'DeFi đã chết': Cộng đồng tiền mã hoá phản ứng như thế nào sau vụ tấn công khổng lồ trị giá 292 triệu USD

Vụ tấn công 292 triệu đô la vào Kelp DAO đã gây ra một làn sóng phản ứng trên toàn ngành crypto, với các nhà phát triển và trader cảnh báo rằng sự cố này đã phơi bày những lỗ hổng sâu xa hơn trong cách xây dựng tài chính phi tập trung (DeFi).

Dữ liệu được chia sẻ bởi những người tham gia thị trường cho thấy hậu quả lan rộng ra xa hơn nhiều so với giao thức bị tấn công.

"Vụ tấn công rsETH đang dẫn đến việc rút tiền trên tất cả các giao thức cho vay, ngay cả trên solana và các giao thức không bị ảnh hưởng," 0xngmi cho biết trong một bài đăng vào Chủ nhật, chỉ ra các dòng chuyển ra mạnh bao gồm "Aave: -6.200 triệu (-23%) dòng vốn ròng" và các mức giảm nhỏ hơn nhưng đáng chú ý trên Morpho, Sky và JupLend. rsETH là ether được restaking của giao thức restaking thanh khoản Kelp DAO và là Liquid Restaking Token (LRT) cho phép người dùng kiếm phần thưởng staking và restaking ether trong khi vẫn giữ tài sản của họ có tính thanh khoản, ngay cả khi chúng bị khóa trong staking.

Áp lực đó nhanh chóng biến thành điều gì đó nghiêm trọng hơn. Một bài đăng được lan truyền rộng rãi bởi Josu San Martin mô tả tình trạng căng thẳng thanh khoản dây chuyền bên trong thị trường cho vay: "Người gửi ETH không thể rút ETH nên họ đang vay stablecoin để 'rút' tiền... Đây là một cuộc rút hàng loạt toàn diện trên AAVE."

Trong khi Stani Kulechov, người sáng lập Aave, cho biết vụ tấn công là từ bên ngoài và các hợp đồng của giao thức không bị xâm phạm, những người gửi tiền đã hoảng sợ. Tổng giá trị khóa (hoặc tiền gửi) đã giảm từ 26,4 tỷ đô la vào ngày 18 tháng 4 xuống gần 20 tỷ đô la vào sáng Chủ nhật theo giờ Mỹ, theo DefiLlama. Token AAVE cũng giảm hơn 18% khi người gửi tiền tranh nhau rút tiền trong suốt cuối tuần.

Một 'nghiên cứu điển hình'

Bản thân vụ tấn công đã trở thành tâm điểm cho các kỹ sư và nhà phát triển.

Một số nhà phát triển đã phản bác những giả định ban đầu rằng vấn đề bắt nguồn từ cơ sở hạ tầng cốt lõi. "Vụ tấn công KelpDAO (~290 triệu đô la) KHÔNG PHẢI là lỗi giao thức LayerZero. Đó là vấn đề cấu hình và là một nghiên cứu điển hình mà mọi dự án có token cross-chain cần xem xét ngày hôm nay," một phân tích kỹ thuật của cryptogoblin viết.

Chuỗi bài viết chi tiết cách một điểm xác minh duy nhất đã tạo điều kiện cho cuộc tấn công. "Một chữ ký và 116.500 rsETH xuất hiện từ hư không trên Ethereum," bài đăng cho biết, mô tả một hệ thống trong đó "các hợp đồng [thông minh] không bị phá vỡ. Lớp xác minh mới bị," bài đăng khẳng định.

Những người khác lập luận vấn đề sâu xa hơn một lựa chọn thiết lập đơn lẻ.

Một lời phê bình, người có tên Fishy Catfish trên X, đã định khung nó như một lỗi thiết kế, cho rằng: "không có nền tảng bảo mật... Một cấu hình có thể là DVN 1/1 và DVN bạn chọn có thể là một node duy nhất được vận hành bởi một thực thể duy nhất." DVN (Decentralized Verifier Network) trong DeFi, đặc biệt trong LayerZero V2, là một thực thể độc lập chịu trách nhiệm xác thực và chứng thực tính xác thực của các thông điệp được gửi qua các mạng blockchain khác nhau. Về cơ bản, DVN xác minh message hash giữa một chuỗi nguồn và một chuỗi đích.

Để làm rõ điểm này hơn, tác giả đã đưa ra một so sánh thực tế: "hãy tưởng tượng nếu một nhà sản xuất tàu lượn siêu tốc cho phép các công viên giải trí tự quyết định các thông số an toàn tối thiểu là gì." Về cơ bản, tác giả chỉ đơn giản nói rằng tính linh hoạt mà không có rào cản có thể tạo ra những rủi ro ẩn giấu.

Bài đăng đã đi xa đến mức khẳng định rằng thiết lập là vấn đề trong thiết kế. "Cá nhân tôi nghĩ đây là một thiết kế có lỗi. Bảo mật theo module là một không gian thiết kế đáng giá, tuy nhiên, phạm vi bảo mật nên có một nền tảng bảo mật gốc khá mạnh, và sau đó cho phép các lớp bảo mật *bổ sung* trên đó cho các trường hợp sử dụng có giá trị cao hơn."

