Sau vụ lợi dụng 16,5 tỷ USD, DeFi hiện đang bị ép buộc phải tuân theo các biện pháp kiểm soát mà trước đây nó từng chống lại.

Cuộc khủng hoảng rsETH đã dẫn đến khoản nợ xấu 200 triệu USD trên sổ sách của Aave, dù không có dòng hợp đồng nào trong số đó hoạt động sai lệch.

Vào ngày 18 tháng 4, những kẻ tấn công mà Chainalysis sơ bộ liên kết với Lazarus đã xâm nhập vào cơ sở hạ tầng RPC, buộc chuyển đổi sang các nút bị nhiễm độc thông qua DDoS và chèn dữ liệu giả vào cấu hình DVN 1-of-1 trên cầu rsETH của KelpDAO.

Tin nhắn giả mạo đã phát hành khoảng 116.500 rsETH, và báo cáo sự cố của Aave đã xác nhận rằng Ethereum đã chấp nhận nonce 308 trong khi điểm cuối nguồn Unichain chưa bao giờ vượt qua số 307.

Kẻ tấn công đã cung cấp rsETH bị xâm nhập cho Aave và vay tiền thế chấp, dẫn đến nợ xấu và trở thành khung cảnh cho tình trạng bảo mật hiện tại của DeFi.

Những kẻ khai thác đã thu về hơn $635 triệu trong 28 vụ việc vào tháng 4, mức tồi tệ nhất trong hơn một năm qua. DefiLlama ước tính tổng chi phí lịch sử do các cuộc tấn công là 16,5 tỷ USD, trong đó 7,7 tỷ USD nhắm vào riêng DeFi.

Các vụ khai thác đình đám trên Drift và cầu KelpDAO đã khiến DeFi mất gần 11 tỷ USD giá trị khóa trong tháng trước.

Sự co lại đó xảy ra khi các tuyến stablecoin, kho bạc token hóa và các lớp thanh toán được quy định đạt đượcsức hút từ các tổ chức trên cùng thị trường vốn.

Những kẻ khai thác DeFi đã thu về 635 triệu USD trong 28 vụ việc vào tháng 4, mức thua lỗ hàng tháng tồi tệ nhất của ngành trong hơn một năm qua, trong khi tổng thiệt hại lịch sử do các cuộc tấn công lên tới 16,5 tỷ USD.

DeFi đã rơi vào tình trạng này như thế nào?

Mitchell Amador, CEO của Immunefi, nói với CryptoSlate rằng DeFi từ trước đến nay luôn ưu tiên tăng trưởng, tích hợp, thanh khoản và tốc độ hơn là sự trưởng thành về bảo mật.

Một giao thức bổ sung một tài sản mới, cầu nối, oracle, bộ điều hợp hoặc phụ thuộc bên ngoài sẽ ngay lập tức có ích. Rủi ro đi kèm với việc tích hợp không tạo ra tín hiệu giá cả rõ ràng cho đến khi xảy ra cuộc tấn công, bởi vì sự vắng mặt của sự cố là vô hình khi nó vẫn tồn tại.

Sự bất cân xứng đó đã khiến các chu kỳ kiểm toán và các biện pháp cô lập chỉ đứng sau tốc độ phát hành trong nhiều năm, cho đến khi tháng 4 tập trung toàn bộ hậu quả vào một tháng duy nhất.

Amador cho biết các thực hành ít được chú ý nhất là vệ sinh và quản lý multisig, tăng cường chuỗi cung ứng, giám sát theo thời gian thực và các quy trình ứng phó khẩn cấp.

Quá nhiều nhóm coi multisig như một giải pháp bảo mật tự thân, trong khi sức mạnh thực sự của nó phụ thuộc vào số lượng người ký, sự độc lập của những người ký đó, thiết lập vận hành của họ và các quy trình xem xét giao dịch.

Multisig ngưỡng thấp, bảo mật người ký yếu hoặc cầu nối hoặc oracle được giám sát kém có thể trở thành mối đe dọa hệ thống vì các giao thức DeFi mặc định có thể ghép nối được. Trong bối cảnh này, rủi ro lan truyền qua các tích hợp cũng hiệu quả như thanh khoản.

