Vào ngày 18 tháng 04 năm 2026, KelpDAO đã gặp phải vụ vi phạm an ninh DeFi lớn nhất trong năm. Kẻ tấn công đã khai thác cầu nối cross-chain sử dụng LayerZero để đánh cắp khoảng 116.500 rsETH, trị giá xấp xỉ 292 triệu USD. Khác với các lỗ hổng hợp đồng thông minh truyền thống, sự cố này là một sự kiện an ninh mang tính hệ thống, được khuếch đại bởi sự thất bại của mô hình tin cậy cross-chain và tính kết hợp của các giao thức DeFi.
Lỗi kỹ thuật cốt lõi nằm ở cấu hình kiến trúc xác minh cross-chain của LayerZero. Cầu nối rsETH của KelpDAO sử dụng giải pháp LayerZero OFT (Omnichain Fungible Token), dựa vào DVN (Decentralized Verification Network) để đảm bảo an ninh. Tuy nhiên, KelpDAO vận hành với mô hình node xác thực 1-of-1, nghĩa là chỉ cần chữ ký của một node xác thực duy nhất để xác nhận các thông điệp cross-chain. Kẻ tấn công đã giả mạo một thông điệp cross-chain, kích hoạt việc tự động giải phóng tài sản trị giá khoảng 292 triệu USD. Quá trình thực hiện cực kỳ hiệu quả: từ lúc gọi hàm đầu tiên đến khi chuyển toàn bộ tài sản, toàn bộ diễn ra chỉ trong 46 phút.
Sau vụ trộm, kẻ tấn công đã gửi số rsETH bị đánh cắp làm tài sản thế chấp vào Aave V3 và các giao thức cho vay khác, vay một lượng lớn ETH và tạo ra khoản nợ xấu khoảng 196 triệu USD trên sổ sách của Aave. Tổng giá trị bị khóa (TVL) của Aave giảm mạnh từ khoảng 26,4 tỷ USD xuống còn 18,6 tỷ USD, và token AAVE mất khoảng 20% giá trị chỉ trong một ngày. Kẻ tấn công sau đó chuyển khoảng 30.766 ETH đến một địa chỉ trên chuỗi Arbitrum One, động thái này đã trực tiếp kích hoạt sự can thiệp của hội đồng an ninh.
Cơ sở hành động của Hội đồng An ninh là gì?
Hội đồng An ninh Arbitrum là một tổ chức gồm 12 thành viên được bầu bởi DAO Arbitrum. Các thành viên luân phiên qua các kỳ bầu cử định kỳ, phục vụ nhiệm kỳ 12 tháng với mỗi nhóm 6 người thay đổi xen kẽ. Chức năng cốt lõi của hội đồng là hành động nhanh chóng trong các trường hợp khẩn cấp, sử dụng ví multisig 9-of-12 để bảo vệ an ninh và tính toàn vẹn của hệ sinh thái Arbitrum.
Trong sự cố này, sự can thiệp của hội đồng dựa trên việc xác nhận danh tính của kẻ tấn công, với sự hỗ trợ từ cơ quan thực thi pháp luật. Thông báo chính thức của Arbitrum cho biết hội đồng đã hành động "dựa trên thông tin về danh tính kẻ tấn công do cơ quan thực thi pháp luật cung cấp". Về mặt quản trị, hành động này phù hợp với định nghĩa "khẩn cấp thảm họa" trong tài liệu phân quyền tiến bộ của Arbitrum, cung cấp cơ sở pháp lý cho hội đồng can thiệp.
Cần lưu ý rằng quyền lực của hội đồng không phải là vô hạn. Theo điều lệ DAO Arbitrum, hội đồng chỉ có thể vượt qua quy trình quản trị tiêu chuẩn trong trường hợp khẩn cấp, và phải có ít nhất 9 trong số 12 thành viên đồng ý. Trong trường hợp này, 9 thành viên đã bỏ phiếu đóng băng tài sản, đáp ứng ngưỡng multisig tối thiểu. Thành viên hội đồng Griff Green chia sẻ trên X rằng quyết định này "không được đưa ra một cách nhẹ nhàng, mà sau vô số giờ tranh luận về kỹ thuật, thực tiễn, đạo đức và chính trị".
Việc đóng băng on-chain được thực hiện kỹ thuật như thế nào?
