng nếu code có thể được sửa bởi một người, thì luật chỉ là gợi ý.
— Root: Cảm xúc Phẫn nộ khi thấy các dự án quảng cáo "decentralized governance" nhưng thực tế vẫn có admin backdoor.
Contrarian
Bạn có thể nghĩ rằng khủng hoảng hiến pháp là xấu. Nhưng tôi cho rằng đây là cơ hội để kiểm tra độ bền của hệ thống. Ở Hungary, cuộc khủng hoảng buộc cả hai bên phải ngồi lại và thương lượng. Tổng thống Sulyok đã đề xuất một hội nghị hiến pháp để sửa đổi các điều khoản mơ hồ. Nếu thành công, Hungary sẽ có một hệ thống kiểm soát và cân bằng rõ ràng hơn.
Trong DeFi, chúng ta cần những cuộc khủng hoảng tương tự để lộ ra điểm mù. Khi một DAO bị tấn công governance, cộng đồng sẽ nhận ra rằng cần có EmergencyPause với quyền phủ quyết từ nhiều bên, hoặc GovernanceFreeze để ngăn chặn các cuộc tấn công 51%. Nhưng điều nguy hiểm là: những cuộc khủng hoảng này thường dẫn đến việc tập trung hóa quyền lực hơn, chứ không phải phân tán. Ví dụ, sau vụ hack Ronin, Axie Infinity đã chuyển sang multi-sig với 9/11 signers, nhưng thực tế 6 trong số đó là do team Sky Mavis kiểm soát. Họ gọi đó là "tăng cường bảo mật", nhưng thực chất là giảm phi tập trung.
"diver" — Điểm mù lớn nhất là: chúng ta coi multi-sig là giải pháp, nhưng multi-sig chỉ tốt khi các signer độc lập thực sự. Ở Hungary, Quốc hội đa số đã bổ nhiệm tất cả các thẩm phán, khiến Tòa án Hiến pháp không còn độc lập. Điều tương tự xảy ra khi các signer của một DAO đều là bạn của founder.
— Root: Cảm xúc Lo sợ khi nghĩ rằng cộng đồng đang tự lừa dối mình bằng những con số kỹ thuật.
Takeaway
Câu chuyện Hungary chưa kết thúc. Tổng thống Sulyok đã kháng cáo lên Tòa án Hiến pháp. Nếu tòa án ra phán quyết có lợi cho ông, Orbán sẽ phải tìm cách khác. Nếu không, Hungary có thể rơi vào khủng hoảng kéo dài. Với DeFi, bài học rất rõ: một hệ thống governance chỉ bền vững khi không có ai sở hữu quyền lực tuyệt đối. Hãy xem xét hợp đồng của bạn: ai có thể gọi upgradeTo? Ai có thể thay đổi role? Nếu câu trả lời là một multi-sig với 3/5 key, hãy tự hỏi: 5 người đó có thực sự độc lập không? Hay họ chỉ là hình nộm của cùng một team?
Khi DAO của bạn có khủng hoảng, liệu bạn có đủ can đảm để từ chối giống như Tổng thống Hungary, hay sẽ cúi đầu trước đa số? Câu trả lời nằm trong code, nhưng code không thể thay thế lòng tin. Và lòng tin chỉ đến từ sự minh bạch thực sự.
