Hai vụ khai thác bridge đã rút $606M và kích hoạt $13B rút tiền. Đây là cách lây lan chuỗi chéo suýt phá vỡ DeFi, và ngành công nghiệp đang làm gì để khắc phục.
Marcus Webb
Trưởng nghiên cứu DeFi
Tháng 4 năm 2026 trở thành tháng tồi tệ nhất của DeFi về các vụ khai thác kể từ tháng 2 năm 2025. Mười hai vụ tấn công đã rút $606 triệu trong 18 ngày, kích hoạt một làn sóng rút tiền $13 tỷ phơi bày mức độ liên kết sâu sắc của cơ sở hạ tầng DeFi hiện đại.
Các con số rất đáng chú ý. Chỉ trong 18 ngày, 12 vụ khai thác riêng biệt đã rút $606 triệu từ các giao thức DeFi. Hai sự cố chiếm 95% thiệt hại: vụ tấn công Drift Protocol trên Solana ($285 triệu, ngày 1 tháng 4) và vụ khai thác bridge Kelp DAO trên Ethereum ($292 triệu, ngày 18 tháng 4). Cùng nhau, chúng chiếm 75% tổng số tiền điện tử bị đánh cắp trong năm 2026.
Nhưng tổn thất trực tiếp chỉ kể một phần câu chuyện. Cuộc khủng hoảng thực sự là sự lây lan: $8.45 tỷ rút khỏi Aave trong 48 giờ, DeFi TVL giảm 25% từ mức cao $110 tỷ vào tháng 1 xuống khoảng $82 tỷ, và cụm từ "DeFi đã chết" trở thành xu hướng trên mạng xã hội tiền điện tử trong ba ngày liên tiếp.
Bài viết này phân tích chi tiết những gì đã xảy ra, vì sao nó xảy ra, và điều gì sẽ đến tiếp theo.
Vào ngày 1 tháng 4, những kẻ tấn công đã rút $285 triệu từ Drift Protocol, DEX hợp đồng tương lai vĩnh cửu lớn nhất trên Solana với $550 triệu TVL. Cuộc tấn công mất 12 phút để thực hiện nhưng cần ba tuần để chuẩn bị.
Phương pháp không phải là lỗi hợp đồng thông minh. Những kẻ tấn công giả dạng một công ty giao dịch định lượng, xây dựng lòng tin với các thành viên Hội đồng Bảo mật của Drift trong nhiều tuần. Chúng khai thác tính năng "durable nonces" của Solana, cho phép các giao dịch được ký trước để thực hiện sau, lừa những người ký hợp lệ ủy quyền các giao dịch tiềm ẩn mà sau đó sẽ bị sử dụng chống lại giao thức.
Sau khi nắm quyền kiểm soát, những kẻ tấn công đã đưa một token giả mạo vô giá trị vào danh sách trắng làm tài sản thế chấp, nạp 500 triệu đơn vị của nó, và rút $285 triệu bằng USDC, SOL và ETH. Sự lây lan lan rộng đến hơn 20 giao thức trên Solana. Carrot Protocol đã tạm dừng các chức năng đúc và đổi sau khi mất 50% TVL. Pyra Protocol đã vô hiệu hóa hoàn toàn việc rút tiền.
Công ty phân tích blockchain Elliptic liên kết cuộc tấn công với các tác nhân liên quan đến DPRK, phù hợp với mô hình khai thác do nhà nước tài trợ đã gia tăng trong suốt năm 2025 và 2026.
Mười bảy ngày sau, vào ngày 18 tháng 4, bridge Kelp DAO bị khai thác $292 triệu trong một kiểu tấn công hoàn toàn khác, phơi bày điểm yếu hệ thống trong kiến trúc bridge chuỗi chéo.
Lúc 17:35 UTC, một kẻ tấn công đã đúc 116,500 rsETH trên Ethereum mainnet, xấp xỉ 18% lượng cung lưu hành của Kelp DAO, trị giá khoảng $292 triệu. Các token không có bất kỳ tài sản đảm bảo nào. Thông điệp LayerZero giả mạo được thông qua vì bridge chỉ dựa vào một Decentralized Verifier Network (DVN) duy nhất để xác thực các giao dịch chuyển chuỗi chéo.
Kẻ tấn công đã xâm nhập cơ sở hạ tầng của người xác minh duy nhất đó, đầu độc các máy chủ mà nó sử dụng để kiểm tra giao dịch. Không có lớp xác minh thứ hai, bridge chấp nhận thông điệp giả mạo là hợp lệ và phát hành rsETH không có tài sản đảm bảo lên Ethereum.
LayerZero xác nhận vụ khai thác bắt nguồn từ cấu hình DVN 1-of-1. Phân tích sau sự cố của họ cho thấy 40% giao thức sử dụng cơ sở hạ tầng LayerZero hoạt động với cùng một thiết lập người xác minh duy nhất.
