KelpDAO bị hack 2.92 tỷ USD gây ra hiệu ứng dây chuyền: Aave bị rút vốn hơn 54 tỷ USD, rủi ro thị trường cho vay cần được đánh giá lại

Tin tức từ BlockBeats, vào ngày 19 tháng 4, vào lúc rạng sáng, nền tảng thế gian đa chuỗi KelpDAO đã bị tấn công, kẻ tấn công đã chuyển ra khỏi cầu nối đa chuỗi của KelpDAO dựa trên LayerZero 116,500 đồng rsETH, tương đương khoảng 2.92 tỷ USD, đó là vụ việc an ninh DeFi lớn nhất đến nay trong năm 2026. Khoảng 46 phút sau, KelpDAO đã phản ứng. Giao thức đã tạm ngưng ngay lập tức vàng chéo, đóng băng các thành phần cốt lõi bao gồm hồ lưu trữ LRT, hợp đồng rút tiền, dự báo và mã thông báo rsETH. Kelp cho biết họ đã phát hiện hoạt động chéo lạ liên quan đến rsETH và đã tạm ngưng các hợp đồng liên quan trên mạng chính và nhiều L2 khác nhau đồng thời đang tiến hành phân tích nguyên nhân với LayerZero và các bên liên quan.

Sau đó, kẻ tấn công đã thử tấn công hai lần nhưng không thành công, các biện pháp tạm ngưng đã ngăn chặn hiệu quả việc mất thêm tài sản. Họ đã cố gắng chuyển thêm 40,000 đồng rsETH (khoảng 1 tỷ USD), nếu thành công, tổn thất tổng cộng có thể mở rộng lên khoảng 3.91 tỷ USD. Kẻ tấn công nhanh chóng vay mượn trên nhiều giao thức cho vay như Aave, Compound, Euler, Fluid, gây ra nhiều giao thức đóng cửa. Trong đó, Aave đã ghi nhận khoản nợ xấu ước lượng từ 177 triệu đến 196 triệu USD, Compound đã ghi nhận khoản nợ xấu khoảng 39.4 triệu USD, Euler đã ghi nhận khoản nợ xấu khoảng 840 nghìn USD. Aave bị ảnh hưởng nhiều nhất, họ đã đóng băng thị trường rsETH trong V3 và V4 và nói rằng sự kiện này liên quan đến tài sản rsETH chứ không phải là vấn đề của hợp đồng thông minh của giao thức. Aave nói họ đang đánh giá tình hình vay mượn sau sự kiện và nếu giao thức ghi nhận khoản nợ, họ sẽ "khám phá con đường để bù đắp khoản thiếu".

Kẻ tấn công KelpDAO đã đặt hầu hết số rsETH đánh cắp vào Aave như tài sản thế chấp để vay ETH, một phần nhỏ được bán trực tiếp để đổi thành ETH. Tin tặc đã thu được tổng cộng 106,466 đồng ETH (khoảng 2.5 tỷ USD) thông qua việc thế chấp và bán ra. Với mục đích tránh rủi ro, hơn 54 tỷ USD tài sản đã được rút khỏi Aave sau khi tin tặc vay mượn ETH lớn từ việc đổi tài sản rsETH bất hợp pháp qua Aave. Trong số đó có Justin Sun đã rút lại 65,584 đồng ETH (154 triệu USD). Tỷ lệ sử dụng tài nguyên của ETH trên Aave đã tăng lên 100% một thời điểm.

Người sáng lập Curve Michael Egorov đã đăng bài viết cho biết: "Sự kiện này là rủi ro mà mô hình "vay từ xa không cô lập" hiện đang phổ biến mang lại. Mô hình này có khả năng mở rộng tốt nhưng rủi ro cao, vì vậy quản lý rủi ro là vô cùng quan trọng. Mô hình hub and spoke của Aave v4 có thể là một bước tiến hướng tới mô hình bán cô lập, an toàn hơn."

Chuyên gia KOL về tiền điện tử đã đăng tải bài viết cho biết, sự cố đánh cắp rsETH của KelpDAO có tác động sâu rộng, bức tường an ninh của Aave đã bị phá vỡ, và rủi ro của thị trường cho vay đồng nhất đang được những "whale" lớn nhìn nhận lại lần nữa. Aave V4 và mô hình cho vay theo kiểu mô đun có thể sẽ trở thành xu hướng tương lai, quá trình chuyển đổi liên quan có thể sẽ được đẩy nhanh chóng hơn. DeFi sẽ dừng lại trên con đường mở rộng, chuyển sang một chế độ an toàn hơn, và đồng thời cần tiếp tục đối phó với các mối đe dọa an ninh do trí tuệ nhân tạo như Anthropic Mythos đem lại.

Người đồng sáng lập Bankless Ryan Sean Adams đã đăng tải bài viết cho biết, "Tần suất các vụ tấn công hacker vào không gian tiền điện tử đã đạt đến mức cao nhất trong lịch sử. Tôi nghĩ rằng điều này liên quan đến trí tuệ nhân tạo. AI đang trao cho hacker "siêu khả năng tối tăm". Phòng thủ phải nhanh chóng bắt kịp, chúng ta không còn thời gian nữa."