Skip to content
AV
DeFi

Lỗi Cấu Hình DVN LayerZero: Kelp DAO Mất 292 Triệu Đô La Như Thế Nào

By Anurag Verma•April 22, 2026
Lỗi Cấu Hình DVN LayerZero: Kelp DAO Mất 292 Triệu Đô La Như Thế Nào

Lỗi Cấu Hình DVN LayerZero: Cách Kelp DAO Mất 292 Triệu Đô

Vụ khai thác Kelp DAO không xuất phát từ một hợp đồng thông minh bị lỗi. Không có reentrancy, không có thao túng oracle, không có flash loan arbitrage. Điều xảy ra đơn giản hơn và đáng xấu hổ hơn: một DVN (Mạng lưới Xác minh Phi tập trung) LayerZero duy nhất được đặt ngưỡng 1-trên-1, nghĩa là chỉ cần một trình xác minh bị xâm phạm là có thể giả mạo bất kỳ thông điệp xuyên chuỗi nào. Khi trình xác minh đó bị chiếm quyền kiểm soát, kẻ tấn công đã đúc rsETH trên chuỗi đích mà không cần tài sản bảo đảm thực. Chỉ trong vài giờ, theo báo cáo nóng hổi của CoinDesk, 292 triệu đô đã không cánh mà bay, nguồn cung rsETH sụt giảm 18%, và làn sóng lây lan từ mảng restaking đã kích hoạt dòng vốn tháo chạy 13 tỷ đô TVL khỏi Aave và các giao thức liên quan.

Đây không phải một vụ tấn công tinh vi. Đó là cánh cửa trước không khóa mà các kiến trúc sư giao thức đã bỏ ngỏ vì LayerZero cho phép họ làm vậy.

Vụ hack rsETH của LayerZero là bài học điển hình nhất về điều gì xảy ra khi tính mô-đun được triển khai mà không có ngưỡng tối thiểu bắt buộc. Tính linh hoạt trong cấu hình là một giá trị kỹ thuật chính đáng, cho đến khi chính nó trở thành bề mặt tấn công.

Mô Hình Bảo Mật Mô-đun Của LayerZero Thực Sự Có Nghĩa Là Gì

Mô hình nhắn tin xuyên chuỗi của LayerZero được xây dựng xung quanh các DVN: các thực thể ngoài chuỗi có nhiệm vụ xác minh và chứng thực các thông điệp truyền giữa các chuỗi. Giao thức cho phép mỗi ứng dụng tự cấu hình ngăn xếp bảo mật của riêng mình, tự chọn trình xác minh, đặt ngưỡng, chọn trình thực thi. Điều này thực sự hữu ích. Các ứng dụng khác nhau có mức độ rủi ro khác nhau, và một mô hình bảo mật áp dụng đồng nhất cho tất cả sẽ tạo ra những ràng buộc cứng nhắc của riêng nó.

Vấn đề nằm ở chỗ LayerZero không áp đặt bất kỳ ngưỡng tối thiểu nào. Một giao thức có thể triển khai với cấu hình DVN 1-trên-1, một bên xác minh duy nhất mà nếu bị xâm phạm đồng nghĩa với việc toàn bộ tin nhắn có thể bị làm giả, và giao thức sẽ xử lý điều đó mà không hề phản đối. Tài liệu của LayerZero khuyến nghị sử dụng ít nhất hai DVN độc lập. Nhưng không bắt buộc.

Khoảng cách giữa khuyến nghị và yêu cầu bắt buộc chính là nơi Kelp DAO sụp đổ.

Cấu Hình Xác Minh 1-Trên-1 Xóa Sổ $292 Triệu

rsETH của Kelp DAO là token tái thế chấp thanh khoản xây dựng trên các vị thế EigenLayer, được kết nối liên chuỗi thông qua LayerZero. Tại thời điểm xảy ra vụ khai thác, cấu hình bridge chỉ sử dụng một DVN duy nhất với ngưỡng xác minh 1-trên-1, một thiết lập đáng lẽ không bao giờ được thông qua kiểm tra bảo mật đối với một giao thức nắm giữ TVL chín chữ số.

