HypurrFi cho biết đã phát hiện lỗ hổng làm tròn trong lõi Aave V3 (trước bản 3.5), buộc họ tạm dừng các thị trường XAUTO và UBTC để bảo vệ tiền của người dùng.
Sự việc diễn ra ngay sau khi Aave Labs công bố báo cáo bảo mật về nâng cấp V4, nhấn mạnh quá trình kiểm thử kéo dài một năm. Tuy vậy, thông tin về lỗi tính toán trong V3 khiến cộng đồng đặt câu hỏi về mức độ an toàn của các triển khai hiện tại và áp lực chuyển dịch sang V4.
- HypurrFi phát hiện lỗi logic tính toán liên quan “làm tròn” trong mã lõi Aave V3 trước 3.5 và chủ động dừng nạp/vay ở các thị trường bị ảnh hưởng.
- Aave Labs công bố báo cáo bảo mật V4 cho biết không phát hiện lỗ hổng nghiêm trọng sau quá trình rà soát dài ngày với nhiều đơn vị và nghiên cứu viên.
- Sự cố làm tăng tranh luận quanh việc chuyển từ V3 sang V4 và diễn ra trong bối cảnh căng thẳng quản trị trong hệ sinh thái Aave.
HypurrFi phát hiện gì trong cơ chế tính toán của Aave V3?
HypurrFi cho biết hệ thống giám sát nội bộ đã phát hiện sai lệch trong logic tính toán của Aave V3, được mô tả là một “lỗ hổng làm tròn” trong mã lõi trước phiên bản 3.5.
Theo thông báo từ HypurrFi, dự án đã phát hiện các lỗi trong logic tính toán và lập tức tạm dừng nạp mới cũng như mở vị thế vay ở các thị trường bị ảnh hưởng. Mục tiêu là giảm thiểu rủi ro cho người dùng, trong khi vẫn cho phép rút tiền và hoàn trả khoản vay để tránh kẹt thanh khoản.
HypurrFi nêu rõ các thị trường liên quan gồm XAUTO và UBTC, và việc “đóng băng” chỉ áp dụng cho hành vi nạp/vay mới. Chi tiết phát hiện ban đầu được chia sẻ qua bài đăng công khai trên X, tại đây HypurrFi mô tả cách họ phát hiện bất thường qua giám sát và phản ứng bằng biện pháp dừng khẩn cấp ở các thị trường tác động.
HypurrFi cho biết họ đang phối hợp với các bên triển khai Aave và các nhà nghiên cứu bảo mật để xử lý vấn đề. Dự án cũng kêu gọi các dự án fork Aave khác chủ động liên hệ nhằm trao đổi thông tin an ninh, ám chỉ rằng kiểu lỗi này có thể không chỉ giới hạn trong phạm vi riêng của họ nếu các fork sử dụng cùng nền tảng logic.
Trong khi đó, bối cảnh thị trường khiến sự cố được chú ý hơn vì Aave là một giao thức đang giữ lượng tiền gửi người dùng lớn. Nội dung gốc dẫn liên kết DeFiLlama và nêu con số 26,5 tỷ USD tiền gửi người dùng trong giao thức tại thời điểm được đề cập.
Báo cáo bảo mật Aave V4 nói gì về mức độ an toàn?
Aave Labs cho biết quá trình đánh giá bảo mật V4 kéo dài từ tháng 3/2025 đến tháng 2/2026, và kết luận không phát hiện lỗ hổng mức “critical” hoặc “high severity” trong phạm vi rà soát.
Aave Labs đã công bố một báo cáo bảo mật toàn diện cho V4, mô tả quy trình rà soát kéo dài một năm. Báo cáo nêu tổng cộng 345 ngày rà soát, có sự tham gia của nhiều đơn vị audit như Certora, ChainSecurity, Trail of Bits và Blackthorn.
Tài liệu cũng đề cập sự tham gia của hơn 900 nhà nghiên cứu độc lập trong một cuộc thi bảo mật kéo dài 6 tuần trên Sherlock, nơi các bên gửi phát hiện để đánh giá. Theo Aave Labs, kết quả tổng hợp không ghi nhận lỗ hổng nghiêm trọng hoặc mức độ cao.
“Không có lỗ hổng mức critical hoặc high-severity nào được phát hiện.”
– Aave Labs, báo cáo “Security by Design: Aave V4”, 2026
Báo cáo mô tả khung bảo mật “security first” cho V4 gồm: formal verification, audit thủ công, kiểm thử bất biến (invariant testing), fuzzing và quét hỗ trợ bởi AI. Cách tiếp cận này nhấn mạnh việc đặt biện pháp phòng vệ ngay từ giai đoạn thiết kế thay vì chỉ kiểm tra ở giai đoạn cuối.
