Tin tức 
Thông tin Coin 
Về chúng tôi 
레이어제로(LayerZero)가 약 2억 9000만 đô la quy mô vụ tấn công vào **“켈프 DAO(Kelp DAO)”** đã chính thức quy trách nhiệm cho chính cấu hình bảo mật mà dự án lựa chọn. Theo LayerZero, mô hình **“đơn nhất trình xác thực”** trở thành “điểm yếu chí mạng” và là nguyên nhân cốt lõi khiến vụ hack diễn ra trót lọt.
Theo The Block đưa tin ngày 18 tháng 4 (giờ địa phương), vụ tấn công lần này không khai thác lỗi trong mã **giao thức**, mà nhắm thẳng vào tầng **hạ tầng** – cụ thể là quá trình xác minh thông điệp cross-chain. Hacker đã làm sai lệch dữ liệu ngay ở bước xác thực thông điệp giữa các chuỗi, biến một lớp hạ tầng tưởng như “vô hình” thành điểm đột nhập chính.
“bình luận”: Vụ việc cho thấy rủi ro của các cấu hình bảo mật “tùy chỉnh” đi ngược khuyến nghị tiêu chuẩn, nhất là trong bối cảnh dòng vốn cross-chain ngày càng lớn.
---
LayerZero cho biết **Kelp DAO** đã lựa chọn cấu hình **“1-of-1 validator”** – tức chỉ cần *một* trình xác thực phê duyệt là thông điệp cross-chain được coi là hợp lệ. Cách làm này trái với khuyến nghị phổ biến là yêu cầu nhiều bên độc lập cùng xác nhận để giảm thiểu rủi ro bị thao túng.
Từ trước đó, LayerZero đã khuyến khích các dự án sử dụng mô hình **đa DVN (mạng lưới xác thực phi tập trung)**, nơi **nhiều trình xác thực độc lập** phải đồng thuận trước khi một thông điệp được chấp nhận. Trong mô hình này, hacker buộc phải tấn công đồng thời nhiều nguồn dữ liệu, khiến cuộc tấn công tốn kém và khó che giấu hơn.
Ngược lại, với cấu hình đơn nhất, chỉ cần **một nguồn dữ liệu cốt lõi** bị kiểm soát, mọi thông điệp giả mạo đều có thể “lọt lưới” như dữ liệu hợp lệ. Vụ tấn công lần này đã khai thác chính xác điểm yếu đó một cách có chủ đích và tinh vi.
“bình luận”: Về bản chất, Kelp DAO đã “đánh đổi” an toàn để đổi lấy sự đơn giản trong vận hành – và cái giá phải trả là hàng trăm triệu đô la tài sản bị đánh cắp.
---
Theo giải thích của LayerZero, kẻ tấn công đã chiếm quyền kiểm soát **hai nút RPC** mà trình xác thực của Kelp DAO đang phụ thuộc. RPC là hạ tầng cho phép đọc/ghi dữ liệu lên blockchain, đóng vai trò “cửa sổ dữ liệu” cho cả trình xác thực lẫn hệ thống giám sát.
Hacker đã thay thế **tệp thực thi** tại hai nút RPC này bằng mã độc, từ đó:
- Gửi **dữ liệu giao dịch giả mạo** tới *riêng* trình xác thực.
- Đồng thời vẫn cung cấp **dữ liệu bình thường** cho các hệ thống khác, khiến mọi cơ chế giám sát bên ngoài khó lòng phát hiện điều bất thường.
LayerZero thừa nhận hệ thống giám sát nội bộ của họ cũng **dựa vào cùng nguồn RPC** với trình xác thực. Điều này khiến dạng “tấn công chọn lọc” (chỉ sửa dữ liệu cho một số client cụ thể) trở nên gần như **vô hình**.
Để tăng tỷ lệ thành công, hacker còn thực hiện tấn công **DDoS** lên các RPC bên ngoài vốn đang cung cấp dữ liệu chuẩn. Khi các RPC sạch này bị làm tê liệt, hệ thống tự động chuyển sang sử dụng **các nút đã bị nhiễm độc**, hợp thức hóa dữ liệu bị chỉnh sửa.
Kết quả cuối cùng, kẻ tấn công đã rút được **116.500 rsETH** khỏi hệ sinh thái, với giá trị ước tính khoảng **290 triệu đô la** tại thời điểm bị phát hiện.
“bình luận”: Đây là minh chứng điển hình cho việc “hạ tầng đáng tin cậy” (trusted infrastructure) có thể bị lợi dụng thành một điểm tấn công duy nhất, nếu không được thiết kế phân tán và đa lớp ngay từ đầu.
---
LayerZero cho rằng có nhiều dấu hiệu cho thấy vụ tấn công Kelp DAO có liên quan đến nhóm hacker **Lazarus** và nhánh **TraderTraitor**, vốn được cho là có liên hệ với Triều Tiên.