Đối tác quản lý của Dragonfly, Haseeb Qureshi, đã giải thích chi tiết về cơ chế kỹ thuật. Giao dịch đóng băng sử dụng ArbitrumUnsignedTxType (EIP-2718 type 0x65/101), một loại giao dịch ở cấp hệ thống mà các tài khoản sở hữu bên ngoài (EOA) thông thường không thể tạo ra bằng chữ ký khóa riêng. Chỉ hội đồng an ninh, thông qua ArbOS injection, mới có thể thực hiện các giao dịch này.
Điều này có nghĩa là hoạt động này hoàn toàn khác biệt với các giao dịch blockchain thông thường. Giao dịch thường được ủy quyền bởi khóa riêng của người dùng, trong khi tính hợp lệ của giao dịch cấp hệ thống này xuất phát từ quy tắc đồng thuận của chuỗi, chứ không phải chữ ký của cá nhân nào. Hội đồng, thông qua phê duyệt multisig 9-of-12, đã kích hoạt khả năng sửa đổi trạng thái cốt lõi của ArbOS, trực tiếp thay đổi số dư tài khoản của một địa chỉ cụ thể—chuyển 30.766 ETH từ địa chỉ của kẻ tấn công sang ví đóng băng trung gian. Logic thực thi của chuỗi đã áp đặt việc chuyển này.
Đáng chú ý, hành động này không phải là "rollback" chuỗi truyền thống. Không có khối nào đã xác nhận bị đảo ngược, không có lịch sử giao dịch nào bị viết lại. Tất cả các bản ghi on-chain trong thời gian xảy ra vụ tấn công vẫn được giữ nguyên, đảm bảo tính bất biến của blockchain. Về mặt máy trạng thái, đây là một hoạt động "khôi phục tài sản ở cấp trạng thái": khóa riêng của kẻ tấn công vẫn có thể ký giao dịch, nhưng tài sản cốt lõi tại địa chỉ đó đã bị chuyển sang ví do quản trị kiểm soát bởi quy tắc của chuỗi. Cách tiếp cận kỹ thuật này cho phép can thiệp có mục tiêu mà vẫn bảo toàn tính toàn vẹn của sổ cái blockchain.
Hoạt động đóng băng được thực hiện với độ chính xác cao. Arbitrum nhấn mạnh rằng việc chuyển này "không ảnh hưởng đến bất kỳ trạng thái on-chain nào khác hoặc người dùng Arbitrum nào", cũng không làm gián đoạn các ứng dụng Arbitrum. Tính đến 23:26 ET ngày 20 tháng 04, tài sản đã được chuyển thành công đến ví đóng băng trung gian và địa chỉ ban đầu của kẻ tấn công không còn quyền truy cập vào các tài sản này. Việc di chuyển tiếp theo của số tài sản này chỉ có thể thực hiện thông qua hành động phối hợp của cơ quan quản trị Arbitrum.
Can thiệp quản trị cân bằng với nguyên tắc phân quyền như thế nào?
Việc đóng băng đã chặn thành công một phần tài sản bị đánh cắp, nhưng cũng làm dấy lên tranh luận về ranh giới của quản trị mạng lưới phi tập trung. Một hội đồng an ninh Layer-2, với sự hỗ trợ của cơ quan thực thi pháp luật, đã can thiệp để đóng băng tài sản tại một địa chỉ on-chain cụ thể—thiết lập một tiền lệ quan trọng trong lịch sử DeFi.
Tranh cãi trung tâm: Tính bất biến và chống kiểm duyệt của blockchain có phải là nguyên tắc tuyệt đối, hay có thể bị thỏa hiệp trong những trường hợp đặc biệt? Người ủng hộ cho rằng, khi tài sản người dùng đối mặt với tổn thất lớn, can thiệp quản trị khẩn cấp là công cụ cần thiết để bảo vệ hệ sinh thái. Là tổ chức đại diện cộng đồng được bầu chọn, hành động của hội đồng an ninh phản ánh ý chí tập thể trong tình huống cực đoan. Người phản đối cho rằng bất kỳ việc đóng băng tài sản on-chain nào đều làm suy yếu triết lý nền tảng của blockchain. Trên X, nhiều người dùng đã chỉ trích động thái của Arbitrum, đặt câu hỏi về mức độ phân quyền thực sự nếu hội đồng có thể đóng băng tài sản theo nghị quyết.
