Tin tức 
Thông tin Coin 
Về chúng tôi 
Sau vụ hack hơn 4.200 tỷ đồng, cuộc “đổ lỗi” giữa *Kelp DAO* và *LayerZero* đang leo thang, gợi lại hình ảnh *“meme Người Nhện chỉ tay vào nhau”* nổi tiếng. Trọng tâm tranh cãi xoay quanh câu hỏi: ai chịu trách nhiệm cho lỗ hổng bảo mật đã dẫn tới việc thất thoát khoảng 2,9 triệu đô la Mỹ (khoảng 4.260 tỷ đồng) tài sản người dùng.
Theo nhiều nguồn tin trong ngành được trích dẫn cuối tuần qua (giờ địa phương), *Kelp DAO* đang chuẩn bị phản hồi chính thức đối với báo cáo sau sự cố của *LayerZero*. *Kelp* cho rằng báo cáo này “đẩy” trách nhiệm sang phía mình, và một bản ghi nhớ nội bộ về lập luận phản biện đã được hoàn thiện, chờ công bố.
Trong hệ sinh thái *DeFi*, *Kelp DAO* là một giao thức *“liquid restaking”* sử dụng *Ethereum(ETH)*: người dùng gửi *ETH* vào *EigenLayer* để tạo lợi suất, sau đó nhận lại token *rsETH* làm chứng chỉ. *LayerZero* cung cấp hạ tầng *cross-chain* cho phép chuyển *rsETH* giữa các blockchain, thông qua cơ chế xác thực DVN (Mạng lưới xác thực phi tập trung), đảm nhiệm việc kiểm tra tính hợp lệ của giao dịch.
Ở đây, *từ “Kelp DAO”*, *từ “LayerZero”*, *từ “rsETH”*, *từ “EigenLayer”* và *từ “cross-chain”* là các từ khóa then chốt cần chú ý khi theo dõi diễn biến vụ việc.
Cuộc tranh cãi chính thức bùng lên quanh thiết kế *DVN* mà hai bên cùng sử dụng. Trong báo cáo nội bộ được công bố sau vụ việc, *LayerZero* cho rằng *Kelp DAO* đã lựa chọn cấu trúc *“DVN 1/1”* – tức chỉ có một trình xác thực – khiến rủi ro bảo mật tăng cao. Ở cấu trúc này, chỉ cần một thực thể duy nhất ký duyệt là giao dịch được thông qua, nên nếu bị giả mạo hay xâm nhập, toàn bộ hệ thống gần như không có lớp bảo vệ thứ hai để ngăn chặn.
*Bình luận*: Về nguyên tắc bảo mật, việc phụ thuộc vào một điểm xác thực duy nhất luôn tạo ra “từ Single Point of Failure”, đặc biệt với hạ tầng *từ cross-chain* nơi rủi ro lan truyền giữa nhiều mạng lưới.
*Bên Kelp DAO* phản đối kịch liệt cách diễn giải này. Họ cho rằng cấu trúc *DVN 1/1* không phải là “lựa chọn tùy hứng” mà là một phần trong cấu hình mặc định do chính *LayerZero* cung cấp. Theo nguồn tin am hiểu sự việc, khoảng 40% tổng số giao thức đang vận hành trên *LayerZero* cũng dùng cùng mô hình xác thực đơn lẻ này. *Kelp* cũng nhấn mạnh: từ tháng 7 năm 2024 đến nay, trong các trao đổi chính thức giữa hai bên, *LayerZero* chưa từng đưa ra khuyến cáo cụ thể yêu cầu thay đổi cấu trúc DVN để gia cố bảo mật.
Điều này được củng cố bởi việc rà soát tài liệu kỹ thuật và kho mã nguồn GitHub của *LayerZero*, nơi cấu trúc DVN đơn lẻ được thể hiện là *“cấu hình mặc định”* cho nhiều tích hợp.
Trong vụ tấn công, kẻ xấu trực tiếp nhắm đến máy chủ xác thực của *LayerZero*. Chúng xâm nhập, làm bẩn (tampered) máy chủ DVN rồi đồng thời mở một cuộc tấn công lưu lượng (traffic attack) vào hệ thống sao lưu, khiến các máy chủ backup bị vô hiệu. Khi hạ tầng dự phòng tê liệt, hệ thống buộc phải quay về sử dụng máy chủ xác thực đã bị xâm hại, từ đó cho phép hacker qua mặt kiểm tra và chiếm đoạt khoảng 116.500 *từ rsETH*.
