Rủi ro dây chuyền trong khủng hoảng của KelpDAO và quyền xử lý khẩn cấp

Chính điểm chính: KelpDAO bị lỗ 2,9 tỷ USD do lỗ cầu nối gây ra chuỗi phản ứng, đóng băng hơn 6,7 tỷ USD thanh khoản WETH trên năm chuỗi, ảnh hưởng đến cả những người dùng chưa từng tiếp xúc với rsETH. Sự kiện này còn tiết lộ giới hạn thực tế của hệ thống “permissionless”: Hội đồng Bảo mật Arbitrum đã thực hiện nâng cấp hợp đồng nguyên tử được ủy quyền qua quản trị để bắt buộc chuyển đổi trạng thái, chuyển nhượng 30.766 ETH mà không cần chữ ký của chủ sở hữu.

Vào ngày 18 tháng 4 năm 2026, cầu chéo rsETH của KelpDAO bị tấn công, thiệt hại khoảng 2,9 tỷ USD, trở thành sự cố an ninh DeFi lớn nhất trong năm nay. Phân tích sơ bộ cho thấy nguồn gốc từ Lazarus Group, một tổ chức tấn công cấp quốc gia có hồ sơ rõ ràng, lâu dài nhắm vào hạ tầng mã hóa [1]. Cuộc tấn công này không dựa vào lỗ hổng hợp đồng thông minh, mà thông qua việc đầu độc một nút mạng xác thực phi tập trung (DVN) duy nhất mà RPC hạ tầng của nó phụ thuộc, giả mạo tin nhắn chéo chuỗi, và trong khi không có sự tiêu hủy tương ứng trên chuỗi nguồn, đã phát hành token rsETH.

LayerZero [1] và KelpDAO [2] đã cung cấp mô tả chi tiết về cuộc tấn công. Bài viết này tiếp cận từ góc độ khác: không lặp lại quá trình tấn công, mà xem xét những gì đã xảy ra sau đó: cách một điểm phụ thuộc hạ tầng đơn lẻ đã gây ra chuỗi đóng băng thanh khoản hàng tỷ đô trên năm chuỗi, và chuỗi phản ứng này đã buộc khung quản trị phi tập trung phải sử dụng quyền trung tâm trong mắt công chúng.

Chuỗi nguyên nhân của sự kiện KelpDAO xuyên suốt ba tầng của hệ sinh thái “phi tập trung”: phụ thuộc điểm đơn lẻ vào DVN khiến cuộc tấn công trở nên khả thi; khả năng phối hợp của DeFi (tức “DeFi Lego”, các giao thức kết nối như các khối xây dựng) đã biến lỗ hổng cầu nối thành khủng hoảng thanh khoản hệ thống; và quy mô khủng hoảng lại buộc khung quản trị phải lộ rõ quyền trung tâm trong đó.

Bối cảnh: Tóm tắt cuộc tấn công KelpDAO

KelpDAO là đơn vị phát hành rsETH. rsETH là một token thế chấp lại thanh khoản (LRT), đại diện cho các vị thế staking ETH phân bổ trên nhiều nhà vận hành. Để cho phép rsETH lưu thông chéo chuỗi, KelpDAO tích hợp giao thức tin nhắn LayerZero. Giao thức này dựa vào DVN (mạng xác thực phi tập trung) để xác nhận tính hợp lệ của tin nhắn chéo chuỗi trước khi thực thi trên chuỗi đích.

Lựa chọn cấu hình then chốt: Ứng dụng rsETH của KelpDAO sử dụng cấu hình 1-đến-1 DVN, chỉ dựa vào DVN do LayerZero Labs vận hành làm xác thực duy nhất. Điều này có nghĩa toàn bộ an ninh chéo chuỗi của rsETH phụ thuộc vào một thực thể xác thực duy nhất. Tài liệu tích hợp của LayerZero rõ ràng khuyến nghị sử dụng cấu hình nhiều DVN dự phòng, và LayerZero đã thông báo cho KelpDAO về thực hành tốt nhất này trước khi xảy ra [1]. KelpDAO phản hồi rằng, cấu hình 1-đến-1 là “theo ghi nhận trong tài liệu LayerZero và được phát hành như cấu hình mặc định cho mọi triển khai OFT mới”, và “trong quá trình mở rộng L2 đã được xác nhận rõ ràng là phù hợp” [2].

