KelpDAO là gì? Cuộc tấn công 292 triệu USD của nó đã làm chấn động thị trường tiền điện tử năm 2026

2026/04/28 06:33:02

Điều gì sẽ xảy ra nếu một giao dịch giả mạo duy nhất có thể rút gần 300 triệu USD từ một giao thức DeFi trong chưa đầy một giờ — và sau đó gây ra một cuộc khủng hoảng lan truyền trên 9 nền tảng khác?

Đó chính xác là điều đã xảy ra vào ngày 18 tháng 4 năm 2026. Một kẻ tấn công đã khai thác cầu được hỗ trợ bởi LayerZero của Kelp DAO để rút đi 116.500 rsETH — khoảng 292 triệu USD, tương đương khoảng 18% nguồn cung lưu hành của token — gây ra việc tạm dừng khẩn cấp các hợp đồng cốt lõi. Sự kiện này lập tức trở thành vụ khai thác DeFi lớn nhất năm 2026, làm lung lay niềm tin của nhà đầu tư từ mạng chính ethereum đến hơn 20 mạng Layer-2.

Để hiểu vì sao điều này lại quan trọng đến vậy, bạn trước tiên cần hiểu KelpDAO thực chất là gì, cách nó xây dựng một trong những hệ sinh thái kết nối nhất trong DeFi, và tại sao một điểm yếu duy nhất trong hạ tầng đa chuỗi của nó lại đủ để phơi bày những lỗ hổng cấu trúc của toàn bộ ngành.

Những điểm chính

KelpDAO là một giao thức restaking lỏng được xây dựng trên EigenLayer, cho phép người dùng kiếm phần thưởng staking trong khi vẫn giữ tài sản ở dạng lỏng thông qua token rsETH của nó.
Vào ngày 18 tháng 4 năm 2026, các kẻ tấn công đã khai thác lỗ hổng cầu để tạo ra 116.500 token rsETH không được đảm bảo với giá trị khoảng 292 triệu USD — vụ hack DeFi lớn nhất năm 2026.
Cuộc tấn công được liên kết với Nhóm Lazarus của Bắc Triều Tiên, những người đã sử dụng các token bị đánh cắp làm tài sản đảm bảo giả trên Aave để rút ETH thật.
Ít nhất 9 giao thức DeFi đã bị ảnh hưởng, TVL của Aave giảm $10 tỷ và tháng 4 năm 2026 trở thành tháng tệ nhất trong hơn một năm qua về các vụ hack tiền điện tử.
Một sáng kiến phục hồi có tên "DeFi United" đã được khởi động, với Lido Finance, EtherFi và người sáng lập Aave Stani Kulechov phối hợp để bù đắp khoản thiếu hụt.

KelpDAO là gì?

KelpDAO là một giao thức restaking lỏng được xây dựng trên Ethereum, cho phép người dùng tối đa hóa phần thưởng staking mà không hy sinh tính thanh khoản của tài sản. Thay vì khóa ETH trong staking truyền thống, Kelp DAO cho phép người dùng restake các token staking lỏng (LSTs) của họ từ các nhà cung cấp như Lido và Rocket Pool để kiếm thêm phần thưởng thông qua EigenLayer.

Nói một cách đơn giản, KelpDAO hoạt động như một “bộ khuếch đại DeFi.” Bạn nạp ETH đã stakes (ví dụ: stETH hoặc cbETH), giao thức sẽ giao nó cho các nhà vận hành EigenLayer, và đổi lại, bạn nhận được rsETH — một token restaking lỏng có sinh lợi.

rsETH là gì?

rsETH là một token đại diện cho quyền yêu cầu đối với vị thế đã restake cùng lợi tức tích lũy. Đến tháng 4 năm 2026, rsETH đã vượt mốc 1 tỷ USD về TVL và được tích hợp làm tài sản thế chấp trên hầu hết các thị trường cho vay và nền tảng sinh lời chính trong DeFi.