Trong khi văn hóa đó đang hình thành trong DeFi, một mô hình khác đang được xây dựng song song.

Solstice Finance, CEO Ben Nadareski đánh giá:

“Khoảng cách về sản lượng trên mỗi người cho bạn thấy điều gì xảy ra khi bạn loại bỏ mọi thứ không phải là chức năng tài chính cốt lõi. Những nhóm thắng cuộc trong vòng này sẽ là những nhóm được xây dựng dựa trên tuân thủ và bảo mật ngay từ đầu, sẵn sàng phát hành nhanh hơn cả ngân hàng có thể họp bàn về điều đó.”

DeFi đã xây dựng các tuyến ghép nối trong hơn nửa thập kỷ trước khi Phố Wall công nhận chúng là lớp hạ tầng thực sự của hệ thống tài chính tiếp theo.

Chi phí của vị trí thị trường sớm đó là một văn hóa bảo mật được điều chỉnh để ưu tiên tốc độ hơn là kỷ luật vận hành.

Kasper Pawlowski, CTO của Euler Finance, chỉ ra chiều hướng quản trị của cùng thất bại này trong bài phân tích sau sự cố.

Anh ấy nói:

“DeFi coi đánh giá rủi ro như một quyết định đăng ký duy nhất, trong khi thực tế rủi ro là động.

Cấu hình DVN 1-of-1 đã cho phép cuộc tấn công KelpDAO tồn tại trong sản xuất suốt nhiều năm. Kelp cho biết đó là LayerZero mặc định được triển khai và xem xét qua nhiều cuộc họp tích hợp, trong khi LayerZero nói rằng Kelp đã hạ cấp xuống cấu hình này.

Dù tài khoản nào đúng thì cấu hình này vẫn tồn tại mà không bị đánh dấu qua mọi tích hợp với mọi giao thức phía dưới. LayerZero đã cấm cấu hình này trên toàn bộ giao thức, thừa nhận rằng việc cho phép DVN của mình làm đơn vị xác minh duy nhất cho các giao dịch giá trị cao là một sai lầm.

Điểm quan trọng hơn là một thông số bảo mật cầu quan trọng đã được bình thường hóa trên toàn bộ chuỗi phụ thuộc cho đến khi một cuộc tấn công 292 triệu USD phơi bày nó.

Pawlowski lập luận:

“Cơ chế vận hành mà DeFi đã xây dựng—quản trị DAO, nhà cung cấp dịch vụ rủi ro bên ngoài và các chu kỳ rà soát hàng tháng—không di chuyển với tốc độ mà bề mặt rủi ro cơ bản di chuyển. Trong nhiều trường hợp, những người thực hiện rà soát không độc lập về mặt cấu trúc với các tài sản họ đang rà soát.”

Xung đột cấu trúc đó đã tạo nên thất bại quản trị cụ thể mà Pawlowski phân tích. Đề xuất phục hồi kho bạc 25.000 ETH của Aave được soạn bởi TokenLogic, một nhà cung cấp dịch vụ Aave trả tiền, công khai liệt kê Kelp là khách hàng và điều hành nền tảng đại diện Aave.

Để tham khảo, TokenLogic chính là công ty bỏ phiếu cho các đề xuất của chính họ. Cùng ngày Aave mở rộng rsETH lên tỷ lệ vay trên giá trị 93% trong eMode, SparkLend đã hủy bỏ hoàn toàn tài sản này, kết hợp động thái đó với việc dọn dẹp thường xuyên các vị trí ít sử dụng.

Ba tháng sau, việc dọn dẹp thường xuyên đó là sự phân tách duy nhất giữa những người gửi tiền của Spark và khoản nợ xấu mà Aave đang gánh.

Một giao thức có khả năng đánh giá rủi ro độc lập đã vượt trội hơn hẳn bộ máy tư vấn rủi ro đầy đủ của giao thức khác. Cơ chế rà soát của DeFi đã tạo ra kết quả tệ hơn cả một nhà quản lý tài sản duy nhất thực hiện vệ sinh danh mục đầu tư.