Kẻ tấn công xâm nhập hai nút RPC của DVN do LayerZero Labs vận hành, thay thế phần mềm nhị phân của chúng bằng phiên bản độc hại. Các nút độc hại này chỉ trả về dữ liệu trạng thái giả mạo trên chuỗi cho địa chỉ IP của DVN, còn các quan sát viên khác (bao gồm hạ tầng giám sát của LayerZero) vẫn hoạt động bình thường. Đồng thời, một cuộc tấn công từ chối dịch vụ (DDoS) nhằm vào các nút RPC không bị xâm nhập buộc hệ thống chuyển sang các nút đã bị đầu độc. Kết quả: DVN xác nhận một tin nhắn chéo chuỗi chưa từng xảy ra trên chuỗi nguồn, mà không có sự tiêu hủy tương ứng, đã phát hành 116.500 rsETH từ bộ điều hợp Ethereum (0x85d4…8ef3). Giao dịch phát hành là 0x1ae232…db4222. Chứng cứ trên chuỗi rõ ràng: điểm cuối mục tiêu của Ethereum chấp nhận nonce 308, trong khi điểm cuối nguồn của Unichain báo nonce tối đa vẫn là 307 [10].

Trong vòng 46 phút, KelpDAO phát hiện bất thường và tạm dừng tất cả các hợp đồng liên quan. Điều này ngăn chặn cuộc tấn công tiếp theo nhằm vào 40.000 rsETH (khoảng 95 triệu USD) [2]. Tuy nhiên, lúc này, kẻ tấn công đã bước sang giai đoạn tiếp theo: dùng các giao thức vay mượn DeFi để chuyển đổi rsETH bị đánh cắp thành tài sản cho vay.

Từ token giả đến tài sản cho vay

Kẻ tấn công không bán trực tiếp rsETH bị đánh cắp. 116.500 token này được phân tán vào bảy ví con, qua nhiều kênh để thanh khoản, bao gồm đổi trực tiếp thành ETH qua các aggregator, vị thế cho vay trên Compound V3, và cầu chéo sang Arbitrum [10]. Nhưng con đường ảnh hưởng sâu sắc nhất là qua Aave: kẻ tấn công gửi 89.567 rsETH (khoảng 221 triệu USD) vào hai thị trường vay mượn trên các chuỗi Ethereum Core và Arbitrum. Sử dụng tính năng E-Mode của Aave (cho phép các tài sản liên quan có tỷ lệ vay cao hơn để tối ưu vốn), kẻ tấn công đã thế chấp rsETH để vay 82.620 WETH và 821 wstETH [3].

Các vị thế này được đòn bẩy tối đa. Các địa chỉ của kẻ tấn công có hệ số sức khỏe (health factor) trong khoảng 1.01 đến 1.03, chỉ cao hơn ngưỡng thanh lý một chút [3]. Điều này xảy ra vì E-Mode của Aave đặt LTV của rsETH là 93%, trong khi ngưỡng thanh lý là 95%, chỉ còn lại khoảng cách an toàn 2 điểm phần trăm.

Chi tiết các địa chỉ trên hai thị trường như sau:

| Bảng 1: Chi tiết cung cấp rsETH và vay WETH/wstETH của kẻ tấn công trên hai thị trường Aave |
|—|—|—|
| Nguồn: Dữ liệu on-chain, tổng hợp từ Etherscan, Arbiscan và DeBank, đến 22-04-2026 16:51 UTC. Giá trị USD phản ánh giá token tại thời điểm giao dịch. |

Hiệu ứng chuỗi phản ứng: lỗ hổng cầu nối làm đóng băng WETH trên năm chuỗi

Hình dưới tóm tắt toàn bộ chuỗi phản ứng liên chuỗi. Các bước 1 và 2 (lỗ hổng cầu nối và gửi ký gửi thế chấp vào Aave) đã được trình bày trong phần bối cảnh phía trên. Phần này phân tích sâu các bước 3 đến 5: tại sao WETH phải bị đóng băng, các tham số nào định hình mức độ nghiêm trọng của chuỗi phản ứng, và chi phí thực tế của việc đóng băng này.

