Cơn ác mộng vào chiều Thứ Bảy
Vào lúc 17:35 UTC ngày 18/04/2026, một thảm họa tài chính đã giáng xuống hệ sinh thái DeFi thông qua giao dịch có mã hash 0x1ae232da212c45f35c1525f851e4c41d529bf18af862d9ce9fd40bf709db4222
Vector tấn công sẽ không được đề cập chi tiết vì mang nặng tính kỹ thuật, nhưng tóm tắt ngắn gọn, Hacker đã lợi dụng một lỗ hổng kỹ thuật của Layer Zero để đúc ra 116.500 rsETH từ không khí mà không có bất kỳ tại sản đối ứng nào trên Ethereum. Với giá trị tương đương 292 triệu USD, đây đang là vụ khai thác lớn nhất trong năm 2026. Với 292 triệu USD rsETH vô giá trị được đưa vào thị trường, đặc biệt khi rsETH là một lớp tài sản restaking phổ biến, điều này đã tạo ra một làn sóng lan truyền gây ra sự gián đoạn ở quy mô lớn – ảnh hưởng đến cả những giao thức hàng đầu trong DeFi. Trong bài viết này, mình sẽ mô tả lại chuyện gì đang diễn ra trong các giao thức lớn hiện tại sau khi vụ khai thác này diễn ra.
Diễn biến đám cháy
Sau khi kẻ tấn công (địa chỉ ví 0x8B1b6c9A6DB1304000412dd21Ae6A70a82d60D3b) thành công tạo ra số rsETH vô giá trị, thay vì swap trực tiếp lượng rsETH này vào các pool thanh khoản, kể tấn công đã:
- Thế chấp rsETH và vay 52834 WETH trên Aave V3/V4 trên Ethereum.
- Thế chấp rsETH và vay 29782 WETH và 821 wstETH trên V3/V4 Arbitrum
- Một số vị thế nhỏ hơn được làm tương tự trên Compound V3 và Euler
Tổng giá trị tiền bị rút ra trong khoảng 230 triệu USD thông qua WETH. Thay vào đó, số rsETH “gần như vô giá trị” được thay thế làm tài sản thế chấp.
Giả sử bạn là một người Supply WETH, giờ đây lượng WETH trong pool đã bị rút cạn. Vì vậy sẽ không còn đủ WETH để cho bạn rút ra. Bạn muốn thoát ra bằng mọi cách do đó bạn đã nghĩ ra 1 cách đó là vay USDT coi như một khoản bù đắp cho lượng WETH bị thiệt hại.
Dĩ nhiên bạn không phải là người duy nhất nghĩ đến phương án này, một số whale khác cũng làm điều tương tự, lượng nhu cầu vay USDT tăng cao đột biến trong cơn hoảng loạn khiến USDT pool thanh khoản cũng bị rút hết.
Mặc dù không hịu ảnh hưởng trực tiếp từ vụ khai thác nhưng việc USDT bị vay hết khỏi pool thanh khoản – không còn dự trữ khiến cơn hoảng loạn lan rộng sang những người supply USDT. Những người này vì không rút được USDT nên họ tiếp tục vay các stablecoin khác như một lối thoát khác. Điều này kéo theo các pool stablecoin khác như USDC bị vay hết tạo nên mức sử dụng 100% dẫn đến việc lãi suất tăng cao lên đến hơn 15% cho việc vay các stablecoin.
Mọi chuyện đang được tạm dừng ở đây do các contract của AAVE đã bị đóng băng để xử lý, điều này có nghĩa là không ai có thể deposit hoặc withdraw thêm khi contract được mở lại. Tuy nhiên những người đang vay vẫn sẽ phải chịu lãi suất trong thời gian này. Các vị thế càng kẹt lâu, thì vốn càng bị xói mòn.
Tầm ảnh hưởng
Giờ thì bạn đã nắm sơ qua được chuyện gì đã xảy ra. Không giống như các vụ tấn công khác vào 1 hoặc 2 protocol, vụ tấn công này đang tạo ra làn sóng sợ hãi và sự mất niềm tin vào các Giao thức DeFi. Bản thân mình dù đang Supply trên Sui Network cũng quyết định rút hết tài sản về ví cá nhân để phân tích và suy nghĩ xem chuyện gì sẽ xảy ra tiếp theo.
