46 phút, 292 triệu đô la bị đánh cắp, DeFi lại đối mặt với khó khăn trong phát triển.

Tác giả: Gu Yu, ChainCatcher

Vào rạng sáng ngày 18 tháng 4, chỉ hai tuần sau vụ trộm hơn 200 triệu đô la từ Drift, Kelp DAO, một giao thức tái đặt cược DeFi thuộc Kernel, một lần nữa đã lập kỷ lục về số tiền bị đánh cắp trong ngành công nghiệp tiền điện tử năm nay: 116.000 rsETH đã được tạo ra một cách bất hợp pháp, trị giá khoảng 292 triệu đô la.

Theo các nguồn tin, Kelp DAO là một giao thức tái đặt cọc ba lần lợi nhuận dựa trên EigenLayer. rsETH là một token tái đặt cọc thanh khoản (LRT) do Kelp DAO phát hành, được thiết kế để cung cấp thanh khoản cho các tài sản không thanh khoản được gửi vào các nền tảng tái đặt cọc (như EigenLayer).

Nhóm nòng cốt của giao thức này hoàn toàn đến từ Ấn Độ. Vào tháng 9 năm 2024, giao thức này đã huy động được 9 triệu đô la vốn đầu tư, với sự tham gia của nhiều nhà đầu tư nổi tiếng bao gồm Laser Digital, Bankless Ventures và Hypersphere Ventures. Hiện tại, tổng số tiền bị khóa trong giao thức này đã vượt quá 1,5 tỷ đô la. Cũng trong năm đó, công ty mẹ Kernel của Binance nhận được đầu tư từ Yzi Labs, một công ty có mối quan hệ mật thiết với Binance.

Tuy nhiên, những thành tựu và quá khứ huy hoàng một thời ấy đã tan vỡ trong chớp mắt trong vụ tai nạn bi thảm này.

Làm giả chữ ký trên chuỗi chéo gây chết người và chi phí của "chữ ký đơn"

Theo phân tích sơ bộ các bản ghi trên chuỗi, cuộc tấn công này không phải là một cuộc tấn công tái nhập truyền thống hay cho vay chớp nhoáng, mà là một cuộc tấn công chính xác dựa trên việc giả mạo tin nhắn xuyên chuỗi.

Nguyên nhân cơ bản nằm ở việc bộ chuyển đổi cầu nối rsETH của Kelp DAO giữa các chuỗi không thực hiện việc "xác minh nguồn gốc" nghiêm ngặt đối với các thông điệp từ giao thức liên chuỗi cơ bản. Tin tặc đã giả mạo các hướng dẫn giải phóng tài sản hợp pháp, khiến hợp đồng cầu nối của Kelp nhầm tưởng rằng các tài sản tương đương đã bị khóa trên chuỗi nguồn, từ đó tự động thực thi các hướng dẫn của tin tặc, giải phóng 292 triệu đô la rsETH trên mạng chính Ethereum.

Khoảng 46 phút sau khi cuộc tấn công xảy ra, nhóm Kelp DAO đã kích hoạt cơ chế tạm dừng khẩn cấp. Mặc dù hành động này đã chặn thành công hai nỗ lực rút tiền tiếp theo với tổng số tiền là 40.000 rsETH (khoảng 100 triệu đô la), nhưng gần 20% lượng rsETH đang lưu hành (116.000 token) đã rơi vào tay hacker.

Sau đó, hacker đã gửi số rsETH này vào Aave V3 như một khoản thế chấp, vay một lượng lớn wETH có tính thanh khoản cao. Rõ ràng, tin tặc sẽ không trả lại tài sản này, và rsETH thế chấp được tạo ra từ việc đúc tiền giả mạo mà không có tài sản cơ sở thực sự, điều này sẽ dẫn đến việc Aave phải đối mặt với khoản nợ xấu khoảng 177 triệu đô la, có khả năng sẽ do tất cả người gửi tiền vào Aave gánh chịu.

Vấn đề lớn nhất trong quy trình này nằm ở hợp đồng bắc cầu của LayerZero. Hợp đồng chuỗi chéo LayerZero được Kelp DAO sử dụng được cấu hình là 1/1 DVN, được gọi là cấu hình "chữ ký đơn", trong đó một trình xác thực duy nhất có thể phê duyệt các thông điệp chuỗi chéo, trong khi tài liệu chính thức của LayerZero khuyến nghị cấu hình 2/2 theo mặc định.

