DeFi Lại Bị Đánh Cắp 292 Triệu USD, Liệu Aave Còn An Toàn?

Original | Odaily

Author | Azuma (@azuma_eth)

Vào lúc 19/4 giờ Bắc Kinh, an ninh DeFi lại một lần nữa bị tấn công nặng nề.

Dữ liệu on-chain cho thấy, vào khoảng 1:35 sáng nay, hợp đồng bridge rsETH của giao thức liquid staking lớn thứ hai Kelp DAO, được xây dựng trên LayerZero, bị nghi ngờ bị khai thác bởi hacker, mất 116,500 rsETH, trị giá khoảng 292 triệu USD.

Theo dõi tiếp các bản ghi on-chain, địa chỉ của kẻ tấn công đã nhận được 1 ETH vốn ban đầu từ giao thức trộn tiền Tornado Cash khoảng 10 giờ trước khi sự việc xảy ra. Sau đó, địa chỉ này đã gọi hàm lzReceive trên hợp đồng LayerZero EndpointV2, cuộc gọi này đã kích hoạt hợp đồng bridge của Kelp, chuyển 116,500 rsETH sang một địa chỉ tấn công khác.

Khoảng 2 tiếng rưỡi sau sự việc, Kelp DAO chính thức xác nhận trên X rằng đã bị tấn công: "Sớm hôm nay, chúng tôi đã phát hiện hoạt động cross-chain đáng ngờ liên quan đến rsETH. Trong thời gian điều tra, chúng tôi đã tạm dừng hợp đồng rsETH trên Mainnet và nhiều Layer2. Các kiểm toán viên của chúng tôi đang hợp tác với các chuyên gia bảo mật của LayerZero và Unichain để theo dõi sát sao vấn đề này. Chúng tôi sẽ cập nhật thông tin mới nhất cho bạn, vui lòng theo dõi các kênh chính thức."

Sau sự việc, nhiều dự án DeFi và tổ chức bảo mật đã phân tích nguyên nhân. Phân tích của D2 Finance được trích dẫn nhiều lần trong cộng đồng — LayerZero Scan đánh dấu nguồn peer này là Kelp DAO, điều này có nghĩa thông điệp này đến từ hợp đồng peer hợp pháp do chính Kelp triển khai, và đường dẫn này trước đó đã có 308 bản ghi nonce. Do đó, nguyên nhân gốc rễ của cuộc tấn công này là "khóa riêng tư trên chuỗi nguồn bị xâm phạm".

Steven Enamakel, nhà phát triển TinyHumans AI, bổ sung rằng hợp đồng này chỉ được bảo vệ bởi một tập hợp trình xác thực 1/1 (DVN), điều này có nghĩa chỉ cần trình xác thực gửi một giao dịch sai là đủ để gây ra vấn đề.

Hacker trốn thoát qua Aave, nghi ngờ đã tạo ra nợ xấu

Do thanh khoản giao dịch của rsETH bản thân có hạn, chiến lược trốn thoát mà hacker chọn là mượn đường qua các giao thức cho vay như Aave, thế chấp rsETH và vay ra wETH có thanh khoản giao dịch tốt hơn.

Theo giám sát của PeckShield Alert, tính đến 4:30 sáng nay, địa chỉ hacker đã gửi rsETH đánh cắp vào các giao thức cho vay Aave V3, Compound V3, Euler và vay ra một lượng lớn WETH, tổng nợ vượt quá 236 triệu USD — chỉ riêng nền tảng Aave đã có khoản nợ lên tới 196 triệu USD, Compound 39.4 triệu USD, Euler chỉ 840,000 USD.

Sau sự việc, Aave ngay lập tức đóng băng thị trường rsETH trên Aave V3 và V4, đội ngũ sau đó đã đăng tuyên bố chính thức trên X: "Hợp đồng của Aave không bị tấn công, cuộc tấn công này liên quan đến rsETH. Việc đóng băng rsETH là để ngăn chặn tiền gửi rsETH mới và vay thế chấp trong thời gian đánh giá tình hình. Chúng tôi đang xem xét thông tin vay rsETH trên Aave sau khi cuộc tấn công xảy ra và sẽ sớm chia sẻ thêm chi tiết."

Không lâu sau khi tuyên bố ban đầu được đăng, Aave đã cập nhật bài đăng, thêm vào cuối câu: "Nếu giao thức tích lũy nợ xấu do sự kiện này, chúng tôi sẽ tìm cách bù đắp thâm hụt."