Tuy nhiên, người dùng vẫn thận trọng vì V3 từng trải qua các quy trình audit tương tự trước khi triển khai. Aave cũng công khai trang tài liệu về bảo mật và audit cho các hợp đồng đã triển khai. Dù vậy, sau nhiều năm vận hành, HypurrFi vẫn phát hiện một lỗi, làm dấy lên câu hỏi về rủi ro “đuôi dài” trong các hệ thống DeFi phức tạp.
Sự cố ảnh hưởng thế nào đến tranh luận V3 so với V4 trong hệ sinh thái Aave?
Phát hiện của HypurrFi có thể làm tăng sức nặng cho lập luận rằng việc nâng cấp lên V4 là cấp bách, nhưng đồng thời cũng khuếch đại tranh cãi về quản trị và lộ trình di chuyển từ V3.
Trong nội dung gốc, sự việc được đặt cạnh các căng thẳng trong hệ sinh thái Aave. BDG Labs thông báo vào ngày 20/2 sẽ rời đi vào 1/4, nêu lý do liên quan mức độ kiểm soát quản trị của Labs và các “ràng buộc nhân tạo” lên phát triển V3.
Vài tuần sau, ACI cũng cho biết sẽ không gia hạn hợp đồng với Aave và sẽ hoàn tất thời hạn còn lại trong 4 tháng. Nhà sáng lập ACI Marc Zeller dẫn đề xuất “Aave Will Win”, đề xuất này sẽ cấp khoảng 51 triệu USD tài trợ cho Labs, và cho rằng một thực thể đơn lẻ có đủ quyền biểu quyết để thông qua ngân sách bất chấp phản đối của cộng đồng.
Nội dung gốc nêu đề xuất đã vượt các bước cần thiết và nhận 52,8% ủng hộ. Zeller phản đối rằng kết quả có thể đã khác nếu không phụ thuộc khoảng 233.000 AAVE từ các địa chỉ liên quan Labs, gồm 111.000 AAVE được cho là ủy quyền bởi nhà sáng lập Stani Kulechov.
Về lộ trình kỹ thuật, xung đột tập trung vào việc chuyển từ V3 sang V4. Một số đề xuất ban đầu bị mô tả là điều chỉnh dần các tham số V3 để tạo áp lực buộc người dùng di chuyển khi V4 ra mắt. BDG phản đối mạnh, thể hiện qua chủ đề BDG rời Aave, đồng thời chỉ trích việc bị cho là cố tình hạn chế phát triển V3 trong khi quảng bá V4 bằng cách so sánh bất lợi cho V3.
Những câu hỏi thường gặp
HypurrFi đã làm gì sau khi phát hiện lỗ hổng làm tròn trong Aave V3?
HypurrFi cho biết họ đã tạm dừng nạp mới và vay mới ở các thị trường bị ảnh hưởng (XAUTO, UBTC), đồng thời vẫn cho phép người dùng rút tiền và hoàn trả khoản vay để giảm rủi ro. Dự án cũng phối hợp với các bên triển khai Aave và nhà nghiên cứu bảo mật để xử lý vấn đề.
Lỗ hổng HypurrFi nêu có liên quan phiên bản nào của Aave?
Nội dung gốc mô tả đây là lỗ hổng làm tròn trong mã lõi Aave V3 trước phiên bản 3.5. HypurrFi cho rằng vấn đề có thể ảnh hưởng các dự án khác nếu họ dùng logic tương tự từ Aave V3.
Báo cáo bảo mật Aave V4 kết luận điều gì?
Aave Labs cho biết sau quá trình rà soát từ tháng 3/2025 đến tháng 2/2026, tổng 345 ngày review, với nhiều đơn vị audit và hơn 900 nhà nghiên cứu tham gia, họ không phát hiện lỗ hổng mức nghiêm trọng (critical) hoặc mức độ cao (high severity) trong phạm vi kiểm tra được báo cáo.
Vì sao cộng đồng vẫn lo ngại dù Aave V4 có báo cáo bảo mật tích cực?
Một phần vì Aave V3 cũng từng trải qua các cuộc audit trước khi triển khai nhưng vẫn có lỗi được phát hiện sau nhiều năm vận hành. Điều này khiến người dùng thận trọng với rủi ro phát sinh theo thời gian, đặc biệt khi giao thức nắm giữ lượng tiền gửi người dùng lớn.
