Ví kiện KelpDAO mất 116.500 rsETH từ ví liên quan Tornado Cash

KelpDAO bị tấn công và mất 292 triệu USD sau khi ví kẻ tấn công được nạp qua Tornado Cash, rồi khai thác lỗ hổng trong luồng cross-chain để rút rsETH khỏi giao thức.

Vụ việc đáng chú ý vì không chỉ gây thiệt hại lớn cho KelpDAO mà còn tạo rủi ro lan sang Aave khi số rsETH bị đánh cắp được dùng làm tài sản thế chấp để vay thêm tài sản khác.

Vụ tấn công vào KelpDAO diễn ra như thế nào?

Kẻ tấn công được nạp ví qua Tornado Cash, chờ khoảng 10 giờ rồi thực hiện giao dịch khai thác qua LayerZero EndpointV2 để rút 116.500 rsETH. Đây là lượng token trị giá khoảng 292 triệu USD, tương đương khoảng 18% nguồn cung lưu hành của rsETH.

Giao dịch thành công chỉ diễn ra một lần, nhưng attacker đã cố quay lại hai lần với mục tiêu rút thêm 40.000 rsETH mỗi lần. Hai lần này đều bị hoàn tác, cho thấy cuộc tấn công có quy mô lớn hơn mức thiệt hại thực tế cuối cùng.

KelpDAO kích hoạt lệnh pauseAll của multisig khẩn cấp 46 phút sau giao dịch đầu tiên. Lệnh này đóng băng LRT Deposit Pool, Withdrawal contract, LRT Oracle và cả token rsETH, qua đó chặn các đợt khai thác tiếp theo.

Vì sao sự cố này ảnh hưởng tới Aave?

Sự cố không dừng ở tầng cầu nối vì số rsETH bị đánh cắp đã được gửi vào Aave V3 làm tài sản thế chấp để vay Ether và Wrapped Ether. Sau đó, số tiền vay được chuyển qua Tornado Cash, khiến dấu vết giao dịch khó theo dõi hơn.

Điều này biến một vụ tấn công bridge thành rủi ro nợ xấu cho Aave, với mức phơi nhiễm được nhắc tới có thể lên tới 177 triệu USD. Aave đã đóng băng toàn bộ thị trường rsETH trên cả V3 và V4, đồng thời xác nhận lỗi nằm ở rsETH chứ không phải hợp đồng của Aave.

Thông báo công khai từ KelpDAO xuất hiện sau khi giao dịch đã hoàn tất, khi giao thức nói rằng họ phát hiện hoạt động cross-chain đáng ngờ và đang làm việc với LayerZero, Unichain, kiểm toán viên cùng nhóm bảo mật để điều tra nguyên nhân gốc rễ.

Tác động thị trường và những điểm cần theo dõi

Ngay sau sự kiện, AAVE giảm 10,65% trong ngày xuống 103,86 USD, còn ETH giảm khoảng 3% xuống 2.358,24 USD. Diễn biến này cho thấy thị trường phản ứng trước rủi ro lan truyền từ một vụ hack giao thức sang các nền tảng cho vay và thanh khoản liên quan.

Điều cần theo dõi tiếp theo là cách Aave xử lý phần rủi ro bad debt, các cập nhật điều tra từ KelpDAO và việc khôi phục an toàn các thị trường rsETH. Đây cũng là một trong những vụ hack lớn nhất năm 2026 tính đến hiện tại, chỉ sau sự cố gần đây trên Drift Protocol.

Tổng kết

Vụ tấn công KelpDAO cho thấy rủi ro từ bridge, cross-chain messaging và việc dùng tài sản bị khai thác làm thế chấp có thể lan rộng rất nhanh trong DeFi. Tác động hiện không chỉ nằm ở số tiền bị rút mà còn ở áp lực lên các giao thức liên quan như Aave.