#KelpDAOBridgeHacked

**Lỗ Hổng Cầu KelpDAO: Phân Tích Toàn Diện Về Vụ Hack DeFi Trị Giá $292 Triệu**

Vào ngày 18 tháng 4 năm 2026, hệ sinh thái tài chính phi tập trung chứng kiến một trong những vụ vi phạm an ninh nghiêm trọng nhất khi cầu rsETH của KelpDAO được vận hành bởi LayerZero bị khai thác, dẫn đến thiệt hại khoảng $292 triệu đô la. Sự cố này đã gây chấn động trong lĩnh vực DeFi, kích hoạt chuỗi phản ứng khẩn cấp trên nhiều giao thức cho vay và phơi bày các lỗ hổng nghiêm trọng trong hạ tầng cầu liên chuỗi.

**Cơ Chế Tấn Công**

Vào khoảng 17:35 UTC ngày 18 tháng 4, một kẻ tấn công thực hiện một cuộc khai thác tinh vi nhằm vào cầu rsETH của KelpDAO, sử dụng công nghệ adapter Token Fungible To LayerZero Omnichain (OFT). Kẻ tấn công đã thành công tạo ra một tin nhắn liên chuỗi giả mạo thông qua hàm lzReceive, qua đó bỏ qua các cơ chế xác thực trên mạng chính Ethereum. Bằng cách giả mạo chuỗi nguồn là Unichain (EID 30320), kẻ tấn công đã có thể phát hành 116.500 token rsETH chưa được thế chấp từ escrow của cầu mà không cần gửi tiền tương ứng trên chuỗi nguồn.

Nguyên nhân chính của vụ khai thác này được truy nguyên từ cấu hình mạng xác minh phi tập trung 1-đến-1 (DVN) dựa trên các điểm cuối RPC hạn chế. Các điểm cuối này dường như đã bị xâm phạm, cung cấp dữ liệu xác minh sai cho hợp đồng cầu. Đáng chú ý, không có quá trình đốt token thực sự nào diễn ra trên chuỗi nguồn, nhưng cầu lại đúc ra rsETH tương ứng trên mạng chính Ethereum một cách sai lệch. Hash giao dịch chính của vụ khai thác này là 0x1ae232da212c45f35c1525f851e4c41d529bf18af862d9ce9fd40bf709db4222, có thể theo dõi trên các trình duyệt blockchain như Routescan.

**Hậu Quả Ngay Lập Tức và Sự Lan Truyền Trong DeFi**

Thay vì giữ lại số rsETH bị đánh cắp, kẻ tấn công đã ngay lập tức sử dụng các token chưa được thế chấp này làm tài sản thế chấp trên nhiều giao thức cho vay, biến vấn đề bảo mật cầu thành một sự kiện lây lan hệ thống trong DeFi. Số rsETH bị đánh cắp đã được gửi vào các thị trường Aave V3 và V4 trên cả mạng chính Ethereum và Arbitrum, cũng như các nền tảng cho vay như Compound V3, Euler và khoảng 30 nền tảng khác. Từ các vị trí này, kẻ tấn công đã vay khoảng 83.427 WETH và wstETH, trong đó có 52.834 WETH vay trên mạng chính Ethereum và 29.782 WETH cộng 821 wstETH trên Arbitrum.

Chiến lược vay mượn này tạo ra rủi ro nợ xấu đáng kể trong toàn bộ hệ sinh thái DeFi. Ước tính thiệt hại tiềm năng dao động từ $120 triệu đến $236 triệu đô la trên các giao thức cho vay bị ảnh hưởng, trong đó Aave có khả năng chịu thiệt hại lớn nhất, lên tới khoảng $230 triệu đô la nợ xấu. Tình hình này gây áp lực lớn lên token quản trị AAVE và đặt ra các câu hỏi nghiêm trọng về thực hành quản lý rủi ro của các nền tảng cho vay lớn.

**Các Giao Thức Phản Ứng Khẩn Cấp**

Phản ứng với vụ khai thác này diễn ra nhanh chóng nhưng mang tính phản ứng. Vào khoảng 18:21 UTC ngày 18 tháng 4, multisig khẩn cấp của KelpDAO đã thực hiện phong tỏa các hợp đồng rsETH cốt lõi trên mạng chính và tất cả các mạng Layer 2. Ngay sau đó, Aave đã quyết định phong tỏa các thị trường rsETH trên cả V3 và V4, quyết định này nhanh chóng được các giao thức như Spark, Fluid, Ethena, Upshift, Morpho và nhiều nền tảng khác theo chân.

Stani Kulechov, sáng lập và CEO của Aave, xác nhận qua X rằng rsETH đã bị phong tỏa trên cả Aave V3 và V4, và tài sản này đã bị tước bỏ toàn bộ khả năng vay mượn như một phản ứng trực tiếp với vụ khai thác cầu của KelpDAO. Tài khoản chính thức của Aave cho biết cộng đồng sẽ cần thảo luận xem rsETH có nên bị loại bỏ vĩnh viễn khỏi tất cả các thị trường của Aave sau khi khủng hoảng tạm thời qua đi, theo mô hình đã thiết lập sau các vụ nợ xấu trước đó.