'DeFi đã chết'

Không chỉ là số lượng và độ phức tạp của vụ tấn công đã thu hút những lời chỉ trích gay gắt và hoảng loạn. Quy mô của vụ tấn công đã làm tăng mối lo ngại.

Khoảng 116.500 rsETH, chiếm khoảng 18% nguồn cung, đã bị ảnh hưởng. Kẻ tấn công đã lừa lớp nhắn tin cross-chain của LayerZero tin rằng một chỉ thị hợp lệ đã đến từ một mạng khác, điều này đã kích hoạt cầu nối của Kelp phát hành 116.500 rsETH đến một địa chỉ do kẻ tấn công kiểm soát.

Các giao thức đã phản ứng bằng cách đóng băng thị trường và tạm dừng các tính năng. Aave đã dừng hoạt động rsETH. Lido đã tạm dừng các khoản nạp liên quan đến tài sản. Các dự án khác cũng thực hiện các bước tương tự để hạn chế mức độ ảnh hưởng khi tình hình diễn ra.

Ngoài cuộc tranh luận kỹ thuật, tâm lý trên thị trường crypto đã chuyển sang tiêu cực mạnh mẽ. Một bài đăng có lẽ đã nắm bắt được sự thay đổi tâm trạng theo cách thẳng thắn: "DeFi đã chết... 'chỉ cần dùng aave' đã chết," đồng thời thêm rằng "Thời đại crypto đã kết thúc" và hỏi, "Nếu bạn đang đọc điều này – tại sao bạn vẫn còn trong crypto?"

Mặc dù phản ứng có vẻ như là phản ứng thái quá, loại phản ứng 'bản năng' đó không phải là bất thường sau các vụ tấn công lớn, nhưng độ rộng của sự kiện này nổi bật.

Cuộc tấn công đã ảnh hưởng đồng thời đến cơ sở hạ tầng cross-chain, các mô hình restaking và thị trường cho vay. Nó cũng tiếp nối một chuỗi các sự cố gần đây. Vụ tấn công xảy ra trong một giai đoạn bất thường thù địch đối với DeFi, đặc biệt là tháng này. Giao thức perpetual dựa trên Solana, Drift, đã bị rút cạn khoảng 285 triệu đô la vào ngày 1 tháng 4 trong một cuộc tấn công sau đó được liên kết với các tác nhân liên quan đến Triều Tiên, và ít nhất một chục giao thức nhỏ hơn đã bị tấn công trong những tuần qua, bao gồm CoW Swap, Zerion, Rhea Finance và Silo Finance.

'Kiểm tra cấu hình của bạn'

Mặc dù có tất cả các giải thích, vẫn còn nhiều câu hỏi hơn câu trả lời.

Ngay cả LayerZero vẫn đang cố gắng tìm ra chi tiết đầy đủ về vụ tấn công. "Chúng tôi hoàn toàn nhận thức được vụ tấn công rsETH và đã chủ động khắc phục với nhóm @KelpDAO kể từ sự cố và tiếp tục theo dõi. Tất cả các ứng dụng khác vẫn an toàn," nó cho biết trong một bài đăng trên X. "Chúng tôi vẫn đang xác định nguyên nhân gốc rễ cùng với @_SEAL_Org và những người khác. Chúng tôi sẽ công bố một báo cáo hậu sự hoàn chỉnh với @KelpDAO ngay khi chúng tôi có đầy đủ thông tin."

KelpDAO đã lặp lại tâm lý này. "Sớm hôm nay, chúng tôi đã xác định hoạt động cross-chain đáng ngờ liên quan đến rsETH. Chúng tôi đã tạm dừng các hợp đồng rsETH trên mainnet và một số L2 trong khi chúng tôi điều tra. Chúng tôi đang làm việc với @LayerZero_Core, @unichain, các kiểm toán viên của chúng tôi và các chuyên gia bảo mật hàng đầu về RCA. Chúng tôi sẽ cập nhật cho bạn khi chúng tôi biết thêm về tình huống này."

Tuy nhiên, một số nhà phát triển thấy một bài học rõ ràng hơn trong hỗn loạn.

Vụ tấn công không dựa vào việc phá vỡ mã hóa hoặc bỏ qua hợp đồng thông minh. Thay vào đó, nó đã phơi bày hệ thống có thể trở nên mong manh như thế nào khi chúng phụ thuộc vào các giả định nhiều lớp.

Nói một cách đơn giản, các công cụ đã hoạt động như thiết kế. Cách chúng được cấu hình thì không.

Sự phân biệt đó có thể định hình những gì sẽ xảy ra tiếp theo. Các nhà xây dựng hiện đang kêu gọi các dự án xem xét lại thiết lập của họ, đặc biệt là những dự án dựa vào nhắn tin cross-chain.

Như cryptogoblin đã nói thẳng thắn: "Kiểm tra cấu hình của bạn. Hãy an toàn ngoài kia."

Đọc thêm: Lợi nhuận DeFi đang sụp đổ mạnh đến mức chúng không thể cạnh tranh với tài khoản tiết kiệm truyền thống