Khi kẻ tấn công xâm phạm được khóa ký của DVN đó, chúng có toàn quyền gửi bất kỳ thông điệp liên chuỗi nào mà các hợp đồng của Kelp DAO sẽ chấp nhận là hợp lệ. Chúng đã dùng quyền đó để ra lệnh cho hợp đồng trên chuỗi đích đúc rsETH mà không có bất kỳ tài sản thế chấp nào được khóa trên chuỗi nguồn tương ứng. Tỷ lệ đúc so với tài sản bảo chứng sụp đổ ngay lập tức. Các arbitrageur và người bán hoảng loạn đồng loạt tháo chạy.

rsETH mất chốt khoảng 22% ở mức tệ nhất. Theo phân tích on-chain của Chainalysis, khoảng 18% tổng cung rsETH bị đúc gian lận hoặc bị quy đổi cưỡng bức trong hỗn loạn. Với người nắm giữ, đó không phải là con số phần trăm trừu tượng, mà là $292 triệu giá trị thực bị phá hủy.

$13 Tỷ Rời Aave Trong Chưa Đầy 72 Giờ

Hiệu ứng lây lan từ tái thế chấp là có thực, và vụ khai thác Kelp DAO đã cho thấy rõ tốc độ lan rộng nhanh đến mức nào. rsETH được dùng làm tài sản thế chấp trên nhiều thị trường tiền tệ DeFi, trong đó Aave là nơi có mức độ phơi nhiễm lớn nhất. Khi cả nguồn cấp giá và tổng cung on-chain của rsETH đều bắt đầu hoạt động bất thường, các bot thanh lý của Aave cùng những người dùng thận trọng về rủi ro bắt đầu rút tài sản thế chấp.

Đợt sụt giảm TVL của Aave vào tháng 4 năm 2026 không chỉ do Kelp DAO gây ra, thị trường vốn đã bất ổn từ trước, nhưng sự cố rsETH chính là tác nhân châm ngòi. Theo mảng tin thị trường của CoinDesk, trong vòng 72 giờ, Aave chứng kiến khoảng 13 tỷ đô la TVL rút ra khỏi các nền tảng triển khai của mình. Một phần là do rút tài sản thế chấp rsETH trực tiếp. Phần lớn hơn là phản ứng hoảng loạn dây chuyền: những người dùng đang nắm giữ các vị thế hoàn toàn không liên quan cũng quyết định rằng nếu một token restaking có thể sụp đổ theo cách này, họ thà đứng ngoài quan sát còn hơn.

Đây chính là hiệu ứng nhân mà khiến việc cấu hình sai DVN trở thành rủi ro hệ thống cho DeFi, chứ không chỉ là vấn đề của một giao thức đơn lẻ. Thiệt hại không chịu nằm yên trong phạm vi nơi nó khởi phát.

Cấu Hình Hiện Là Bề Mặt Tấn Công Chính

Trong phần lớn lịch sử ban đầu của DeFi, các cuộc thảo luận về bảo mật tập trung vào mã hợp đồng thông minh. Kiểm toán, xác minh hình thức, chương trình thưởng lỗi, tất cả đều nhằm phát hiện lỗi logic trước khi bị khai thác. Điều đó vẫn còn cần thiết. Nhưng như vậy là chưa đủ nữa.

Bề mặt tấn công đã dịch chuyển. Như tôi đã viết về cách các cầu nối stablecoin thực sự thất bại, tầng cơ sở hạ tầng, bao gồm các giao thức nhắn tin, cấu hình oracle, tập hợp validator, hiện mang rủi ro ngang bằng với mã ứng dụng nằm bên trên. Một hợp đồng thông minh được kiểm toán hoàn hảo cũng trở nên vô nghĩa nếu thông điệp cross-chain mà nó tin tưởng có thể bị làm giả bởi một bên duy nhất.

Vụ khai thác Kelp DAO là phiên bản lỗi cấu hình DVN mang cùng một bài học. Ba vector hiện đang chi phối rủi ro DeFi cross-chain:

  1. Tấn công ngưỡng xác minh: cấu hình DVN 1-trên-1 hoặc ngưỡng thấp làm giảm hệ thống xuống còn một điểm thất bại duy nhất
  2. Thao túng executor: kẻ tấn công kiểm soát thứ tự thực thi thông điệp trên chuỗi đích
  3. Trượt cấu hình: các triển khai ban đầu có mức bảo mật đầy đủ nhưng dần bị hạ cấp lặng lẽ nhằm giảm chi phí hoặc độ trễ

Không cái nào trong số này xuất hiện trong một cuộc kiểm toán hợp đồng thông minh. Tất cả đều có thể rút cạn hoàn toàn một giao thức.

