Những gì bắt đầu như vụ khai thác Kelp DAO không còn chỉ là một câu chuyện về cầu nối, mà giờ đây là một cuộc trưng cầu dân ý trong lĩnh vực tiền điện tử về cách DeFi xử lý vấn đề bảo mật, lây lan và trách nhiệm giải trình.

Thiệt hại trước mắt đã rất nghiêm trọng. Vụ khai thác trị giá khoảng 292 triệu đô la đã tấn công cầu nối rsETH của Kelp DAO, gây ra lo ngại về nợ xấu tại Aave và dẫn đến một vòng đổ lỗi mới giữa các giao thức và nhà cung cấp cơ sở hạ tầng.

Phản ứng của thị trường rất dữ dội. Các nhà phân tích onchain Lookonchain cho biết tổng giá trị bị khóa (TVL) của Aave đã giảm gần 8 tỷ đô la sau khi kẻ tấn công sử dụng tài sản liên quan đến Kelp DAO bị đánh cắp làm tài sản thế chấp, để lại khoảng 195 triệu đô la nợ xấu.

Dữ liệu của The Block hiện cho thấy TVL của Aave đã trải qua một đợt sụt giảm mạnh trong 48 giờ khi các quỹ chuyển hướng sang nơi khác, bao gồm cả Spark.

Mở rộng Biểu đồ

The Block sau đó đã báo cáo rằng Aave đã mô hình hóa hai kịch bản nợ xấu có thể xảy ra liên quan đến hậu quả.

Trong khi đó, các khoản tiền bị đánh cắp trong vụ khai thác bắt đầu di chuyển qua các chuỗi sau khi Arbitrum đóng băng một lượng lớn ETH liên quan.

Cuộc tranh luận về bảo mật DeFi

Một câu hỏi gay gắt hiện đang lan truyền khắp ngành không phải là liệu DeFi có còn hoạt động hay không, mà là loại rủi ro nào mà nó vẫn đang chấp nhận vào năm 2026.

Người sáng lập Curve, Michael Egorov, đã nói thẳng thắn nhất. "WTF? Chúng ta có phải là ngành công nghiệp của những chú hề không?" ông viết trên X, lập luận rằng những thất bại gần đây liên quan đến các điểm tập trung gây lỗi đang làm tổn hại đến một ngành công nghiệp vẫn tuyên bố đang xây dựng tương lai của tài chính.

Quan điểm rộng hơn của ông đang được đón nhận. Vụ vi phạm Kelp không chỉ ảnh hưởng đến một giao thức mà còn lan rộng qua tính kết hợp.

Một lỗi cầu nối đơn lẻ biến thành rủi ro thế chấp đa giao thức. Rủi ro thế chấp biến thành áp lực cho vay. Áp lực cho vay biến thành các đợt rút tiền. Trong DeFi, mã có thể mô-đun, nhưng nỗi sợ hãi thì được chia sẻ.

Wenzhao Dong, một nhà phân tích blockchain tại CertiK, nói với The Block rằng vấn đề không phải là DeFi vốn dĩ đã hỏng. Mà là có quá nhiều đội vẫn coi bảo mật là chi phí phát sinh.

"Các giao thức tồn tại qua chu kỳ tiếp theo sẽ là những giao thức coi bảo mật như cách TradFi nhìn nhận rủi ro đối tác — như một yếu tố then chốt, chứ không phải là một điều suy nghĩ sau cùng," Dong nói.

Brian Trunzo, Giám đốc tăng trưởng tại Succinct Labs, cũng chia sẻ quan điểm tương tự. Ông nói rằng các cầu nối không nên còn dựa vào các mô hình xác thực nặng về lòng tin khi các hệ thống dựa trên bằng chứng đã tồn tại.

Theo lời ông, vụ khai thác Kelp là một thất bại ở lớp xác minh cầu nối, không phải là một lỗi hợp đồng thông minh điển hình, và nó cho thấy giả định về một người ký duy nhất nguy hiểm như thế nào.

"Tại thời điểm này, nếu mô hình tin cậy của bạn kém hơn ZK, bạn đang cực kỳ sơ suất. Thậm chí có thể là liều lĩnh," Trunzo nói với The Block.

Những người khác đã đẩy mạnh chỉ trích hơn nữa.

Sergej Kunz, đồng sáng lập 1inch, nói rằng vụ việc đã phơi bày sự mong manh của mô hình quỹ chung khi một tài sản xấu đẩy hoạt động sử dụng lên tối đa và thực sự giam giữ tiền của người dùng. Matthew Pinnock, COO tại Altura DeFi, nói thêm rằng tốc độ rút tiền cho thấy lòng tin có thể tan biến nhanh chóng như thế nào khi các giả định về tài sản thế chấp bị phá vỡ.

