Ngày 8 tháng 1 năm 2025, một bản kiến nghị được nộp lên Tòa án Chancery Delaware. Nguyên đơn không phải là một quỹ đầu cơ, không phải đối thủ cạnh tranh, mà là Kathleen Allman – mẹ ruột của Nathan Allman, người sáng lập kiêm CEO của Ondo Finance, một trong những tổ chức phát hành tài sản thực token hóa (RWA) lớn nhất thị trường.
Vào tháng 5, Nathan Allman qua đời. Ông để lại một công ty trị giá gần 20 tỷ USD token ONDO, hai sản phẩm chủ lực USDY và OUSG, và một cấu trúc quản trị mà ông là CEO, giám đốc duy nhất và cổ đông kiểm soát cùng lúc. Tất cả số cổ phần đó hiện bị khóa trong di sản thừa kế. Không ai có quyền biểu quyết. Không có giám đốc nào đang tại nhiệm. Hội đồng quản trị trống rỗng.
Trong thế giới tài chính phi tập trung, người ta quen nói "code is law". Nhưng khi luật pháp và code cùng im lặng, ai sẽ là người cai trị?
Bối cảnh: Một đế chế RWA thiếu người đứng đầu
Ondo Finance không phải là một dự án DeFi bình thường. Đây là một trong những nhà phát hành tài sản thực token hóa hàng đầu, biến trái phiếu kho bạc Mỹ thành các token như USDY và OUSG – những sản phẩm cho phép nhà đầu tư tiền mã hóa tiếp cận lợi suất đô la Mỹ mà không cần rời khỏi hệ sinh thái blockchain. Token quản trị ONDO của họ có vốn hóa thị trường gần 20 tỷ USD tính tại thời điểm bài viết được công bố.
Nathan Allman, cựu nhân viên Goldman Sachs, thành lập Ondo vào năm 2021 và huy động được 20 triệu USD trong vòng Series A do Founders Fund và Pantera Capital dẫn dắt vào năm 2022. Sản phẩm của Ondo được tích hợp sâu vào các giao thức DeFi lớn, đóng vai trò như tài sản thế chấp và lớp lợi suất cơ bản. Vào tháng 12 năm ngoái, Ủy ban Chứng khoán và Giao dịch Mỹ (SEC) đã kết thúc cuộc điều tra kéo dài hai năm đối với công ty mà không đưa ra cáo buộc nào – một tín hiệu quan trọng về độ an toàn pháp lý trong bối cảnh RWA còn nhiều tranh cãi.
Nhưng cuộc chiến giành quyền kiểm soát đang diễn ra sau hậu trường có thể gây ra thiệt hại lớn hơn bất kỳ lỗ hổng hợp đồng thông minh nào từng được phát hiện.
Core: Khi code không thể tự sửa chữa
Là một người làm bảo mật hợp đồng thông minh, tôi đã dành 17 năm để tìm kiếm các lỗ hổng trong code. Reentrancy, access control, oracle manipulation – tất cả đều có thể được vá bằng một bản nâng cấp hoặc một cơ chế bảo vệ. Nhưng lỗ hổng lần này nằm ở một tầng hoàn toàn khác: cấu trúc quản trị.
Single Point of Failure hoàn hảo
Nathan Allman nắm giữ ba vai trò cùng lúc: CEO, giám đốc duy nhất và cổ đông kiểm soát. Trong một mạng blockchain, điều này giống như một node sở hữu toàn bộ khóa quản trị của hợp đồng thông minh – toàn quyền thay đổi logic, rút quỹ, và bổ nhiệm bất kỳ ai.
"Lỗ hổng không hề nằm ở logic, mà nằm ở lòng tin."
Khi người nắm giữ toàn bộ khóa đó qua đời, hệ thống không có cơ chế khôi phục. Cổ phần bị khóa trong di sản thừa kế. Hội đồng quản trị không còn giám đốc tại nhiệm. Mọi quyết định về hợp đồng, chi tiêu, phát hành cổ phiếu đều bị đình trệ – chính xác là điều mà đơn kiến nghị từ phía quản lý di sản đã nêu rõ.
Về mặt kỹ thuật, các hợp đồng thông minh của USDY và OUSG vẫn tiếp tục hoạt động. Nhưng nếu công ty cần ký một hợp đồng mới với nhà giám sát, cần thêm một đối tác vào danh sách trắng, hoặc cần điều chỉnh tham số lợi suất – tất cả đều có thể bị đóng băng. Đây là điểm mà hầu hết các báo cáo audit truyền thống không bao giờ kiểm tra: không phải logic trong hàm updateYield(), mà là quyền lực pháp lý để gọi hàm đó.
