DeFi lần này thực sự đã bị một vụ tấn công cảnh báo một cách nghiêm trọng. Tháng trước, lỗ hổng cầu nối chuỗi chéo của Kelp DAO đã dẫn đến gần 300 triệu USD bị đánh cắp, điều này không chỉ là vấn đề của một giao thức đơn lẻ mà còn là sự phơi bày tập trung về tính dễ tổn thương của toàn bộ hệ sinh thái DeFi.

Sự việc xảy ra rất nhanh. Hacker đã giả mạo thông điệp chuỗi chéo của LayerZero, trong thời gian ngắn đã thành công tạo và chuyển nhượng 116.500 rsETH, thiệt hại ước tính từ 292 triệu đến 294 triệu USD. Thú vị là, kẻ tấn công đã chuẩn bị vốn qua Tornado Cash, chờ đợi khoảng 10 giờ rồi mới ra tay, điều này cho thấy vụ tấn công không phải ngẫu nhiên mà là một kế hoạch tỉ mỉ.

Nhưng phần đáng sợ thực sự nằm ở phản ứng dây chuyền. rsETH bị đánh cắp nhanh chóng được dùng làm tài sản thế chấp gửi vào các nền tảng cho vay lớn như Aave, SparkLend, Fluid, khiến hacker vay được lượng lớn ETH. Khi các tài sản này bị đánh dấu là có vấn đề, toàn bộ thị trường vay mượn lập tức rơi vào tình trạng khó khăn. Aave buộc phải khẩn cấp phong tỏa các thị trường liên quan, nhưng rủi ro nợ xấu tiềm ẩn đã lộ rõ.

Đây chính là rủi ro của mô hình xây dựng DeFi theo kiểu xếp hình Lego. Một giao thức bị tấn công, ngay lập tức ảnh hưởng đến hàng chục nền tảng. Dù Kelp DAO đã kích hoạt cơ chế ứng phó trong vòng 46 phút, tạm ngưng các hợp đồng trên nhiều chuỗi, thiệt hại đã xảy ra rồi. Hiện tại, hacker đã đổi khoảng 250 triệu USD tài sản bị đánh cắp thành ETH, dòng tiền trở nên khó theo dõi hơn.

Về mặt kỹ thuật, lỗ hổng lần này nằm ở cầu nối OFT của LayerZero và tầng thông điệp, chứ không phải trong hợp đồng staking cốt lõi của Kelp DAO. Tuy nhiên, điều này không có nghĩa là ETH thế chấp trên mainnet hoàn toàn an toàn, tính thanh khoản của các token chuỗi chéo đã bị tổn thương nghiêm trọng, các wrapped ETH trên nhiều chuỗi đang rơi vào tình trạng thiếu thanh khoản.

Điều đáng cảnh báo nhất là, do vụ việc xảy ra trong kỳ nghỉ lễ, phản ứng của nhiều nền tảng rõ ràng chậm trễ. Với việc rút staking lớn và chuyển đổi tài sản, có thể sẽ còn nhiều nền tảng cho vay buộc phải tạm dừng rút tiền trong thời gian tới. Nếu bạn đang có tiền gửi trên các nền tảng DeFi, có thể đã đến lúc cân nhắc chuyển sang ví tự quản lý.

ZachXBT và PeckShield, các tổ chức nghiên cứu an ninh mạng, đang tiếp tục theo dõi diễn biến của hacker, cuộc điều tra vẫn đang diễn ra. Các phương án bồi thường cuối cùng và phân chia trách nhiệm vẫn chưa có kết quả, câu chuyện này còn dài. Tốc độ phát triển của DeFi vượt xa khả năng kiểm soát rủi ro, các vụ tấn công liên tiếp chính là biểu hiện của mâu thuẫn này. Theo dõi thông báo chính thức của Kelp DAO, các thông tin tiếp theo sẽ rất quan trọng.