Cuộc tranh cãi đổ lỗi sau đó phơi bày một sự thật không dễ chịu về cơ sở hạ tầng DeFi. LayerZero chỉ vào các lựa chọn cấu hình của Kelp. Kelp đáp trả rằng hướng dẫn quickstart và các template GitHub mặc định của LayerZero đã hướng nhà phát triển đến thiết lập 1-of-1. Cả hai đều đúng một phần: các cài đặt mặc định không an toàn, và Kelp đã không ghi đè chúng.
LayerZero sau đó tuyên bố sẽ không còn ký thông điệp cho các ứng dụng chạy cấu hình người xác minh đơn lẻ, buộc phải chuyển đổi toàn giao thức sang thiết lập multi-DVN (2/3, 3/5, hoặc tương tự).
Vụ khai thác Kelp DAO không dừng lại ở $292 triệu. Bởi vì rsETH được sử dụng rộng rãi làm tài sản thế chấp trong DeFi, các token không có tài sản đảm bảo đã kích hoạt một chuỗi sụp đổ lan rộng qua nhiều giao thức.
Aave chịu tác động phụ nặng nề nhất. Giao thức cho vay đã đóng băng các thị trường rsETH, nhưng không kịp trước khi người gửi tiền đã bắt đầu rút. Trong 48 giờ, $8.45 tỷ tiền gửi rời khỏi Aave, giảm TVL từ $26.4 tỷ xuống $17.9 tỷ. Bản thân Aave đối mặt với khoản lỗ ước tính lên đến $230 triệu nợ xấu tiềm tàng nếu rsETH vẫn không có tài sản đảm bảo.
| Giao thức | Tác động | Phản ứng |
|---|---|---|
| Aave | $8.45B rút tiền, $230M nợ xấu tiềm tàng | Đóng băng thị trường rsETH, đề xuất quản trị đang chờ |
| Pendle | Thị trường rsETH PT/YT bị ảnh hưởng | Tạm dừng các cặp giao dịch rsETH |
| Compound | Phơi nhiễm thông qua tài sản thế chấp rsETH | Đóng băng các thị trường bị ảnh hưởng |
| Euler | Phơi nhiễm gián tiếp qua rsETH | Tạm dừng gửi tiền |
| Ether.fi | Phơi nhiễm bridge LayerZero | Tạm dừng bridge weETH/eETH |
Cơ chế này là lây lan kinh điển. rsETH được sử dụng làm tài sản thế chấp tại hàng chục giao thức. Khi nó mất tài sản đảm bảo, mọi giao thức chấp nhận nó làm tài sản thế chấp đều đối mặt nợ xấu tiềm tàng. Phản ứng hợp lý của người gửi tiền là rút, ngay cả từ những giao thức không có phơi nhiễm trực tiếp, vì các mối liên kết khó đánh giá trong thời gian thực.
Kết quả: tổng DeFi TVL giảm xuống khoảng $82.4 tỷ, mức thấp nhất trong một năm và giảm 25% từ $110 tỷ vào đầu năm 2026. Chỉ số Fear and Greed giảm xuống 27.
Các vụ khai thác tháng 4 phù hợp với một mô hình đã được xác lập rõ ràng. Các bridge chuỗi chéo luôn là bề mặt tấn công nguy hiểm nhất của DeFi:
Wormhole bridge bị khai thác $320 triệu
Ronin bridge bị rút $625 triệu (Lazarus Group)
Orbit Chain bridge mất $81 triệu
Vụ tấn công sàn giao dịch Bybit, $1.5 tỷ (Lazarus Group)
Drift Protocol, $285 triệu (liên quan DPRK)
Kelp DAO bridge, $292 triệu (Lazarus Group)
Cuộc tấn công Kelp DAO có chung nguyên nhân gốc với hầu hết mọi vụ khai thác bridge lớn: một điểm thất bại duy nhất trong quy trình xác minh. Dù đó là multisig bị xâm nhập (Ronin), kiểm tra xác thực bị thiếu (Wormhole), hay một DVN duy nhất (Kelp), mô hình đều giống nhau. Bảo mật bridge phụ thuộc vào sự dự phòng xác minh, và các giao thức liên tục ra mắt với mức dự phòng không đủ.
Tin tặc do nhà nước Bắc Triều Tiên tài trợ hiện đã đánh cắp ước tính $577 triệu từ tiền điện tử chỉ riêng trong tháng 4 năm 2026, thông qua các cuộc tấn công Drift và Kelp DAO. Mức độ tinh vi của các cuộc tấn công này đang gia tăng: cách tiếp cận kỹ thuật xã hội của Drift và xâm nhập cơ sở hạ tầng của Kelp đều cần nhiều tuần chuẩn bị và kiến thức kỹ thuật sâu.
Phản ứng của ngành đã nhanh hơn so với các chu kỳ trước. Một số thay đổi cụ thể đã được triển khai.
