Cuộc tấn công DeFi đắt giá nhất năm 2026 bắt đầu từ cầu restaked ether (rsETH) của KelpDAO, chứ không phải do lỗi trong mã của Aave. Theo lập luận của giao thức cho vay trong một báo cáo phân tích chính thức được công bố tuần này, đó chính là lý do tại sao ngành cần xem xét lại cách đo lường rủi ro.
Aave cho biết họ đang tiến hành xem xét lại tất cả các tài sản được niêm yết trên V3 và viết lại các tiêu chuẩn niêm yết sau vụ khai thác $230 triệu ETH được restaked vào tháng Tư đã phơi bày một lớp rủi ro DeFi mới.
Báo cáo sau sự cố của giao thức xác định cuộc tấn công không xuất phát từ lỗ hổng trong các hợp đồng thông minh của Aave mà do sự thất bại trong xác thực cầu nối LayerZero, nơi một người xác thực duy nhất đã phê duyệt một thông điệp xuyên chuỗi giả mạo, giải phóng 116.500 rsETH không được đảm bảo.
Trong tương lai, Aave cho biết các đánh giá tài sản thế chấp sẽ xem xét các cầu nối, sự phụ thuộc vào oracle, các bên lưu ký và an ninh vận hành cùng với các rủi ro tài chính và hợp đồng thông minh mà họ đã truyền thống kiểm tra.
KelpDAO là một dịch vụ "restaking", cho phép người dùng sử dụng ether đã bị khóa vào ethereum để kiếm phần thưởng staking và tái sử dụng chúng làm tài sản đảm bảo để kiếm thêm lợi nhuận từ các giao thức khác. Token rsETH đại diện cho quyền yêu cầu của người dùng đối với lượng ether đã restaked. Để chuyển rsETH giữa các blockchain, KelpDAO sử dụng LayerZero, một hạ tầng được gọi là cầu liên chuỗi, truyền tin nhắn giữa các mạng để token được phát hành trên một chuỗi có thể xuất hiện trên chuỗi khác.
Các cầu nối dựa vào một tập hợp các người xác minh độc lập xác nhận mỗi tin nhắn là thật trước khi chuỗi nhận giải phóng các token tương đương.
Trong cuộc tấn công tháng Tư, chỉ một trong những người xác thực đó đã phê duyệt một tin giả, cho phép kẻ tấn công tạo ra 116.500 rsETH trên chuỗi nhận mà không có đồng ether thực sự hỗ trợ.
Những token đó sau đó được gửi vào Aave, một giao thức cho vay nơi người dùng vay dựa trên tài sản thế chấp họ đặt cọc, và được sử dụng để vay tiền mà Aave không thể thu hồi được sau khi rsETH được tiết lộ là vô giá trị. Mã của chính Aave hoạt động đúng như thiết kế. Tài sản thế chấp mà nó chấp nhận hóa ra là giả vì cầu nối cung cấp nó đã bị xâm phạm.
Mặc dù LayerZero đã thừa nhận đầu tháng này rằng họ "đã mắc sai lầm" khi cho phép hệ thống xác thực của chính mình bảo vệ các tài sản có giá trị cao ở cấu hình một-một, báo cáo phân tích sau sự cố của Aave còn đi xa hơn khi sử dụng sự việc này để biện minh cho một cuộc cải tổ rộng lớn hơn trong quản lý rủi ro DeFi.
Giao thức cho rằng các đánh giá truyền thống tập trung vào biến động, thanh khoản và kiểm toán hợp đồng thông minh đã không thể nắm bắt được các rủi ro do các cầu nối, mạng lưới xác minh và cơ sở hạ tầng khác nằm ngoài mã ứng dụng tạo ra.
Ngoài việc kiểm toán hợp đồng thông minh và phân tích rủi ro tài chính, Aave cho biết hiện sẽ đánh giá cơ sở hạ tầng cầu, sự phụ thuộc vào oracle, các hợp đồng bên thứ ba, các sắp xếp lưu ký, các thực hành bảo mật vận hành và thanh khoản thị trường thứ cấp trước khi phê duyệt hoặc mở rộng danh mục tài sản thế chấp.
Giao thức cũng đang xây dựng các biện pháp phòng thủ tự động mới nhằm phản ứng nhanh hơn khi các tài sản đảm bảo cho thấy dấu hiệu gặp khó khăn. Trong số các đề xuất được nêu ra trong báo cáo tổng kết có một hệ thống sẽ tự động giảm tỷ lệ vay trên giá trị tài sản của một tài sản về 0 ngay khi các ngưỡng rủi ro đã định trước bị vượt quá, loại bỏ khả năng vay mượn của nó trước khi tổn thất có thể lan rộng ra toàn bộ thị trường.
Kể từ vụ khai thác, Aave cho biết các quản lý rủi ro của họ đã thực hiện khoảng 295 thay đổi thông số trên các thị trường V3, bao gồm 168 giảm giới hạn cung cấp và 66 giảm giới hạn vay nhằm hạn chế rủi ro đối với các tài sản cụ thể.
Khi các giao thức DeFi trở nên liên kết chặt chẽ hơn, báo cáo hậu sự của Aave cho thấy ngành công nghiệp có thể cần xem xét kỹ không chỉ các tài sản mà họ niêm yết, mà cả cơ sở hạ tầng mà các tài sản đó phụ thuộc vào