Vì rsETH có tính thanh khoản cao, người dùng có thể giao dịch nó, vay dựa trên nó hoặc sử dụng nó trong các chiến lược sinh lời — tất cả trong khi vẫn tiếp tục nhận phần thưởng từ EigenLayer ở nền tảng. Cơ chế “kiếm đôi” này đã giúp KelpDAO trở thành một trong những giao thức restaking thanh khoản phổ biến nhất trong hệ sinh thái.

Các tính năng chính của KelpDAO

KelpDAO phát hành rsETH và vận hành các Gain Vault — các công cụ tối ưu hóa lợi nhuận tự động và điểm airdrop cho các mạng Layer-2. Người dùng có thể nạp ETH, stETH, ETHx và rsETH vào các Gain Vault để kiếm thêm lợi nhuận một cách tự động.

Giao thức hoạt động trên hơn 10 mạng lưới và đã tích lũy hơn 2 tỷ USD Tổng Giá trị Khóa (TVL) trước vụ khai thác lỗ hổng. Với các tích hợp trải dài trên Aave, Arbitrum, Base, Linea và Mantle, rsETH đã trở thành một phần sâu sắc trong hệ sinh thái DeFi.

Cuộc tấn công KelpDAO tháng 4 năm 2026: Đã xảy ra chuyện gì?

Vector tấn công: Lỗ hổng cầu nối 1-of-1

Cuộc tấn công diễn ra từng giai đoạn: kẻ tấn công đã xâm nhập các nút mạng RPC được hệ thống xác thực của LayerZero sử dụng, triển khai các tệp nhị phân độc hại để thao túng dữ liệu giao dịch, thực hiện cuộc tấn công DDoS có phối hợp buộc hệ thống chuyển sang cơ sở hạ tầng bị xâm phạm, và cuối cùng khiến hệ thống chấp nhận các thông điệp chéo chuỗi giả mạo — dẫn đến việc tạo ra 116.500 rsETH mà không có bất kỳ tài sản đảm bảo nào.

Điểm thất bại nghiêm trọng là cấu hình xác minh của KelpDAO. Các phân tích trên chuỗi mô tả vectơ tấn công như một cuộc tấn công chính xác: làm ô nhiễm các RPC nội bộ trong khi thực hiện cuộc tấn công DDoS lên các RPC bên ngoài, khai thác cấu hình xác minh DVN (Mạng Người xác minh Phi tập trung) 1-trong-1. Một người xác minh. Một điểm thất bại.

Điều này có nghĩa chỉ cần một nút mạng bị xâm phạm là đủ để phê duyệt một giao dịch chéo chuỗi gian lận trị giá hàng trăm triệu đô la.

Dòng thời gian

Vào ngày 18 tháng 4 năm 2026 lúc 17:35 UTC, kẻ tấn công đã khai thác cầu. Multisig tạm dừng khẩn cấp đã tạm dừng các hợp đồng cốt lõi của Kelp DAO 46 phút sau đó, vào lúc 18:21 UTC. Hai nỗ lực rút tiền tiếp theo đã được thực hiện vào lúc 18:26 và 18:28 UTC, mỗi lần cố gắng rút thêm 40.000 rsETH — cả hai đều bị hủy.

Tốc độ của cuộc tấn công thật đáng kinh ngạc. Trong chưa đầy một giờ, kẻ tấn công đã tạo ra các token giả, sử dụng chúng làm tài sản thế chấp trên Aave và rút hết ETH thật từ giao thức cho vay DeFi lớn nhất hiện có.

Từ vụ khai thác cầu đến khủng hoảng Aave

Cuộc tấn công không dừng lại ở KelpDAO. Kẻ tấn công đã nạp gần 90.000 rsETH vào Aave làm tài sản đảm bảo, vay khoảng 190 triệu USD bằng ETH và các tài sản khác trên ethereum và Arbitrum. Điều này khiến Aave gặp phải tài sản đảm bảo bị suy giảm, kích hoạt làn sóng rút tiền khi các chủ cho vay nhanh chóng rút các khoản tiền khả dụng.

