Hack Kelp DAO làm rung chuyển DeFi restaking Ethereum(ETH), đe dọa Aave(AAVE) và hệ sinh thái cross-chain

Thị trường DeFi toàn cầu một lần nữa chao đảo vì lỗ hổng *“cross-chain”*. Vụ tấn công quy mô lớn nhắm vào cầu nối của *Kelp DAO* đã khiến khoảng 292 triệu USD tài sản bị rút cạn, kéo theo nguy cơ lan rộng sang toàn bộ hệ sinh thái *“restaking Ethereum(ETH)”*.

Theo dữ liệu on-chain tổng hợp ngày 17 (giờ UTC), vụ việc xảy ra trên cầu nối do *Kelp DAO* vận hành, xây dựng dựa trên hạ tầng *LayerZero*. Kẻ tấn công đã gửi *thông điệp cross-chain giả mạo* nhưng được hệ thống chấp nhận như yêu cầu chuyển tài sản hợp lệ, từ đó rút ra 116.500 rsETH về ví bên ngoài. Con số này tương đương khoảng 18% tổng nguồn cung rsETH đang lưu hành (khoảng 630.000 rsETH).

rsETH là token phát hành trong mô hình *“restaking”* – người dùng gửi Ethereum(ETH) để nhận thêm lợi suất, sau đó rsETH được sử dụng trong nhiều giao thức khác nhau. *Kelp DAO* lưu trữ tài sản bảo chứng trên cầu nối để giúp rsETH lưu thông đa chuỗi. Vụ hack khiến chính *cấu trúc thế chấp* này bị lung lay, đặt nền tảng “niềm tin” của các token staking vào tình trạng báo động.

*Kelp DAO* cho biết đã kích hoạt cơ chế multisig khẩn cấp và dừng các hợp đồng chính chỉ trong 46 phút sau khi phát hiện tấn công. Những nỗ lực tiếp theo với cùng phương thức đã bị chặn lại, song thiệt hại ban đầu vẫn ở quy mô đặc biệt nghiêm trọng.

bình luận: Về mặt kỹ thuật, đây không đơn thuần là lỗi hợp đồng riêng lẻ mà là vấn đề ở tầng giao thức nhắn tin cross-chain – mắt xích đang ngày càng trở nên hệ trọng khi DeFi đa chuỗi phát triển.

Nguy cơ nhóm hacker Triều Tiên, tấn công theo “mô thức liên hoàn”

Các chuyên gia an ninh mạng nghi ngờ vụ việc có liên quan tới nhóm hacker được cho là gắn với Triều Tiên, khi so sánh với vụ tấn công giao thức Drift chỉ vài tuần trước.

Alexander Urbelis (ENS Labs) nhận định: “Đây không phải sự cố đơn lẻ mà giống một *mô thức hoạt động liên tục*. Không thể xử lý chỉ bằng vài bản vá bảo mật đơn giản”.

Điểm đáng lo ngại là vụ tấn công không dựa vào *bẻ khóa mật mã* hay *đánh cắp khóa riêng*, mà tập trung thao túng *dữ liệu mà hệ thống coi là đáng tin*. Kẻ tấn công lợi dụng chính cách blockchain xử lý “dữ liệu đã được xác thực” để đánh lừa cầu nối, từ đó rút tài sản. Điều này khiến nhiều chuyên gia đánh giá vụ việc đã chạm tới *gốc rễ cấu trúc niềm tin* của hạ tầng DeFi.

Tính cả vụ Drift trước đó, tổng số tiền bị đánh cắp trong chuỗi tấn công mới nhất này đã vượt mốc 500 triệu USD (ước khoảng 7.400 tỷ đồng).

bình luận: Thanh khoản ngày càng tập trung trên một số ít giao thức và cầu nối lớn. Khi nhóm tấn công hiểu sâu cơ chế cross-chain, mỗi lỗ hổng không chỉ là “một vụ hack”, mà là một mắt xích trong chiến dịch dài hơi.

Rủi ro lan sang Aave(AAVE): khoản vay có thể thành “nợ xấu” tới 230 triệu USD

Tác động từ vụ *Kelp DAO* không dừng lại ở hệ rsETH. Ngay sau khi chiếm được số token này, kẻ tấn công đã gửi khoảng 89.567 rsETH làm tài sản thế chấp trên Aave(AAVE), rồi vay ra gần 190 triệu USD Ethereum(ETH) cùng các tài sản khác.

Điều này lập tức đẩy Aave vào thế rủi ro: nền tảng đang nắm *khoản vay được bảo đảm bằng tài sản thế chấp đã bị tổn hại niềm tin và giá trị*. Nếu rsETH mất giá mạnh hoặc cơ chế bồi thường không rõ ràng, Aave có thể đối mặt với khoản nợ xấu lớn.

Để ứng phó, Aave đã:

– Đóng băng thị trường rsETH,

– Điều chỉnh tỷ lệ cho vay trên giá trị tài sản thế chấp (LTV) của rsETH về 0,

– Ngừng toàn bộ khoản vay mới liên quan tới loại tài sản này.