'Bảo Mật Mô-đun' Thực Sự Cần Có Nghĩa Là Gì

Mô hình của LayerZero không sai về mặt nguyên tắc. Các cơ chế bảo mật theo kiểu độc quyền bắt buộc có những rủi ro thất bại riêng của chúng; nếu mọi người đều dùng cùng hai DVN và một trong số đó bị xâm phạm, phạm vi thiệt hại sẽ rất lớn. Tính linh hoạt có giá trị thực sự.

Nhưng linh hoạt mà không có nền tảng tối thiểu không phải là bảo mật, đó là việc đẩy trách nhiệm pháp lý sang người khác. Như CoinDesk đưa tin về tranh chấp đổ lỗi giữa Kelp DAO và LayerZero, LayerZero cho phép các giao thức tự cấu hình đến mức thảm họa rồi sau đó chỉ vào tài liệu vốn đã cảnh báo họ không nên làm vậy. Đó không phải là mô hình bảo mật, đó là điều khoản dịch vụ.

Điều mà ngành thực sự cần:

  • Mức tối thiểu do giao thức thực thi: Không có triển khai nào trên môi trường production được phép ra mắt với ít hơn 2 DVN độc lập và ngưỡng trên 1. Đây phải là ràng buộc cứng trong hợp đồng triển khai, không phải khuyến nghị trong README.
  • Minh bạch cấu hình trên chuỗi: Cấu hình DVN phải có thể đọc được bởi bất kỳ bảng giám sát rủi ro nào mà không cần nguồn dữ liệu ngoài chuỗi. Đội ngũ rủi ro của Aave không nên phải hỏi Kelp DAO cấu hình LayerZero của họ trông như thế nào.
  • Giám sát cấu hình liên tục: Bảo mật không phải là việc kiểm tra một lần lúc triển khai. Cấu hình có thể bị thay đổi sau khi ra mắt. Bất kỳ giao thức nào chấp nhận tài sản cầu nối làm tài sản thế chấp đều cần cảnh báo theo thời gian thực về các thay đổi cấu hình ở thượng nguồn.
  • Danh sách trắng tài sản thế chấp kèm điều kiện cấu hình: Nếu Aave sẽ chấp nhận rsETH làm tài sản thế chấp, quản trị niêm yết phải bao gồm yêu cầu cấu hình bảo mật tối thiểu, và tự động hủy niêm yết nếu cấu hình đó giảm xuống dưới ngưỡng cho phép.

Các giao thức DeFi sống sót qua năm 2025 phần lớn làm được điều đó nhờ đối xử với bảo mật vận hành một cách nghiêm túc như bảo mật mã nguồn. Bài học đó giờ đây là điều kiện tối thiểu cho bất kỳ thứ gì liên quan đến tài sản tái staking.

Stack Restaking Không Phải Quá Lớn Để Không Thể Sụp Đổ

Có một giả định ngầm trong thiết kế thị trường tiền tệ DeFi rằng các tài sản thế chấp đủ thanh khoản và được sử dụng rộng rãi thì vốn dĩ an toàn hơn, bởi hệ sinh thái có quá nhiều thứ để mất nếu để chúng thất bại. Giả định đó không đứng vững với các token restaking được bắc cầu.

Sự phổ biến rộng rãi của rsETH trên các thị trường tiền tệ không làm giảm phạm vi thiệt hại của vụ khai thác Kelp DAO, mà còn khuếch đại nó. Mỗi giao thức bổ sung chấp nhận rsETH làm tài sản thế chấp mà không kiểm toán bộ bảo mật cầu nối là đang nhập về rủi ro chưa được định giá. Việc $13 tỷ TVL rút khỏi Aave là thị trường định giá hồi tố rủi ro đó.

Câu chuyện về restaking đã phát triển nhanh chóng, EigenLayer, Symbiotic, Karak đều tăng TVL một cách mạnh mẽ trong suốt năm 2025. Hạ tầng cầu nối và nhắn tin bên dưới các vị thế đó chưa theo kịp về độ trưởng thành bảo mật. Khoảng cách đó sẽ tạo ra thêm nhiều sự kiện như thế này trước khi được lấp đầy.

LayerZero nhiều khả năng sẽ sớm ban hành các cấu hình tối thiểu. Các giao thức sẽ bổ sung kiểm toán DVN vào danh sách kiểm tra bảo mật. Các bảng thông tin rủi ro sẽ hiển thị cấu hình cầu nối cùng với các tham số oracle. Đây đều là những bước đi đúng đắn, và chúng đều mang tính phản ứng. Câu hỏi đặt ra là liệu $292 triệu tiếp theo có cần biến mất trước khi khoản tiền sau đó được bảo vệ.

Nguồn