Hai hội đồng quản trị, một công ty
Theo đơn kiện, Kathleen Allman được tòa án chứng thực di chúc Hawaii bổ nhiệm làm đại diện cá nhân cho di sản vào ngày 26 tháng 6. Bà tìm kiếm một quá trình chuyển giao hợp tác, tái bổ nhiệm Ian De Bode – người từng là chủ tịch, sau đó tự xưng là CEO – làm chủ tịch. Nhưng công ty từ chối công nhận quyền lực của bà, không cung cấp danh sách cổ đông.
Kathleen sau đó đã mở rộng hội đồng, bổ nhiệm Gordon Liao, nhưng người này từ chối. Bà tiếp tục bổ nhiệm Tahnee Towill – em gái của Nathan – làm thành viên hội đồng. Ngày 24 tháng 7, Gordon Liao và Tahnee Towill đã bỏ phiếu bãi nhiệm mọi chức vụ của De Bode, đồng thời bổ nhiệm Kathleen làm Chủ tịch hội đồng kiêm CEO tạm thời.
Trong khi đó, De Bode tuyên bố rằng theo điều lệ công ty Ondo, ông tự động trở thành CEO mà không cần nghị quyết của hội đồng quản trị. Ông cũng thông qua một thỏa thuận biểu quyết để tự bổ nhiệm mình làm giám đốc duy nhất, bắt đầu thuê cố vấn và phê duyệt cổ phiếu hiệu quả.
Kết quả: một công ty có hai hội đồng quản trị, mỗi bên tuyên bố mình hợp pháp. Mỗi bên đưa ra các quyết định đối lập nhau. Điều này đưa tôi đến một nhận định rõ ràng: "Quản trị không phải là một hàm số toán học, nó là một trạng thái hệ thống."
Góc nhìn token: Sự pha loãng ngược dòng
Với tư cách là một nhà phân tích token, tôi nhìn thấy một vấn đề tinh tế hơn. De Bode bị cáo buộc đã phê duyệt cổ phiếu hiệu quả (performance equity) – điều này có thể dẫn đến việc phát hành thêm token ONDO. Nếu hội đồng quản trị do Kathleen lãnh đạo tuyên bố các khoản phê duyệt này vô hiệu, thì những người đã nhận cổ phiếu sẽ đối mặt với rủi ro bị thu hồi. Điều ngược lại cũng có thể xảy ra: nếu tòa án phán quyết các khoản phê duyệt này hợp pháp, thì các cổ đông hiện hữu sẽ bị pha loãng ngoài kế hoạch.
Đây là một dạng "retroactive dilution" – sự pha loãng được áp dụng ngược sau khi sự việc đã xảy ra. Trong các hợp đồng thông minh, điều này tương đương với việc ai đó gọi hàm mint() với một địa chỉ không xác định, sau đó thay đổi quy tắc phân phối token giữa chừng. Thị trường chưa định giá rủi ro này, bởi vì tòa án Delaware vẫn chưa đưa ra phán quyết.
Một điểm đáng chú ý khác: tổ chức phát hành vẫn đang hoạt động, sản phẩm USDY và OUSG vẫn tiếp tục vận hành, và ONDO vẫn có giá trị gần 20 tỷ USD. Điều này cho thấy thị trường vẫn tin rằng tranh chấp quản trị sẽ được giải quyết. Nhưng trong lịch sử tiền mã hóa, không thiếu những trường hợp tranh chấp pháp lý kéo dài hàng năm, khiến giá trị tài sản bị bào mòn từ từ.
Contrarian: Điểm mù mà hầu hết mọi người bỏ qua
Trong một hệ sinh thái mà các nhà đầu tư quen với việc kiểm tra mã nguồn, thường xuyên săn lùng các lỗ hổng trong hợp đồng thông minh, thì cuộc chiến quyền kiểm soát Ondo lại cho thấy một sự thật khó chịu: "Code is law" chỉ đúng khi ai đó có quyền nâng cấp code.
Hợp đồng thông minh của Ondo có thể hoàn toàn an toàn, đã được kiểm toán nhiều lần, không có lỗi logic. Nhưng khi công ty đứng sau nó rơi vào hỗn loạn quản trị, các token được neo giữ vào tài sản thực vẫn có thể mất giá trị. Đây là một điểm mù trong cách tiếp cận của hầu hết các nhà phân tích bảo mật: họ kiểm tra code, nhưng không kiểm tra "quyền quản trị pháp lý" của code.