Chúng ta hãy cùng xem xét các hậu quả mà cuộc tấn công – nhanh chóng chuyển thành một cuộc khủng hoãng vĩ mô trong ngành công nghiệp DeFi, bao gồm cả khía cạnh tài chính và niềm tin.
Đầu tiên, với việc rsETH được mint ra không có tài sản là ETH đảm bảo, bên gánh chịu rủi ro trực tiếp chính là KelpDAO. Hay nói đúng hơn là những người tham gia giao thức staking này. Nếu chia khoản thất thoát này cho những người sở hữu rsETH, thì họ sẽ bị thiệt hại khoảng 19%.
Nhưng ai là những người tham gia vào giao thức này, có lẽ phần lớn là các DAO hoặc các quỹ đầu tư có mức độ tiếp xúc cao với crypto. Điều này sẽ làm giảm mạnh dòng vốn được đẩy vào trị trường trong giai đoạn sắp tới.
Tiếp sau đó, khi các phương án đền bù đã được xử lý và quá trình nạp/ rút tiền được mở lại trên KelpDAO và các giao thức DeFi. Khả năng cao phần lớn các giao thức sẽ không chấp nhận rsETH là một tài sản thế chấp hợp lệ – hoặc low risk như trước đây. Và 2 phản ứng sau sẽ diễn ra đồng thời :
- Những người đang theo đuổi chiến lược loop borrow ETH, stake rsETH sẽ phải nhanh chóng thoát ra khỏi vị thế này vì không đem lại lợi nhuận, ngược lại đen lại ROI âm vì lãi suất vay ETH đang bị tăng lên 8% trong khi lợi nhuận stake ETH chỉ rơi vào khoảng 2.5%. Tuy nhiên điều này sẽ không dễ dàng như trước khi thanh khoản đã bị hạn chế và LTV bị giảm xuống mức thấp. Những người theo đuổi chiến lược này cần rút rsETH, unstake để lấy ETH, trả nợ cho khoảng ETH đã vay, sau đó tiếp tục rút rsETH và lặp lại vòng lặp.
- Những người đang stake trong KelpDAO cũng sẽ không muốn tiếp tục nắm giữ rsETH vì lúc này niềm tin của họ vào giao thức đã không còn. Làm cho việc đào thoát khỏi rsETH sang ETH trở nên mạnh mẽ hơn.
Song song với đó, quá trình này chắc chắn sẽ không diễn ra một cách suôn sẻ nếu các tổ chức hoặc cá nhân tham gia vào KelpDAO khởi kiện. Việc kiện tụng sẽ kéo dài quá trình mở khóa này khiến các vị thế tiếp tục bị mắc kẹt và bị ăn dần vào vốn do phải chịu các khoản lỗ từ việc vay vốn ETH với lãi suất cao.
Bên tiếp theo chịu ảnh hưởng, đó là AAVE. Một trong những giao thức đầu tiên ra đời khi kỷ nguyên DeFi xuất hiện. Trước khi tìm hiểu AAVE sẽ bị thiệt hại như thế nào, chúng ta cần biết AAVE đã có một module Umbrella được xây dựng như một cơ chế xử lý rủi ro hệ thống khi xảy ra các sự kiện thiếu hụt thanh khoản.
Sự khác biệt của Umbrella là các thị trường tại các chain khác nhau được bảo hiểm một cách độc lập. Ví dụ WETH trên Etherum được cung cấp với mục đích bù đắp thiếu hụt WETH thì sẽ chỉ được sử dụng cho mục đích này. Những người tham gia bảo hiểm cho USDC sẽ không bị ảnh hưởng nếu sự cố thiếu thanh khoản của WETH diễn ra.
Mặc dù vậy, Umbrella chỉ hỗ trợ trên AAVE Ethereum. Nợ xấu trên các chain khác của AAVE vẫn sẽ xử lý theo phương pháp cũ, đó là DAO Collector sẽ phải gánh khoản nợ, sau đó là phát hành AAVE thông qua quản trị và cuối cùng là phân bổ khoản nợ xấu cho những người supply nếu 2 phương án trên không bù đắp đủ.
