LayerZero đổ lỗi cấu hình DVN 1/1 của Kelp DAO gây ra vụ hack rsETH gần 2,9 tỷ USD, nguy cơ lan sang Aave(AAVE)

LayerZero cho rằng cấu hình mạng xác thực phân tán (DVN) thiếu an toàn của Kelp DAO là nguyên nhân trực tiếp dẫn tới vụ hack trị giá khoảng *2,9* tỷ USD, đồng thời làm dấy lên nghi vấn có sự tham gia của nhóm tin tặc liên quan Triều Tiên.

Theo CoinDesk đưa tin ngày 20 tháng 12 (giờ địa phương), LayerZero giải thích sự cố rò rỉ tài sản xảy ra trên cầu nối rsETH của Kelp DAO bắt nguồn từ cấu hình *1/1 DVN* – chỉ dùng một đường xác thực duy nhất thay vì mạng xác thực phân tán. Công ty cho biết trước đó đã khuyến nghị Kelp DAO triển khai cấu trúc phân tán, song dự án không làm theo. Trong vụ tấn công, khoảng 116.500 đơn vị *tiền mã hóa* rsETH (restaking Ethereum) đã bị rút khỏi hệ thống, tương đương giá trị khoảng *2,92–2,93* tỷ USD tại thời điểm xảy ra sự cố.

Hệ quả không dừng lại ở Kelp DAO. Số rsETH bị đánh cắp được sử dụng làm tài sản thế chấp trên giao thức cho vay Aave(AAVE), khiến thanh khoản tại đây bị xáo trộn mạnh. Tổng giá trị tài sản khóa (TVL) của Aave giảm khoảng 8,9 tỷ USD, xuống còn quanh mức 17,5 tỷ USD, đồng thời làm gia tăng lo ngại về khoảng 1,95 tỷ USD *“khoản vay xấu”* tiềm ẩn.

LayerZero nhấn mạnh vụ việc không phải do *thiết kế giao thức* của LayerZero bị xâm phạm, mà xuất phát từ cách Kelp DAO cấu hình ứng dụng dựa trên nền tảng của họ. Công ty tuyên bố sẽ yêu cầu toàn bộ dịch vụ đang sử dụng cấu trúc *1/1 DVN* phải chuyển sang mô hình *đa DVN*. Nếu các dự án vẫn giữ mô hình một trình xác thực duy nhất, LayerZero sẽ tạm dừng ký và xác minh thông điệp cho những ứng dụng đó.

*bình luận*: Đây là động thái nhằm giảm thiểu rủi ro hệ thống và chuyển thông điệp rõ ràng tới các dự án: sử dụng hạ tầng *LayerZero* nhưng bỏ qua chuẩn bảo mật khuyến nghị có thể dẫn tới việc bị “cắt” hỗ trợ ở lớp thông điệp, qua đó hạn chế hoạt động của cầu nối và các ứng dụng liên chuỗi.

Trên thị trường, cuộc tranh luận về bên phải chịu trách nhiệm bồi thường vẫn chưa ngã ngũ. Nhà sáng lập kiêm CEO OneKey, *Ishi Wang*, cho rằng trước tiên cần thương lượng với hacker, đề xuất khoản “tiền thưởng” (bounty) khoảng 10–15% giá trị số tài sản đã chiếm đoạt để thu hồi lại phần còn lại. Nếu thương lượng đổ vỡ, ông nhận định *quỹ hệ sinh thái LayerZero* nên gánh phần lớn tổn thất cho người dùng.

Tuy vậy, các rủi ro về “thanh khoản méo mó” và hiệu ứng thanh lý dây chuyền vẫn treo lơ lửng. Giám đốc chiến lược của Spark, *MoneySupply*, cảnh báo trong bối cảnh thanh khoản Ethereum(ETH) trên Aave suy giảm, chỉ cần giá spot ETH giảm thêm 15–20% cũng đủ kích hoạt thêm một lớp *nợ xấu* mới do các vị thế vay thế chấp rsETH bị thanh lý hàng loạt. Aave đã khẩn cấp đóng băng (đông cứng) rsETH, nhưng vụ việc lần nữa phơi bày mức độ đan xen chặt chẽ giữa các *cầu nối cross-chain* và giao thức cho vay trong hệ sinh thái *tiền mã hóa* hiện nay.

*bình luận*: Sự cố Kelp DAO cho thấy chỉ một mắt xích yếu ở lớp cầu nối cũng có thể lan sang các giao thức *DeFi* lớn như Aave, tạo cú sốc thanh khoản hàng tỷ USD. Trong bối cảnh giá trị khóa trong các giao thức *tiền mã hóa* ngày càng phình to, việc tuân thủ nghiêm ngặt các cấu hình an toàn như *đa DVN* không còn là lựa chọn, mà trở thành điều kiện bắt buộc để giảm thiểu rủi ro hệ thống.