Theo phía *Kelp DAO*, điểm mấu chốt là: DVN bị xâm nhập không phải là một node bên ngoài cộng đồng vận hành, mà là hạ tầng nội bộ thuộc về *LayerZero*. Họ mô tả đây là một cuộc tấn công “ở tầm quốc gia” với mức độ tinh vi cao, đồng thời khẳng định các hợp đồng cốt lõi liên quan tới hoạt động *từ restaking* vẫn an toàn; thiệt hại chỉ tập trung tại lớp cầu nối (*bridge layer*), nơi việc chuyển đổi và luân chuyển *từ rsETH* giữa các chuỗi diễn ra.
*Kelp DAO* cho biết đã kích hoạt biện pháp khẩn cấp chặn giao dịch chỉ 46 phút sau khi sự cố bắt đầu, qua đó ước tính ngăn được khoảng 200 triệu đô la Mỹ thiệt hại bổ sung – con số lớn hơn nhiều so với lượng *rsETH* đã bị chiếm đoạt.
Không chỉ *Kelp DAO*, các chuyên gia bảo mật độc lập cũng đặt câu hỏi với lập luận của *LayerZero*. Nhà phát triển *yEarn Finance* được biết trên mạng xã hội với tên *banteg* (@banteg) cho biết, sau khi phân tích mã nguồn công khai của *LayerZero*, ông nhận thấy các cấu hình mặc định *DVN* dạng đơn lẻ đang được dùng trên nhiều chuỗi lớn, chứ không riêng gì tích hợp với *Kelp*.
Từ phía cộng đồng *Chainlink(LINK)*, quản lý cộng đồng *Zach Rynes* cũng lên tiếng chỉ trích, cho rằng *LayerZero* đang “đẩy trách nhiệm từ lỗi hạ tầng nội bộ sang cho *Kelp DAO*”, thay vì thừa nhận vấn đề thiết kế và vận hành của bản thân hệ thống.
Dưới áp lực dư luận, *LayerZero* tuyên bố sẽ dừng cung cấp chữ ký cho thông điệp gửi tới những dự án vẫn sử dụng cấu trúc DVN đơn lẻ. Điều này buộc hàng loạt giao thức *từ cross-chain* phụ thuộc vào *LayerZero* phải khẩn trương rà soát và nâng cấp mô hình xác thực – nhiều khả năng chuyển sang cấu trúc đa trình xác thực hoặc kết hợp với các lớp bảo mật bên ngoài.
*Bình luận*: Động thái “cắt chữ ký” này cho thấy *LayerZero* cũng thừa nhận rủi ro của *từ Single Point of Failure*, nhưng đồng thời lại làm dấy lên tranh cãi: vì sao một cấu hình vốn được cung cấp như mặc định, được hàng chục dự án sử dụng, chỉ đến khi xảy ra thiệt hại lớn mới bị xem là “không chấp nhận được”.
Vụ tấn công này trở thành minh chứng tiêu biểu cho điểm yếu cố hữu của hạ tầng *từ cross-chain* hiện tại: chỉ cần một “ mắt xích yếu” trong chuỗi xác thực, toàn bộ tài sản nối qua nhiều blockchain có thể bị đặt trong vòng nguy hiểm. Bài học không chỉ nằm ở kỹ thuật – như cấu trúc DVN hay cách tổ chức máy chủ – mà còn ở việc phân định rõ ràng phạm vi trách nhiệm bảo mật: phần nào thuộc về nhà cung cấp hạ tầng như *LayerZero*, phần nào do các giao thức tích hợp như *Kelp DAO* phải gánh vác.
Trong bối cảnh dòng vốn *DeFi* và các mô hình *từ liquid restaking* như *rsETH* ngày càng phát triển, tranh luận quanh “ai chịu trách nhiệm khi cấu hình mặc định bị tấn công” nhiều khả năng sẽ chưa sớm dừng lại. Vụ *Kelp DAO – LayerZero* vì thế trở thành phép thử quan trọng cho cách ngành công nghiệp *từ tiền mã hóa* tiếp cận câu chuyện chuẩn bảo mật, thiết kế mặc định và cơ chế chia sẻ rủi ro trong tương lai.
Bình luận 0