Tùy vào cách xử lý thiệt hại, quy mô tác động tới hệ sinh thái có thể rất khác nhau. Một số ước tính cho rằng:

– Nếu *chia sẻ tổn thất đều* cho toàn bộ người nắm giữ rsETH, khoản “thâm hụt” sẽ khoảng 124 triệu USD;

– Nếu *tập trung lỗ* vào một số Layer2 hoặc phân đoạn nhất định, tổng nợ xấu có thể *phình lên* tới 230 triệu USD.

bình luận: Câu chuyện với Aave cho thấy rủi ro “lan truyền theo chiều dọc” của DeFi: một lỗ hổng ở tầng bridge có thể biến thành khủng hoảng nợ ở tầng lending, ngay cả khi bản thân giao thức lending không mắc lỗi kỹ thuật trực tiếp.

Đóng băng một phần tài sản, Arbitrum(ARB) kích hoạt cơ chế quản trị khẩn cấp

Một điểm sáng tương đối trong bức tranh u ám là việc thu giữ được một phần tài sản bị đánh cắp. Ủy ban an ninh của Arbitrum(ARB) đã phong tỏa khoảng 30.766 ETH (khoảng 71 triệu USD, tương đương hơn 1.050 tỷ đồng) liên quan tới vụ việc.

Số ETH này được chuyển vào một ví riêng do phía Arbitrum kiểm soát. Từ thời điểm bị đóng băng, việc di chuyển hay sử dụng chúng chỉ có thể diễn ra khi được *cộng đồng quản trị* phê duyệt. Đại diện Arbitrum khẳng định động thái này “không gây ảnh hưởng tới người dùng cuối và các ứng dụng đang hoạt động trên mạng lưới”.

bình luận: Việc Arbitrum can thiệp cho thấy vai trò ngày càng lớn của các cơ chế quản trị tập trung – bán tập trung trong bảo mật DeFi. Tuy nhiên, nó cũng đặt ra câu hỏi: đến mức nào thì “khả năng can thiệp” sẽ xung đột với kỳ vọng về tính phi tập trung.

Khả năng “chia sẻ tổn thất” thấp, bất ổn xoay quanh rsETH vẫn kéo dài

Thị trường đặc biệt chú ý tới cách *Kelp DAO* sẽ xử lý phần thâm hụt còn lại. Phương án gây tranh cãi nhất là “socialize loss” – *phân bổ lỗ* cho toàn bộ người dùng, bao gồm cả người gửi Ethereum(ETH) trên mainnet chưa từng chạm tới bridge.

Dữ liệu từ nền tảng dự đoán Polymarket cho thấy, khả năng *Kelp DAO* thực hiện chia sẻ tổn thất dạng này chỉ khoảng 14%. Đây là mô hình từng được áp dụng trong vụ hack Bitfinex nhiều năm trước, khi sàn quyết định phân bổ thiệt hại cho tất cả khách hàng thông qua token hóa nợ.

Việc rsETH hiện diện sâu trong nhiều giao thức restaking, lending và yield farming khiến bài toán trở nên phức tạp hơn: bất kỳ quyết định “cắt lỗ” nào cũng có thể kích hoạt vòng xoáy thanh lý tài sản thế chấp và rút vốn hàng loạt.

bình luận: Đợt khủng hoảng lần này không chỉ là câu chuyện “một cầu nối bị hack”, mà là phép thử cho:

– Độ bền vững của mô hình *restaking*,

– Cách DeFi xử lý tài sản phái sinh staking khi niềm tin vào tài sản bảo chứng lung lay,

– Giới hạn của cross-chain trong bối cảnh yêu cầu bảo mật ngày càng cao.

Kết luận: Cross-chain, restaking và bài toán niềm tin của DeFi

Vụ tấn công nhắm vào *Kelp DAO*, rsETH và chuỗi sự kiện kéo theo tại Aave(AAVE), Arbitrum(ARB) đã phơi bày hàng loạt điểm yếu trong cấu trúc hiện tại của *DeFi đa chuỗi*. Từ lỗ hổng *“cross-chain”* tới mô hình *“restaking Ethereum(ETH)”* và cơ chế thế chấp trong lending, mỗi lớp đều cho thấy mức độ phụ thuộc rất lớn vào giả định: “dữ liệu cross-chain là đúng và đáng tin”.

Khi giả định này bị phá vỡ, hệ thống không chỉ mất tiền, mà còn mất *niềm tin* – tài sản staking, token restaking, hay các khoản vay thế chấp đều bị nghi ngờ. Trong thời gian tới, thị trường nhiều khả năng sẽ theo dõi sát:

– Khả năng *Kelp DAO* bồi thường và tái cấu trúc mô hình rsETH,

– Cách Aave và các giao thức lending quản trị rủi ro tài sản thế chấp “bị ô nhiễm”,

– Phản ứng của cộng đồng trước vai trò ngày càng lớn của các ủy ban bảo mật, hội đồng quản trị trên các mạng như Arbitrum(ARB).

Nếu không có cải tiến đáng kể về cơ chế xác thực cross-chain và thiết kế lại các mô hình *restaking*, những cú sốc kiểu *Kelp DAO – rsETH – Ethereum(ETH)* nhiều khả năng sẽ còn lặp lại, tiếp tục thử thách khả năng chịu đựng của toàn bộ hệ sinh thái DeFi.