2.92 tỷ đô la Mỹ bài học: Nhìn vào vụ mất cắp rsETH để xem an toàn DeFi

Viết bài: Liu Jiaolian

Lời giới thiệu: Một sự tình cờ may mắn

Ngày 18 tháng 4 năm 2026, cầu nối rsETH của Kelp DAO bị tấn công, tài sản trị giá khoảng 292 triệu đô la bị đánh cắp. Kẻ tấn công đã gửi số rsETH bị đánh cắp vào Aave, vay ETH, gây ra hoảng loạn về nợ xấu. Tỷ lệ sử dụng ETH trên Aave ngay lập tức tăng vọt lên 100%, vô số người gửi tiền vô tội bị khóa vốn.

Và Jiaolian chỉ mới hai tháng trước, vào ngày 5 tháng 2, đã chuyển toàn bộ tiền gửi trên Aave sang Spark. Động cơ rất đơn giản: lợi suất của Spark cao hơn Aave một chút. Kết quả là vô tình tránh được cuộc khủng hoảng này.

Đây không phải là dự đoán trước, không phải là khả năng phán đoán, hoàn toàn chỉ là may mắn. Nhưng may mắn này khiến Jiaolian bắt đầu suy nghĩ nghiêm túc về một vấn đề: lần sau còn may mắn như vậy nữa không?

Nhân cơ hội này, Jiaolian đã xem lại những vết nứt, bài học, và suy nghĩ cuối cùng của mình trong thế giới DeFi, và viết ra dưới đây.

I. 2026.4.18: Cách con bướm vẫy cánh

1.1 Tấn công chính

17:35 UTC ngày 18 tháng 4, một ví kiểm soát của kẻ tấn công đã gọi hợp đồng EndpointV2 của LayerZero, kích hoạt hợp đồng cầu nối liên chuỗi của Kelp DAO, phát hành 116.500 rsETH đến địa chỉ của kẻ tấn công. Theo giá thị trường lúc đó, trị giá khoảng 292 triệu đô la. [1]

Ví của kẻ tấn công đã lấy tiền từ pool Tornado Cash 1 ETH cách đó 10 giờ, đây là thủ thuật phổ biến trong tấn công DeFi để trộn lẫn nguồn tiền.

Phản ứng của Kelp DAO không chậm. Sau 46 phút, ví đa chữ ký khẩn cấp của họ đã thực hiện lệnh pauseAll, phong tỏa hợp đồng cốt lõi, ngăn chặn hai lần tấn công tiếp theo nhằm lấy thêm khoảng 100 triệu đô la. [1]

1.2 Rủi ro lan truyền đến Aave

Nhưng cơn bão thực sự không nằm ở Kelp DAO mà ở các giao thức vay mượn nổi tiếng hơn, Aave.

Kẻ tấn công đã gửi số rsETH bị đánh cắp vào Aave, làm tài sản thế chấp để vay ETH. Bước này biến rủi ro nợ xấu bên trong Aave thành hiện thực. [2]

Thị trường phản ứng nhanh chóng. Các cá mập bắt đầu rút ETH khỏi Aave. Theo theo dõi của Lookonchain, tỷ lệ ETH sử dụng trên Aave nhanh chóng đạt 100% — nghĩa là trong pool gần như không còn ETH để rút hoặc vay mới nữa. [2]

Những người dùng vô tội chưa từng chạm vào rsETH, chỉ gửi ETH, cũng bị khóa vốn.

Đây chính là cái giá của vay mượn trong pool chung: bạn không cần tiếp xúc trực tiếp với “táo độc”, chỉ cần cùng pool với nó là có thể bị ảnh hưởng.

1.3 Rủi ro nội tại của vay không cách ly

Michael Egorov, sáng lập của Curve, sau vụ việc đã đăng tweet nói: “Đây chính là rủi ro vốn có của mô hình vay không cách ly mà mọi người yêu thích. Mở rộng tốt, nhưng rủi ro cao hơn. Quản lý rủi ro là chìa khóa, Aave đã làm tốt điều này trong lịch sử.” [3]

Ý của ông là: mô hình này vốn đã có vấn đề, không phải là lỗ hổng riêng của Aave.