Chính sách bắt buộc multi-DVN của LayerZero loại bỏ điểm thất bại rõ ràng nhất. Bằng cách từ chối ký thông điệp cho thiết lập người xác minh 1-of-1, LayerZero buộc 40% nhà tích hợp đang chạy cấu hình không an toàn phải nâng cấp. Đây là thay đổi có tác động lớn nhất, dù nó không ngăn chặn được mọi vectơ tấn công.
Các đề xuất quản trị của Aave đang giải quyết rủi ro cấu trúc của liquid restaking token (LRT) làm tài sản thế chấp. Sự cố phơi bày rằng các giao thức cho vay DeFi có các tham số rủi ro không đủ cho tài sản LRT mà giá trị phụ thuộc vào tính toàn vẹn của bridge bên ngoài.
Giám sát thời gian thực đang được cải thiện. Các công ty bảo mật on-chain như Blockaid và Chainalysis đã công bố phân tích kỹ thuật sau sự cố trong vài giờ, và nhiều giao thức đã triển khai bộ ngắt mạch tự động kích hoạt trước khi cần can thiệp thủ công.
Áp lực pháp lý đang gia tăng. Các khoản lỗ tháng 4 tăng thêm tính cấp bách cho các lời kêu gọi kiểm toán bảo mật DeFi bắt buộc. Khung SEC-CFTC được thiết lập vào tháng 3 năm 2026 đã cung cấp nền tảng quyền tài phán, và sự cố Kelp DAO cho các nhà quản lý một ví dụ cụ thể về lý do tiêu chuẩn bảo mật quan trọng.
Dữ liệu lịch sử cung cấp một số cơ sở cho sự lạc quan. Sau vụ tấn công Wormhole năm 2022, DeFi TVL giảm khoảng 15% trước khi phục hồi 80% khoản lỗ trong vòng một tháng. Chỉ số Fear and Greed hiện tại ở mức 27 cho thấy tâm lý mong manh hơn, có thể kéo dài thời gian phục hồi vượt quá khung bốn đến sáu tuần thông thường.
Một số yếu tố hỗ trợ sự phục hồi cuối cùng. Các hợp đồng restaking cơ bản trong sự cố Kelp DAO không bị lỗi. Các ủy quyền EigenLayer vẫn nguyên vẹn. rsETH trên mainnet vẫn được đảm bảo bởi các khoản gửi hợp lệ. Vấn đề nằm ở bridge, không phải bản thân giao thức restaking.
$13 tỷ rút khỏi DeFi được thúc đẩy bởi nỗi sợ, không phải do các giao thức thực sự mất khả năng thanh toán. Hầu hết các giao thức chứng kiến dòng tiền ra không có phơi nhiễm trực tiếp với rsETH. Khi thị trường tiêu hóa sự phân biệt này, vốn có khả năng sẽ quay trở lại các giao thức có tư thế bảo mật mạnh hơn.
Chỉ số quan trọng cần theo dõi là nghị quyết quản trị của Aave. Nếu giao thức quản lý thành công nợ xấu tiềm tàng mà không cần sự kiện thanh lý hỗn loạn, niềm tin sẽ phục hồi. Nếu cần các biện pháp khẩn cấp hoặc chịu thêm tổn thất, sự lây lan có thể sâu hơn.
Đối với các nhà đầu tư đang điều hướng trong giai đoạn hậu sự cố, ba tín hiệu quan trọng nhất:
Kiểm toán cấu hình bridge. Theo dõi các giao thức nào đã chuyển sang thiết lập multi-DVN. Dữ liệu này có thể xác minh công khai trên chuỗi. Các giao thức hành động nhanh cho thấy văn hóa bảo mật mạnh.
Kết quả quản trị Aave. Cách cộng đồng xử lý nợ xấu rsETH đặt tiền lệ cho cách các giao thức DeFi có doanh thu thực quản lý các sự kiện thiên nga đen.
Ổn định TVL. Khi dòng tiền ra ròng từ các giao thức cho vay lớn dừng lại, giai đoạn rút tiền do hoảng sợ đã kết thúc. Dữ liệu DeFi TVL hàng tuần từ DefiLlama là tín hiệu rõ ràng nhất.
$606 triệu tổn thất trực tiếp là đau đớn. $13 tỷ rút tiền do hoảng sợ còn đau đớn hơn. Nhưng các thay đổi cấu trúc, bao gồm bridge bắt buộc nhiều người xác minh, tham số rủi ro tài sản thế chấp tốt hơn, và giám sát thời gian thực, đại diện cho tiến bộ thực sự. Cơ sở hạ tầng DeFi đang được thử nghiệm căng thẳng, và các giao thức sống sót sẽ mạnh hơn nhờ đó.
Tuyên bố miễn trừ trách nhiệm: Bài viết này chỉ nhằm mục đích cung cấp thông tin và không cấu thành lời khuyên tài chính. Đầu tư tiền điện tử mang rủi ro đáng kể. Luôn tự nghiên cứu và tham khảo ý kiến cố vấn tài chính có chuyên môn trước khi đưa ra quyết định đầu tư.
Phân tích thị trường và thông tin hữu ích. Không spam, bao giờ.