Một điểm phản trực giác khác: trong khi hầu hết cộng đồng tiền mã hóa có xu hướng ủng hộ ban quản lý hiện tại (De Bode) – bởi vì ông đại diện cho sự liên tục của doanh nghiệp – thì thực tế pháp lý lại cho thấy ông có thể đã vi phạm luật doanh nghiệp Delaware khi tự bổ nhiệm mình mà không có nghị quyết của hội đồng. Ngược lại, Kathleen Allman, một người mẹ không có bất kỳ kinh nghiệm nào trong lĩnh vực blockchain, lại đang nắm giữ vị thế pháp lý mạnh hơn nhiều so với những gì thị trường nghĩ.
Điều này dẫn đến một câu hỏi khó chịu: liệu sự ủng hộ dành cho De Bode có đơn giản chỉ vì ông là một CEO "chuyên nghiệp" còn bà Allman là "gia đình"? Hay vì cộng đồng quá quen với việc đánh giá con người qua cách họ nói chuyện trên mạng xã hội, thay vì qua những gì họ có thể chứng minh trước tòa?
Hệ sinh thái: Khi một "node trung tâm" lâm vào tình trạng bất khả dụng
Ondo không đơn độc trong hệ sinh thái RWA. BlackRock BUIDL và Franklin Templeton BENJI đang cạnh tranh trực tiếp. Nhưng Ondo có một lợi thế đặc biệt: độ sâu tích hợp với DeFi. Các giao thức như lending, yield aggregator, và thậm chí một số stablecoin sử dụng USDY hoặc OUSG như tài sản thế chấp. Sự đình trệ quản trị của Ondo không chỉ ảnh hưởng đến các cổ đông ONDO, mà còn đặt ra câu hỏi cho toàn bộ các giao thức phụ thuộc.
Trong ngôn ngữ hệ thống, Ondo là một "nút thắt cổ chai" (bottleneck) của thanh khoản RWA. Nhiều giao thức hạ nguồn không thể dễ dàng tháo gỡ USDY khỏi hệ thống của họ trong thời gian ngắn. Họ sẽ chuyển sang trạng thái "chờ quan sát", trì hoãn việc tích hợp mới, và bắt đầu tìm kiếm các giải pháp thay thế. Điều này mở ra cơ hội cho các đối thủ như BlackRock – vốn có sẵn uy tín và kênh phân phối để tiếp nhận dòng tiền dịch chuyển.
Một chi tiết quan trọng khác: De Bode khẳng định nhận được sự ủng hộ từ "Ondo Foundation". Nếu quỹ này nắm giữ các tài sản kỹ thuật quan trọng hoặc quyền biểu quyết token, thì cuộc chiến pháp lý có thể mở ra một mặt trận thứ hai: công ty vs quỹ. Ngược lại, nếu quỹ này kiểm soát chìa khóa nâng cấp hợp đồng thông minh, thì kết quả của vụ kiện có thể ảnh hưởng trực tiếp đến khả năng vận hành sản phẩm.
Takeaway: Bài học cho mùa tăng giá
Trong thị trường tăng giá, các dự án thường được định giá dựa trên câu chuyện tăng trưởng, chứ không phải cấu trúc quản trị. ONDO là một ví dụ điển hình. Nhưng cuộc khủng hoảng tại Ondo cho thấy một bài học sâu sắc hơn: "Khi người sáng lập là single point of failure, cái chết của anh ta là một lỗ hổng không thể vá bằng hard fork."
Các nhà phân tích bảo mật thường kiểm tra quyền admin của hợp đồng thông minh. Nhưng ít ai kiểm tra xem admin của hợp đồng có nằm trong di chúc hay không. Ít ai hỏi: nếu người nắm giữ khóa đa chữ ký qua đời, ai sẽ là người kế thừa quyền đó theo pháp luật?
Ondo Finance có thể vượt qua cuộc khủng hoảng này. Tòa án Delaware có thể đưa ra phán quyết nhanh chóng. Nhưng câu hỏi lớn hơn vẫn còn đó: trong một ngành công nghiệp xây dựng trên ý tưởng phi tập trung, tại sao các giao thức vẫn tiếp tục thiết kế ra những "admin key" pháp lý tập trung đến vậy?
Câu trả lời có thể khiến nhiều người khó chịu: bởi vì phi tập trung chỉ là một sản phẩm để bán, còn quyền kiểm soát mới là thứ thực sự được giao dịch.