Hình 1: Chuỗi phản ứng từ lỗ hổng cầu nối đến đóng băng WETH trên năm chuỗi

Tại sao WETH phải bị đóng băng

Ngày 19 tháng 4, Protocol Guardian của Aave đã đóng băng tất cả các thị trường rsETH và wrsETH trên Aave V3 và V4, cấm gửi tiền mới hoặc vay mượn bằng rsETH [8]. Đây là bước phản ứng đầu tiên dự kiến.

Điều bất ngờ xảy ra vào ngày 20 tháng 4: Aave đóng băng dự trữ WETH trên Ethereum, Arbitrum, Base, Mantle và Linea [3, 8].

Tại sao phải đóng băng WETH? Đây là loại tài sản chưa bị tấn công, không liên quan gì đến cầu chéo chuỗi. Bởi vì rsETH do kẻ tấn công tạo ra mà không có tài sản tương ứng trên chuỗi nguồn. Các oracles của Aave vẫn định giá đầy đủ các token này theo giá thị trường, coi chúng là tài sản thế chấp hợp lệ không thể phân biệt với rsETH hợp pháp đã được cầu nối. Kẻ tấn công lợi dụng sự bất đối xứng thông tin này để vay WETH có bảo đảm không có thật, đại diện cho nợ không có bảo đảm trong hệ thống. Điều này làm cạn kiệt WETH trong các bể vay, đẩy tỷ lệ sử dụng của các thị trường này lên 100%. Khi tỷ lệ sử dụng đạt mức tối đa, người gửi WETH không thể rút tiền, và các nhà thanh lý cũng không thể thực hiện thanh lý do thiếu tài sản cơ bản. Cơ chế thanh lý, là lớp phòng thủ chính chống nợ xấu của hệ thống, thực tế đã bị tê liệt [3].

Nếu các khoản vay WETH vẫn mở, các thanh khoản còn lại trên các chuỗi khác có thể bị rút cạn theo cơ chế tương tự: gửi rsETH, vay WETH, rồi rời đi. Việc đóng băng WETH là biện pháp duy nhất để kiểm soát thiệt hại.

Ba tham số định hình chuỗi phản ứng

Mức độ nghiêm trọng của chuỗi phản ứng này không phải ngẫu nhiên. Ba tham số của giao thức quyết định quy mô thiệt hại trực tiếp và phạm vi đóng băng lan rộng.

1. LTV: Mức tối đa tài sản khỏe mạnh có thể rút ra từ mỗi đơn vị tài sản thế chấp bị nhiễm độc

LTV của rsETH trong E-Mode của Aave là 93%, nghĩa là gửi 1 USD rsETH bị nhiễm độc, có thể vay 0,93 USD WETH. Ngược lại, LTV của rsETH trong Spark Protocol là 72%, của Fluid khoảng 75% [3]. Tham số của Aave là mức cao nhất trên thị trường.

Đây là quyết định thiết kế có tính toán kỹ lưỡng, chứ không phải sơ suất. Tháng 1 năm 2026, quản trị Aave đã nâng LTV của rsETH trong E-Mode từ 92,5% lên 93%, làm giảm khoảng cách an toàn vốn đã mỏng manh còn 2%. LTV không E-Mode được đặt gần như bằng 0 (0,05%), buộc mọi khoản vay rsETH có ý nghĩa đều phải qua LTV cao trong E-Mode.

