Bên trong vụ exploit KelpDAO tháng 4/2026 khiến Aave đối mặt khoản nợ xấu khổng lồ

Do hacker không hề khóa hoặc đốt ETH thật ở chain nguồn, số rsETH vừa phát hành không có tài sản backing. Tuy nhiên, trong giai đoạn đầu các giao thức DeFi vẫn coi chúng là hợp lệ.

Theo báo cáo, toàn bộ cuộc tấn công diễn ra chưa đầy một giờ trước khi hệ thống khẩn cấp tạm dừng hoạt động.

Cách hacker dùng rsETH để rút thanh khoản khỏi Aave

Thay vì bán ngay token bị đánh cắp, kẻ tấn công sử dụng chiến lược quen thuộc trong DeFi lending.

1. Nạp rsETH làm tài sản thế chấp

Hacker gửi lượng lớn rsETH vào pool cho vay của Aave V3 thông qua nhiều ví. Tổng cộng khoảng 89.000 rsETH đã được đưa vào Aave.

2. Vay tài sản thật

Dựa trên giá trị thế chấp của rsETH, hacker vay các tài sản có giá trị thật như WETH và wstETH.

3. Chuyển đổi thành ETH thanh khoản

Trước khi thị trường phản ứng, hacker đã vay được hơn 236 triệu USD tài sản ETH‑denominated.

Khi sự cố rsETH bị phát hiện, token thế chấp này gần như không còn đủ giá trị backing, khiến các khoản vay trở thành nợ xấu cho Aave.

Ước tính Aave phải đối mặt với khoảng 177–200 triệu USD bad debt sau sự kiện.

Tác động ngay lập tức lên Aave và thị trường DeFi

Sự kiện này tạo ra một cú sốc thanh khoản hiếm thấy trong DeFi.

Những hệ quả chính:

• Pool WETH của Aave đạt mức sử dụng gần 100% khi thanh khoản bị vay cạn.
• Hàng tỷ USD bị rút khỏi Aave vì lo ngại rủi ro.
• Nhiều giao thức DeFi khác cũng chứng kiến dòng vốn rút mạnh.

Trong vài tuần sau đó, TVL của Aave giảm từ khoảng 26,6 tỷ USD xuống còn khoảng 14,8 tỷ USD, tương đương giảm khoảng 44%.

Nhiều nhà phân tích mô tả sự kiện này giống như “bank run” trong DeFi, dù bản thân giao thức cho vay vẫn an toàn về mặt kỹ thuật.

Phản ứng khẩn cấp của Aave

Aave governance và các nhóm quản lý rủi ro đã hành động nhanh để hạn chế thiệt hại.

Đóng băng các thị trường rủi ro

Chỉ vài giờ sau khi exploit xảy ra:

• Thị trường rsETH và wrsETH trên Aave V3 bị đóng băng.
• Tỷ lệ loan‑to‑value (LTV) được đặt về 0% để ngăn vay mới.

Sau đó Aave tiếp tục hạn chế hoạt động vay WETH trên nhiều mạng để ngăn tình trạng rút thanh khoản lan rộng.

Thanh lý vị thế của hacker

Khi kế hoạch phục hồi được triển khai, Aave tiến hành thanh lý có kiểm soát các vị thế liên quan đến hacker.

Quá trình này giải phóng khoảng 13.000 ETH (~30 triệu USD).

Số tài sản thu hồi được chuyển vào multisig Recovery Guardian do DeFi United quản lý để hỗ trợ khôi phục backing cho rsETH.

Khôi phục hoạt động thị trường

Sau khi tình hình ổn định, Aave dần khôi phục các chức năng bình thường.

Đến 18/5/2026, giao thức đã:

• Khôi phục tỷ lệ LTV của WETH về mức trước sự cố.
• Mở lại hoạt động vay trên nhiều mạng như Ethereum Core, Ethereum Prime, Arbitrum, Base, Mantle và Linea.

Điều này giúp khôi phục niềm tin thanh khoản đối với giao thức.

Bao nhiêu tài sản đã được thu hồi?

Hậu quả tài chính của vụ exploit vẫn khá phức tạp.

Tài sản thu hồi được

• Khoảng 13.000 ETH (~30 triệu USD) từ việc thanh lý vị thế của hacker.

Tài sản bị đóng băng

• 30.766 ETH (~71 triệu USD) đã bị Hội đồng Bảo mật Arbitrum đóng băng.
• Số tiền này được chuyển vào một ví trung gian dưới sự kiểm soát của governance.

Các thủ tục pháp lý khiến việc sử dụng số tiền này trong quá trình phục hồi bị trì hoãn.

Ngay cả sau các đợt thanh lý, rsETH vẫn được báo cáo còn thiếu khoảng 10% tài sản backing so với yêu cầu ban đầu.

Vì sao sự kiện này quan trọng đối với hạ tầng DeFi

Vụ việc đã phơi bày nhiều rủi ro mang tính hệ thống.

Rủi ro từ cấu hình cầu nối

Lỗi không nằm ở LayerZero nói chung mà ở cách KelpDAO cấu hình cầu nối. Một hệ thống chỉ có một verifier khiến việc giả mạo thông điệp trở nên khả thi.

Hiệu ứng lây lan tài sản thế chấp

Sự cố cho thấy một lỗ hổng ở một giao thức có thể lan sang giao thức khác nếu token đó được dùng làm collateral.

Logic cho vay của Aave vẫn hoạt động đúng, nhưng giao thức vẫn chịu thiệt hại vì tài sản thế chấp mất backing.

Tâm lý thị trường và “bank run” DeFi

Việc người dùng rút tiền ồ ạt cho thấy niềm tin thị trường có thể thay đổi cực nhanh, ngay cả với các giao thức lớn.

Thay đổi trong quản lý rủi ro

Sau sự kiện, nhiều đề xuất cải thiện đã được đưa ra trong DeFi:

• tiêu chuẩn niêm yết collateral nghiêm ngặt hơn
• giới hạn cung (supply caps) chặt chẽ hơn
• yêu cầu xác minh cross‑chain mạnh hơn
• cơ chế circuit breaker cho token từ bridge hoặc restaking

Những biện pháp này nhằm giảm nguy cơ lây lan giữa các giao thức.

Kết luận

Vụ exploit KelpDAO tháng 4/2026 cho thấy một bài học lớn của DeFi: bảo mật của giao thức không chỉ phụ thuộc vào smart contract của chính nó mà còn vào tài sản thế chấp mà nó chấp nhận.

Aave không bị hack trực tiếp. Nhưng việc 292 triệu USD rsETH không có tài sản backing lọt vào hệ thống đã tạo ra cú sốc thanh khoản lớn, dẫn đến nợ xấu đáng kể và khiến TVL của Aave giảm mạnh trong lịch sử DeFi.

Sự kiện này hiện được xem như một case study điển hình về rủi ro cầu nối cross‑chain và hiệu ứng lây lan tài sản thế chấp trong DeFi.