**Phân Tích Định Tuyên và Phân Tích Kỹ Thuật**

Các nhà nghiên cứu an ninh và các công ty phân tích blockchain đã quy trách vụ tấn công này cho nhóm Lazarus của Bắc Triều Tiên, một nhóm hacker nhà nước nổi tiếng với các hoạt động tấn công các nền tảng tiền điện tử. Phương pháp tấn công phù hợp với chiến thuật đã được Lazarus nhóm sử dụng, bao gồm xâm nhập kiên nhẫn, thao túng cơ chế tin cậy và đàn áp khả năng phát hiện.

LayerZero Labs đã cung cấp thêm các chi tiết kỹ thuật về vector tấn công. Theo phân tích của họ, kẻ tấn công đã truy cập danh sách các điểm cuối RPC mà hạ tầng DVN của họ sử dụng, sau đó xâm phạm hai nút độc lập chạy trên các cụm riêng biệt mà không có kết nối trực tiếp với nhau. Kẻ tấn công sau đó đã thay thế các tệp nhị phân chạy các nút op-geth, kiểm soát dữ liệu xác minh được cung cấp cho các hợp đồng cầu.

KelpDAO đã đổ lỗi cho hạ tầng của LayerZero về vụ vi phạm an ninh, trong khi LayerZero phản bác rằng vấn đề bắt nguồn từ cấu hình DVN cụ thể của KelpDAO. LayerZero khẳng định rằng họ và các bên bên ngoài khác đã từng truyền đạt các thực hành tốt nhất về đa dạng hóa DVN cho KelpDAO, gợi ý rằng cấu hình đúng đắn có thể đã ngăn chặn được vụ khai thác này.

**Tác Động Thị Trường và Sự Mất Liên Kết của rsETH**

Vụ khai thác đã gây hậu quả nghiêm trọng cho vị thế thị trường của rsETH. Token này đã trải qua sự mất liên kết đáng kể khỏi tỷ lệ ETH dự kiến, tạo ra sự không chắc chắn cho các người nắm giữ trên hơn 20 mạng blockchain nơi rsETH được triển khai. Khoảng 18% nguồn cung rsETH lưu hành hiện nay là các token chưa được thế chấp, khiến niềm tin vào sản phẩm staking dạng phái sinh này bị lung lay nghiêm trọng.

Hệ sinh thái DeFi rộng lớn hơn cũng cảm nhận tác động, với tổng thiệt hại do hack trong năm 2026 hiện vượt quá $750 triệu đô la tính đến giữa tháng 4. Vụ khai thác của KelpDAO đã vượt qua kỷ lục trước đó của Drift Protocol với $285 triệu đô la vào ngày 1 tháng 4, với mức thiệt hại hàng triệu đô la. Tập trung các vụ khai thác cầu trong năm 2026 đã làm nổi bật các thách thức an ninh liên tục đối với hạ tầng liên chuỗi.

**Tình Hình Hiện Tại và Nỗ Lực Phục Hồi**

Tính đến ngày 21 tháng 4 năm 2026, cả KelpDAO và LayerZero đang phối hợp tích cực để phân tích nguyên nhân gốc rễ và chuẩn bị báo cáo hậu sự cố. KelpDAO đã xác nhận qua tài khoản X chính thức rằng họ đang làm việc cùng LayerZero, Unichain, các kiểm toán viên an ninh và các chuyên gia blockchain để điều tra vụ việc và xây dựng khung phục hồi.

LayerZero cho biết họ đã biết về vụ việc từ khi xảy ra và đang tích cực khắc phục cùng nhóm của KelpDAO. Họ nhấn mạnh rằng các ứng dụng khác sử dụng hạ tầng LayerZero vẫn an toàn và sẽ sớm công bố báo cáo hậu sự cố chi tiết phối hợp cùng KelpDAO và nhóm phản ứng an ninh SEAL 911.

Các địa chỉ tấn công, bao gồm 0x1F4C1c2e610f089D6914c4448E6F21Cb0db3adeF, đã được gắn nhãn trên các trình duyệt blockchain chính và đang được theo dõi chặt chẽ để phát hiện các hoạt động chuyển tiền bị đánh cắp. Tuy nhiên, do tính chất tinh vi của vụ tấn công và sự tham gia của các nhóm nhà nước, khả năng phục hồi vẫn còn nhiều bất định.

**Các Bài Học Quan Trọng**

Vụ khai thác này đánh dấu một bước ngoặt trong an ninh DeFi, cho thấy các lỗ hổng cầu có thể gây ra các rủi ro hệ thống lan rộng trong toàn bộ hệ sinh thái. Sự cố này nhấn mạnh tầm quan trọng của cấu hình DVN vững chắc, các cơ chế xác minh đa dạng và quản lý rủi ro chủ động trong các giao thức liên chuỗi. Đối với người dùng, sự kiện này là một lời nhắc nhở rõ ràng về các rủi ro liên quan đến tài sản wrapped và tính liên kết của các thị trường cho vay DeFi hiện đại.

Tình hình vẫn tiếp tục phát triển, các giao thức bị ảnh hưởng đang cố gắng định lượng thiệt hại và xây dựng các chiến lược khắc phục. Người dùng được khuyến nghị theo dõi các kênh chính thức của KelpDAO, LayerZero và các nền tảng cho vay bị ảnh hưởng để cập nhật về các kế hoạch hoàn trả hoặc các cơ chế phục hồi tiềm năng.