Ripple CTO David Schwartz cảnh báo rằng nhiều cầu nối cross-chain trong DeFi có thể đang mang cùng điểm yếu cấu trúc đã dẫn đến vụ khai thác KelpDAO, trong bối cảnh một vụ tấn công đã làm thất thoát khoảng 292 triệu USD.
Cảnh báo này xuất hiện ngay sau khi rủi ro bảo mật của hạ tầng cross-chain bị đặt lại ở tâm điểm. Vấn đề không chỉ nằm ở thiết kế kỹ thuật, mà còn ở việc nhiều hệ thống chọn sự tiện lợi và tốc độ mở rộng thay vì áp dụng đầy đủ các cơ chế phòng thủ quan trọng.
- David Schwartz cho rằng nhiều cầu nối DeFi có thể bị tổn thương vì bỏ qua các lớp bảo mật quan trọng.
- Vụ KelpDAO làm thất thoát khoảng 292 triệu USD và làm lộ rủi ro của hạ tầng cross-chain.
- Một số hệ thống đã phản ứng bằng cách tạm dừng cầu nối hoặc siết kiểm soát để giảm nguy cơ.
Schwartz đang cảnh báo điều gì về DeFi cross-chain?
Ông cho rằng nhiều nền tảng DeFi có đủ công cụ bảo mật mạnh, nhưng lại không dùng đầy đủ vì sợ tăng độ phức tạp vận hành. Theo cách nhìn này, rủi ro không chỉ đến từ công nghệ yếu, mà còn từ quyết định triển khai ưu tiên sự thuận tiện hơn an toàn.
Schwartz nói ông đưa ra nhận định này sau khi đánh giá các hệ thống cầu nối phục vụ kế hoạch stablecoin RLUSD của Ripple. Ông cho rằng nhiều dự án quảng bá khả năng tích hợp dễ dàng, nhưng ngầm mặc định rằng các biện pháp bảo mật mạnh nhất sẽ không được áp dụng.
Vì sao vụ KelpDAO gây chú ý lớn?
Vụ khai thác KelpDAO được xem là một trong những cú sốc lớn nhất của năm 2026 vì số tiền bị lấy đi lên tới khoảng 292 triệu USD. Sự kiện này làm dấy lên lo ngại rằng các cầu nối cross-chain vẫn là điểm yếu dễ bị khai thác trong hạ tầng DeFi.
Theo các thông tin được nêu, kẻ tấn công đã lấy 116.500 rsETH, tương đương khoảng 18% nguồn cung lưu hành của token này, trong một giao dịch nhắm vào cầu nối LayerZero của Kelp. Phạm vi ảnh hưởng được mô tả là chỉ giới hạn ở cấu hình rsETH của KelpDAO, không lan sang các tài sản hay ứng dụng cross-chain khác.
Cuộc tấn công còn cho thấy cách kẻ xấu có thể phối hợp nhiều bước: nạp tiền qua Tornado Cash, khai thác điểm yếu RPC, sau đó dùng Aave V3 để vay ETH và WETH. Dữ liệu on-chain sau đó cho thấy dòng tiền tiếp tục bị rửa qua Tornado Cash.
Những rủi ro nào của cầu nối cross-chain đang bị soi lại?
Rủi ro lớn nhất là sự phụ thuộc vào bên thứ ba và các lớp xác minh trung gian. Khi an ninh được xem là tùy chọn, cầu nối có thể trở thành điểm nghẽn nơi chỉ một cấu hình yếu cũng đủ tạo ra thiệt hại rất lớn.
Một số ý kiến trong thị trường cũng đã nhắc đến rủi ro counterparty với Wrapped XRP (wXRP) trên Solana, vì tài sản này phụ thuộc vào đơn vị phát hành bên ngoài. Quan điểm được nêu là loại tài sản được phát hành không tương đương với việc tự lưu ký XRP gốc về mặt rủi ro.
Ở chiều ngược lại, không phải mọi hệ thống đều đứng yên trước rủi ro. Flare đã tạm dừng hoạt động bridging FXRP và ngưng các đợt redeem token, cho thấy một số giao thức đang chọn cách giảm tiếp xúc thay vì chạy tiếp như bình thường.
Nhà đầu tư và người dùng nên theo dõi điều gì tiếp theo?
Điểm cần theo dõi là liệu các nền tảng cross-chain có buộc phải nâng tiêu chuẩn bảo mật lên mức bắt buộc hay không. Nếu các cơ chế phòng vệ quan trọng vẫn chỉ là tùy chọn, những vụ việc tương tự có thể tiếp tục tái diễn dưới các hình thức khác nhau.
Cũng cần chú ý đến cách các hệ thống bridge phản ứng sau sự cố: tạm dừng, siết kiểm soát, hoặc thay đổi thiết kế xác minh giao dịch. Với DeFi, bài học chính là tốc độ mở rộng mà thiếu lớp bảo vệ đủ mạnh có thể tạo ra rủi ro rất lớn cho tài sản người dùng.
Tổng kết
Vụ KelpDAO và cảnh báo từ David Schwartz đều cho thấy rủi ro cross-chain vẫn là điểm yếu lớn của DeFi. Trong giai đoạn này, cách các giao thức cân bằng giữa mở rộng và an toàn sẽ là yếu tố đáng theo dõi nhất.
