Vụ Khai Thác DeFi Trị Giá 293 Triệu USD Lộ Ra Điểm Yếu Tiềm Ẩn

Vào ngày 18 tháng 4 năm 2026, hệ sinh thái tài chính phi tập trung (DeFi) đã phải đối mặt với một trong những vụ vi phạm bảo mật lớn nhất trong năm. Trong một cuộc tấn công phối hợp cao, khoảng 290–293 triệu USD tài sản, tương đương khoảng 116.500 rsETH, đã bị rút khỏi cơ sở hạ tầng cầu nối của KelpDAO.

Thoạt nhìn, vụ việc này có vẻ tương tự các vụ khai thác DeFi trước đây. Nhưng sự cố này khác biệt ở một điểm mấu chốt: nó không phải do lỗi trong logic hợp đồng thông minh gây ra. Thay vào đó, nó đã phơi bày một lỗ hổng sâu sắc và đáng lo ngại hơn nhiều đó là sự mong manh của cơ sở hạ tầng ngoài chuỗi mà nhiều giao thức âm thầm phụ thuộc vào. Sự khác biệt này rất quan trọng. Bởi vì trong khi các hợp đồng thông minh đã trở nên an toàn hơn theo thời gian, các hệ thống xung quanh chúng giờ đây đang trở thành bề mặt tấn công chính.

Source : @Jeremybtc

KelpDAO là Gì?

KelpDAO là một giao thức restaking thanh khoản được xây dựng chủ yếu trên Ethereum, được thiết kế để nâng cao hiệu quả sử dụng vốn cho người dùng tham gia vào các hệ sinh thái staking. Thông qua việc tích hợp với các khuôn khổ restaking như EigenLayer, KelpDAO cho phép người dùng restake ETH và nhận một token phái sinh thanh khoản là rsETH. Token này sau đó có thể được triển khai trên khắp DeFi để cho vay, thế chấp hoặc giao dịch, cho phép người dùng kiếm lợi nhuận trong khi vẫn duy trì tính thanh khoản.

Đến đầu năm 2026, rsETH đã phát triển thành một tài sản quan trọng trong lĩnh vực restaking, được tích hợp sâu rộng trên nhiều giao thức DeFi. Một phần quan trọng của sự mở rộng này dựa vào chức năng chuỗi chéo (cross-chain), được hỗ trợ bởi các cơ sở hạ tầng như LayerZero. Tuy nhiên, sự phụ thuộc đó đã trở thành mắt xích yếu nhất của giao thức.

Source : @kelpDao

Dòng Thời Gian của Cuộc Tấn Công

Vụ khai thác diễn ra nhanh chóng, cho thấy các cuộc tấn công hiện đại có thể leo thang nhanh đến mức nào. Vào lúc 17:35 UTC, những kẻ tấn công đã bắt đầu chuỗi hành động bằng cách gửi một tin nhắn chuỗi chéo giả mạo. Tin nhắn này đã sai lệch khi chỉ ra rằng một lượng lớn rsETH đã bị đốt cháy trên Unichain, một môi trường L2 liên quan đến Uniswap. Bởi vì hệ thống được cấu hình với thiết lập một trình xác minh (single-verifier), tin nhắn đã được chấp nhận mà không có đủ kiểm tra dự phòng. Điều này đã kích hoạt việc giải phóng khoảng 116.500 rsETH từ các hợp đồng ký quỹ dựa trên Ethereum đến các ví do kẻ tấn công kiểm soát.

Trong vòng vài phút, số tiền đã biến mất. Khoảng 46 phút sau, ví multisig khẩn cấp của KelpDAO đã can thiệp, tạm dừng giao thức. Hai nỗ lực tiếp theo nhằm rút thêm 80.000 rsETH trị giá khoảng 200 triệu USD đã bị chặn thành công nhờ phản ứng này. Mặc dù đã ngăn chặn được một phần, thiệt hại chính đã xảy ra.