Giá trị tổng thể của các tài sản trên Aave giảm mạnh 10 tỷ USD sau sự cố, với khoản nợ xấu ước tính vượt quá 112.000 rsETH, theo báo cáo sự cố của Aave.

Khi sự hoảng loạn lan rộng trong giờ giao dịch châu Á vào Chủ nhật, token gốc của Aave đã giảm 20%.

Hiệu ứng khuếch tán: Cách vụ tấn công ảnh hưởng đến toàn bộ hệ sinh thái DeFi

9 giao thức bị ảnh hưởng, 13 tỷ USD rút tiền

Aave V3 đã đóng băng các thị trường rsETH, SparkLend đã đóng băng rủi ro tiếp xúc, trong khi Fluid, Compound, Euler và các nền tảng khác đã chuyển sang kiểm soát rủi ro. Ít nhất 9 giao thức đã bị ảnh hưởng. Số tiền nạp vào DeFi giảm 13 tỷ USD trong 48 giờ khi người dùng nhanh chóng rút tiền của họ trước khi người khác làm vậy. Cứ mỗi đô la bị hacker đánh cắp trong tháng Tư, người dùng DeFi đã rút ra khoảng 20 đô la nữa khỏi hệ thống. Hiệu ứng khuếch đại này — nơi một vụ khai thác gây ra dòng chảy vốn lớn hơn nhiều — chính là lý do khiến các vụ tấn công cầu trở nên phá hoại đến vậy. Chúng không chỉ đánh cắp giá trị; mà còn phá hủy sự tin tưởng.

rsETH bị kẹt trên hơn 20 chuỗi

Vì cầu nối đã giữ dự trữ đảm bảo cho rsETH trên hơn 20 mạng lưới, tổn thất này đã làm dấy lên nghi ngờ về sự đảm bảo của rsETH trên các Layer 2 và gây ra làn sóng đóng băng thị trường bởi các giao thức bao gồm Aave, SparkLend và Fluid. Những người nắm giữ rsETH trên Arbitrum, Base, Mantle, Linea và các chuỗi được cầu nối khác đã phải ngồi im với các token không còn có thể được đổi lấy một khoản yêu cầu 1:1 an toàn tại ví ký quỹ trên Ethereum. Việc rút tiền đã bị tạm dừng và thanh khoản đã được rút khỏi các hồ DEX.

KernelDAO bị cuốn vào cuộc tranh chấp

KelpDAO hoạt động trong hệ sinh thái rộng hơn của KernelDAO. Token KERNEL giảm 19,9% trong bảy ngày sau cuộc tấn công. Giá trị thị trường của KernelDAO giảm xuống khoảng 20 triệu USD — khiến giá trị thị trường của giao thức nhỏ hơn 48 lần so với TVL của nó.

Ai đứng sau vụ tấn công KelpDAO?

KelpDAO đã bị rút khoảng 290 triệu USD vào ngày 18 tháng 4 sau khi những kẻ tấn công, có khả năng là Nhóm Lazarus của Bắc Triều Tiên, xâm phạm các nút mạng RPC và khai thác cấu hình cross-chain chỉ có một người xác minh để tạo ra 116.500 token rsETH không được đảm bảo. LayerZero, nền tảng truyền thông được sử dụng, cho biết giao thức lõi của họ không có lỗi.

Lazarus Group đã rút tiền điện tử trong suốt một thập kỷ. Riêng trong năm 2025, nhóm này đã chiếm khoảng 59% số tiền bị đánh cắp trong toàn ngành. Họ đã rút 285 triệu USD từ Drift Protocol và 292 triệu USD từ KelpDAO vào tháng 4 năm 2026, và cả hai cuộc tấn công đều được thực hiện thông qua các chiến dịch xã hội kéo dài nhiều tháng.

