155/166 trường hợp triển khai DeFi được phân tích vẫn có khả năng chịu sự can thiệp của con người. Kết quả nghiên cứu được chia sẻ tại BSides Hanoi 2026 cho thấy: trong các hệ thống tài chính phi tập trung, bảo mật không chỉ nằm ở mã nguồn mà còn nằm ở cách quyền quản trị được thiết kế và kiểm soát.
Trong bối cảnh các hệ thống tài chính ngày càng được tự động hóa bằng blockchain và smart contract, khái niệm “trustless” thường được sử dụng để mô tả khả năng vận hành mà không cần đặt niềm tin vào một bên trung gian cụ thể. Tuy nhiên, nghiên cứu được trình bày tại BSides Hanoi 2026 đặt ra một câu hỏi khác: nếu hệ thống đã đi vào vận hành, ai vẫn có khả năng thay đổi nó?
Đây cũng là một trong những vấn đề đáng chú ý được TS. Nguyễn Đức Cương, Nhà sáng lập Pencils Lab, phân tích trong tham luận “The Human Never Left the Loop: Who Actually Controls a ‘Trustless’ Protocol?” tại sự kiện diễn ra ngày 05/08 tại Hà Nội.
Không chỉ hỏi “mã nguồn có an toàn không”
Theo TS. Nguyễn Đức Cương – Nhà sáng lập Pencils Lab, khi đánh giá một giao thức DeFi, việc kiểm tra smart contract và tìm kiếm lỗ hổng trong mã nguồn là cần thiết nhưng chưa đủ.
Một hệ thống có thể được kiểm toán kỹ lưỡng tại thời điểm triển khai, nhưng rủi ro vẫn tồn tại nếu một cá nhân, nhóm quản trị hoặc tổ chức nào đó vẫn có quyền nâng cấp hoặc thay đổi các thành phần quan trọng của giao thức.
Nói cách khác, vấn đề không chỉ nằm ở việc hệ thống được viết như thế nào, mà còn ở việc quyền kiểm soát hệ thống được trao cho ai.
Đây là điểm đặc biệt quan trọng với DeFi. Khi “chìa khóa quản trị” bị chiếm quyền hoặc bị sử dụng sai mục đích, kẻ tấn công không nhất thiết phải tìm ra một lỗi mới trong smart contract. Việc kiểm soát được quyền quản trị có thể mở đường cho những thay đổi trực tiếp đối với cách hệ thống vận hành.
“Ai có thể thay đổi mã của hợp đồng thông minh đó vào ngày mai?” — câu hỏi được TS. Nguyễn Đức Cương đặt ra tại BSides Hanoi 2026.
155/166 trường hợp vẫn có sự can thiệp của con người
Để kiểm chứng vấn đề này, nhóm nghiên cứu của Pencils Lab đã khảo sát hơn 1.200 giao thức DeFi có tổng giá trị tài sản khóa (TVL) lớn trên nhiều blockchain, trong đó có Ethereum, Arbitrum, Base và BNB Smart Chain.
Thay vì chỉ tập trung vào mã nguồn, nhóm nghiên cứu truy vết chuỗi quyền quản trị phía sau giao thức, từ Smart Contract, Proxy, Admin cho tới chủ sở hữu cuối cùng, nhằm xác định chủ thể nào vẫn có khả năng can thiệp vào hệ thống sau khi triển khai.
Kết quả phân tích chuyên sâu trên 166 đợt triển khai cho thấy 155 trường hợp vẫn chịu sự kiểm soát của con người hoặc tổ chức. Chỉ 7 trường hợp đạt trạng thái bất biến (Immutable), tức không còn cá nhân hay tổ chức nào có khả năng thay đổi mã nguồn sau khi hệ thống đi vào hoạt động.
Đáng chú ý, nghiên cứu còn xác định 4 giao thức quản lý khối tài sản trị giá hàng tỷ USD nhưng quyền quản trị tập trung vào một tài khoản cá nhân duy nhất.
Những con số này cho thấy khoảng cách giữa cách một hệ thống được mô tả và cách nó thực sự được vận hành có thể rất đáng kể. Một giao thức được xây dựng trên blockchain và sử dụng smart contract chưa đồng nghĩa với việc mọi quyền kiểm soát đã được phân tán hoàn toàn.
“Trustless” không có nghĩa là loại bỏ hoàn toàn yếu tố con người
Trong thực tế, nhiều giao thức sử dụng các cơ chế như multisig, timelock hoặc governance để giảm quyền lực của một cá nhân và hạn chế khả năng thay đổi hệ thống một cách đột ngột.
Các cơ chế này có thể tạo thêm nhiều lớp kiểm soát, nhưng đồng thời cũng cần được đánh giá về cách chúng được cấu hình, ai là người nắm quyền và trong điều kiện nào quyền quản trị có thể được kích hoạt.
Bởi vậy, một cuộc đánh giá bảo mật toàn diện không nên chỉ dừng lại ở câu hỏi “có lỗ hổng trong code hay không”. Cần tiếp tục xác định ai có quyền nâng cấp, ai có quyền thay đổi cấu hình, quyền đó được phân bổ ra sao và điều gì xảy ra nếu một trong những chủ thể này bị xâm phạm.
Đây cũng chính là góc tiếp cận quan trọng đối với bảo mật hiện đại: thay vì chỉ tìm kiếm một điểm yếu kỹ thuật, cần nhìn toàn bộ chuỗi quyền hạn và các mối quan hệ tin cậy phía sau hệ thống.
Từ nghiên cứu DeFi đến bài toán bảo mật rộng hơn
Nghiên cứu được chia sẻ tại BSides Hanoi 2026 không chỉ đặt ra vấn đề đối với các giao thức DeFi. Nó còn phản ánh một xu hướng rộng hơn trong an ninh mạng: khi hệ thống ngày càng tự động hóa, quyền kiểm soát và cơ chế ra quyết định phía sau hệ thống càng cần được minh bạch và kiểm soát chặt chẽ.
Đặc biệt trong các hệ thống tài chính và hạ tầng số có giá trị lớn, một điểm yếu không nhất thiết xuất hiện dưới dạng một dòng code dễ nhận biết. Nó có thể nằm trong cấu trúc phân quyền, tài khoản đặc quyền, cơ chế nâng cấp hoặc một mắt xích mà tổ chức mặc định là đáng tin cậy.
Với chủ đề “No Human”, BSides Hanoi 2026 vì thế không chỉ đặt câu hỏi về việc AI và tự động hóa có thể thay thế con người đến đâu, mà còn mở rộng vấn đề sang một câu hỏi nền tảng hơn: khi con người vẫn nằm phía sau hệ thống, chúng ta đang kiểm soát quyền lực đó như thế nào?
Là doanh nghiệp hoạt động chuyên sâu trong lĩnh vực an toàn thông tin, VSEC coi việc nghiên cứu các phương thức tấn công, truy vết các điểm kiểm soát và đánh giá rủi ro từ góc nhìn toàn hệ thống là một phần quan trọng trong năng lực bảo mật. Những nghiên cứu và trao đổi tại BSides Hanoi 2026 góp phần mở rộng cách tiếp cận của cộng đồng: từ việc chỉ tìm kiếm lỗ hổng kỹ thuật sang chủ động nhận diện quyền hạn, điểm tin cậy và những mắt xích có thể trở thành mục tiêu tấn công.
Đọc thêm tại: Rủi ro lớn nhất của DeFi không nằm ở mã nguồn mà ở quyền quản trị – Tạp chí An ninh mạng Việt Nam