Cách Cuộc Tấn Công Hoạt Động

Điều khiến vụ khai thác này đặc biệt quan trọng là phương pháp của nó. Thay vì khai thác lỗi trong mã hợp đồng thông minh, những kẻ tấn công đã nhắm vào lớp cơ sở hạ tầng xác thực giao tiếp chuỗi chéo. Cuộc tấn công bao gồm nhiều bước phối hợp:

Đầu tiên, các nút RPC được mạng lưới xác minh của LayerZero sử dụng đã bị xâm nhập hoặc thao túng. Điều này cho phép những kẻ tấn công kiểm soát cách dữ liệu xác minh được diễn giải.
Thứ hai, một cuộc tấn công từ chối dịch vụ phân tán (DDoS) đã được phát động chống lại các nút hợp lệ. Điều này buộc hệ thống phải dựa vào các nút dự phòng—một số trong đó nằm dưới sự ảnh hưởng của kẻ tấn công. Với quyền kiểm soát này, những kẻ tấn công đã tạo ra một tin nhắn giả mạo trông có vẻ hợp lệ trong mô hình tin cậy của hệ thống.
Cuối cùng, do cấu hình xác minh 1 trên 1 của KelpDAO, chỉ một sự chấp thuận là đủ để ủy quyền giải phóng quỹ.

Lựa chọn cấu hình này, có lẽ được thực hiện để giảm độ trễ và chi phí, đã loại bỏ tính dự phòng. Và trong các hệ thống bảo mật, việc thiếu dự phòng thường tương đương với một điểm lỗi duy nhất.

Xác Định Thủ Phạm: Vai Trò của Nhóm Lazarus

Các công ty bảo mật, bao gồm LayerZero và Chainalysis, đã tự tin khẳng định cuộc tấn công này là do Nhóm Lazarus gây ra, một tổ chức tấn công mạng được nhà nước tài trợ có liên quan đến Triều Tiên. Cụ thể hơn, tiểu nhóm được gọi là “TraderTraitor” được cho là chịu trách nhiệm.

Đây không phải là một sự cố đơn lẻ. Trong cùng tháng đó, Lazarus cũng có liên quan đến:

Vụ khai thác Drift Protocol, gây thiệt hại khoảng 285 triệu USD
Một cuộc tấn công nhỏ hơn nhưng có liên quan vào Hyperbridge

Điều nổi bật là mô hình tấn công. Đây không phải là các vụ hack cơ hội khai thác những lỗ hổng đơn giản. Chúng là các hoạt động dài hạn, có mục tiêu cụ thể, thường liên quan đến nhiều tháng chuẩn bị và nhiều vectơ tấn công. Trọng tâm đã rõ ràng chuyển sang các cơ sở hạ tầng có giá trị cao—cầu nối, hệ thống restaking và các giao thức chuỗi chéo.

Tác Động Ngay Lập Tức đến Hệ Sinh Thái DeFi

Hậu quả của cuộc tấn công là ngay lập tức và lan rộng. Token rsETH nhanh chóng mất giá trị neo (peg), gây ra sự bất ổn trên các nền tảng cho vay. Các giao thức như Aave và các giao thức khác đã nhanh chóng đóng băng hoặc hạn chế rsETH làm tài sản thế chấp để ngăn chặn rủi ro hệ thống tiếp theo. Phản ứng này, dù cần thiết, đã góp phần gây ra một cú sốc thanh khoản lớn hơn.

Trong vòng vài ngày, hơn 13 tỷ USD tổng giá trị đã bị rút khỏi các nền tảng DeFi—một trong những dòng vốn chảy ra nhanh nhất được ghi nhận trong những năm gần đây. Sự cố này đã làm nổi bật một thực tế quan trọng: DeFi hiện đại có tính kết nối cao. Một lỗi ở một thành phần, đặc biệt là một cầu nối, có thể lan rộng qua nhiều hệ thống, ảnh hưởng đồng thời đến tính thanh khoản, sự ổn định tài sản thế chấp và niềm tin của người dùng.

