TVL Aave (AAVE) giảm 43% sau sự cố cầu nối rsETH của KelpDAO

Tổng giá trị tài sản khóa (TVL) trên Aave (AAVE) vẫn chưa quay lại mức trước khi xảy ra vụ tấn công cầu nối rsETH của KelpDAO, dù bản thân giao thức cho vay này không bị xâm nhập trực tiếp. Vụ việc để lại dư chấn kéo dài đối với thanh khoản của Aave.

Theo DefiLlama, tính đến ngày 19, TVL của Aave ở mức khoảng 14,6 tỷ USD. Protos đưa tin rằng TVL của Aave đã giảm 43% kể từ sau vụ tấn công ngày 18 tháng 4. Số liệu của DefiLlama tính đến ngày 19 cũng vẫn thấp hơn mức trước khi xảy ra sự cố.

Đây không phải là một vụ xâm nhập vào smart contract của Aave. Theo báo cáo sự cố công bố ngày 20 tháng 4 trên diễn đàn quản trị (governance forum) của Aave, kẻ tấn công đã khai thác lộ trình rsETH từ Unichain sang Ethereum thông qua LayerZero V2 của KelpDAO để rút 116.500 rsETH, trong đó có 89.567 rsETH được gửi vào Aave làm tài sản thế chấp. Báo cáo cho biết smart contract, oracle và cơ chế thanh lý của Aave vẫn hoạt động đúng như thiết kế.

Vụ tấn công xảy ra vào lúc 2h35 sáng ngày 19 tháng 4 (giờ Hàn Quốc). Khoảng 4h sáng cùng ngày, Aave đã đóng băng các reserve rsETH và wrsETH, chặn hoạt động gửi và vay mới, trong khi các vị trí hiện có vẫn phải trả nợ hoặc có thể bị thanh lý. Trong hai ngày 19 và 20 tháng 4, Aave tiếp tục điều chỉnh mô hình lãi suất WETH và đóng băng WETH.

Theo báo cáo của LayerZero, quy mô thiệt hại của vụ tấn công là 292 triệu USD. Trong báo cáo công bố ngày 20 tháng 5, LayerZero cho biết Mandiant, CrowdStrike và các nhà nghiên cứu bảo mật độc lập xác định nhóm đứng sau vụ tấn công là TraderTraitor (UNC4899), tổ chức có liên hệ với Triều Tiên. LayerZero chỉ ra rằng cấu hình chỉ dùng một validator duy nhất là vấn đề, khi hợp đồng đích chỉ cần một bằng chứng hợp lệ để giải phóng rsETH.

Phía KelpDAO đưa ra cách giải thích khác. CoinDesk đưa tin rằng KelpDAO cho rằng vấn đề nằm ở cấu hình mặc định và cấu trúc tin cậy hạ tầng của LayerZero. Cuộc tranh cãi về trách nhiệm giữa hai bên vẫn chưa có hồi kết.

Cầu nối (bridge) là cơ chế cho phép chuyển tài sản giữa các blockchain khác nhau. Người dùng khóa tài sản trên một chuỗi để nhận tài sản tương ứng trên chuỗi khác. Nếu cấu trúc xác thực trong quá trình này bị phá vỡ, sự cân bằng giữa phát hành và hoàn trả tài sản có thể bị lệch.

Cú sốc mà Aave hứng chịu diễn ra độc lập với cuộc tranh cãi về trách nhiệm. Khi niềm tin vào tài sản thế chấp bên ngoài lung lay, người gửi tiền rút vốn, khiến thanh khoản của thị trường cho vay suy giảm. TVL phản ánh quy mô tài sản trong giao thức, nhưng đồng thời cũng chịu tác động từ biến động giá, dòng tiền gửi mới và dòng rút vốn.

Quá trình khắc phục cũng được triển khai. Trong bản cập nhật phát triển tháng 5, Aave Labs cho biết công tác khắc phục của DeFi United bao gồm thanh lý, thu hồi tài sản thế chấp và bổ sung lockbox. Cũng theo tài liệu này, các vị trí của kẻ tấn công trên Ethereum (ETH) và Arbitrum (ARB) đã bị thanh lý, thanh khoản ETH tại các môi trường triển khai bị ảnh hưởng đã được khôi phục.

Trạng thái vận hành của rsETH cũng chuyển từ đóng băng ban đầu sang từng bước bình thường hóa. Bản cập nhật tháng 5 cho biết rsETH đã được mở lại trên các thị trường Aave Ethereum Core, Arbitrum, Base, Linea và Mantle (MNT). Tuy nhiên, các biện pháp vận hành và mức độ phục hồi của TVL diễn biến theo hai hướng khác nhau.

Về mặt số liệu, mức phục hồi vẫn còn hạn chế. Protos đưa tin rằng TVL của Aave đã giảm 43% sau vụ tấn công. So với số liệu hiện tại trên DefiLlama, Aave vẫn giữ vị thế là một trong những giao thức cho vay DeFi lớn, nhưng thanh khoản chưa trở lại mức trước khi xảy ra sự cố.

TokenPost trước đó đã đưa tin rằng vụ việc rsETH hồi tháng 4 được xem là nguyên nhân khiến các cuộc thảo luận về quản lý rủi ro trong thị trường cho vay trở nên sôi nổi hơn. Khi đó, diễn đàn quản trị của Aave đã thông báo đóng băng thị trường rsETH và wrsETH, còn báo cáo tiếp theo xác nhận 116.500 rsETH bị đánh cắp và 89.567 rsETH được gửi vào Aave làm tài sản thế chấp.

Bình luận: sự việc này để lại một tiêu chuẩn tham khảo khi đọc các chỉ số TVL trong DeFi. Dù TVL ở mức lớn, nhưng nếu niềm tin vào tài sản thế chấp và cấu trúc xác thực của cầu nối bị lung lay, cú sốc vẫn có thể lan ra toàn thị trường cho vay. Tác động dài hạn đối với Aave sẽ được xác nhận qua tốc độ phục hồi TVL và kết quả xử lý rsETH.