#rsETHAttackUpdate

Vụ khai thác rsETH: Phân tích sâu về vụ hack lớn nhất trong DeFi năm 2026

Vào ngày 18 tháng 4 năm 2026, khoảng 17:35 UTC, hệ sinh thái tài chính phi tập trung chứng kiến vụ khai thác lớn nhất trong năm khi kẻ tấn công rút khoảng 116.500 token rsETH từ cầu nối được hỗ trợ bởi LayerZero của Kelp DAO, trị giá khoảng $292 triệu đô la và chiếm khoảng 18% tổng cung lưu hành của token này. Sự cố này đã gây chấn động toàn bộ cảnh quan DeFi, kích hoạt các phản ứng khẩn cấp trên nhiều giao thức và phơi bày các lỗ hổng nghiêm trọng trong kiến trúc cầu nối chuỗi chéo.

**Cách vụ tấn công diễn ra**

Vụ khai thác nhắm vào tuyến đường rsETH của Kelp DAO qua LayerZero V2 Unichain đến Ethereum, được cấu hình với một lỗ hổng bảo mật nghiêm trọng: một thiết lập Mạng xác thực phi tập trung 1-1 (DVN). Kẻ tấn công đã thành công trong việc giả mạo một gói tin đến từ Unichain tới Ethereum, được xác thực bởi một DVN duy nhất mà không cần có giao dịch đốt nguồn tương ứng. Gói tin độc hại này, mang nonce 308, đã lừa được Adapter rsETH của Ethereum phát hành 116.500 rsETH tới địa chỉ do kẻ tấn công kiểm soát.

Nguyên tắc cơ bản của cầu nối — rằng số lượng rsETH bị khóa trong adapter Ethereum phải luôn lớn hơn hoặc bằng tổng số rsETH được mint trên tất cả các chuỗi từ xa — đã bị phá vỡ. Số dư của adapter giảm từ 116.723 rsETH xuống chỉ còn 223 rsETH trong một khối duy nhất. Kẻ tấn công đã cố gắng gửi một gói tin giả thứ hai (nonce 309) để lấy thêm 40.000 rsETH, nhưng lệnh thực thi đã bị hoàn nguyên vì Kelp đã kích hoạt các quy trình đóng băng khẩn cấp.

**Chiến lược nhiễm độc trong DeFi**

Thay vì giữ nguyên số tài sản bị đánh cắp, kẻ tấn công đã thực hiện một chiến lược tinh vi nhằm tối đa hóa giá trị rút ra. Trong vòng vài phút, 116.500 rsETH đã được phân phối qua bảy địa chỉ nhánh. Từ đó, các khoản tiền này theo các hướng khác nhau: một số được cung cấp làm tài sản thế chấp trên Aave V3 trên mạng chính Ethereum, một số được cầu nối sang Arbitrum để mở vị thế trên chuỗi đó, và một số được chuyển qua các địa điểm thay thế.

Kẻ tấn công đã gửi 89.567 rsETH qua các thị trường Aave, vay khoảng 82.650 WETH trị giá 190,86 triệu đô la và 821 wstETH trị giá 2,33 triệu đô la. Các yếu tố sức khỏe của các vị thế này dao động trong khoảng 1,01 đến 1,03, cho thấy chúng được duy trì gần ngưỡng thanh lý để tối đa đòn bẩy trong khi tránh bị thanh lý cưỡng bức.

**Phản ứng tức thì của các giao thức**

Các cơ chế phòng thủ của Aave đã kích hoạt trong vòng vài giờ sau vụ khai thác. Khoảng 19:00 UTC ngày 18 tháng 4, Người bảo vệ Giao thức đã đóng băng tất cả dự trữ rsETH và wrsETH trên tất cả các triển khai Aave V3, đặt tỷ lệ vay trên giá trị về 0. Hành động này đã vô hiệu hóa việc cung cấp mới và vay mượn, đồng thời giữ khả năng quản lý các vị thế hiện có. Các thị trường bị ảnh hưởng bao gồm Ethereum Core, Ethereum Prime, Arbitrum, Avalanche, Base, Ink, Linea, Mantle, MegaETH, Plasma và zkSync.

Người Quản lý Rủi ro đã điều chỉnh lãi suất trên nhiều chuỗi, giảm Slope2 xuống còn 1,50% và giảm lãi vay tại mức utilization 100% từ 8,5-10,5% xuống còn 3,0% APR để đảm bảo tính bền vững. Đến ngày 20 tháng 4, WETH đã bị đóng băng trên Core, Prime, Arbitrum, Base, Mantle và Linea để ngăn rủi ro lan rộng sang các dự trữ khác bao gồm stablecoin.

