Vụ khai thác $292M của Kelp châm ngòi cuộc tranh luận rủi ro DeFi kiểu năm 2008

Vụ khai thác trị giá 292 triệu USD của Kelp DAO đã đặt ra những câu hỏi mới về rủi ro trên các thị trường liquid restaking và cho vay DeFi. 

Vụ tấn công được cho là đã ảnh hưởng đến cầu nối cross-chain rsETH của giao thức và liên quan đến 116.500 rsETH, tương đương khoảng 18% lượng cung lưu hành.

Sự cố không chỉ giới hạn ở Kelp DAO. Aave ghi nhận lượng rút hàng loạt lớn, trong khi SparkLend và Fluid tạm dừng các thị trường rsETH. Lido cũng tạm dừng earnETH vốn có mức độ tiếp xúc với rsETH, dù sản phẩm cốt lõi stETH của họ không bị ảnh hưởng.

Một bài đăng từ tài khoản chuyên về DeFi, có tên @whatexchange trên X, đã so sánh sự kiện này với cuộc khủng hoảng tài chính năm 2008. Tài khoản này viết: "Xếp chồng các lớp tài sản không loại bỏ rủi ro. Nó chỉ nén và che giấu rủi ro đi."

Các sản phẩm yield phân lớp đối mặt với sự giám sát chặt chẽ

Bài đăng lập luận rằng rsETH đã đi qua nhiều lớp trước khi xảy ra vụ khai thác. Người dùng đầu tiên staking ETH thông qua Lido và nhận được stETH. Sau đó, stETH đó có thể chuyển vào Kelp DAO và EigenLayer, nơi rsETH được đúc ra.

Token rsETH sau đó được sử dụng làm tài sản thế chấp trên các nền tảng cho vay như Aave, SparkLend và Fluid. Nó cũng được bridged thông qua LayerZero sang các chuỗi khác, tạo ra các phiên bản wrapped phụ thuộc vào cùng một tài sản cơ sở.

Phân tích so sánh cấu trúc này với các sản phẩm thế chấp trước cuộc khủng hoảng năm 2008. Cả hai hệ thống đều đóng gói lại một tài sản cơ sở qua nhiều lớp tài chính, trong khi mỗi lớp dựa vào lớp trước đó hoạt động đúng như kỳ vọng.

Phản ứng thị trường cho thấy mức độ tiếp xúc ẩn

Sau vụ khai thác Kelp DAO, nhiều nền tảng DeFi đã có động thái giảm thiểu rủi ro. Aave đã đóng băng các thị trường rsETH trong vài giờ, trong khi SparkLend và Fluid tạm dừng các thị trường tương tự. Ethena cũng tạm dừng các cầu nối LayerZero OFT như một biện pháp phòng ngừa, dù không có mức độ tiếp xúc trực tiếp với rsETH.

Theo bài đăng, hơn 6,2 tỷ USD đã rút khỏi Aave trong vòng chưa đầy 36 giờ. Tài khoản này cho rằng vấn đề chính không chỉ là quy mô vụ khai thác mà còn là sự khó khăn trong việc xác định mức độ tiếp xúc gián tiếp giữa các giao thức.

Bài đăng nêu rõ: "Không có bên tham gia nào, kể cả bản thân các giao thức, có thể lập bản đồ đầy đủ mạng lưới tiếp xúc của mình." Bài đăng bổ sung rằng khi người dùng không thể xác minh mức độ tiếp xúc theo thời gian thực, họ thường phản ứng bằng cách rút hàng loạt.

Cuộc tranh luận về rủi ro DeFi chuyển hướng sang thiết kế hệ thống

Bài đăng cũng tập trung vào bảo mật cầu nối. Bài đăng cho rằng Kelp đã sử dụng thiết lập xác minh 1-of-1, nghĩa là một node duy nhất xác minh các thông điệp cross-chain trước khi tiền được di chuyển. Bài đăng lập luận rằng thiết kế này tạo ra một điểm lỗi duy nhất bên trong một sản phẩm được quảng bá là phi tập trung.

Phân tích cũng đặt câu hỏi về yield stacking. Bài đăng cho rằng mỗi lớp bổ sung thêm rủi ro mới, bao gồm validator slashing, rủi ro restaking, lỗi cầu nối, lỗi hợp đồng và thanh lý cho vay.

Bài đăng cho rằng người dùng không nên đánh giá các sản phẩm DeFi chỉ dựa trên APY. Bài đăng lập luận rằng lợi nhuận cao hơn thường phản ánh rủi ro ẩn trên nhiều hệ thống kết nối, chứ không phải thu nhập thụ động đơn giản.

Vụ khai thác Kelp DAO hiện đã trở thành một phần của cuộc tranh luận rộng hơn về bảo mật, đòn bẩy và tính minh bạch trong DeFi. Sự cố cho thấy một lỗi duy nhất có thể ảnh hưởng đến người dùng trên nhiều nền tảng, kể cả những người dùng không tương tác trực tiếp với Kelp DAO.