Đây là một sự thay đổi quan trọng trong cảnh báo đe dọa. Như Mitchell Amador, người sáng lập Immunefi, đã lưu ý, khi mã trở nên khó khai thác hơn, mục tiêu chính của tin tặc vào năm 2026 là con người. Cơ sở hạ tầng cầu nối bản thân không nhất thiết bị phá vỡ — chính những con người vận hành các nút mạng xác minh đã bị lừa đảo.

Tháng 4 năm 2026: Tháng tồi tệ nhất đối với các vụ hack tiền điện tử trong hơn một năm

Cuộc tấn công vào KelpDAO không xảy ra một cách cô lập. Tháng 4 năm 2026 hiện là tháng tệ nhất đối với các vụ hack tiền điện tử trong hơn một năm qua, với 606 triệu USD bị đánh cắp trong 12 sự cố. Con số này đã gấp 3 lần tổng số vụ hack trong cả quý I, và tháng này vẫn chưa kết thúc.

Các sự cố khác trong tháng Tư bao gồm cuộc tấn công chiếm đoạt tên miền trị giá 1,2 triệu đô la vào trình tổng hợp DEX CoW Swap, thao túng oracle trị giá 18,4 triệu đô la trên mạng NEAR và cuộc tấn công flash loan trị giá 1,6 triệu đô la trên Binance Smart Chain. Giá trị bị khóa tổng thể của DeFi kể từ đó đã giảm từ 166 tỷ đô la xuống còn 89 tỷ đô la — một sự sụt giảm đáng kinh ngạc phản ánh quy mô của cuộc khủng hoảng niềm tin đang bao trùm lĩnh vực này.

Nỗ lực phục hồi: "DeFi United"

Aave và một số công ty tiền điện tử lớn đang phối hợp nỗ lực phục hồi mang tên "DeFi United" để ổn định thị trường DeFi sau khi vụ khai thác khiến người cho vay lớn nhất ngành phải đối mặt với khoản thiếu hụt lớn. Lido Finance, EtherFi và người sáng lập Aave Stani Kulechov là một trong những người đề xuất đóng góp ETH để bù đắp khoản hao hụt.

Vào ngày 21 tháng 4, Hội đồng An ninh Mạng của Arbitrum đã đóng băng 30.766 ETH ($71 triệu) số tiền của kẻ tấn công từ vụ khai thác lỗ hổng, khôi phục khoảng 25% tài sản bị đánh cắp. Việc khôi phục sẽ diễn ra chậm chạp. Việc rsETH có thể hoàn toàn khôi phục lại mức peg hay KelpDAO có thể tái xây dựng niềm tin của người dùng trong khi vẫn thực hiện các yêu cầu rút tiền vẫn là một câu hỏi bỏ ngỏ khi bước vào quý 2 năm 2026.

Tại sao các cuộc tấn công cầu lại liên tục xảy ra?

Các vụ tấn công cầu tiền điện tử như vụ khai thác Kelp DAO trị giá 292 triệu USD tiếp tục xảy ra vì các cầu này phụ thuộc vào các trung gian đáng tin cậy và các nguồn dữ liệu bên ngoài thay vì xác minh đầy đủ hoạt động blockchain, tạo ra những cơ hội dễ dàng cho kẻ tấn công thao túng. Vấn đề này mang tính cấu trúc, không chỉ là lỗi hoặc sai sót.

Các vụ tấn công cầu nối hiếm khi bị giới hạn trong phạm vi nhỏ. Tài sản được cầu nối được sử dụng trên nhiều giao thức cho vay, hồ thanh khoản và chiến lược sinh lời. Nếu những tài sản đó bị xâm phạm, thiệt hại sẽ lan rộng. Như Sergej Kunz, đồng sáng lập 1inch, đã giải thích: "Các nền tảng khác có thể coi tài sản bị hack là hợp lệ. Đó chính là cách sự lây lan xảy ra."