[3] 2. Độ sâu của bể thanh khoản: Độ nhạy của các thị trường đối với việc rút tiền

Cùng một khoản vay, nhưng tác động khác nhau tùy theo độ sâu của bể thanh khoản mục tiêu.

| Bảng 2: Quy mô dự trữ WETH của các thị trường Aave V3 và tỷ lệ rút trực tiếp của kẻ tấn công |
|—|—|—|
| Kẻ tấn công chỉ gửi rsETH vào thị trường Aave V3. Aave V4 (chỉ triển khai trên Ethereum, ra mắt ngày 30-3-2026) cũng bị đóng băng dự trữ rsETH phòng ngừa ###, nhưng không phản ánh trong bảng này. Dữ liệu dự trữ WETH lấy từ LlamaRisk [8]; dữ liệu vay mượn lấy từ các địa chỉ đã nêu ở trên. |

Kẻ tấn công tập trung vào các thị trường Ethereum Core và Arbitrum để vay mượn. Nhưng điểm quan trọng là những gì xảy ra trên các chuỗi mà kẻ tấn công chưa từng chạm tới. Vì rsETH được chấp nhận làm tài sản thế chấp trên Mantle, Base, Linea, khi cầu chéo bị phá vỡ, các vị thế của người dùng đã có trên các chuỗi này đối mặt rủi ro nợ xấu tiềm tàng. Việc Aave quyết định đóng băng WETH phòng ngừa trên tất cả năm chuỗi là phản ứng hợp lý: nếu giữ các thị trường này mở, chúng sẽ bị khai thác theo cơ chế rút tiền đã được xác nhận trên Ethereum và Arbitrum [3, 8].

[3] 3. Số lượng triển khai chéo chuỗi: phạm vi lan truyền của đóng băng

rsETH nằm trong 11 thị trường Aave V3, trong đó 7 thị trường có thực chất rủi ro ###. Kẻ tấn công chỉ thao tác trên 2 chuỗi, nhưng việc đóng băng WETH phòng ngừa đã lan rộng ít nhất 5 chuỗi, bao gồm các thị trường mà kẻ tấn công chưa từng gửi token vào. LTV quyết định lượng rút tiền trên từng chuỗi, độ sâu của bể thanh khoản quyết định mức ảnh hưởng của từng thị trường. Nhưng cuối cùng, số lượng liên kết của rsETH làm tài sản thế chấp quyết định phạm vi lan truyền của đóng băng.

Các tham số này không cố định. Trước sự kiện 9 ngày, ngày 9-4, quản trị Aave đã nâng giới hạn cung cấp rsETH: Ethereum Core từ 480.000 lên 530.000, Mantle từ 52.000 lên 70.000 [3]. Dù không thể khẳng định rõ ràng mối liên hệ nhân quả (thời gian chuẩn bị của kẻ tấn công có thể sớm hơn các điều chỉnh này), nhưng rõ ràng các điều chỉnh thông số đã vô tình mở rộng phạm vi ảnh hưởng của các sự kiện trong tương lai.

Ảnh hưởng thực tế của việc đóng băng

Kết quả: lỗ hổng cầu nối trị giá 2,9 tỷ USD đã khiến thanh khoản WETH trên năm chuỗi bị đóng băng, tổng dự trữ của các thị trường bị ảnh hưởng vượt quá 67 tỷ USD.

Thiệt hại trực tiếp giới hạn trong khoản vay của kẻ tấn công. Nhưng trong vay mượn DeFi, việc đóng băng không chỉ là gián đoạn vận hành nhỏ. Nó khóa thanh khoản người dùng, ngăn rút tiền, làm rối loạn các vị thế hoạt động, và làm suy yếu cơ chế thanh lý để phòng tránh nợ xấu. Phần lớn người dùng bị ảnh hưởng chưa từng tiếp xúc với rsETH, KelpDAO hay bất kỳ cầu chéo nào. Họ là các nhà gửi WETH và vay WETH trên Aave, tham gia vào các thị trường mà họ nghĩ là rõ ràng, minh bạch.

WETH là tài sản thanh khoản cơ bản nhất của DeFi. Việc đóng băng WETH tương đương với việc đóng cổng rút tiền của ngân hàng lớn nhất toàn thành phố, chỉ vì một tổ chức tài chính khác đã bị lừa đảo bằng một sản phẩm mà phần lớn người gửi chưa từng nghe tên.

