Hook
Một người sáng lập chết. Một công ty trị giá hàng tỷ USD rơi vào hỗn loạn. Ai nắm quyền kiểm soát? Câu hỏi tưởng chừng đơn giản ấy lại đang làm rung chuyển Ondo Finance, một trong những nền tảng RWA (Real World Assets) lớn nhất. Hợp đồng ICO lỗi? Tôi đã thấy và vá nó. Nhưng lỗ hổng này không nằm trong code, mà nằm trong cơ cấu quản trị – một lỗ hổng mà không một audit nào có thể phát hiện.
Context
Ondo Finance là một nền tảng token hóa tài sản thực, chủ yếu là trái phiếu chính phủ Mỹ và các sản phẩm tài chính truyền thống. Họ quản lý hàng chục tỷ USD tài sản trên chuỗi, trở thành cầu nối giữa tài chính truyền thống và DeFi. Vào cuối tháng 5 năm 2025, người sáng lập kiêm CEO Nathan Allman đột ngột qua đời. Allman không chỉ là CEO, mà còn là giám đốc duy nhất trong hội đồng quản trị và cổ đông chi phối. Khi ông mất, toàn bộ quyền lực – cổ phiếu, quyền biểu quyết, quyền điều hành – đều chuyển vào di sản do mẹ ông, bà Kathleen Allman, quản lý.
Nhưng câu chuyện không dừng lại ở đó. Chỉ vài tháng sau, một cuộc đảo chính nội bộ nổ ra. Một phần hội đồng quản trị mới được bổ nhiệm đã bỏ phiếu bãi nhiệm vị CEO kế nhiệm do Allman bổ nhiệm trước khi mất – Justin De Bode. Thay vào đó, họ bổ nhiệm bà Kathleen làm CEO tạm thời. De Bode phản đối, khẳng định ông vẫn nhận được sự ủng hộ từ các nhà đầu tư chính và Ondo Foundation. Bà Kathleen kiện ra tòa án Delaware, yêu cầu tòa công nhận quyền kiểm soát của bà. Vụ kiện đang chờ xử lý.
Core
Hãy nhìn vào cấu trúc quản trị của Ondo trước khi Allman qua đời. Đây là một công ty Delaware điển hình, nhưng với một điểm khác biệt: Allman là CEO, giám đốc duy nhất, và cổ đông kiểm soát. Ba quyền lực này gộp vào một người. Khi ông mất, không có kế hoạch kế nhiệm, không có hội đồng quản trị dự phòng, không có cơ chế chuyển giao quyền lực rõ ràng. Đây là một “single point of failure” – nhưng không phải ở cấp độ hợp đồng thông minh, mà ở cấp độ con người.
Trong các dự án DeFi thuần túy, vấn đề này thường được giải quyết bằng multi-sig wallet và DAO. Nếu một thành viên chủ chốt mất tích, các thành viên còn lại có thể ký thay. Nhưng Ondo là một công ty có tư cách pháp nhân, với cổ phiếu, hội đồng quản trị, và các nghĩa vụ pháp lý. Multi-sig không thể thay thế cho một hội đồng quản trị hợp lệ. Và khi không có giám đốc hợp lệ, công ty không thể đưa ra quyết định có hiệu lực pháp lý – bao gồm cả việc ký kết hợp đồng mới, quản lý tài sản, hay thậm chí là trả lương cho nhân viên.
Từ kinh nghiệm audit của tôi, tôi đã thấy nhiều dự án bỏ qua “những thứ nhàm chán” như quy chế quản trị công ty. Họ tập trung vào code, vào tokenomics, vào marketing, nhưng quên rằng phía sau mỗi hợp đồng thông minh vẫn có một thực thể pháp lý do con người điều hành. Một lần, tôi audit một dự án ICO mà hợp đồng có lỗi overflow – tôi phát hiện và vá nó. Nhưng lỗi đó có thể sửa được. Còn lỗi này: một người duy nhất nắm mọi quyền lực, và khi người đó mất đi, không có ai có thể thay thế hợp pháp. Đó là lỗi không thể vá bằng code.
Contrarian Angle
Nhiều người cho rằng vấn đề của Ondo chỉ là một bi kịch cá nhân, không liên quan đến công nghệ. Nhưng tôi thấy điều ngược lại: đây là một minh chứng rõ ràng cho thấy sự tách rời giữa quản trị on-chain và off-chain là một điểm mù bảo mật nghiêm trọng mà hầu hết các giao thức RWA đều mắc phải. Bạn có thể có một hợp đồng thông minh hoàn hảo, không thể hack, nhưng nếu công ty đứng sau nó không thể hoạt động, thì tài sản của bạn cũng không an toàn.
SEC đã kết thúc cuộc điều tra với Ondo trước đó, điều này thường được coi là tín hiệu tốt. Nhưng thực tế, cuộc khủng hoảng quản trị này có thể kích hoạt một cuộc điều tra mới, vì nó cho thấy sự thiếu minh bạch và kiểm soát nội bộ – một trong những vấn đề mà cơ quan quản lý rất quan tâm. SEC không ban hành quy tắc rõ ràng cho token hóa tài sản, nhưng họ có thể dùng “regulation-by-enforcement” để trừng phạt những công ty có quản trị yếu kém. Đây là một rủi ro pháp lý mà thị trường chưa định giá đúng.
Takeaway
Cuộc chiến quyền lực tại Ondo là một hồi chuông cảnh tỉnh cho toàn bộ ngành RWA. Nó đặt ra câu hỏi: liệu các nhà đầu tư tổ chức có tiếp tục tin tưởng vào một nền tảng mà quyền kiểm soát đang bị tranh chấp trước tòa? Hay họ sẽ rút vốn, tạo ra một hiệu ứng domino? Tôi không có câu trả lời, nhưng tôi biết rằng: trong thị trường giảm, sự sống còn quan trọng hơn lợi nhuận. Và sự sống còn của Ondo hiện phụ thuộc vào một phán quyết của tòa án Delaware – một thứ mà không có zero-knowledge proof nào có thể thay thế.