“Ở đây” nghĩa là gì

Trước cuộc tấn công, Aave là giao thức DeFi lớn nhất tính theo tổng giá trị khóa, với hơn 26 tỷ USD tiền gửi.

Pawlowski lưu ý:

“Aave từng là chuẩn mực vàng. Nếu Aave có thể gánh hơn 200 triệu USD nợ xấu từ cuộc tấn công cầu trên một giao thức khác, thị trường phải điều chỉnh lại ý nghĩa thực sự của “an toàn” trong cho vay DeFi.”

Mô hình cho vay tập thể chỉ mạnh bằng tài sản thế chấp yếu nhất được chấp nhận, và khi tài sản thế chấp đó sụp đổ, toàn bộ pool chung sẽ hứng chịu thiệt hại. Mức độ ảnh hưởng lan đến mọi người gửi tiền trên thị trường rộng lớn, vượt xa cả kho chứa giữ vị trí đó.

Pawlowski chỉ ra rằng thực tế cấu trúc đã bị “làm dịu” bởi nhiều năm tiếp thị “đã thử nghiệm trong chiến đấu” và “blue-chip”.

Amador mở rộng bản đồ rủi ro vượt ra ngoài cơ chế của KelpDAO. Bề mặt tấn công trong DeFi giờ đây bao gồm quản trị, người ký, vai trò đặc quyền, tích hợp, cầu nối, oracle, thỏa thuận lưu ký và mọi hệ thống bên ngoài mà giao thức phụ thuộc vào.

Giả định vận hành nguy hiểm nhất mà một nhóm có thể giữ là hợp đồng thông minh đã kiểm toán đồng nghĩa với giao thức an toàn. Nghiên cứu của chính Immunefi cho thấy thiệt hại của DeFi đã giảm tới 80% trong vài năm qua, vì ngành đã cứng hóa mã và những kẻ tấn công đã thích nghi.

Amador nói thêm rằng giờ đây họ nghiên cứu toàn bộ chuỗi rủi ro để tìm điểm yếu nhất, và những điểm đó giờ nằm ngoài chuỗi, gần với quản trị hoặc chìm sâu trong các stack phụ thuộc mà không một cuộc kiểm toán nào bao quát hết.

Đối với các tổ chức, tháng 4 đã buộc phải đặt lại một cách cụ thể. Amador mô tả danh sách kiểm tra hiện nay: cách quản lý các khóa quản trị, ai có thể tạm dừng thị trường, phụ thuộc nào tồn tại, quy trình ứng phó sự cố ra sao và khả năng ngăn chặn mối đe dọa nhanh đến đâu.

Pawlowski nhấn mạnh cùng quan điểm từ phía vốn, nói rằng các tổ chức sẽ tiếp tục tham gia vào tín dụng on-chain vì nhu cầu về thị trường token hóa, thanh toán minh bạch và cơ sở hạ tầng tài chính có thể lập trình là có thật.

Tuy nhiên, các nhà đầu tư tổ chức sẽ hướng tới các thị trường cô lập, kho lưu ký được cấp phép hoặc được chọn lọc, đăng ký tài sản chặt chẽ hơn, bảo hiểm tốt hơn, giám sát liên tục và các biện pháp khẩn cấp được chính thức hóa.

Những kẻ khai thác DeFi đã thu về 635 triệu USD trong 28 vụ việc vào tháng 4, mức thua lỗ hàng tháng tồi tệ nhất của ngành trong hơn một năm qua, trong khi tổng thiệt hại lịch sử do các cuộc tấn công lên tới 16,5 tỷ USD.

Aave Horizon, một thị trường được cấp phép dành cho chứng khoán token hóa và RWAs ra mắt vào tháng 8 năm 2025, đã tăng trưởng lên hơn 440 triệu USD tiền gửi.

Morpho's hệ sinh thái kho lưu ký đã bổ sung ARCHITECT, nhà quản lý đầu tư đầu tiên được FINMA cấp phép để quản lý kho lưu ký ở quy mô lớn, và Flowdesk ra mắt kho AUSD dành cho tổ chức vào tháng 3 năm 2026, dùng cổ phiếu token hóa làm tài sản thế chấp.