Báo cáo sự kiện của LlamaRisk [3] đã xây dựng hai mô hình dự báo nợ xấu, cung cấp dự đoán thiếu hụt theo từng chuỗi, là phân tích rủi ro lan truyền chi tiết nhất hiện nay. Nhưng ngay cả phân tích này cũng chỉ tập trung vào nợ xấu tiềm năng, chứ chưa đề cập đến chi phí vận hành rộng hơn của việc đóng băng: khóa rút tiền, cản trở vị thế, và làm suy yếu khả năng thanh lý của các thị trường bị ảnh hưởng. Việc định lượng toàn diện tác động của chuỗi phản ứng vẫn còn là một câu hỏi mở.

Nếu nói chuỗi phản ứng tấn công phức tạp, thì quá trình phục hồi cũng không đơn giản. Khả năng phối hợp của DeFi vừa là giới hạn, vừa là ràng buộc của quá trình sửa chữa. Aave không thể “giải phóng tất cả” một cách dễ dàng. Mỗi thị trường cần đánh giá riêng, dựa trên rủi ro của rsETH, tỷ lệ WETH sử dụng, và hoạt động của kẻ tấn công. Dưới đây là dòng thời gian rõ ràng:

• 19-4: Protocol Guardian của Aave đóng băng tất cả các dự trữ rsETH và wrsETH trên V3 và V4 [3].
• 20-4: WETH bị đóng băng trên Ethereum, Arbitrum, Base, Mantle, Linea [3, 8].
• 21-4: WETH trên Ethereum Core V3 được giải phóng, LTV giữ ở 0 như biện pháp phòng ngừa. WETH trên các chuỗi còn lại vẫn bị đóng băng [8].
• Sau 4 ngày, chỉ có một thị trường được phục hồi. Quá trình này theo từng bước, từng chuỗi, đòi hỏi sự phối hợp của quản trị và đánh giá rủi ro.

Phản ứng khẩn cấp: Arbitrum chuyển 30.766 ETH mà không cần chữ ký của chủ sở hữu

Trong khi Aave xử lý chuỗi phản ứng vay mượn, Arbitrum cũng tiến hành phản ứng song song. Ngày 21-4, Hội đồng Bảo mật Arbitrum tuyên bố thực hiện hành động khẩn cấp, đóng băng 30.766 ETH của kẻ tấn công trên Arbitrum One [8]. Các khoản này được chuyển đến một địa chỉ trung gian đóng băng (0x…0DA0), chỉ có thể xử lý qua bỏ phiếu quản trị sau này [6].

Hành động quản trị của Arbitrum
Arbitrum Security Council là thành phần chính thức của cấu trúc quản trị DAO của Arbitrum, không phải tổ chức bên ngoài hay ủy ban tạm thời. Hành động khẩn cấp này được công khai trên diễn đàn quản trị của Arbitrum [7], sau khi xác định danh tính kẻ tấn công, đã thực hiện theo quy trình, kèm theo đầy đủ chi tiết giao dịch để mọi người xác minh. Hội đồng Bảo mật hành xử trong phạm vi quyền hạn đã được ủy quyền, cân nhắc cam kết bảo vệ an toàn và toàn vẹn của cộng đồng Arbitrum, mà không ảnh hưởng đến người dùng hoặc ứng dụng nào ###.

Cơ chế kỹ thuật
Điều làm nổi bật hành động này không phải là quyết định quản trị, mà là cách thực thi trên chuỗi. Dựa trên phân tích trace của BlockSec Phalcon [7], Hội đồng Bảo mật đã thực hiện thao tác nguyên tử gồm ba bước:

• Người thực thi nâng cấp tạm thời hợp đồng inbox của Ethereum (DelayedInbox), thêm một hàm mới tên sendUnsignedTransactionOverride.
• Hàm này tạo ra một tin nhắn chéo chuỗi giả mạo địa chỉ của kẻ tấn công. Tin nhắn được đưa vào qua Bridge.enqueueDelayedMessage, loại=3, tương ứng với L1MessageType_L2Message trong Arbitrum Nitro. Loại tin nhắn này cho phép thực thi L2MessageKind_UnsignedUserTx trên L2 mà không cần xác thực chữ ký.
• sender tham số chuyển từ msg.sender tiêu chuẩn sang đầu vào do người gọi kiểm soát, qua chuyển đổi tên địa chỉ L1→L2 mang theo ngữ cảnh của kẻ tấn công.

