#rsETH攻擊事件後續進展

Ngày 18 tháng 4 năm 2026, xảy ra sự cố an ninh lớn liên quan đến token tái thế chấp thanh khoản của Kelp DAO là rsETH, sau đó dẫn đến cuộc khủng hoảng nợ hệ thống nghiêm trọng nhất trong lịch sử DeFi. Dưới đây là diễn biến mới nhất tính đến ngày 26 tháng 4 năm 2026:
Nội dung chính và trạng thái hiện tại
Quy mô thiệt hại: Hacker lợi dụng lỗ hổng xác thực chữ ký đơn của DVN ( trên cầu chuỗi LayerZero ), tạo ra lệnh giả mạo và đã đúc 116.500 rsETH (khoảng 292 triệu USD).
Dòng chảy vốn: Hacker gửi số "rsETH rỗng" không được đảm bảo này vào các giao thức cho vay như Aave V3 làm tài sản thế chấp, vay các tài sản thực như wETH trị giá khoảng 190 triệu USD, dẫn đến Aave phát sinh nợ xấu khoảng 177 triệu đến 200 triệu USD.
Biện pháp hiện tại: Các hợp đồng liên quan đến rsETH hiện vẫn đang bị phong tỏa trên mạng chính Ethereum và nhiều Layer 2 (như Arbitrum, Base, Mantle), Aave đã tạm dừng thị trường rsETH để tránh thiệt hại lan rộng.

Tiến trình cứu trợ và bồi thường: Cơ chế DeFi United
Để khôi phục hỗ trợ tài sản của rsETH, các bên đã phối hợp hành động:
Thành lập cơ chế DeFi United: do Aave dẫn đầu, hợp tác với nhiều giao thức để cứu trợ, mục tiêu lấp đầy khoảng trống khoảng 258 triệu USD.
Cam kết tài chính: Tính đến ngày 24 tháng 4, cơ chế đã nhận được cam kết khoảng 101 triệu USD, một số giao thức đã bước vào giai đoạn bỏ phiếu của DAO.
Khởi động quỹ phục hồi: Báo cáo mới nhất cho biết Aave đã khởi động quỹ phục hồi vào ngày 26 tháng 4, nhằm khôi phục toàn bộ hỗ trợ tài sản của rsETH.

Các hướng xử lý tiềm năng (đang thảo luận)
Các nhà phân tích (như người sáng lập DefiLlama 0xngmi) đề xuất ba hướng sửa chữa chính, hiện chưa đi đến quyết định cuối cùng:
Phương án 1: Giảm thiểu toàn diện: tất cả người sở hữu rsETH chia sẻ thiệt hại, dự kiến tài sản sẽ giảm giá khoảng 18,5%.
Phương án 2: Bỏ qua Layer 2: chỉ bảo vệ rsETH trên mạng chính Ethereum, để người sở hữu Layer 2 tự chịu thiệt hại (cách này có thể gây sụp đổ hệ sinh thái Layer 2).
Phương án 3: Bản chụp nhanh bồi thường: chỉ bồi thường cho "người sở hữu thực" trước khi bị tấn công, nhưng thực hiện trong cấu trúc pool DeFi rất khó khăn.

Theo dõi trách nhiệm và điều tra kỹ thuật
Danh tính hacker: Báo cáo sơ bộ về sự cố LayerZero xác định thủ phạm là nhóm hacker Triều Tiên Lazarus Group, thuộc nhóm nhỏ TraderTraitor.
Lỗ hổng kỹ thuật: Không phải do lỗi mã hợp đồng, mà do Kelp DAO cấu hình nút xác thực đơn quá yếu, hacker đã tấn công từ chối dịch vụ DDoS làm tê liệt các nút RPC bình thường, buộc hệ thống chuyển sang các nút do hacker kiểm soát để đọc dữ liệu giả mạo.

Nếu bạn sở hữu tài sản bị ảnh hưởng, đề nghị theo dõi:
Cộng đồng chính thức của Kelp DAO để cập nhật chính xác thời gian chụp nhanh và chi tiết nhận bồi thường.
Diễn đàn quản trị Aave để xem kết quả bỏ phiếu về tiến trình cấp vốn cụ thể của "DeFi United".
$ETH $BTC $DOGE