Năm tháng sau vụ hack Kelp, Aave vẫn giảm 8 tỷ USD

Số tiền gửi trên Aave hiện đang ở mức 18.1 tỷ USD tại thời điểm viết bài, giảm khoảng 31% so với 26.1 tỷ USD mà nền tảng này nắm giữ trước vụ hack Kelp vào tháng 04, theo thống kê của DefiLlama.

Mã nguồn của Aave thực chất không gặp lỗi. Vấn đề nằm ở tài sản thế chấp đứng sau các khoản vay, đây là yếu tố mà hợp đồng cho vay không thể kiểm soát được.

Vụ hack Kelp thực sự đã gây ra điều gì?

Vào ngày 18/04/2026, các hacker đã tấn công cách mà cầu nối chuỗi chéo của Kelp DAO xác thực các tin nhắn đến, chứ không phải lỗ hổng về logic cho vay. Kelp là một dự án liquid restaking và rsETH là token đại diện cho tài sản gửi của họ.

$AAVE dropped 20% today after the KelpDAO rsETH exploit.The exploit triggered a wave of whale selling and a record spike in $ETH utilization across the lending protocol.Th @aave team told BeInCrypto that the situation is contained to the V3 ETH market only, with V4 completely… pic.twitter.com/LvDCDHCdmN

— BeInCrypto (@beincrypto) April 19, 2026

Một người nắm giữ rsETH thực tế không nắm giữ ether, mà là quyền yêu cầu đối với ether đã stake, và quyền đó đã đi qua một cây cầu. Kẻ tấn công đã thao túng nguồn dữ liệu mà cầu nối này tin tưởng, sau đó đưa thông điệp giả mạo lên hệ thống. Hành động này giải phóng 116,500 rsETH, tương đương khoảng 292 triệu USD, chiếm gần 18% tổng lượng token, mà không có tài sản bảo chứng đứng sau.

Công ty bảo mật Halborn đã tìm ra nguyên nhân là do thiết lập xác minh đơn lẻ và các node dữ liệu bị kiểm soát. Chainalysis đã xác định nhóm hacker có liên quan tới nhóm Lazarus của Triều Tiên. Không có hợp đồng nào bị phá vỡ.

Sau đó, các token không có tài sản bảo chứng đã được mang vào các sàn cho vay. Đội hacker đã gửi 89,567 rsETH lên Aave và vay khoảng 193 triệu USD thông qua số token này.

Aave đã đóng băng rsETH trên 11 thị trường chỉ trong vòng 1 giờ và đóng băng WETH 2 ngày sau đó. BeInCrypto cảnh báo nhà cung cấp WETH trên Aave nên rút tiền trong tối cùng ngày, trước khi các pool này bị sử dụng tối đa.

“Các smart contract của Aave không bị xâm phạm ở bất kỳ thời điểm nào trong sự việc này. Toàn bộ logic của giao thức, bao gồm việc gửi tài sản, trả nợ và thanh lý tài sản thế chấp đều hoạt động đúng như thiết kế.”

Báo cáo sự cố của Aave ước tính khoản nợ xấu lên tới 123.7 triệu USD nếu phân bổ đều tổn thất, còn nếu chỉ xét riêng rsETH cầu nối thì lên tới 230.1 triệu USD.

Người đi vay đang đặt niềm tin vào điều gì?

Các giao thức đối thủ đã chung tay để bù đắp khoảng trống. Một kế hoạch phục hồi do liên minh tài trợ đã huy động được khoảng 69,570 ETH, bù phần nào cho khoản thiếu hụt 75,081 ETH.

Hội đồng bảo mật của Arbitrum đã đóng băng 30,765 ETH tiền hoàn lại, đồng thời DAO của họ đã quyết định giải phóng số ETH này cho Aave trong tháng 06. Một lệnh của tòa án Mỹ theo yêu cầu các chủ nợ có phán quyết chống lại Triều Tiên vẫn đang treo trên số tiền này.

Người gửi tiền thì vẫn còn dè dặt so với “sổ sách báo cáo.” Cuối tháng 06, Aave ghi nhận 12.5 tỷ USD tiền gửi và tăng lên 18.1 tỷ USD trong tuần này. Giá AAVE hiện quanh mức 124 USD, giảm 3.8% trong ngày.

Việc thiết kế của các token dạng biên nhận như Wrapped Bitcoin, … cũng tương tự, đều có một lớp “trung gian” giữa người đi vay và tài sản thực tế.

Có ba điều quan trọng mà nhà đầu tư nhỏ lẻ nên kiểm tra kỹ lưỡng trước khi đem các loại tài sản này đi thế chấp:

• Có bao nhiêu bên độc lập phải xác nhận việc luân chuyển token qua cầu nối?
• Thị trường cho vay đó có tách biệt hay chia sẻ rủi ro với các thị trường lân cận?
• Tài sản thế chấp đó có phải là quyền yêu cầu đối với một quyền yêu cầu khác hay không?

Tháng 04 vừa qua đã chứng minh những người đi vay bị mất quyền truy cập đã không đặt câu hỏi này. Và cái giá phải trả là không nhỏ.