Bài Học cho Các Giao Thức và Người Dùng

Vụ khai thác KelpDAO củng cố một số bài học quan trọng cho ngành.

Đầu tiên, dự phòng không còn là một lựa chọn tùy chọn. Các hệ thống dựa vào một trình xác minh duy nhất hoặc mô hình tin cậy đơn giản vốn đã dễ bị tổn thương. Các cấu hình đa trình xác minh và cơ chế xác thực phi tập trung nên được coi là yêu cầu cơ bản.
Thứ hai, bảo mật phải mở rộng ra ngoài hợp đồng thông minh. Cơ sở hạ tầng ngoài chuỗi—các nút RPC, các oracle và các lớp xác minh—phải được xem xét với mức độ nghiêm ngặt tương tự như mã trên chuỗi.
Thứ ba, cơ chế phản ứng rất quan trọng. Mặc dù KelpDAO đã chịu thiệt hại đáng kể, cơ chế tạm dừng nhanh chóng của nó đã ngăn chặn thêm thiệt hại. Điều này chứng tỏ giá trị của việc có các biện pháp kiểm soát khẩn cấp được xác định rõ ràng.
Đối với người dùng, bài học cũng rõ ràng không kém. Việc tiếp xúc quá mức với một tài sản hoặc giao thức duy nhất—đặc biệt là một giao thức phụ thuộc vào cơ sở hạ tầng phức tạp—có thể làm tăng rủi ro. Đa dạng hóa và nhận thức về các cơ chế cơ bản là điều cần thiết.

Một Bước Ngoặt cho An Ninh DeFi

Cuộc tấn công này, cùng với các vụ khai thác nổi tiếng khác vào năm 2026, báo hiệu một sự thay đổi trong cách DeFi phải tiếp cận an ninh. Ngành đã đạt được tiến bộ đáng kể trong việc kiểm toán hợp đồng thông minh và xác minh chính thức. Nhưng những kẻ tấn công đã thích nghi. Giờ đây, chúng đang nhắm mục tiêu vào các lớp nằm bên ngoài chính blockchain—các giao diện, kênh giao tiếp và các giả định tin cậy cho phép mở rộng quy mô. Sự phát triển này đòi hỏi một sự thay đổi tư duy tương ứng. Bảo mật không còn có thể được coi là một mục trong danh sách kiểm tra được hoàn thành trước khi triển khai. Nó phải được tích hợp vào mọi lớp của hệ thống, được kiểm tra liên tục và được thiết kế với các điều kiện đối thủ trong tâm trí. Các giao thức nhận ra sự thay đổi này và đầu tư phù hợp sẽ có vị thế tốt hơn để duy trì niềm tin của người dùng trong một môi trường ngày càng thù địch.

Kết Luận

Vụ khai thác KelpDAO trị giá 293 triệu USD không chỉ là một mục khác trong danh sách các vụ hack DeFi. Đó là một nghiên cứu điển hình về cách các cuộc tấn công hiện đại đang phát triển và nơi các lỗ hổng tiếp theo có khả năng xuất hiện. Vấn đề cốt lõi không phải là một hợp đồng bị lỗi, mà là một kết nối mong manh. Khi DeFi tiếp tục mở rộng quy mô và kết nối, những kết nối này trở thành cả sức mạnh lớn nhất và rủi ro lớn nhất của nó. Bài học rõ ràng: tốc độ và hiệu quả không thể đánh đổi bằng khả năng phục hồi. Bởi vì trong môi trường hiện tại, những lỗ hổng nguy hiểm nhất không phải lúc nào cũng hiển thị trong mã—chúng tồn tại trong các giả định đằng sau nó.

Tuyên bố miễn trừ trách nhiệm

Bài viết này chỉ dành cho mục đích thông tin và giáo dục. Nó không cấu thành lời khuyên tài chính, đầu tư hoặc giao dịch. Tiền điện tử và DeFi tiềm ẩn rủi ro mất mát đáng kể. Luôn tự nghiên cứu và thận trọng.