Jiaolian cho rằng, nhận định này đúng. Nhưng vấn đề là, người dùng bình thường rất khó để dự đoán trước khi rủi ro trở thành hiện thực.

II. Khoảnh khắc mâu thuẫn: Nghe lời vs xem hành động

2.1 Phân chia giữa trấn an và hành động

Chính thức của Aave nói rằng tình hình có thể kiểm soát, module an toàn Umbrella có thể là lớp phòng thủ đầu tiên. [1]

Nhưng thực sự gây tranh luận là thái độ của Andre Cronje (AC).

AC trong tweet nói: “Aave có 7 tỷ đô la gửi ETH, chỉ rút ra 100 triệu đô la, ảnh hưởng rất nhỏ. Ngay cả khi có nợ xấu, các module an toàn của Aave và token AAVE là lớp phòng thủ đầu tiên.” [4]

Trong khi đó, ông sáng lập PUT đã rút toàn bộ ETH khỏi Aave. Giải thích của ông là: “Mục tiêu chính của PUT là cung cấp thanh khoản cho người dùng, lượng thanh khoản khả dụng trên Aave đã giảm xuống dưới ngưỡng tối thiểu của chúng tôi, đó chỉ là quy tắc kích hoạt, không phải là dự đoán Aave sẽ phá sản.” [4]

Về quy tắc, ông không sai. Nhưng từ góc nhìn của người ngoài, điều này dễ tạo ấn tượng: nói một đằng, làm một nẻo.

2.2 Lịch sử luôn có vần điệu

Đây không phải lần đầu.

Tháng 5 năm 2022, Luna sụp đổ. Do Kwon sau khi UST mất peg liên tục kêu gọi bình tĩnh, nói rằng thuật toán sẽ phục hồi. Người tin ông đã bị vùi dập.

Tháng 11 năm 2022, FTX phá sản. SBF sau khi xảy ra cuộc rút tiền hàng loạt nói rằng tài sản không vấn đề gì, FTX rất khỏe mạnh. Người tin ông cũng bị vùi dập.

Bạn bè của Jiaolian có nhiều tiền gửi trong FTX. Khi thấy xuất hiện cả cảnh hoảng loạn lẫn trấn an cùng lúc, anh chọn rút tiền để tránh rủi ro. Sau này, anh nói rằng lúc đó cũng không biết FTX có thể sụp đổ hay không, nhưng biết rằng nếu sụp thì không thể chạy thoát. Vì vậy, anh chọn chạy trước.

Logic này, Jiaolian cho rằng là điều người dùng bình thường cần ghi nhớ nhất trong khủng hoảng: “Chữ quân tử không đứng dưới tường nguy hiểm.” Bạn không biết tường có đổ hay không. Bạn chỉ cần biết là không cần đứng dưới đó.

III. Hai trải nghiệm của Jiaolian: Từ bị mắc kẹt đến may mắn thoát hiểm

3.1 Lần đầu: Compound bị khóa

Tháng 11 năm 2025, Jiaolian gửi một số USDC vào Compound. Không chạm vào deUSD, cũng không biết xUSD là gì.

Nhưng ngày 4 tháng 11, nhóm xUSD thừa nhận thua lỗ 93 triệu đô la, deUSD mất peg. Đằng sau đó, deUSD cũng mất peg. Compound chấp nhận deUSD làm tài sản thế chấp. Đến 5 giờ sáng, Compound khẩn cấp tạm dừng rút tiền. [5]

Vốn của Jiaolian bị khóa.

Ngày đó, trong bài viết, Jiaolian viết: “Lúc đó có thể dễ dàng, thoải mái, chỉ cần một ngày trước đó rút tiền để tránh rủi ro. Giờ đột nhiên tạm dừng, không còn cơ hội chạy trốn vội vàng nữa.” [5]

May mắn là quy mô nợ xấu chỉ vài triệu đô, đã có module an toàn bảo vệ, cuối cùng không thiệt hại lớn.

Nhưng Jiaolian rút ra bài học: Rủi ro có thể truyền dẫn. Bạn không cần tiếp xúc trực tiếp với “táo độc”, chỉ cần cùng pool là có thể bị ảnh hưởng.