Các giao thức khác cũng đã hành động nhanh chóng. SparkLend, Fluid và Upshift đã tạm dừng các thị trường rsETH của họ. Upshift đặc biệt đã ngưng gửi tiền gửi và rút tiền khỏi các vault ETH tăng trưởng cao và Kelp Gain, mặc dù các sản phẩm USDC và AUSD của họ vẫn không bị ảnh hưởng do không có rủi ro rsETH.

**Rủi ro tài chính hiện tại và các kịch bản nợ xấu**

Theo các báo cáo mới nhất, chưa có quyết định chính thức nào của Kelp về phân bổ thiệt hại hoặc phục hồi được công bố. Số dư adapter hiện tại là 40.373 rsETH là bằng chứng duy nhất về sự hỗ trợ cho tất cả rsETH chuỗi từ xa trên mọi đường dẫn Layer 2, so với tổng số yêu cầu từ xa là 152.577 rsETH. Điều này tạo ra một khoảng cách hỗ trợ đáng kể có thể ảnh hưởng đến giá trị token trong toàn bộ hệ sinh thái.

Các biến số còn bỏ ngỏ ảnh hưởng đến quyết định cuối cùng bao gồm giới hạn phân phối chung — liệu có áp dụng mức cắt giảm nào cho tất cả các holder rsETH hay chỉ những người trên các chuỗi bị ảnh hưởng, điều này riêng lẻ làm thay đổi tác động trên mỗi token khoảng năm lần — quy mô và thời điểm của bất kỳ quá trình phục hồi hoặc tái cấp vốn nào, cơ chế định giá mua lại, và cách xử lý rsETH được mint qua đường dẫn cầu nối bị xâm phạm.

**Nỗ lực phục hồi toàn ngành**

Phản ứng trước khủng hoảng này đã thể hiện tính hợp tác của hệ sinh thái DeFi. Một quỹ phục hồi hợp tác mang tên "DeFi United" đã được khởi xướng với sự đóng góp đáng kể từ các nhà chơi chính. Quỹ Golem Foundation và Factory đã cam kết 1.000 ETH, trong khi Lido Labs cam kết 5,7 triệu đô la. Người sáng lập Aave, Stani Kulechov, đã đóng góp cá nhân 5.000 ETH cho nỗ lực phục hồi. Quỹ Ink đã cung cấp hỗ trợ chưa tiết lộ để khôi phục, và hơn 1.800 thành viên cộng đồng đã bỏ phiếu nhất trí cho kế hoạch cứu trợ.

**Tác động thị trường và các rủi ro đang diễn ra**

Vụ khai thác đã kích hoạt hơn $10 tỷ đô la rút khỏi Aave, với tỷ lệ utilization của các pool USDC, USDT và wETH đạt 100%. Token AAVE đã giảm khoảng 11% sau sự kiện. Token rsETH cũng đã mất peg đáng kể, có thời điểm giao dịch thấp nhất là 1.723 đô la.

Dù tình hình nghiêm trọng, các hoạt động phối hợp của cộng đồng DeFi đã giúp ổn định tình hình. Các thị trường vẫn còn thế chấp mặc dù tỷ lệ utilization cao, tập trung vào việc khôi phục sự hỗ trợ rsETH một cách có trật tự. Tuy nhiên, người dùng nên theo dõi các kênh chính thức của Kelp DAO, Aave và LayerZero để cập nhật các quyết định cuối cùng, vì tình hình vẫn tiếp tục phát triển.

**Bài học và hàm ý**

Sự cố này phơi bày các lỗ hổng căn bản trong kiến trúc cầu nối chuỗi chéo, đặc biệt là các rủi ro liên quan đến cấu hình DVN đơn điểm thất bại. Thiết kế restaking của rsETH đã làm tăng các rủi ro này, nhấn mạnh cách các lỗ hổng thế chấp có thể gây ra chuỗi phản ứng trong các giao thức DeFi liên kết. Vụ tấn công chứng tỏ tầm quan trọng của xác thực đa chữ ký, hệ thống giám sát mạnh mẽ và khả năng phản ứng nhanh trong hạ tầng tài chính phi tập trung.

Vụ khai thác rsETH là một lời nhắc nhở rõ ràng rằng trong khi DeFi mang lại đổi mới tài chính chưa từng có, nó cũng tiềm ẩn các rủi ro kỹ thuật lớn đòi hỏi sự cảnh giác liên tục, thực hành bảo mật vững chắc và cơ chế phản ứng cộng đồng phối hợp để xử lý hiệu quả.