Sau khi thực thi xong, hợp đồng inbox được khôi phục về trạng thái ban đầu.

Các giao dịch L1 [6] và các giao dịch L2 phát sinh từ đó đều có thể xem công khai trên Phalcon Explorer. Giao dịch L2 hiển thị là “từ kẻ tấn công đến 0x…0DA0”, nhưng đây không phải là chuyển khoản ký bởi người dùng theo kiểu thông thường, mà là một chuyển đổi trạng thái bắt buộc của chuỗi: qua nâng cấp quyền của hạ tầng quản trị, chuyển nhượng tài sản mà không cần khóa riêng của chủ sở hữu.

Khó khăn của mô hình phi tập trung
Nguyên lý rất đơn giản: hợp đồng có thể nâng cấp, do đó có thể bị thay đổi để làm bất cứ điều gì, kể cả chuyển tài sản mà không cần chữ ký của chủ sở hữu. Đây là khả năng vốn có của hệ thống xây dựng dựa trên hợp đồng nâng cấp. 30.766 ETH hiện đang nằm trong một địa chỉ đóng băng. Chỉ có thể quyết định xử lý sau qua bỏ phiếu của Arbitrum. Mô hình nâng cấp - thực thi - phục hồi nguyên tử này không để lại bất kỳ thay đổi vĩnh viễn nào cho hợp đồng inbox, cũng không ảnh hưởng đến người dùng hoặc ứng dụng khác [6].

Theo đánh giá hợp lý, hành động của Hội đồng Bảo mật Arbitrum là chính xác. Kẻ tấn công được xác định là hành vi cấp quốc gia, có sự tham gia của cơ quan thực thi pháp luật, quá trình quản trị công khai minh bạch, và số tiền bị đánh cắp 71 triệu USD đã được thu hồi hoặc ít nhất ngăn chặn rửa tiền tiếp theo.

Tuy nhiên, khả năng này, vốn dĩ rất mạnh mẽ, không chỉ giới hạn trong trường hợp này. Cơ chế nâng cấp - thực thi - phục hồi tương tự có thể dùng để chuyển bất kỳ tài sản nào của bất kỳ địa chỉ nào trên Arbitrum One. Quyền của Hội đồng Bảo mật không chỉ giới hạn ở địa chỉ của kẻ tấn công hay số tiền bị đánh cắp, mà là một khả năng chung, bị ràng buộc bởi quy định quản trị chứ không phải mã nguồn.

Đây chính là điểm khó khăn. Người dùng khi tương tác với L2 thường có niềm tin ngầm: “Tài sản của tôi do khóa riêng của tôi kiểm soát, không có chữ ký của tôi thì không ai có thể chuyển.” Sự cố của KelpDAO cho thấy, niềm tin này chưa đủ. Trên Arbitrum và bất kỳ L2 nào có hợp đồng cầu nâng cấp và Hội đồng Bảo mật, tài sản có thể bị chuyển bằng hành động quản trị hoàn toàn bỏ qua xác thực chữ ký.

Arbitrum không phải là ngoại lệ. Việc đóng băng của Aave cũng là hành động khẩn cấp dựa trên quản trị. Trong sự kiện KelpDAO, nhiều giao thức đã cùng thực thi quyền trung tâm: Aave đóng băng các thị trường trên năm chuỗi, Hội đồng Bảo mật Arbitrum thực hiện chuyển khoản bắt buộc, KelpDAO tạm dừng toàn bộ hợp đồng. Các phản ứng này, trong thực tế, là sự phối hợp quyền trung tâm, rõ ràng là cần thiết.

Vấn đề không phải là quyền khẩn cấp có nên tồn tại hay không. Trường hợp của KelpDAO cung cấp bằng chứng rõ ràng về sự cần thiết của nó. Vấn đề là giới hạn, điều kiện kích hoạt, và cơ chế trách nhiệm giải trình của các quyền này có đủ minh bạch không. Người dùng gửi tài sản lên L2 nên có thể trả lời câu hỏi cơ bản: Trong trường hợp nào Hội đồng Bảo mật có thể chuyển khoản của tôi? Tôi có quyền đòi lại gì không?

