#AaveLaunchesrsETHRecoveryPlan

CUỘC KHỦNG HOẢNG LỚN NHẤT CỦA DEFI NĂM 2026 VÀ CUỘC CỨU HỎA TOÀN NGHIỆP CHUNG

CUỘC TẤN CÔNG GÂY CHONG VỮNG NỀN TẢNG DEFI

Ngày 18 tháng 4 năm 2026 sẽ được ghi nhớ như một trong những ngày đen tối nhất trong lịch sử tài chính phi tập trung. Một kẻ tấn công đã khai thác cầu nối của Kelp DAO được hỗ trợ bởi LayerZero để rút sạch 116.500 rsETH — khoảng 292 triệu đô la và khoảng 18 phần trăm nguồn cung lưu hành của token — kích hoạt việc tạm dừng khẩn cấp các hợp đồng cốt lõi. Vì cầu nối giữ dự trữ hỗ trợ rsETH trên hơn 20 mạng lưới, tổn thất này đã làm dấy lên nghi ngờ ngay lập tức về sự đảm bảo của rsETH trên các lớp 2 và gây ra làn sóng đóng băng thị trường bởi các giao thức như Aave, SparkLend và Fluid.

Cuộc tấn công không phải là ngẫu nhiên hay thiếu tinh vi. Các chỉ số sơ bộ cho thấy nguồn gốc thuộc nhóm Lazarus của Bắc Triều Tiên, cụ thể là TraderTraitor. Quan trọng là, đây không phải là một cuộc tấn công vào hợp đồng thông minh, mà là một cuộc tấn công tinh vi vào hạ tầng ngoài chuỗi — kẻ tấn công đã xâm phạm các nút RPC nội bộ và tấn công từ chối dịch vụ DDoS các nút bên ngoài để cung cấp dữ liệu giả cho một mạng xác minh điểm yếu duy nhất. Mánh khóe này đã lừa hợp đồng Ethereum phát hành quỹ dựa trên việc đốt token ma trên chuỗi nguồn.

Chỉ trong chưa đầy một giờ, một trong những vụ trộm phức tạp và phối hợp nhất trong lịch sử blockchain đã được thực hiện — và thiệt hại sẽ lan rộng vượt xa chính KelpDAO, đổ trực tiếp vào sổ sách của giao thức cho vay DeFi lớn nhất thế giới, Aave.

---

CÁCH THỨC TẤN CÔNG HOẠT ĐỘNG: LỚP HỌC CHOANG VÁNG 46 PHÚT VỀ HỖN LOẠN

Để hiểu quy mô của cuộc khủng hoảng, cần hiểu chính xác cơ chế của cuộc tấn công. Cuộc khai thác diễn ra theo các giai đoạn trong khoảng 46 phút, bắt đầu lúc 18:52 UTC ngày 18 tháng 4 năm 2026. Kẻ tấn công đã khai thác một lỗi trong cấu hình cầu nối LayerZero của KelpDAO — cụ thể là xác minh ký hiệu duy nhất 1-đến-1 (DVN duy nhất ) xác thực tin nhắn chéo chuỗi. Kẻ tấn công không xâm phạm chính chuỗi khối — họ đã thao túng hệ thống xác minh tin nhắn cho biết một chuỗi có token trên chuỗi khác.

Tính tinh vi trong hoạt động của cuộc tấn công là phi thường. Các nút đã chỉnh sửa cung cấp dữ liệu giả mạo cho LayerZero DVN trong khi vẫn trả dữ liệu chính xác cho các hệ thống khác truy vấn, bao gồm các dịch vụ giám sát. Chúng cũng được thiết kế để tự hủy sau khi thời gian cho cuộc tấn công kết thúc, xóa bỏ các tệp nhị phân độc hại, nhật ký và cấu hình phía sau. Một cuộc tấn công từ chối dịch vụ phân tán đồng thời đã được phát động chống lại các nút RPC bên ngoài, buộc DVN phải dựa vào các nút nội bộ bị xâm phạm.

Multisig khẩn cấp của Kelp đã đóng băng các hợp đồng cốt lõi của giao thức sau 46 phút kể từ khi rút sạch thành công. Hai lần cố gắng tiếp theo cũng thất bại, mỗi lần cố gắng rút thêm một lượng lớn. Những kẻ tấn công đã làm việc có phương pháp, chuẩn bị kỹ lưỡng và vận hành ở mức độ phù hợp với khả năng do nhà nước tài trợ.

---

TRÒ CHƠI ĐỔI TRÁCH: KELPDAO VS LAYERZERO

Gần như ngay sau khi khai thác trở thành công khai, một tranh cãi đã nổ ra giữa KelpDAO và LayerZero về trách nhiệm. LayerZero tuyên bố rằng cấu hình bị ảnh hưởng dựa trên thiết lập DVN duy nhất 1-đến-1, điều mâu thuẫn với các thực hành an ninh đa xác minh được khuyến nghị.

KelpDAO phản bác, lập luận rằng hạ tầng bị xâm phạm thuộc về chính LayerZero và các cấu hình tương tự được sử dụng rộng rãi trong toàn bộ hệ sinh thái. Cuộc tranh luận lan rộng nhanh chóng trong không gian crypto, trong khi hàng trăm triệu đô la quỹ người dùng vẫn còn bị xâm phạm.