Các cầu liên chuỗi đã là thành phần hạ tầng bị khai thác nhiều nhất trong lĩnh vực tiền mã hóa kể từ năm 2021, với hơn 2,8 tỷ USD bị rút cạn khỏi chúng — khoảng 40% mỗi đô la bị đánh cắp trong Web3. Sự cố KelpDAO không phải là hiện tượng ngoại lệ — mà là sự tiếp nối của một vấn đề cấu trúc đã tồn tại nhiều năm, và ngành công nghiệp vẫn chưa đưa ra giải pháp toàn diện.

Điều gì xảy ra với tương lai của DeFi

Niềm tin vào DeFi đã "suy giảm", và Phó Chủ tịch Bảo mật của Ledger, Charles Guillemet, cảnh báo rằng năm 2026 sẽ "có khả năng cao là năm tệ nhất về các vụ hack, một lần nữa." Tuy nhiên, không phải tất cả các chuyên gia đều bi quan. Michael Egorov của Curve Finance thừa nhận điểm sáng: "Crypto là một môi trường khắc nghiệt mà không ngân hàng nào có thể tồn tại — nhưng chúng ta vẫn đang làm việc trong đó. Tôi nghĩ DeFi sẽ học được bài học từ sự cố này và trở nên mạnh mẽ hơn trước."

Hành trình của KelpDAO đang thúc đẩy các cuộc thảo luận về thiết kế cầu đa chữ ký, các cuộc kiểm toán bảo mật bắt buộc cho các cấu hình liên chuỗi và các tiêu chuẩn nghiêm ngặt hơn trong việc đưa vào tài sản thế chấp cho các giao thức cho vay. Liệu những cuộc thảo luận đó có tạo ra những thay đổi thực sự kịp thời để ngăn chặn vụ khai thác lớn tiếp theo hay không là câu hỏi then chốt đối với DeFi vào năm 2026.

Cách giao dịch các token DeFi và token trong hệ sinh thái ethereum trên KuCoin

Cuộc tấn công vào KelpDAO đã khơi lại sự quan tâm đến việc hiểu cách các giao thức restaking thanh khoản, phái sinh ethereum và các token quản trị DeFi được định giá và giao dịch. Nếu bạn muốn thiết lập vị thế xung quanh những sự kiện thị trường nhanh chóng này — dù là giao dịch AAVE, theo dõi biến động ETH hay khám phá các token liên quan đến restaking — KuCoin cung cấp thanh khoản sâu cho các token trung tâm của câu chuyện này.

Các thị trường spot và giao sau của KuCoin cho phép bạn giao dịch AAVE, ETH và một loạt các token DeFi với phí cạnh tranh. Nền tảng cũng cung cấp dữ liệu thị trường theo thời gian thực và cảnh báo tin tức — đặc biệt hữu ích trong các sự kiện khủng hoảng như vụ hack KelpDAO khi giá token có thể biến động 20% trong vài giờ. Người dùng mới có thể đăng ký trên KuCoin và truy cập đầy đủ các công cụ giao dịch để thích nghi với điều kiện thị trường biến động khi lĩnh vực DeFi tiếp tục phát triển.

Đọc thêm:

Kết luận

KelpDAO đã xây dựng một trong những hệ sinh thái restaking lỏng táo bạo nhất của DeFi, cho phép người dùng kiếm lợi nhuận Ethereum nhiều lớp trong khi vẫn duy trì tính thanh khoản của token thông qua rsETH. Nhưng vụ khai thác cầu vào tháng 4 năm 2026 đã phơi bày một sự thật quan trọng: trong một môi trường DeFi liên kết, một nút mạng xác minh được cấu hình sai duy nhất có thể trở thành lỗ hổng trị giá 292 triệu đô la.

Cuộc tấn công — lớn nhất năm 2026, do Nhóm Lazarus của Bắc Triều Tiên thực hiện — đã lan truyền ngay lập tức qua 9 giao thức, kích hoạt làn sóng rút tiền 10 tỷ USD từ Aave và biến tháng 4 năm 2026 thành tháng tồi tệ nhất trong hơn một năm qua về các vụ tấn công tiền điện tử. Một nỗ lực phục hồi phối hợp thông qua "DeFi United" đang được tiến hành, với Arbitrum đã đóng băng khoảng 71 triệu USD số tiền của kẻ tấn công, nhưng con đường để hoàn trả đầy đủ vẫn còn chưa rõ ràng.