3.2 Lần thứ hai: Rút khỏi Aave

Ngày 5 tháng 2 năm 2026, Jiaolian chuyển toàn bộ tiền gửi trên Aave sang Spark.

Nguyên nhân rất đơn giản, thậm chí hơi cũ: lợi suất của Aave giảm, của Spark cao hơn một chút. Jiaolian chỉ chuyển tiền từ nơi lợi thấp sang nơi lợi cao hơn.

Hành động này diễn ra hàng ngày, hàng giờ. Jiaolian không dự đoán được hai tháng sau Aave sẽ gặp chuyện, không phân tích rủi ro rsETH, không có tin nội bộ.

Kết quả là vô tình tránh được khủng hoảng Aave tháng 4.

Jiaolian gọi đó là may mắn. Nhưng cũng đang suy nghĩ, liệu may mắn này có phải là một dạng tất yếu trong ngẫu nhiên không?

3.3 So sánh hai lần

Lần đầu: bị động mắc kẹt, may mắn thoát thân. Lần hai: chủ động di chuyển, vô tình tránh rủi ro.

Không cần tranh luận đúng sai, cũng rất khó để tranh luận. Miễn là giữ được tính linh hoạt của dòng tiền, có thể vô tình tránh được một số bẫy.

Nhưng cũng không phải là cách lâu dài. Câu tục ngữ nói: “Lâu ngày bên bờ sông, làm sao không ướt giày?”

IV. Chiến trường mới: Spark và sự không minh bạch ngoài chuỗi

4.1 Nơi tạm trú

Sau khi rời Aave, Jiaolian để một phần vốn ở Spark.

Spark là gì? Là một lớp thanh khoản tự động, tự phân bổ các tài sản như USDS, sUSDS, USDC vào các giao thức DeFi và sản phẩm RWA để tối ưu lợi nhuận. [6]

4.2 Cấu trúc tài sản

Theo dữ liệu chính thức của Spark, tổng tài sản của lớp thanh khoản khoảng 2,1 tỷ đô la.

Jiaolian chú ý rằng hơn 90% tài sản là stablecoin trên chuỗi, có thể theo dõi. Nhưng tổ chức Anchorage giữ khoảng 7%, là tài sản ngoài chuỗi, người dùng bình thường không thể xuyên thấu.

4.3 Rủi ro trao đổi

Jiaolian cho rằng, từ Aave đến Spark không phải là nâng cấp an toàn, mà là trao đổi rủi ro.

Trong các giao thức như Aave/Compound, rủi ro khá rõ ràng: tài sản thế chấp là gì, mức thanh lý là bao nhiêu, mã nguồn mở. Rủi ro đến từ biến động thị trường hoặc tấn công.

Trong Spark, rủi ro đã mở rộng sang các chiều mới: tổ chức giữ tài sản, RWA, chiến lược không minh bạch. Bạn không biết chính xác 1,5 tỷ đô của Anchorage đang làm gì, cũng không thể theo dõi chiến lược mỗi lần điều chỉnh danh mục.

Điều này không có nghĩa Spark không an toàn. Spark đã quản lý hơn 4 tỷ đô tài sản kể từ khi ra mắt, không xảy ra sự cố an toàn nào. Jiaolian muốn nói rằng: bất kỳ giao thức nào cũng đều có rủi ro, chỉ là loại rủi ro khác nhau. Người dùng bình thường cần biết rõ mình chấp nhận loại rủi ro nào, chứ đừng mù quáng tin rằng một giao thức mãi mãi an toàn.

V. So sánh lịch sử: Bốn bài học

Jiaolian tổng hợp các cuộc khủng hoảng DeFi đã trải qua trong những năm qua thành một bảng:

[Chèn bảng các bài học]

Jiaolian rút ra bốn bài học từ bốn sự kiện này:

1. Không đứng dưới tường nguy hiểm. Khi xuất hiện tín hiệu bất thường, ưu tiên giả định tường sẽ đổ, rút lui trước. Nếu tường không đổ, bạn chỉ mất phí gas và vài ngày lãi. Nếu đổ, bạn giữ được toàn bộ vốn.

2. Không tin lời nói, chỉ tin hành động. Mọi lời trấn an của KOL hoặc người sáng lập đều phải dựa trên hành động của họ để xác minh. Người nói không gánh hậu quả, người làm phải tự chịu.