Sau sự cố, token LayerZero (ZRO) đã giảm hơn 40%, token Aave (AAVE) giảm hơn 22%, và token Kernel liên kết với Kelp DAO hiện đang giảm hơn 13%. Ngoài ra, một số dự án, bao gồm cả Solv, đã thông báo tạm ngừng hoạt động cầu nối LayerZero OFT.

Sự sụp đổ mang tính hệ thống của "cấu trúc Lego" trong DeFi

Trước sự cố này, Aave chưa từng gặp bất kỳ vấn đề bảo mật nào. Mặc dù sự cố này không phải do vấn đề với mã hợp đồng của chính nó gây ra, nhưng nó vẫn liên quan đến việc đánh giá rủi ro và cài đặt cách ly của giao thức đối với các token LRT như vậy. Vào tháng 1 năm nay, Spark Protocol đã loại bỏ các tài sản có mức sử dụng thấp như rsETH và tiếp tục thắt chặt các điều khoản thế chấp và chức năng, nhờ đó giao thức này không bị ảnh hưởng trong giai đoạn hỗn loạn này.

Hiện tại, tổng số tiền bị khóa trên chuỗi của Aave đã giảm nhanh chóng từ 26,39 tỷ USD ngày hôm qua xuống còn 21,76 tỷ USD, với số tiền rút ra trong một ngày đạt 4,6 tỷ USD. Đồng thời, nhiều người dùng cho vay đã chuyển sang các giao thức cho vay khác, với nhu cầu cho vay ETH cao trên thị trường, khiến tỷ lệ gửi tiền vào pool ETH của Spark nhanh chóng tăng từ 1,7% lên 5%.

Trước sự việc này, người sáng lập Curve, Michael Egorov, cho biết sự kiện này làm nổi bật những rủi ro do mô hình "cho vay không tách biệt" đang được áp dụng rộng rãi mang lại. Mô hình này có khả năng mở rộng tốt nhưng rủi ro cao hơn, do đó quản lý rủi ro là vô cùng quan trọng. Một cách tiếp cận là áp dụng mô hình hoàn toàn biệt lập như thị trường của Curve Finance, trong khi cách khác là sử dụng mô hình lai (phức tạp nhưng khả thi). Tuy nhiên, thị trường vẫn chưa hiểu hết những lợi ích của các giải pháp này. Mô hình Hub and Spoke của Aave v4 có thể là một bước tiến hướng tới sự an toàn hơn và mang tính bán biệt lập.

Hiện nay, hầu hết các giao thức cho vay phổ biến đều áp dụng mô hình nhóm thanh khoản chung, trong đó gần như tất cả các tài sản cho vay đều chia sẻ thanh khoản và rủi ro, chẳng hạn như Aave, Compound và Spark. Chỉ một vài giao thức cho vay như Morpho, Kamino và Euler áp dụng mô hình nhóm cho vay biệt lập. Về cơ bản, đây là sự đánh đổi giữa hiệu quả sử dụng vốn và tính an toàn.

Trong phiên bản V4 được Aave ra mắt vào cuối tháng 3 năm nay, các khái niệm về Hub và Spoke đã được giới thiệu. Trung tâm thanh khoản (The Hub) là trung tâm thanh khoản trọng yếu chịu trách nhiệm nắm giữ tất cả tài sản và thực hiện công tác kế toán toàn cầu. Spoke (bức xạ) là điểm truy cập dạng mô-đun cho phép tương tác trực tiếp với người dùng, chịu trách nhiệm về các quy tắc cho vay cụ thể và kiểm soát rủi ro.

Mỗi Spoke cung cấp các chức năng cho vay cụ thể (cung cấp, vay, trả nợ, rút ​​tiền) và có các tham số rủi ro độc lập: các loại tài sản thế chấp khác nhau, quy tắc thanh lý, mô hình lãi suất, Chế độ điện tử (E-Mode), Chế độ cách ly (Isolation Mode), hỗ trợ RWA, v.v.

Điều này có nghĩa là Aave sẽ có thể quyết định liệu có nên thiết lập các nhóm tài sản cho vay hoàn toàn độc lập dựa trên các hoàn cảnh cụ thể của các tài sản khác nhau với rủi ro và đặc điểm khác nhau hay không, từ đó kiểm soát rủi ro hệ thống do từng tài sản riêng lẻ gây ra.

