Khoản vay crypto đạt TVL 56 tỷ USD, rủi ro bridge vẫn còn

TVL của thị trường cho vay tiền mã hóa đã tăng hơn 55% kể từ tháng 7, lên khoảng 56 tỷ USD. Tuy nhiên, tài sản được gửi vào giao thức phục hồi không đồng nghĩa với rủi ro bảo mật đã được loại bỏ: sự cố tại bridge, mạng lưới xác thực hoặc oracle có thể biến thành vấn đề thanh khoản cho các giao thức cho vay.

Cointelegraph Magazine đưa tin về mức TVL khoảng 56 tỷ USD, tăng hơn 55% kể từ tháng 7. Chưa thể xác nhận con số này có cùng phạm vi chỉ số và thời điểm thống kê với số dư cho vay do Galaxy Research tổng hợp, nên không thể so sánh trực tiếp. Trong báo cáo công bố ngày 14 tháng 8, Galaxy Research ghi nhận dư nợ cho vay có tài sản mã hóa thế chấp đạt 56,16 tỷ USD trong quý II năm 2026. Con số này giảm 11,33 tỷ USD, tương đương 16,78%, so với quý trước. Galaxy Research nhận định diễn biến này giống một đợt suy giảm theo từng bước hơn là sụp đổ đột ngột. Nội dung này tiếp nối bài viết trước của TokenPost về xu hướng giảm dư nợ cho vay trong quý II.

Rủi ro từ hạ tầng bên ngoài có thể lan sang thị trường cho vay, như sự cố bridge rsETH của Kelp DAO hồi tháng 4 cho thấy. Trong báo cáo sự cố, LayerZero cho biết cuộc tấn công bridge ngày 18 tháng 4 đã làm thất thoát 116.500 rsETH, trị giá khoảng 292 triệu USD vào thời điểm đó. Kẻ tấn công dùng số rsETH bị chiếm đoạt làm tài sản thế chấp để vay tài sản khác. Hợp đồng thông minh của Aave không bị xâm nhập trực tiếp, nhưng vấn đề phát sinh tại bridge đã ảnh hưởng đến thị trường cho vay thông qua tài sản thế chấp.

Stani Kulechov, nhà sáng lập Aave kiêm CEO của Aave Labs, giải thích trong cuộc phỏng vấn gốc: “Việc chấp nhận một token làm tài sản thế chấp cũng đồng nghĩa với việc phụ thuộc vào bridge, cấu hình mạng lưới xác thực, oracle và an ninh vận hành của đơn vị phát hành token đó”. Điều này cho thấy chỉ xem xét giá và mức biến động của tài sản thế chấp là chưa đủ để đánh giá rủi ro.

Các bên đưa ra cách giải thích khác nhau về nguyên nhân và trách nhiệm trong sự cố. LayerZero cho biết trong báo cáo rằng cấu hình chỉ có một đơn vị xác thực đã bị lợi dụng trong cuộc tấn công. Kelp DAO phản hồi trong cuộc thảo luận công khai rằng cấu hình một đơn vị xác thực được cung cấp dưới dạng thiết lập mặc định của LayerZero. Dù lời giải thích của hai bên khác nhau, tài sản liên quan đến sự cố đã được dùng làm tài sản thế chấp, qua đó đưa rủi ro bridge sang một giao thức khác.

Việc rà soát tài sản và kiểm tra mã trong nội bộ giao thức cũng là một phần của quản lý rủi ro. Aave cho biết trong cuộc phỏng vấn gốc rằng họ rà soát tài sản theo quý và kiểm tra bổ sung khi có thay đổi đáng kể. Sam MacPherson, CEO của Spark, nói rằng quy trình này xem xét chất lượng tài sản thế chấp, thanh khoản, an ninh vận hành, quản trị và các mối phụ thuộc trong hệ sinh thái. Những quy trình đó không bảo đảm có thể ngăn sự cố tại bridge bên ngoài hoặc mạng lưới xác thực.

Aave Labs cho biết trong đợt rà soát mã V3 và V4 công bố ngày 13 tháng 8, ba công cụ bảo mật AI đã báo cáo tổng cộng 71 vấn đề. Sau khi rà soát thủ công, 20 vấn đề được phân loại là lỗi mức độ thấp hợp lệ hoặc vấn đề mang tính thông tin. Trong một thử nghiệm biến đổi riêng, nhóm đã đưa 304 thay đổi có chủ đích vào mã; các bài kiểm thử hiện có phát hiện được 271 thay đổi. 33 thay đổi còn lại không được xác định do hết thời gian kiểm thử. Aave Labs mô tả việc rà soát bằng AI là biện pháp bổ trợ cho quy trình bảo mật hiện có. Kết quả này liên quan đến việc rà soát mã, không xác minh an ninh vận hành của bridge hay hạ tầng bên ngoài.

Trên diễn đàn quản trị Aave, các ý kiến chỉ trích và phản biện xoay quanh bên chịu tổn thất và cách phản ánh rủi ro tài sản thế chấp. Một cuộc thảo luận khác ghi nhận đánh giá tích cực rằng các bên phụ trách rủi ro và cộng đồng đã phản ứng nhanh trong tình huống khủng hoảng. Đây là phản ứng trong cộng đồng Aave, không thể khái quát thành quan điểm của toàn ngành.

TVL thể hiện quy mô tài sản được gửi vào một giao thức. Chỉ số này không cho biết chất lượng tài sản thế chấp, mức độ phụ thuộc vào hệ thống bên ngoài hay khả năng rút vốn khi khủng hoảng xảy ra. Vì vậy, cần xem xét riêng biến động quy mô thị trường và tình trạng bảo mật.