Tính đến thời điểm bài viết, vẫn chưa rõ số tiền nợ xấu cụ thể do sự kiện này gây ra.

monetsupply.eth, Giám đốc chiến lược của Spark, đối thủ cạnh tranh trực tiếp của Aave, cho biết nếu rsETH giảm giá 19% (số tiền bị đánh cắp chiếm 19% tổng cung rsETH), Aave có thể phát sinh hơn 100 triệu USD nợ xấu, do tồn tại vay mượn vòng lặp đòn bẩy cao.

Tuy nhiên, Marc Zeller, người sáng lập Aave Chan Initiative (ACI), nhóm quản trị tiêu biểu của hệ sinh thái Aave (đã tuyên bố sẽ rời khỏi Aave vào tháng 7 do bất đồng về quản trị), lại đưa ra quan điểm khác. Zeller khi sự việc mới bùng phát đã từng khuyên người dùng nhanh chóng rút WETH khỏi Aave V3 để tránh thiệt hại, và xác nhận thị trường USDC và USDT trên Aave không bị ảnh hưởng, khi trả lời một người dùng khác về phỏng đoán "nợ xấu có thể lên tới hàng trăm triệu", ông từng nói: "Nhỏ hơn nhiều so với con số đó."

Nhưng Marc Zeller cũng đề cập, đã đến lúc kiểm tra Umbrella trong môi trường sản xuất thực tế. Cái gọi là Umbrella, tức mô-đun bảo mật tự động của Aave, nói đơn giản đây là một quỹ dự phòng để đối phó với nợ xấu, người dùng có thể gửi tài sản vào đó để nhận khuyến khích cao hơn, nhưng khi giao thức phát sinh nợ xấu, quỹ này cũng phải chịu tổn thất tiềm ẩn.

Dữ liệu giao thức Aave cho thấy, hiện tại Umbrella có tổng cộng khoảng 50 triệu USD WETH có thể sử dụng để đối phó với nợ xấu tiềm ẩn từ sự kiện này, nhưng tạm thời chưa chắc chắn liệu có đủ để lấp đầy lỗ hổng hay không.

Bị ảnh hưởng bởi sự kiện này, AAVE giảm mạnh gần 10% trong ngắn hạn, tính đến thời điểm bài viết tạm báo 104.6 USDT.

Lại một sự kiện bảo mật trăm triệu USD khác trong tháng Tư

Đây không phải là sự kiện bảo mật lớn đầu tiên xảy ra trong tháng này.

Ngay từ ngày 1/4, giao thức giao dịch phái sinh trên hệ sinh thái Solana Drift Protocol đã từng bị tấn công, thiệt hại lên tới 280 triệu USD (xem chi tiết "Trò đùa ngày Cá tháng Tư? Drift Protocol bị đánh cắp hơn 280 triệu USD, có thể trở thành vụ cướp DeFi lớn thứ hai trên hệ sinh thái Solana").

Sau đó, Drift Protocol trực tiếp đổ lỗi cho "hacker Triều Tiên", nhưng may mắn là các tổ chức như Tether đã cam kết rót 147.5 triệu USD để bồi thường cho người dùng, người dùng ít nhất đã có chút hy vọng đòi bồi thường.

Chỉ mới qua hơn mười ngày, lại một vụ hacker với quy mô lớn hơn bùng phát, lần này sẽ kết thúc như thế nào?

DeFi còn nơi nào an toàn không?

Vấn đề an ninh của DeFi đang ngày càng trầm trọng.

Một bên là các vụ hacker không ngừng, bên kia là mối đe dọa bảo mật liên tục từ AI như Mythos (có thể tham khảo "Phỏng vấn Odaily với Cosine: Mô hình mới hạt nhân của Anthropic bị rò rỉ, ảnh hưởng thế nào đến tấn công và phòng thủ bảo mật crypto?"). Đối với người dùng DeFi, biện pháp đối phó trước đây là cố gắng tập trung vốn vào các giao thức hàng đầu được kiểm toán đầy đủ và có uy tín thương hiệu tốt, nhưng hiện nay, ngay cả một giao thức đỉnh cao như Aave mà người dùng nhỏ lẻ tiềm thức cho là cực kỳ khó xảy ra vấn đề cũng bị ảnh hưởng gián tiếp, người dùng còn có thể chuyển vốn đi đâu nữa?

Cá nhân mà nói, hiện tại thực sự không khuyến nghị người dùng để lại lượng lớn vốn trên chain, nếu thực sự có nhu cầu, vui lòng chắc chắn phân tán và cách ly vị thế.

Tính đến thời điểm bài viết, nhiều chi tiết về sự kiện này vẫn chưa rõ ràng, Odaily sẽ tiếp tục theo dõi tiến triển sự việc, vui lòng giữ theo dõi.