Lỗ hổng bảo mật lớn nhất thế giới năm 2026 không nằm trong bytecode của một giao thức DeFi hay Layer 2. Nó nằm trong hiến pháp của một quốc gia thành viên EU.
Hôm qua, Quốc hội Hungary đã thông qua một dự luật sửa đổi hiến pháp với 83% phiếu ủng hộ. Nội dung duy nhất: kết thúc nhiệm kỳ của Tổng thống đương nhiệm. Tổng thống có thời hạn đến ngày 31 tháng 7 để ký ban hành đạo luật này, hoặc đối mặt với một cuộc khủng hoảng hiến pháp chưa từng có.
Hãy bỏ qua chính trị trong giây lát. Hãy nhìn vào code.
Dựa trên kinh nghiệm audit smart contract của tôi, đây không phải là cách một hệ thống phi tập trung lành mạnh vận hành. Nó giống hệt một cuộc tấn công governance vào một DAO, nơi một nhóm nắm giữ >2/3 số token có thể thay đổi bất kỳ rule nào, bao gồm cả việc kick admin ra khỏi multisig.
Context: Cơ chế của một 'Governance Attack' cấp quốc gia
Trong blockchain, một giao thức có cơ chế đồng thuận. Bitcoin dùng Proof-of-Work, Ethereum dùng Proof-of-Stake. Hungary dùng một cơ chế đồng thuận chính trị: Quốc hội với đa số 2/3. Từ năm 2010, đảng Fidesz đã nắm siêu đa số này, cho phép họ sửa đổi bất kỳ điều khoản nào của Hiến pháp. Nó giống như việc một validator duy nhất kiểm soát 51% hash rate.
Điều khác biệt là: trong một mạng lưới Proof-of-Stake, validator đó có thể bị slashed hoặc unstake. Trong hệ thống chính trị Hungary, không có cơ chế unstake cho Fidesz. Cuộc bầu cử tiếp theo mới là cơ hội duy nhất.
Core: Phân tích code - Lỗ hổng 'Backdoor' trong Hiến pháp
Hãy xem xét các dòng code (điều khoản hiến pháp) liên quan.
Điều 10 của Hiến pháp Hungary quy định Tổng thống có nhiệm kỳ 5 năm. Đây là state variable không thể thay đổi trực tiếp. Nhưng Quốc hội không cần gọi hàm setPresidentTerm() trực tiếp. Họ sử dụng một backdoor: sửa đổi toàn bộ hiến pháp.
Cụ thể: Họ thông qua một 'sửa đổi' (amendment) có hiệu lực ngay lập tức. Sửa đổi này có thể bao gồm dòng code sau: Article 10: The term of the current President shall end immediately upon the passage of this amendment.
Đây là một logic error cố ý. Nó vi phạm nguyên tắc cơ bản của luật pháp: 'luật không có hiệu lực hồi tố' (non-retroactivity). Nhưng trong code, không có require nào kiểm tra điều này. Không có reentrancy guard. Không có timelock.
Reentrancy vẫn là kẻ thù số một. Trong bối cảnh này, 'reentrancy' là việc một hành động hợp pháp (sửa đổi hiến pháp) được phép gọi lại chính nó để thay đổi trạng thái trước đó. Một khi đã sửa đổi, không có cách nào rollback.
Tôi đã thấy pattern này trong các hợp đồng ICO năm 2017. Một dự án cho phép người dùng gửi ETH và nhận token. Hàm withdraw() có thể gọi lại withdraw() trước khi cập nhật balance. Kết quả: drain toàn bộ quỹ. Hungary đang thực hiện một phiên bản cấp quốc gia của cuộc tấn công này.
Contrarian: Điểm mù của cộng đồng crypto
Hầu hết mọi người sẽ nói: "Đây là chính trị, không liên quan đến crypto." Sai. Nó liên quan trực tiếp đến một trong những giá trị cốt lõi của crypto: tính bất biến (immutability).
Một blockchain thực sự 'bất biến' đến mức nào? Nếu 51% validator đồng ý rollback một giao dịch, họ có thể. Nhưng điều đó sẽ phá hủy niềm tin vào mạng lưới. Hungary đang thử nghiệm ý tưởng này: 'chỉ cần đa số 2/3, chúng tôi có thể làm bất cứ điều gì, kể cả phá vỡ các quy tắc cơ bản nhất'.
Điểm mù là: chúng ta thường nghĩ rằng chỉ có blockchain mới có vấn đề về tập trung hóa. Nhưng các thể chế nhà nước cũng có cùng vấn đề, chỉ là chúng ta đã quen với việc gọi nó là 'chủ quyền quốc gia'. Khi nhà nước quyết định thay đổi luật chơi giữa chừng, đó chính là một 'governance attack'.
Bytecode không bao giờ nói dối. Bytecode của hiến pháp Hungary hiện tại cho thấy: không có onlyOwner modifier nào bảo vệ Tổng thống. Trong hợp đồng thông minh, đây là lỗ hổng nghiêm trọng. Bất kỳ ai có quyền owner (Quốc hội 2/3) đều có thể gọi selfdestruct().
Takeaway: Dự báo lỗ hổng cho crypto
Sự kiện Hungary là một lời cảnh báo. Nếu một quốc gia EU có thể làm điều này, thì một DAO, một Layer 2, hoặc một giao thức stablecoin cũng có thể.
Câu hỏi đặt ra: Hệ thống governance của bạn có chịu được áp lực 83% không?
Nếu một nhóm nhỏ có thể thay đổi bất kỳ rule nào, bạn đang sống trong một chế độ tập trung, dù bạn có gọi nó là 'phi tập trung' đến đâu.
Tôi sẽ theo dõi hành động của Tổng thống Hungary trong 5 ngày tới. Nếu ông ấy ký, đó là một lỗi không thể vá. Nếu ông ấy không ký, chúng ta sẽ thấy một 'hard fork' hiến pháp, với Tổng thống và Quốc hội trên hai chain khác nhau. Cả hai kịch bản đều là một bài học về quyền lực tuyệt đối và sự cần thiết của các cơ chế kiểm soát và cân bằng (checks and balances) – thứ mà DeFi đang cố gắng xây dựng.