Theo dữ liệu on-chain và phân tích mô hình tấn công, Lazarus bị nghi đã:
- Tấn công **Drift Protocol** ngày 1 tháng 4.
- Tấn công **Kelp DAO** ngày 18 tháng 4.
Trong vòng **18 ngày**, tổng giá trị tài sản bị đánh cắp từ hai vụ việc này **ước tính khoảng 575 triệu đô la**.
Đáng chú ý, hai vụ tấn công áp dụng **chiến thuật hoàn toàn khác nhau**:
- Với Drift, chúng sử dụng chiêu **“kỹ nghệ xã hội”** để đánh lừa người ký trong hệ thống quản trị.
- Với Kelp DAO, chúng lại **biến đổi hạ tầng RPC** và tấn công trực tiếp vào quá trình xác minh thông điệp cross-chain.
Các chuyên gia bảo mật nhận định mức độ **đa dạng và nâng cấp chiến thuật** của Lazarus đang ngày càng tăng, khiến việc phòng thủ trở nên khó khăn hơn. Thay vì nhắm một điểm yếu duy nhất, nhóm này đang mở rộng tấn công sang cả **quy trình vận hành**, **hệ thống quản trị** và **lớp hạ tầng mạng**.
“bình luận”: Trong bức tranh hiện tại, Lazarus không chỉ là mối đe dọa với riêng DeFi, mà đã trở thành tác nhân có ảnh hưởng đến cả an ninh tài chính toàn cầu.
---
Trước làn sóng chỉ trích, LayerZero khẳng định vụ Kelp DAO **không bắt nguồn từ lỗi trong giao thức LayerZero**, mà là **vấn đề cấu hình** từ phía dự án tích hợp.
Theo thông báo của LayerZero:
- Các ứng dụng sử dụng mô hình **đa trình xác thực (multi-validator)** và các **token chuẩn OFT** đều **không bị ảnh hưởng**.
- Không phát hiện dấu hiệu **“lây nhiễm hệ thống”** sang các ứng dụng LayerZero khác.
- Vấn đề nằm ở việc Kelp DAO tùy chỉnh cấu hình theo cách đi ngược **khung bảo mật khuyến nghị**.
LayerZero cho biết họ đã **tạm dừng ký thông điệp** đối với toàn bộ ứng dụng đang dùng cấu hình **trình xác thực đơn** và yêu cầu các dự án này:
1. Chuyển sang mô hình **đa trình xác thực / đa DVN**.
2. Rà soát lại toàn bộ **nút RPC**, bao gồm quyền truy cập, chuỗi cung ứng phần mềm và cơ chế giám sát độc lập.
3. Thiết lập cơ chế **giám sát chéo** nhiều nguồn dữ liệu, tránh phụ thuộc một kênh RPC duy nhất.
Tính tới thời điểm bài viết, **Kelp DAO** vẫn **chưa đưa ra lập trường chính thức** về cáo buộc cấu hình sai của LayerZero cũng như kế hoạch bồi thường cho người dùng bị ảnh hưởng.
“bình luận”: Việc LayerZero “đổ lỗi” cho cấu hình của từng dự án tích hợp phần nào cho thấy ranh giới mong manh giữa trách nhiệm của nhà cung cấp hạ tầng cross-chain và trách nhiệm của từng giao thức DeFi xây trên đó.
---
Vụ việc Kelp DAO cho thấy bảo mật trong **tài chính phi tập trung (DeFi)** không còn dừng lại ở việc “mã có lỗi hay không”, mà đã mở rộng sang toàn bộ **thiết kế kiến trúc** và **cách vận hành hạ tầng**.
Một giao thức có thể:
- Sử dụng **mã audited**,
- Tích hợp hạ tầng **đã được tin cậy**,
nhưng vẫn bị đánh sập nếu:
- Cấu hình **bảo mật không tuân thủ chuẩn** (như dùng 1-of-1 validator),
- Hệ thống giám sát **dùng chung nguồn dữ liệu** với hệ thống thực thi,
- Không có lớp RPC độc lập, dự phòng và kiểm tra chéo.
Trong bối cảnh hacker – đặc biệt là các nhóm được hậu thuẫn bởi quốc gia – liên tục nâng cấp chiến thuật, nếu **khung phòng thủ và chuẩn vận hành** không tiến hóa tương xứng, những vụ tấn công hạ tầng như Kelp DAO khó có thể là trường hợp cuối cùng.
“bình luận”: Thay vì chỉ tập trung audit smart contract, các dự án DeFi cần coi **thiết kế hạ tầng, mô hình xác thực và quy trình vận hành** là một phần không thể tách rời của chiến lược bảo mật. Đây có thể là ranh giới giữa một “sự cố nhỏ” và một thảm họa hàng trăm triệu đô la.
Bình luận 0