Tình trạng của số tiền bị đánh cắp

Theo theo dõi độc lập trên chuỗi (mô hình đầy đủ xem tại MetaSleuth ###), kẻ tấn công đã phân tán 116.500 rsETH vào 7 địa chỉ chính, phần lớn được gửi vào Aave (Ethereum Core và Arbitrum) để thế chấp vay WETH và wstETH, các token vay mượn này sau đó đổi qua DEX và tập trung tại địa chỉ 0x5d39…7ccc (Ethereum / Arbitrum). Tính đến 22-04-2026 05:42 UTC, số tiền bị đánh cắp phân bố trong bốn trạng thái:

| Bảng 3: Phân bố số tiền bị đánh cắp (đến 22-04-2026 05:42 UTC) |
|—|—|—|
| Khoảng 31% bị đóng băng hoặc chặn, 23% còn lại nằm trong một địa chỉ chưa hoạt động trên Ethereum, 46% đã hoặc đang phân tán đến 103 địa chỉ cấp dưới. Kẻ tấn công vẫn chưa rút lại rsETH thế chấp trong Aave, cũng chưa hoàn trả WETH và wstETH vay mượn, các vị thế vay đã bị bỏ rơi. |

Chuỗi phản ứng của KelpDAO xuyên suốt ba tầng của hệ sinh thái “phi tập trung”.

• Điểm khởi đầu là phụ thuộc điểm đơn lẻ: cấu hình 1-đến-1 DVN khiến xác thực chéo chuỗi bị thu hẹp về một thực thể duy nhất, làm cầu nối dễ bị tấn công khi hạ tầng bị xâm phạm.
• Khả năng phối hợp của DeFi đã biến lỗ hổng cầu nối thành khủng hoảng thanh khoản hệ thống, ảnh hưởng đến hàng tỷ USD, liên quan đến người dùng không liên quan gì đến rsETH hay KelpDAO.
• Quy mô khủng hoảng buộc khung quản trị phải lộ rõ quyền trung tâm: Hội đồng Bảo mật Arbitrum qua nâng cấp hợp đồng, Aave qua hành động khẩn cấp, KelpDAO tạm dừng toàn bộ hợp đồng. Những phản ứng này, dù hiệu quả, minh bạch, nhưng cũng là minh chứng rõ ràng về giới hạn của “phi tập trung”.

Phụ thuộc điểm đơn lẻ tạo điều kiện cho tấn công, khả năng phối hợp mở rộng thiệt hại, và sự lộ rõ của quyền trung tâm trong hệ sinh thái. Để giải quyết các vấn đề này, các bên cần phối hợp:

• Về phía giao thức: An toàn tổng thể phụ thuộc vào điểm yếu nhất, trong đó hạ tầng DVN là yếu tố chính. Cần đánh giá toàn diện, kiểm thử xâm nhập, giám sát on-chain để phản ứng nhanh, và theo dõi dòng tiền chéo để phối hợp đóng băng, thu hồi tài sản. Các mô hình thế chấp chéo chuỗi cần thử nghiệm trong các kịch bản “tài sản thế chấp bị xâm phạm hoàn toàn” dựa trên các tham số như LTV, độ sâu bể, số lượng triển khai chéo.

• Về phía L2 và DAO: Quyền khẩn cấp cần rõ ràng, minh bạch và có trách nhiệm giải trình. Các L2 lớn đã có khả năng này, nhưng thường không rõ ràng trong tài liệu hướng dẫn hoặc công khai. Khung quản trị cần quy định rõ điều kiện kích hoạt, phạm vi, thời hạn, và trách nhiệm sau đó.

• Về phía người dùng: Hiểu rõ rủi ro hệ thống trong khả năng phối hợp của DeFi. Trong sự kiện này, những người gửi WETH chưa từng tiếp xúc rsETH bị đóng băng thanh khoản. Rủi ro của một vị thế chỉ là phần nổi của tảng băng; các giao thức, loại tài sản thế chấp, chuỗi liên quan đều tạo thành một mặt rủi ro liên hoàn.