Nghiên cứu năm 2026 của EY-Parthenon và Coinbase cho thấy 73% người được hỏi là tổ chức dự kiến tăng phân bổ tài sản kỹ thuật số trong năm nay, nhưng 81% thích các phương tiện đã đăng ký. Vốn đang chuyển vào on-chain thông qua các cấu trúc được chọn lọc, quản trị và tuân thủ.

Phương án được quy định đang tăng tốc ở phía đối diện của cùng sở thích đó.

Đạo luật GENIUS đã tạo ra khuôn khổ liên bang đầu tiên cho stablecoin Mỹ, với yêu cầu dự trữ 100%, không tái thế chấp và các tiêu chuẩn lưu ký mà Nadareski nói “như thể một bộ phận tuân thủ có thể phê duyệt.”

Một khảo sát của Goldman Sachs cho thấy 35% nhà đầu tư tổ chức coi sự không chắc chắn về quy định là rào cản lớn nhất, và 71% nói họ sẽ tăng cường đầu tư khi có rõ ràng.

Nadareski nói, “Sàn đã sẵn sàng, vốn đang chờ đợi.” Đạo luật CLARITY, sẽ xác định các tiêu chuẩn về thẩm quyền và lưu ký cho tài sản kỹ thuật số, bao gồm chứng khoán token hóa, đang chờ xem xét bởi Ủy ban Ngân hàng Thượng viện tính đến ngày 14 tháng 5.

Khi đạo luật này được thông qua, Nadareski cho rằng “mục cuối cùng trong hầu hết danh sách kiểm tra của tổ chức sẽ được đánh dấu. Sự chờ đợi kết thúc.” DeFi đang cạnh tranh giành vốn tổ chức với một khuôn khổ quy định gần như hoàn chỉnh.

DeFi hồi sinh như thế nào

Pawlowski liệt kê đầy đủ các công cụ phục hồi DeFi: quản trị kết hợp với cô lập thị trường phù hợp, giám sát rủi ro tự động và hỗ trợ AI, khóa thời gian chọn lọc cho các thông số cần thiết, bộ ngắt mạch, KYC khi quy định yêu cầu, sắp xếp theo ứng dụng cụ thể và bộ xây dựng khối hiểu biết chính sách.

Anh ấy bổ sung:

“Điều còn thiếu là sự sẵn lòng sử dụng chúng, bởi vì mỗi công cụ [trong số đó] đều đòi hỏi đánh đổi với phiên bản tối đa hóa phi tập trung mà ngành đã quảng bá cho mình.”

Từ bỏ vị trí marketing đó là điểm khởi đầu, nhưng không dễ dàng.

Pawlowski lưu ý rằng “ngành công nghiệp tiền điện tử đã dành nhiều năm giả vờ rằng có thể có tất cả,” chẳng hạn như phi tập trung hoàn toàn, chống kiểm duyệt, an toàn cấp tổ chức và khả năng tiếp cận bán lẻ, mà không cần đánh đổi.

Chính “giấc mơ đó đã tạo ra điều kiện cho những cuộc tấn công này.” Một cơ sở tín dụng tổ chức được quy định trên blockchain là một sản phẩm khác biệt so với thị trường cho vay bán lẻ không cần phép, và việc quản trị cả hai dưới cùng một chủ trương đã tạo điều kiện cho các niêm yết rsETH quyết liệt vượt qua quản trị trong khi các thông số bảo mật cầu hệ thống vẫn không bị đánh dấu trong nhiều năm.

Pawlowski tin rằng giải pháp cấu trúc đòi hỏi phải chấm dứt “các xung đột khiến các niêm yết quyết liệt được thông qua nhờ các cuộc bỏ phiếu quản trị ít người tham gia bởi các nhà cung cấp dịch vụ có quan hệ thương mại ở cả hai phía của giao dịch.”

Ví dụ về việc cắt tỉa độc lập của SparkLend, so với việc mở rộng eMode của Aave cùng ngày, là minh chứng cho thấy các triết lý rủi ro khác nhau mang lại kết quả khác nhau.

DeFi cần thể chế hóa sự khác biệt đó, xây dựng các cấu trúc quản trị xoay quanh nó và làm rõ các đánh đổi cho mọi người dùng và tổ chức đánh giá giao thức.