WETH Umbrella của Ethereum có giá trị khoảng 56 triệu đô vào cuối tuần trước. Trong khi đó kẻ tấn công đã vay 52834 WETH trên Ethereum, 29782 WETH và 821 wstETH trên Arbitrum.
Như vậy trên Ethereum số tiền thất thoát là 121 triệu USD, gấp đôi số tiền mà kho bạc Umbrella WETH trên Ethereum có. Ngay cả khi sử dụng toàn bộ kho bác, AAVE trên Ethereum vẫn còn nợ khoảng 55 triệu USD. Trong khi đó, khoảng thâm hụt trên Arbitrum khoảng 67 triệu USD sẽ được đưa thẳng vào các DAO collector để xử lý. Như vậy AAVE còn phải xử lý khoảng 120 triệu USD ngay cả khi kho tiền Umbrella được sử dụng hết sạch. Cách xử lý có thể sẽ là AAVE cần mint thêm token để trả nợ ( giống như MakerDAO trước đây đã từng thực hiện).
Cho đến bây giờ, những người chịu ảnh hưởng từ vụ tấn công này bao gồm:
- (1) Người stake WETH cho kho bạc Umbrella. Hứng chịu toàn bộ rủi ro khi cung cấp aWETH.
- (2) Những người nắm giữ rsETH trên các chuỗi. Lạm phát nguồn cung 18% dẫn đến sự suy yếu về giá trị của rsETH.
- (3) Những người đang sử dụng chiến lược loop rsETH để supply trên AAVE. Giờ đây họ đang bị mắc kẹt, không thể thoát vị thế vì đóng băng và thiếu thanh khoản, trong khi vốn đang bị bào dần vì lãi suất thực tế cho chiến lược này đang ở mức âm.
- (4) Token holder AAVE. Khả năng cao AAVE sẽ phát hành thêm AAVE để chi trả cho khoản nợ xấu khiến token tiếp tục bị pha loãng một cách nhanh chóng.
- (5) Những supplier WETH trên Arbitrum. Tuy nhiên tổn thất thực tế sẽ do AAVE quyết định. Nhóm (4) và (5) thực chất đang có sự cạnh tranh về lợi ích, nếu AAVE quyết định in thêm token để giảm tổn thất cho nhóm (5) thì nhóm (4) sẽ gánh tổn thất, và ngược lại.
Sự sụt giảm về niềm tin
Tuy vậy, các ảnh hưởng về tài chính chỉ là bề nổi của tảng băng chìm. Sự ảnh hưởng về niềm tin mới là điều đáng lo ngại. Có một số khía cạnh khiến ngay một DeFi builder như mình cũng cần phải suy nghĩ lại.
Mô hình vay phổ biến nhất đang được áp dụng hiện nay có thực sự an toàn về mặt thiết kế hay không?
Mô hình vay hiện tại đang sử dụng cơ chế đường cong lãi suất để điều chỉnh cung cầu. Với giả định, khi một tài sản có nhu cầu vay tăng cao, khiến lãi suất tăng cao sẽ khiến giảm nhu cầu vay và đưa lãi suất trở về mức hợp lý với thị trường. Đây là cơ chế tự cân bằng nhờ vào cung cầu ở môi trường bình thường.
Hệ thống này đã bị tê liệt hoàn toàn khi được đặt trong hoàn cảnh của cuộc tấn công rsETH.
Ba yếu tố: Tài sản thế chấp bị nghi nghờ + thanh khoản sụt giảm + nhu cầu vay thay đổi đã khiến cho hệ thống không còn khả năng tự trở về thạng thái cân bằng.
Cụ thể, khi phát hiện ra rsETH không còn là tài sản an toàn, mọi người sẽ tháo chạy qua WETH, thông qua việc cầm cố rsETH để vay WETH nhiều nhất có thể. Vì lúc này họ xác định rsETH không còn an toàn, coi như mất số rsETH để cover bằng WETH và không quan tâm đến lãi suất. Điều này bắt đầu lan ra cả các thị trường WETH – USDC, đây chính là “Nhu cầu vay thay đổi”, lúc này mọi người không vay vì nhu cầu mà vay để cắt lỗ.