Quan điểm lạc quan

Tuy nhiên, không phải ai cũng trở nên bi quan hơn.

Chuyên gia bảo mật của Metamask, Taylor Monahan, gọi việc Arbitrum đóng băng khẩn cấp ETH bị đánh cắp là một dấu hiệu cho thấy "DeFi thắng lớn," ca ngợi sự phối hợp đã ngăn chặn thêm thiệt hại.

Haseeb Qureshi của Dragonfly nói rằng DeFi luôn học hỏi từ thất bại, so sánh thời điểm hiện tại với các cuộc khủng hoảng trước đây như Terra, các sự cố đấu giá tháng 3 năm 2020 và tình trạng mất peg của stETH. Erik Voorhees cũng đưa ra một lập luận tương tự từ các nguyên tắc cơ bản: trong crypto, ông lập luận, các thất bại vẫn nằm gần nguồn thay vì được xã hội hóa trên toàn xã hội như cách chúng thường xảy ra trong tài chính truyền thống.

Một góc nhìn hơi khác đã được Neil May, CEO của defi.com, đưa ra. Khi nói chuyện với The Block, May suy đoán rằng điểm yếu của DeFi không chỉ là kỹ thuật, mà còn là trải nghiệm. Người dùng vẫn được kỳ vọng phải hiểu quá nhiều, phơi bày quá nhiều và phục hồi quá kém khi mọi thứ diễn ra không như ý muốn.

"Mọi người cần hiểu những gì họ đang ký, hạn chế những gì họ phơi bày và có một lộ trình phục hồi rõ ràng khi mọi thứ diễn ra không như ý muốn. Đây đơn giản là tiêu chuẩn cấp doanh nghiệp còn thiếu trong DeFi ngày nay," May nói. "Các sản phẩm giành được lòng tin của số đông sẽ là những sản phẩm làm cho bảo mật trở nên vô hình, chứ không phải những sản phẩm yêu cầu người dùng tự làm đội ngũ bảo mật của mình."

Đối với một số người, đó có thể là bài học quan trọng nhất từ sự cố của Kelp.

Vụ khai thác đã hồi sinh một cuộc tranh luận cũ của DeFi về phân quyền so với tiện lợi, nhưng nó cũng làm rõ một vấn đề mới hơn: bảo mật không còn chỉ dừng lại ở các hợp đồng của một giao thức.

Một thị trường cho vay có thể lành mạnh theo cách riêng nhưng vẫn bị ảnh hưởng bởi một cầu nối ở phía trên.

Một cầu nối có thể tự xưng là phi tập trung nhưng vẫn phụ thuộc vào một mắt xích yếu.

Việc đóng băng khẩn cấp có thể cứu được tiền nhưng vẫn đặt ra những câu hỏi khó chịu về quản trị và can thiệp.

Kẻ thù cấp quốc gia

Lukas Schor, chủ tịch Quỹ hệ sinh thái Safe, nói với The Block rằng mô hình lớn hơn quan trọng hơn việc đổ lỗi về việc ai cuối cùng sẽ lấp đầy khoảng trống của Aave.

Ông nói rằng các tác nhân liên quan đến Lazarus đã tăng tốc độ các cuộc tấn công trong tháng này, trong khi AI đang bắt đầu khuếch đại rủi ro trinh sát và tấn công phi kỹ thuật.

Theo quan điểm của Schor, ngành công nghiệp DeFi đang đối mặt với một kẻ thù cấp quốc gia với hệ thống phòng thủ vẫn được xây dựng cho một kỷ nguyên ít khắc nghiệt hơn.

"Điều rõ ràng hiện nay là ngay cả các giao thức DeFi lâu đời nhất cũng đang bị nhắm đến," ông nói với The Block. "An ninh mạng luôn là một trò chơi mèo vờn chuột. Nhưng hiện tại, rõ ràng là chúng ta, với tư cách là một ngành, phải nâng cấp hệ thống phòng thủ của mình. Nếu không, lòng tin vào DeFi sẽ bị xói mòn rất nhanh chóng và không thể phục hồi."

Ông cho rằng chính điểm này lý giải tại sao những con số lại quan trọng hơn những tiêu đề. The Block đã báo cáo vào đầu tuần này rằng thiệt hại của DeFi đã vượt 600 triệu đô la chỉ trong vài tuần. Thêm vào đó là vụ khai thác Drift trị giá khoảng 285 triệu đô la và ước tính thiệt hại sửa đổi 2,5 triệu đô la của Hyperbridge, và tháng 4 đang trở thành một tháng nữa buộc ngành này phải trả lời những câu hỏi khó về giả định lòng tin và kỷ luật hoạt động.