#rsETH攻击事件后续进展 Kelp DAO của vụ trộm cầu xuyên chuỗi rsETH‌ là sự kiện an toàn DeFi lớn nhất từ ​​năm 2026 đến nay, gây thiệt hại khoảng‌ 292 triệu đô la‌ tài sản.

Cuộc tấn công xảy ra vào‌ khoảng 17:35 UTC ngày 18 tháng 4 năm 2026‌, hacker lợi dụng lỗ hổng cấu hình cầu xuyên chuỗi dựa trên LayerZero của Kelp DAO (sử dụng thiết lập nút xác thực phi tập trung 1/1), thông qua việc giả mạo tin nhắn xuyên chuỗi, đã tạo ra khoảng‌ 116,500 mã rsETH‌ không có tài sản thực làm nền tảng trên mạng chính Ethereum.

Những “tài sản ảo” này nhanh chóng được gửi vào các giao thức cho vay chính như Aave, Compound, Euler để làm tài sản thế chấp, vay khoảng‌ 236 triệu đô la‌ WETH/ETH thực, trong đó Aave đối mặt với rủi ro nợ xấu tiềm năng lên tới‌ 177 triệu đến 196 triệu đô la‌.

Kelp DAO đã khẩn cấp tạm dừng hợp đồng rsETH trên mạng chính và nhiều mạng Layer2 khoảng 46 phút sau vụ việc, ngăn chặn các nỗ lực tấn công tiếp theo. Tuy nhiên, sự hoảng loạn đã lan rộng nhanh chóng, TVL của Aave trong 24 giờ đã giảm từ 26,4 tỷ đô la xuống còn 18 tỷ đô la, giảm 32%, giá token AAVE cũng giảm khoảng 18%.

Sự kiện này đã phơi bày rủi ro hệ thống trong hệ sinh thái DeFi liên quan đến “cầu xuyên chuỗi + các sản phẩm thế chấp lại”: một lỗ hổng an toàn ở một phần có thể truyền dẫn qua khả năng hợp thành đến nhiều giao thức, tạo thành chuỗi tác động. Mặc dù LayerZero đề xuất sử dụng cấu hình DVN ít nhất 2-of-3, Kelp DAO vẫn chọn chế độ xác thực đơn điểm 1-of-1 có rủi ro cực cao, bị chỉ trích là “dùng một chiếc khóa khóa để bảo vệ ngân hàng”.

Hiện tại, Kelp DAO và LayerZero đang tranh cãi về trách nhiệm, trong khi hacker vẫn giữ khoảng 175 triệu đô la ETH trên chuỗi Ethereum. $BTC