Trong khi mọi người đang theo dõi các tiêu đề Hormuz vào cuối tuần này, DeFi đã phải chịu đựng vụ khai thác tồi tệ nhất của năm 2026.
Một kẻ tấn công đã rút 116,500 rsETH — khoảng 18% nguồn cung lưu hành và khoảng 292 triệu đô la giá trị — từ cầu nối được hỗ trợ bởi LayerZero của Kelp vào thứ Bảy, gây ra các đợt đóng băng khẩn cấp trên Aave, SparkLend, Fluid và Upshift. Ether gói bị mắc kẹt trên 20 chuỗi khi cuộc tấn công lan rộng qua cơ sở hạ tầng liên chuỗi.
Hãy phân tích những gì thực sự đã xảy ra, vì cơ chế rất quan trọng.
Kelp DAO là một giao thức tái staking thanh khoản được xây dựng trên Ethereum. Người dùng gửi ETH hoặc token staking thanh khoản, nhận lại rsETH, và có thể sử dụng rsETH đó trên các giao thức DeFi như tài sản thế chấp hoặc để kiếm lợi suất. Giao thức sử dụng LayerZero — cơ sở hạ tầng nhắn tin xuyên chuỗi hàng đầu — để làm cho rsETH có thể sử dụng trên nhiều chuỗi khối cùng một lúc.
Chức năng xuyên chuỗi đó chính là vectơ tấn công. Kẻ tấn công đã khai thác một lỗ hổng trong cách mà cầu nối LayerZero của Kelp xác thực số dư tài sản trên các chuỗi, cho phép họ tạo ra rsETH trên các chuỗi đích mà không cần một khoản gửi tương ứng trên chuỗi nguồn. Nói một cách đơn giản: họ đã tạo ra rsETH từ hư vô, sau đó sử dụng nó để rút sạch tài sản thực từ các giao thức liên kết.
Quy mô của sự lây lan chính là điều khiến điều này đặc biệt đáng lo ngại. Bởi vì rsETH đã được tích hợp như tài sản thế chấp trên nhiều giao thức DeFi hàng đầu, phản ứng khẩn cấp yêu cầu phải đóng băng đồng thời trên Aave, SparkLend, Fluid và Upshift — ngăn chặn việc vay mới chống lại các vị thế rsETH trong khi các đội ngũ đánh giá mức độ rủi ro. Người dùng có các vị thế rsETH hợp pháp làm tài sản thế chấp đã thấy mình tạm thời không thể tương tác với các vị thế của họ trong thời gian đóng băng.
Các cuộc tấn công cầu nối xuyên chuỗi đã là nguồn gây ra thiệt hại lớn nhất cho DeFi trong ba năm liên tiếp. Ronin ($625M, 2022), Wormhole ($320M, 2022), Nomad ($190M, 2022). Mô hình này là nhất quán: độ phức tạp tạo ra bề mặt tấn công, và độ phức tạp của cầu nối là cao nhất trong DeFi.
Điều này không có nghĩa là cơ sở hạ tầng xuyên chuỗi không thể sửa chữa. Nhưng điều này có nghĩa là mỗi khi bạn cầu nối một tài sản hoặc sử dụng một giao thức xuyên chuỗi, bạn đang tin tưởng vào mã mà lịch sử đã cho thấy là loại mã dễ bị tổn thương nhất trong lĩnh vực crypto. Các cuộc kiểm toán bảo mật, TVL, danh tiếng của đội ngũ — không có điều gì trong số đó đã liên tục ngăn chặn những sự kiện này.
Câu hỏi khó xử cho ngành công nghiệp: vào thời điểm nào tính khả kết hợp khiến DeFi mạnh mẽ trở thành rủi ro hệ thống khiến nó trở nên mong manh? Câu hỏi đó vẫn chưa có câu trả lời rõ ràng. Nhưng Kelp DAO với $292M vừa làm cho nó trở nên ồn ào hơn.