Kẻ tấn công mạng đã đánh cắp khoảng 116.500 rsETH – một token do Kelp DAO phát hành. Tổng thiệt hại ước tính khoảng 293 triệu USD (gần 7.716 tỷ đồng), trở thành vụ tấn công DeFi lớn nhất năm 2026.
“Chúng tôi đã phát hiện hoạt động xuyên chuỗi đáng ngờ liên quan đến rsETH”, Kelp DAO cho biết trong một bài đăng trên nền tảng X (tên cũ là Twitter).
Kelp DAO là một giao thức tái thế chấp (restaking) cho phép người dùng gửi các token staking phổ biến như stETH hoặc cbETH và nhận lại rsETH, sau đó có thể sử dụng trên các ứng dụng crypto khác trong khi vẫn tiếp tục nhận phần thưởng. Tính linh hoạt này đã giúp rsETH được sử dụng rộng rãi trên các nền tảng cho vay, giao dịch và cung cấp thanh khoản trong DeFi.
Chính sự liên kết chặt chẽ này đã nhanh chóng biến vụ xâm nhập kể trên thành một vấn đề lan rộng của thị trường.
“Đây không chỉ là một lỗ hổng bảo mật trong giao thức mà ngay lập tức đã trở thành sự kiện lây lan giữa nhiều giao thức khác nhau”, công ty bảo mật Cyvers cho biết khi ước tính có ít nhất 9 nền tảng khác cũng bị ảnh hưởng.
Nói đơn giản, các giao thức DeFi thường được xây dựng chồng lên nhau. Các tài sản như rsETH được tái sử dụng trong nhiều dịch vụ, chẳng hạn làm tài sản thế chấp cho các khoản vay hoặc làm thanh khoản trong các nhóm giao dịch. Khi một mắt xích gặp sự cố, nó có thể làm suy yếu tất cả những nơi sử dụng tài sản đó.
“Đây chính là loại sự cố cho thấy rủi ro của các hệ thống liên kết trong DeFi”, Giám đốc điều hành (CEO) Cyvers, Deddy Lavid cho biết. “Thách thức không còn chỉ là ngăn chặn các lỗ hổng ở cấp hợp đồng mà còn là hiểu được tốc độ lan rộng của chúng giữa các giao thức tích hợp”.
Aave, giao thức cho vay DeFi lớn nhất với hơn 20 tỷ USD tài sản bị khóa, đã đóng băng các thị trường liên quan đến rsETH để hạn chế thiệt hại.
“Việc đóng băng thị trường rsETH ngăn chặn việc gửi tiền mới và vay dựa trên tài sản thế chấp rsETH trong khi tình hình đang được đánh giá”, nền tảng này cho biết. Theo Coingecko, token của Aave đã giảm giá 20% trong phiên giao dịch châu Á vào Chủ nhật (19/4).
Giám đốc công nghệ của Cyvers, Meir Dolev cho biết tình hình có thể còn tồi tệ hơn. Đợt tấn công thứ hai của hacker đã bị chặn đứng và chỉ cần chậm 3 phút nữa, sẽ có thêm 100 triệu USD bốc hơi.
Xảy ra đúng vào thời điểm nhạy cảm đối với thị trường tiền số, sự kiện lần này đã vượt qua vụ tấn công trước đó nhằm vào dự án Drift trên nền tảng Solana để trở thành vụ tấn công DeFi lớn nhất kể từ đầu năm đến nay.
Theo The Business Times
