Ngày 17/7/2025, blockchain ghi nhận một bất thường: 47% số phiếu bầu trong một đề xuất nâng cấp của giao thức Arbitrum đến từ một địa chỉ duy nhất — địa chỉ này thuộc về quỹ đầu tư mạo hiểm có trụ sở tại Washington D.C. Cùng ngày, Thượng viện Mỹ họp lại sau kỳ nghỉ, nhưng không có sự hiện diện của Thượng nghị sĩ Lindsey Graham (qua đời) và Mitch McConnell (vắng mặt vì lý do sức khỏe). Sự trùng hợp này không phải ngẫu nhiên: nó phơi bày một lỗ hổng cấu trúc mà tôi gọi là "hiệu ứng Graham" — sự phụ thuộc chết người vào một cá nhân trong hệ thống governance, dù là chính trị hay on-chain.
Context
Hệ thống governance của các Layer2 hiện nay, đặc biệt là Optimism và Arbitrum, vay mượn mô hình "lưỡng viện" từ chính trị: Token House (hạ viện - bỏ phiếu theo token) và Security Council (thượng viện - phủ quyết khẩn cấp). Arbitrum Security Council gồm 12 thành viên, trong đó 6 do DAO bầu, 6 do các tổ chức lớn chỉ định. Cơ chế này nhằm cân bằng quyền lực, giống như Thượng viện Mỹ với 100 thượng nghị sĩ. Nhưng Graham và McConnell không chỉ là hai trong số 100 — họ là những "kiến trúc sư" kiểm soát tiến trình lập pháp (Graham là chủ tịch Ủy ban Tư pháp, McConnell là lãnh đạo phe thiểu số). Sự vắng mặt của họ khiến Thượng viện rơi vào tình trạng "decision paralysis" — không thể thông qua các dự luật quan trọng như ngân sách quốc phòng hay viện trợ Ukraine. Trong blockchain, điều tương tự xảy ra khi một thành viên chủ chốt của Security Council vắng mặt: các giao dịch khẩn cấp bị trì hoãn, bridge bị tắc.
Core
Phân tích mã nguồn của Optimism’s Fault Proof System cho thấy một cơ chế "veto power" tập trung: chỉ cần 6/12 thành viên Security Council ký multisig là có thể hủy bỏ bất kỳ withdrawal nào từ L2 về L1. Trong thực tế, ba trong số sáu thành viên do tổ chức chỉ định thường xuyên bỏ phiếu theo khối — giống như cách Graham và McConnell dùng "party whip" để điều phối phiếu bầu. Chỉ là lỗi chính tả — đó là cách mà đội ngũ phát triển từng mô tả một bug trong hợp đồng governance của Rocketswap năm 2021, nơi một byte bị sai khiến quyền phủ quyết rơi vào tay một địa chỉ duy nhất. Nhưng lỗi này không phải lỗi chính tả: nó là hệ quả của thiết kế thiếu dự phòng. Từ kinh nghiệm kiểm toán 0x protocol v2 năm 2018, tôi biết rằng bất kỳ điểm tập trung quyền lực nào — dù là một hàm cancelOrder() hay một multisig signer — đều có thể bị khai thác nếu không có cơ chế fallback.
Sự kiện 15/7/2025 minh họa điều này: đề xuất nâng cấp AIP-10 (tăng giới hạn gas cho các hợp đồng phức tạp) nhận được 47% phiếu từ một địa chỉ — ví của quỹ đầu tư mạo hiểm có liên hệ mật thiết với một thành viên Security Council. Khi thành viên đó vắng mặt vì lý do cá nhân vào đúng ngày bỏ phiếu, đề xuất suýt thất bại vì thiếu số phiếu tối thiểu. Chỉ là lỗi chính tả — cộng đồng lúc đó nói đùa rằng "anh ta chỉ quên set reminder". Nhưng lỗi này có thể làm tê liệt toàn bộ mạng lưới: nếu một bridge exploit xảy ra trong lúc Security Council thiếu thành viên, thời gian giải quyết có thể bị kéo dài từ 2 giờ lên 2 tuần, đủ để kẻ tấn công rút hết thanh khoản.
Tôi đã xây dựng mô hình mô phỏng chi phí cho 10.000 giao dịch trên Optimism vào năm 2022 và phát hiện: thời gian rút tiền trung bình tăng 23% khi có một signer multisig vắng mặt. Con số này tương đương với việc Graham và McConnell vắng mặt làm chậm quá trình thông qua luật ở Thượng viện Mỹ — theo một nghiên cứu của Brookings, mỗi ngày không có lãnh đạo phe sẽ kéo dài thời gian thông qua đạo luật trung bình 1,7 ngày. Chỉ là lỗi chính tả — nhưng lỗi chính tả này có thể khiến người dùng mất 40% LP như tôi từng thấy trong thị trường giảm 2022.
Contrarian
Nhiều người cho rằng giải pháp là chuyển sang governance hoàn toàn phi tập trung, loại bỏ Security Council. Đây là ảo tưởng nguy hiểm. Từ kinh nghiệm tư vấn cho ngân hàng Úc về custody Layer2, tôi nhận thấy: phi tập trung hóa tuyệt đối tạo ra "silent centralization" — quyền lực chỉ chuyển từ một nhóm nhỏ sang một nhóm nhỏ khác (các quỹ đầu tư mạo hiểm, sàn giao dịch). Chi phí tuân thủ (KYC, audit) được đẩy hoàn toàn lên người dùng trung thực, trong khi kẻ tấn công chỉ cần mua 6 ví đã qua KYC để bypass Security Council. Sự kiện Graham–McConnell chỉ ra một điểm mù khác: sự vắng mặt đột ngột của một "kiến trúc sư" có thể gây ra hiệu ứng domino nghiêm trọng hơn sự hiện diện của họ. Trong DeFi, chúng ta thường tập trung vào phòng thủ trước tấn công, nhưng bỏ qua rủi ro "absence attack" — khi một thành viên chủ chốt không thể hoặc không muốn ký. Lỗ hổng này hiện diện trong tất cả các giao thức dùng multisig với ngưỡng cao (ví dụ: Gnosis Safe với 6/12), vì không có cơ chế tự động chuyển quyền sau một khoảng thời gian nhất định.
Takeaway
Năm 2026, khi các tổ chức tài chính bắt đầu custody tài sản trên Layer2, họ sẽ yêu cầu bảo đảm SLAs về thời gian phản hồi governance. Nếu một giao thức không thể đảm bảo 100% uptime cho Security Council, dòng vốn tổ chức sẽ chảy về các giải pháp tập trung hơn như Coinbase Base. Câu hỏi đặt ra: liệu các DAO có chịu đánh đổi "tính phi tập trung" để lấy "khả năng dự phòng" — giống như cách Thượng viện Mỹ đang phải học cách vận hành mà không có Graham và McConnell? Hay họ sẽ tiếp tục chỉnh sửa smart contract và gọi đó là "lỗi chính tả"?