Về mặt thiết kế hệ thống, quyền hạn của Hội đồng An ninh Arbitrum được xác định rõ ràng. Theo tài liệu phân quyền tiến bộ của Arbitrum, hội đồng chỉ có thể thực thi quyền lực này trong trường hợp "khẩn cấp thảm họa" và phải đáp ứng ngưỡng multisig 9-of-12. Các thành viên hội đồng được bầu bởi DAO và có thể bị bãi nhiệm bởi DAO hoặc thu hồi nội bộ, tạo ra hệ thống kiểm soát và cân bằng. Tuy nhiên, sự cố này cũng lộ ra một vấn đề chưa giải quyết: khi không có cơ chế kích hoạt tự động on-chain, tiêu chuẩn xác định "khẩn cấp thảm họa" vẫn mang tính chủ quan, khiến phạm vi quyền lực của hội đồng trở thành rủi ro quản trị tiềm tàng.
Rủi ro hệ thống nào đã được hạ tầng cross-chain phơi bày?
Sự cố an ninh KelpDAO đã làm nổi bật sự mong manh cấu trúc của hạ tầng cross-chain. Những năm gần đây, các vụ hack cầu nối cross-chain đã gây thiệt hại hơn 2,8 tỷ USD—gần một nửa tổng tổn thất DeFi. Sự kiện này càng củng cố xu hướng đó: lỗ hổng cốt lõi không phải nằm ở mã hợp đồng thông minh, mà là điểm thất bại duy nhất trong mô hình tin cậy xác minh cross-chain.
Điều tra của LayerZero ghi nhận rằng mô hình node xác thực DVN 1-of-1 của KelpDAO đã vi phạm các thực tiễn tốt nhất của ngành. LayerZero đã nhiều lần khuyến nghị cấu hình đa node xác thực để đảm bảo dự phòng, nhưng các đề xuất này không được thực hiện. Cấu hình này khiến việc xâm phạm một node xác thực duy nhất là đủ để giải phóng toàn bộ tài sản cầu nối. CTO Ripple, David Schwartz, đã tổng kết vấn đề trên X: "Cuộc tấn công phức tạp hơn nhiều so với dự đoán, khai thác sơ suất cấu hình của KelpDAO và nhắm vào hạ tầng LayerZero".
Mô hình tin cậy của hạ tầng cross-chain về bản chất là "thỏa hiệp" với giả định phân quyền của blockchain. Trong hệ sinh thái đa chuỗi, việc chuyển tài sản giữa các chuỗi cần một bên trung gian xác nhận và chuyển tiếp thông điệp. Dù bên trung gian này dùng multisig, DVN hay cơ chế khác, rất khó loại bỏ hoàn toàn sự phụ thuộc vào một nhóm xác thực cụ thể. Sự cố KelpDAO cho thấy khi sự phụ thuộc này thu hẹp về một điểm duy nhất, toàn bộ cầu nối trở thành lỗ hổng trọng yếu.
Ngành sẽ tái cấu trúc khung an ninh và quản trị như thế nào?
Sự cố này mang lại nhiều bài học quan trọng cho ngành DeFi.
Về mặt an ninh cross-chain, cấu hình node xác thực đơn lẻ cần bị loại bỏ hoàn toàn. LayerZero đã đưa các node bị ảnh hưởng offline và khôi phục hoạt động DVN, nhưng câu hỏi lớn vẫn là: có bao nhiêu giao thức vẫn vận hành với cấu hình điểm đơn tương tự? Ngành cần có tiêu chuẩn kiểm toán an ninh cross-chain nghiêm ngặt hơn và hướng dẫn cấu hình để loại bỏ rủi ro tin cậy điểm đơn ở cấp hệ thống.
Về quản trị, sự cân bằng giữa quyền lực khẩn cấp của hội đồng an ninh và quản trị cộng đồng cần được tinh chỉnh thêm. Hiện tại, phạm vi hành động của hội đồng trong trường hợp "khẩn cấp thảm họa" vẫn dựa trên đánh giá chủ quan, thiếu các cơ chế kích hoạt on-chain rõ ràng và quy trình đánh giá sau sự kiện. Một hướng tiến hóa khả dĩ là khung phản ứng khẩn cấp đa tầng, phân cấp quyền ủy quyền theo mức độ nghiêm trọng của sự cố và bổ sung các ủy ban đánh giá độc lập để xem xét tính hợp pháp của hành động khẩn cấp sau khi xảy ra.