Ngoài ra, benmo, một người chơi DeFi nổi tiếng, đã đưa ra năm điểm sau đây liên quan đến sự việc này:

Thứ nhất, tính bảo mật của các tài sản đóng gói như LRT không thể so sánh với tài sản gốc; các nền tảng cho vay không thể đối xử bình đẳng với hai loại tài sản thế chấp này.

Thứ hai, L0 sẽ mất một phần thị trường giao dịch đa chuỗi trong tương lai; nhiều tài sản như usde và usd0 đã ngừng giao dịch đa chuỗi với L0, và ngay cả khi hoạt động kinh doanh được nối lại, uy tín ban đầu có thể khó khôi phục.

Thứ ba, uy tín của AAVE đã bị tổn hại; sự an toàn của thị trường cho vay thống nhất đã bước vào giai đoạn xem xét kỹ lưỡng của các nhà đầu tư lớn, và mỗi tài sản thế chấp bổ sung đều làm tăng rủi ro cho tài sản thế chấp ban đầu, điều này vốn dĩ không công bằng đối với các tài sản bản địa. V4 và mô đun hóa là những xu hướng trong sự phát triển của các sản phẩm cho vay, và quá trình chuyển đổi này có khả năng sẽ tăng tốc. Việc lựa chọn kinh doanh cho vay truyền thống thay vì các nền tảng cho vay hoặc các đơn vị quản lý cho vay, nhưng chi phí của mô hình kinh doanh này đang ngày càng tăng.

Thứ tư, chi phí để có được TVL ở L2 sẽ tiếp tục tăng, và mức TVL hiện tại sẽ tiếp tục chảy ngược trở lại L1.

Thứ năm, DeFi sẽ ngừng lộ trình mở rộng và quay trở lại chế độ thận trọng và an toàn hơn, từ đó ngăn chặn các cuộc tấn công của Anthropic Mythos.

Từ Drift đến Kelp DAO, hai sự cố bảo mật nghiêm trọng trong một thời gian ngắn cho thấy cấu trúc tài chính "lồng ghép" của DeFi có nghĩa là bất kỳ sự sụp đổ hệ thống nào ở một mắt xích cũng có thể ngay lập tức dẫn đến khủng hoảng thanh khoản trên toàn ngành. Trước đây, quan điểm này chủ yếu tồn tại trên lý thuyết, với hầu hết các tác động của sự cố bảo mật chỉ giới hạn trong các giao thức riêng lẻ, nhưng giờ đây hiện tượng này đã xảy ra một cách bi thảm.

Đây không chỉ là phán quyết đối với các giao thức chuỗi chéo và giao thức cho vay mà còn là một đòn giáng mạnh vào niềm tin của người dùng.

"Tôi không còn tham gia bất kỳ dự án DeFi nào nữa, chỉ nắm giữ ETH gốc, không tham gia staking hay gửi tiền, không theo đuổi chút lãi nào", KOL nổi tiếng laolu cho biết.

"Trước tiên hãy rút khỏi DeFi; nó quá nguy hiểm." Lần này thiệt hại lớn hơn nhiều so với Drift/Cowswap...", nhà đầu tư DeFi nổi tiếng Dovey Wang nhận định, bày tỏ quan điểm tương tự.

Tuyên bố miễn trừ trách nhiệm: Nội dung này chỉ được cung cấp nhằm mục đích xây dựng thương hiệu và cung cấp thông tin chung, không phải là lời khuyên về tài chính, đầu tư, pháp lý hoặc thuế. Mọi sự kiện, phần thưởng, sự kiện trực tuyến hoặc thông tin liên quan được đề cập trong nội dung này không được xem là khuyến nghị, chào mời hoặc lời mời mua, bán, giao dịch hoặc thực hiện bất kỳ hoạt động nào khác liên quan đến tài sản crypto hay sử dụng bất kỳ dịch vụ nào. Tài sản crypto có mức biến động cao và có thể dẫn đến thua lỗ. Dịch vụ và các sự kiện trực tuyến của WEEX có thể không khả dụng tại tất cả khu vực và phải tuân theo các luật, quy định và điều kiện đủ điều kiện hiện hành. Bạn có trách nhiệm bảo đảm việc sử dụng các dịch vụ của WEEX tuân thủ luật pháp địa phương và tự đánh giá cẩn thận các rủi ro trước khi tham gia bất kỳ hoạt động nào liên quan đến crypto.