Đối với thị trường tiền điện tử rộng lớn hơn, sự cố KelpDAO vừa là lời cảnh báo vừa là yếu tố thúc đẩy. Cơ sở hạ tầng cầu nối phải được thiết kế lại với nhiều lớp xác minh độc lập, các giao thức cho vay cần tiêu chuẩn bảo đảm chặt chẽ hơn, và ngành công nghiệp phải coi các nhóm hack được nhà nước hậu thuẫn như Lazarus là đối thủ vĩnh viễn. Hệ sinh thái DeFi xuất hiện sau cuộc khủng hoảng này — nếu có — có khả năng sẽ bền bỉ hơn, nhưng hành trình đến đó sẽ đầy khó khăn.

Câu hỏi thường gặp

KelpDAO vẫn đang hoạt động sau vụ tấn công không?

KelpDAO đã tạm dừng các hợp đồng cốt lõi trên mạng chính và một số Layer-2 ngay sau khi phát hiện cuộc khai thác. Đội ngũ xác nhận đang làm việc cùng LayerZero, Unichain, các chuyên gia kiểm toán và an ninh để phục hồi. Việc có tiếp tục hoạt động đầy đủ hay không phụ thuộc vào kết quả của sáng kiến phục hồi "DeFi United" và khả năng rsETH khôi phục lại tỷ lệ 1:1.

Liệu LayerZero có bị tấn công trong vụ khai thác KelpDAO không?

LayerZero cho biết giao thức cốt lõi của họ không có lỗi. Lỗ hổng xuất phát từ cấu hình cụ thể của KelpDAO đối với tin nhắn liên chuỗi của LayerZero — cụ thể là việc sử dụng thiết lập một người xác thực duy nhất (1-of-1 DVN), tạo ra điểm lỗi duy nhất mà kẻ tấn công đã khai thác.

Giá trị của rsETH đã thay đổi thế nào sau vụ tấn công?

Sau vụ hack, giá trị và mức neo của rsETH đã chịu áp lực nghiêm trọng. Các khoản rút tiền đã bị tạm dừng trên hơn 20 chuỗi, và thanh khoản đã rời khỏi các hồ DEX. rsETH trên mạng chính vẫn được đảm bảo bởi các khoản nạp hợp lệ của người dùng trong EigenLayer, nhưng rsETH được cầu nối trên các mạng Layer-2 đã mất đi quyền yêu cầu hoàn trả 1:1 đáng tin cậy, khiến người nắm giữ bị kẹt lại.

Người dùng DeFi có thể bảo vệ bản thân khỏi các vụ hack tương tự trong tương lai như thế nào?

Người dùng nên đa dạng hóa rủi ro across các giao thức, tránh tập trung các token restaking làm tài sản thế chấp trên các nền tảng cho vay, và theo dõi sát các thông báo về bảo mật cầu nối. Ưu tiên các giao thức có thiết kế cầu nối đa trình xác minh, chương trình thưởng lỗi tích cực và các bản kiểm toán bảo mật minh bạch sẽ giảm đáng kể — dù không loại bỏ hoàn toàn — rủi ro liên quan đến các vụ khai thác cầu nối.

Thông báo miễn trừ trách nhiệm: Bài viết này chỉ mang tính chất thông tin và không cấu thành lời khuyên tài chính hay đầu tư. Đầu tư vào tiền điện tử tiềm ẩn rủi ro lớn. Luôn tự thực hiện nghiên cứu của riêng bạn trước khi giao dịch.

Tuyên bố từ chối trách nhiệm: Trang này được dịch bằng công nghệ AI (do GPT cung cấp) để thuận tiện cho bạn. Để biết thông tin chính xác nhất, hãy tham khảo bản gốc tiếng Anh.