#KelpDAOBridgeHacked

Hệ sinh thái tài chính phi tập trung đã phải đối mặt với một trong những vụ vi phạm an ninh nghiêm trọng nhất từ trước đến nay, khi Kelp DAO bị khai thác lớn dẫn đến thiệt hại khoảng $292 triệu đô la. Cuộc tấn công, diễn ra vào ngày 18 tháng 4, nhắm vào cầu nối chéo chuỗi của Kelp DAO được hỗ trợ bởi LayerZero và dẫn đến việc mất 116.500 token rsETH, gây chấn động trong nhiều giao thức DeFi.

Điều làm cho vụ việc này đặc biệt đáng lo ngại không chỉ là quy mô thiệt hại mà còn là tác động dây chuyền mà nó đã kích hoạt trên toàn bộ hệ sinh thái, bao gồm cả gã khổng lồ cho vay Aave, và tranh chấp ngày càng gia tăng giữa các nhà cung cấp hạ tầng về trách nhiệm.

Cách Thức Tấn Công Xảy Ra
Các nhà điều tra báo cáo rằng kẻ tấn công đã tài trợ cho ví của họ bằng Tornado Cash khoảng 10 giờ trước khi thực hiện khai thác, một phương pháp phổ biến để che giấu nguồn gốc giao dịch. Phân tích ban đầu, bao gồm các thông tin chia sẻ bởi nhà điều tra blockchain ZachXBT, gợi ý khả năng liên quan của nhóm Lazarus, một nhóm hacker liên kết với Bắc Triều Tiên nổi tiếng với các vụ khai thác DeFi tinh vi.

Nguyên nhân kỹ thuật của vụ tấn công dường như là việc xâm phạm các nút RPC được sử dụng trong Mạng Xác Thực Phi Tập Trung (DVN) của LayerZero. Kẻ tấn công bị cáo buộc đã làm nhiễu hai nút xác thực trong khi đồng thời phát động một cuộc tấn công DDoS chống lại các nút còn lại. Sự gián đoạn này đã cho phép một tin nhắn chéo chuỗi giả mạo được xác thực.

Kết quả là, hợp đồng cầu nối của Kelp DAO đã bị lừa để phát hành 116.500 rsETH trên mạng chính Ethereum, mặc dù các tài sản này chưa bao giờ được mở khóa hợp pháp.
Xung Đột Ngày Càng Gia Tăng: Ai Là Người Chịu Trách Nhiệm?
Sau vụ khai thác, một cuộc tranh cãi gay gắt đã nổ ra giữa Kelp DAO và LayerZero.

LayerZero lập luận rằng Kelp DAO đã sử dụng “cấu hình DVN 1-1”, tạo ra một điểm thất bại duy nhất. Theo LayerZero, các thực hành tốt nhất trong ngành khuyên dùng nhiều validator độc lập để ngăn chặn chính xác loại tấn công này. Họ cho rằng Kelp DAO đã bỏ qua hướng dẫn đa dạng hóa.

Tuy nhiên, Kelp DAO phản đối mạnh mẽ tuyên bố này. Nhóm khẳng định rằng cấu hình 1-1 là cấu hình mặc định được cung cấp trong tài liệu của LayerZero cho các triển khai OFT ban đầu. Họ cũng lập luận rằng các đại diện của LayerZero đã từng phê duyệt kiến trúc này trước đó, nghĩa là trách nhiệm không thể được chuyển giao theo kiểu retroactive.

Lan Truyền Sang Aave
Hậu quả nhanh chóng lan rộng ra ngoài Kelp DAO. Kẻ tấn công đã gửi 89.567 rsETH vào Aave làm tài sản thế chấp và vay khoảng $190 triệu đô la WETH và wstETH, khiến Aave đối mặt với rủi ro nợ xấu đáng kể.

Aave Labs ước tính thiệt hại tiềm năng từ $124 triệu đến $230 triệu đô la, tùy thuộc vào việc thiệt hại có được chia sẻ rộng rãi giữa các người nắm giữ hay chỉ giới hạn trong các mạng cụ thể.

Đáp lại, Aave ngay lập tức đóng băng các thị trường rsETH trên nhiều phiên bản, giảm các tham số thế chấp xuống bằng 0, và kích hoạt các biện pháp kiểm soát rủi ro khẩn cấp. Token quản trị của giao thức AAVE giảm 10%, trong khi hơn $10 tỷ đô la TVL được báo cáo đã rút khỏi nền tảng trong cơn hoảng loạn.

Các Hành Động Quản Trị Khẩn Cấp
Trên Arbitrum, các validator đã nhanh chóng hành động bằng cách đóng băng khoảng 71,1 triệu đô la ETH liên quan đến vụ khai thác. Các khoản tiền này đã được chuyển đến ví an toàn chờ quyết định của quản trị, với khả năng hoàn trả cho người dùng.

Các cơ quan chức năng và nhà nghiên cứu an ninh cũng đang tham gia vào việc truy tìm danh tính của kẻ tấn công và di chuyển của các khoản tiền.

Chuyện Gì Sẽ Xảy Ra Tiếp Theo?
Kelp DAO đã tạm dừng tất cả các hợp đồng rsETH trên nhiều chuỗi, nhưng vấn đề cốt lõi vẫn chưa được giải quyết: giao thức có khả năng thiếu dự trữ quỹ đủ để bù đắp thiệt hại khoảng $292 triệu đô la.
Các kịch bản cứu hộ có thể bao gồm LayerZero can thiệp để bảo vệ uy tín hệ sinh thái của mình, Aave DAO sử dụng quỹ dự trữ để bù đắp nợ xấu, hoặc một thiệt hại xã hội hóa rộng hơn trên các người nắm giữ rsETH. Tuy nhiên, chưa có giải pháp nào được xác nhận chính thức.

Hiện tại, vụ việc này đứng vững như một trong những vụ khai thác DeFi gây thiệt hại lớn nhất năm 2026, phơi bày những điểm yếu nghiêm trọng trong hạ tầng chéo chuỗi và làm sống lại các cuộc tranh luận về phân quyền so với an ninh trong các hệ thống crypto hiện đại.
📌 Chi tiết:
https://www.gate.com/announcements/article/50593
‍#GateSquare #CreatorCarnival #ContentMining #Gate13周年