Nếu WETH, USDC bị vay hết thì người bị ảnh hưởng đầu tiên là những người supply WETH, USDC . Không rút được tài sản, mặc dù đang được hưởng lãi suất cao đột biến.
Tiếp sau đó, thị trường sẽ tê liệt hoàn toàn và không có cơ hội phản ứng nếu có một đợt giảm giá diễn ra. Bởi vì khi có sự kiện biến động về giá, các Liquidator không có tài sản để bán ra thị trường để thanh lý. Dẫn đến việc các vị thế không được thanh lý khi đến giá mà đáng nhẽ nó phải được tất toán để đảm bảo không có nợ xấu.
DeFi được thiết kế để đem lại sự công bằng cho mọi người, nhưng thực tế thì không
DeFi Protocol vốn được thiết kế với mục đích cao cả rằng đem lại sự bình đẳng cho tất cả mọi người tham gia. Nhưng thực tế thì không phải vậy, người thông minh – có hiểu biết vẫn luôn là những người có vị thế an toàn hơn khi tham gia hệ thống này.
Đúng là khi thị trường hoạt động tốt, tất cả mọi người cùng vui vẻ chia sẻ mức lãi suất 10%, nhưng khi có sự cố xảy ra, những người thông minh nhất sẽ rút chạy trước, để khoản khoản lỗ cho những người còn đang không hiểu chuyện gì đang xả ra.
DeFi không loại bỏ risk, nhưng nó cho mọi người đều được hưởng risk khi nó xảy đến, và ai thông minh hơn thì sẽ tổn thất ít hơn. Trong vụ tấn công, những whale như Justing Sun đã kịp thời rút $154 triệu USD trị giá ETH ra khỏi AAVE trước khi mọi ngươi kịp nhận ra điều gì đã xảy ra.
Hiệu ứng dây chuyền của DeFi Lego
DeFi Lego là hình ảnh hoán dụ khi các protocol có thể hợp tác với nhau để scale hệ sinh thái nhanh hơn so với tự phát triển. Nhưng nó cũng cho thấy chỉ cần một viên gạch vỡ thì cũng khiến cho cả bức tường thành dù kiên cố nhất cũng sụp đổ.
AAVE tuyên bố họ không hề có lỗ hổng nào, nhưng lỗ hổng thực sự lại bắt đầu từ phía ngoài giao thức.
DeFi thì phi tập trung, nhưng người nắm giữ giao thức thì không
Vẫn là một câu hỏi muôn thuở, tại sao một giao thức nắm giữ 1 tỷ đô giá trị khóa, lại sử dụng một cấu hình bảo mật cho chỉ sử dụng một người gác cổng duy nhất?
Mặc dù không có cuộc tấn công nào tương tự nào liên quan đến BTC nhưng Lombard Finance cũng chủ động tạm dừng các Bridge LBTC qua LayerZero để theo dõi một cách thận trọng, cho thấy mức độ tin tưởng vào mô hình Bridge đang giảm sút đáng kể.
Mọi người thoải mái sao chép hoặc sử dụng bài viết mà không cần phải hỏi ý kiến. Tuy nhiên nếu có để credit tác giả hoặc donate cho mình thì mình rất cám ơn.
Lưu ý: Không phải tất cả các giao thức về tiền điện tử đều cung cấp đầy đủ các quyền hạn cho bạn và không phải tất cả đều an toàn. Mình không xác nhận cho một giao thức cụ thể nào. Bạn cần phải tự nghiên cứu kỹ lưỡng trước khi gửi tiền hoặc tiền điện tử đến bất kỳ sàn giao dịch, trang web hoặc ứng dụng nào.
Tuyên bố từ chối trách nhiệm: Không có thông tin nào ở trên là lời khuyên đầu tư,mời gọi hay khuyến khích sử dụng các giao thức cụ thể hoặc thông tin thực tế theo bất kỳ cách nào và không nên được hiểu như vậy. Bạn đọc nên tự nghiên cứu. Nếu có bất kỳ lỗi nào xảy ra, mình sẽ cố gắng hỗ trợ trong mức cho phép. Mục đích của mình chỉ là cung cấp thông tin và truyền bá kiến thức về chủ đề này.