---

AAVE: NẠN NHÂN TÀI CHÍNH CỦA MỘT CUỘC TẤN CÔNG NGOÀI ĐỊA PHƯƠNG

Trong khi những người khác tranh luận về trách nhiệm, Aave phải đối mặt với tác động tài chính. Kẻ tấn công đã vay hơn 82.600 ETH — khoảng 195 triệu đô la — sử dụng rsETH bị đánh cắp làm tài sản thế chấp, tạo ra khoản nợ xấu lớn.

Aave xác nhận hệ thống của họ không bị xâm phạm, nhưng tác động là ngay lập tức. Người dùng rút ra lượng thanh khoản khổng lồ, dẫn đến khoảng 10 tỷ đô la rút khỏi hệ thống và sự sụt giảm mạnh trong tổng giá trị bị khóa. Niềm tin thị trường giảm sút, buộc phải hành động khẩn cấp.

---

ĐOÀN KẾT DEFI: LIÊN MINH CỨU HỎA ĐƯỢC HÌNH THÀNH

Điều tiếp theo là chưa từng có tiền lệ. Một nỗ lực phục hồi phối hợp toàn ngành, gọi là DeFi United, đã xuất hiện để ổn định hệ sinh thái và khôi phục niềm tin.

Các nhà đóng góp chính đã cam kết hỗ trợ. Các cam kết kết hợp đạt hàng chục nghìn ETH, bao gồm các đóng góp từ các giao thức, công ty và các nhà lãnh đạo cá nhân trong lĩnh vực. Sáng kiến này nhằm khôi phục sự đảm bảo của rsETH và bảo vệ người dùng bị ảnh hưởng.

Điều này đánh dấu một khoảnh khắc hiếm hoi của sự đoàn kết trong tài chính phi tập trung — một phản ứng tập thể được hỗ trợ bởi vốn thực sự.

---

ĐỀ XUẤT 25.000 ETH: DAO AAVE ĐẾN VỚI QUYỀN QUYẾT

Trụ cột trung tâm của kế hoạch phục hồi là đề xuất quản trị cho DAO Aave để đóng góp 25.000 ETH từ kho bạc của họ.

Đề xuất bao gồm các điều kiện và phụ thuộc có cấu trúc, bao gồm mở lại các khoản rút tiền, khôi phục hoạt động cầu nối và phát hành các khoản tiền bị đóng băng. Nó cũng cho phép sử dụng tài sản trong kho bạc và doanh thu tương lai như một phần của khung phục hồi.

Điều này đại diện cho một trong những cam kết phục hồi phối hợp lớn nhất trong lịch sử DeFi.

---

MANTLE'S LỐI SỐNG: CƠ CHẾ TÍN DỤNG CÓ CƠ CẤU

Bên cạnh các đóng góp trực tiếp, Mantle đã đề xuất một cơ chế tín dụng lên tới 30.000 ETH để hỗ trợ Aave.

Cơ chế này bao gồm các điều khoản hoàn trả có cấu trúc, lãi suất liên kết với lợi suất staking, và yêu cầu thế chấp dựa trên doanh thu của giao thức và token quản trị. Cơ chế này cung cấp sự linh hoạt tài chính lâu dài thay vì buộc phải thanh lý ngay lập tức.

---

TÀI KHOẢN ĐÓNG BĂNG CỦA ARBITRUM: MỘT Mảnh Ghép Quan Trọng

Một thành phần chính của quá trình phục hồi là khoảng 30.766 ETH bị đóng băng bởi Hội đồng Bảo mật của Arbitrum.

Một đề xuất đã được giới thiệu để chuyển hướng các khoản này vào quỹ phục hồi. Tuy nhiên, thời gian quản trị có thể làm chậm việc truy cập, tạo ra sự không chắc chắn về khả năng triển khai nhanh chóng các khoản tiền này.

---

SỐ LIỆU ĐANG Ở ĐÂY: TIẾN TRÌNH NHƯNG CHƯA HOÀN THIỆN

Đến cuối tháng 4 năm 2026, khoảng 160 triệu đô la đã được huy động để bù đắp tổn thất, còn một khoản còn thiếu cần được lấp đầy.

Nỗ lực phục hồi vẫn tiếp tục, phụ thuộc vào phê duyệt của quản trị, giải ngân quỹ và thực thi các cam kết đã hứa.

---

BÀI HỌC LỚN HƠN: ĐIỂM YẾU CẤU TRÚC CỦA DEFI

Khủng hoảng này làm nổi bật một vấn đề cơ bản trong tài chính phi tập trung — các lỗ hổng của cầu nối chéo chuỗi.

Cuộc khai thác không phải do lỗi trong hợp đồng thông minh, mà trong hệ thống xác minh cho phép giao tiếp chéo chuỗi. Các hệ thống này vẫn là một trong những điểm yếu nhất của hạ tầng DeFi.

Ngành công nghiệp đã phản ứng bằng các nâng cấp và thực hành an ninh nghiêm ngặt hơn, nhưng thách thức lớn hơn vẫn chưa được giải quyết.