Về phân bổ tổn thất, sự cố KelpDAO liên quan đến tổng tổn thất khoảng 292 triệu USD, với Hội đồng An ninh Arbitrum đã đóng băng thành công khoảng 71 triệu USD—tương đương một phần tư tổng số. Việc xử lý phần tổn thất còn lại—bao gồm khoản nợ xấu 196 triệu USD của Aave, cơ chế chia sẻ tổn thất giữa các giao thức, và khả năng chi trả bảo hiểm—vẫn đang được đàm phán. Trường hợp này có thể thúc đẩy các giao thức DeFi tích hợp cơ chế phản ứng khẩn cấp và chia sẻ tổn thất ngay từ khâu thiết kế, thay vì tìm giải pháp tạm thời sau khi sự cố xảy ra.
Kết luận
Từ vụ khai thác cầu nối cross-chain đến việc hội đồng an ninh đóng băng 30.766 ETH, sự cố KelpDAO cung cấp cái nhìn toàn diện về cơ chế phản ứng khẩn cấp của DeFi trước các cuộc tấn công quy mô lớn. Dilemma trung tâm—lỗ hổng mô hình tin cậy cross-chain và giới hạn can thiệp quản trị phi tập trung—sẽ định hướng các cải cách và nâng cấp an ninh trong tương lai của ngành. Việc đóng băng thành công 30.766 ETH là một dấu mốc trong công tác khôi phục tài sản, nhưng cũng đặt ra nhiều câu hỏi hơn là trả lời: Ai định nghĩa "khẩn cấp thảm họa"? Làm thế nào để tiêu chuẩn can thiệp khẩn cấp được thực thi on-chain? Làm sao tối ưu giả định tin cậy cross-chain cho cả an ninh và phân quyền? Câu trả lời cho những câu hỏi này sẽ định hình sự phát triển của hệ sinh thái DeFi trong nhiều năm tới.
Câu hỏi thường gặp (FAQ)
Hội đồng An ninh Arbitrum đã đóng băng tài sản chính xác mà không ảnh hưởng đến người dùng khác như thế nào?
Hội đồng đã sử dụng phương pháp kỹ thuật ở cấp hệ thống nhắm vào một địa chỉ cụ thể. Bằng cách thực hiện giao dịch ArbitrumUnsignedTxType qua ArbOS injection, họ đã trực tiếp chuyển 30.766 ETH từ địa chỉ của kẻ tấn công sang ví đóng băng trung gian. Hoạt động này không thay đổi bất kỳ khối lịch sử nào hoặc ảnh hưởng đến số dư hay hoạt động hợp đồng của người dùng khác. Độ chính xác nằm ở việc chỉ sửa đổi trạng thái của địa chỉ mục tiêu.
Điều gì sẽ xảy ra với 30.766 ETH đã bị đóng băng?
Hiện tại, số tài sản này được lưu trữ trong ví relay chỉ do cơ quan quản trị Arbitrum kiểm soát. Bất kỳ chuyển khoản tiếp theo nào sẽ cần phê duyệt thông qua quy trình quản trị của Arbitrum và phối hợp với các bên liên quan. Kế hoạch cụ thể về việc hoàn trả tài sản chưa được công bố và nhiều khả năng sẽ phụ thuộc vào tiến trình điều tra của cơ quan thực thi pháp luật và các thủ tục pháp lý.
Việc đóng băng đã ảnh hưởng như thế nào đến quá trình xử lý sự cố an ninh KelpDAO?
Hành động này đã khôi phục thành công khoảng 71 triệu USD tài sản bị đánh cắp—gần một phần tư tổng tổn thất—giới hạn hiệu quả quyền kiểm soát của kẻ tấn công đối với các tài sản này. Tuy nhiên, việc giải quyết toàn bộ sự cố KelpDAO—bao gồm xử lý khoản nợ xấu khoảng 196 triệu USD của Aave, phân bổ trách nhiệm giữa KelpDAO và LayerZero, cùng các thỏa thuận bồi thường liên giao thức—vẫn đang tiếp diễn.