3. Giữ tính linh hoạt của dòng tiền. Đừng bao giờ để mình rơi vào tình thế muốn chạy mà không thể thoát. Tỷ lệ sử dụng 100% là tín hiệu rõ ràng — khi bạn muốn chạy, đã quá muộn.

4. Hiểu rõ trao đổi rủi ro. Trước khi chọn bất kỳ giao thức nào, hỏi chính mình: nhận về lợi ích gì, chấp nhận rủi ro mới nào? Rủi ro minh bạch trên chuỗi vs rủi ro tổ chức ngoài chuỗi, biến động thị trường vs chiến lược sai lầm, không có an toàn tuyệt đối, chỉ có các loại rủi ro khác nhau.

VI. Câu trả lời cuối cùng: Rút lui khỏi trò chơi

6.1 Tại sao phải rút lui

Jiaolian đã hiểu rõ một điều: miễn là còn theo đuổi lợi nhuận, bạn luôn luôn sẽ đối mặt với một dạng rủi ro nào đó.

Trong Aave, bạn đối mặt với rủi ro lan truyền trong pool chung. Trong Spark, bạn đối mặt với rủi ro không minh bạch của tổ chức. Trong stablecoin, bạn đối mặt với rủi ro phát hành và quản lý. Trong BTC đóng gói, bạn đối mặt với rủi ro của tổ chức giữ tài sản và cầu nối liên chuỗi.

Mỗi lần chuyển đổi giao thức chỉ là đổi một dạng rủi ro khác. Không phải nâng cấp, mà là trao đổi.

6.2 Kế hoạch của Jiaolian

Trong đợt giảm giá này, chuyển toàn bộ hoặc phần lớn vốn trong DeFi thành BTC chuỗi chính.

Không phải wBTC, không phải cbBTC, không phải bất kỳ tài sản đóng gói nào. Là BTC nguyên bản, tự kiểm soát trong ví của chính mình.

Jiaolian cho rằng, đây là trạng thái tài sản duy nhất trong thế giới mã hóa không cần tin tưởng bất kỳ bên thứ ba nào.

Không dựa vào mã nguồn của giao thức, không dựa vào đội ngũ, không dựa vào tài sản thế chấp, không dựa vào tổ chức giữ tài sản. Chỉ có thể dựa vào khả năng tự giữ chìa khóa riêng.

6.3 Chi phí và trách nhiệm

BTC trên chuỗi không sinh lợi. Đây là chi phí.

Rủi ro quản lý chìa khóa riêng chuyển từ giao thức sang chính mình. Đây là trách nhiệm.

Quá trình chuyển đổi cũng có rủi ro, cần thao tác cẩn thận.

Jiaolian sẵn sàng chấp nhận những chi phí này. Bởi theo quan điểm của mình, cảm giác an toàn không dựa vào ai khác, đáng để từ bỏ lợi nhuận hàng năm vài phần trăm.

6.4 Lời cuối

Chúng ta vào thị trường mã hóa ban đầu là để tìm một nơi không cần tin tưởng ngân hàng. Đi vòng quanh, cuối cùng lại tin vào mã nguồn, đội ngũ, module an toàn, lời kêu gọi của KOL trong DeFi…

Cuối cùng, phát hiện ra điểm đến thực sự vẫn là trở về điểm khởi đầu đơn giản nhất: tự mình giữ Bitcoin của chính mình.

Tham khảo:

[1] The Block, “Cầu nối rsETH của Kelp DAO rõ ràng đã bị khai thác lấy khoảng $292 triệu đô trong cuộc tấn công dựa trên LayerZero”, 18/04/2026

[2] Lookonchain, X bài đăng về tỷ lệ ETH sử dụng của Aave đạt 100%, 19/04/2026

[3] Michael Egorov, X bài về rủi ro vay không cách ly, 19/04/2026

[4] Andre Cronje, X bài về quyết định rút tiền của PUT, 19/04/2026

[5] Liu Jiaolian, Bão Bươm Bướm, 5/11/2025. [Liên kết]

[6] Spark, Dữ liệu chính thức của Spark Liquidity Layer