Chỉ định vận hành của Amador nhắm vào cùng vấn đề từ tầng thực thi.

DeFi phải chuyên nghiệp hóa bảo mật theo cách nó đã chuyên nghiệp hóa khuyến khích thanh khoản thông qua kiểm toán liên tục, chương trình bug bounty trực tiếp, xác minh chính thức khi thích hợp, hội đồng bảo mật độc lập, ngưỡng multisig mạnh hơn, quản lý khóa dựa trên phần cứng, giám sát theo thời gian thực, sách hướng dẫn ứng phó sự cố công khai và rà soát rủi ro bắt buộc cho mọi tích hợp lớn.

Bộ ngắt mạch và cơ chế cô lập nên được xây dựng để các tổn thất từ tài sản, bộ điều hợp hoặc phụ thuộc bị xâm nhập chỉ giới hạn trong thị trường bị ảnh hưởng.

Tiêu chuẩn đánh giá giao thức nên mở rộng để bao gồm cả tình trạng bảo mật bên cạnh lợi suất và tổng giá trị khóa: ai đã kiểm toán, kích thước bounty đang hoạt động, cách quản lý khóa quản trị, phụ thuộc nào tồn tại, quy trình khẩn cấp bao gồm những gì và khả năng ngăn chặn mối đe dọa nhanh đến đâu.

Người dùng và tổ chức nên có thể so sánh các giao thức theo các tiêu chí đó giống như so sánh APR.

Một cuộc cải cách đã bắt đầu, khi KelpDAO đã bắt đầu chuyển rsETH sang Chainlink CCIP, LayerZero đã cấm cấu hình xác minh 1-of-1 trên toàn bộ giao thức, và Đề xuất 477 của Aave đã cho phép thanh lý các vị trí của kẻ tấn công, với tài sản thu hồi được chuyển vào multisig Recovery Guardian.

Giai đoạn II của đề xuất đó bao gồm đốt rsETH dư thừa trên Arbitrum, khôi phục bảo đảm cầu, mở lại rút tiền và bồi thường cho người dùng bị ảnh hưởng.

Arbitrum's Hội đồng Bảo mật đã riêng biệt phong tỏa 30.766 ETH liên quan đến quỹ phía dưới của kẻ tấn công.
Việc phục hồi đó đòi hỏi các hội đồng khẩn cấp, bỏ phiếu DAO, multisig và thủ tục tòa án, tạo nên một bộ xử lý khủng hoảng lấy từ kịch bản tài chính tổ chức, được triển khai trong một hệ thống tự mô tả là không cần phép.

DeFi tìm đến những công cụ đó khi tổn thất đủ lớn, và các giao thức có thể tích hợp chúng từ trước hoặc tái cấu trúc trong lúc khủng hoảng diễn ra.

Trường hợp của DeFi về khả năng ghép nối

Nadareski xác định phần thưởng cụ thể đang đặt cược cho các tổ chức lựa chọn giữa DeFi và các giải pháp được quy định.

Các nhân viên tuân thủ muốn bộ ngắt mạch, khóa thời gian và các tiêu chuẩn lưu ký phù hợp với kịch bản hiện tại của họ, và Phố Wall đã xây dựng bao bì đó trong nhiều năm.

Nadareski nói:

“Những ngân hàng hành động nhanh nhất sẽ là những ngân hàng ngừng cố gắng xây dựng mọi thứ nội bộ. Khởi động thanh toán on-chain với các đội ngũ cũ sẽ khiến bạn phải đợi đến năm 2028 nếu mọi thứ suôn sẻ. Chiến lược được triển khai trong năm nay là kết hợp phân phối và quan hệ khách hàng đã có với các đội ngũ đã xây dựng sẵn các tuyến đường.”

Khả năng ghép nối là lập luận mạnh nhất của DeFi để giữ các tuyến đường đã xây dựng. Một giao thức duy nhất thực hiện giao dịch, quản lý tài sản thế chấp, định tuyến thanh khoản và tự động thanh toán giao dịch trong vài giây đại diện cho một năng lực mà tài chính truyền thống chỉ có thể tái tạo bằng cách xây dựng lại từ đầu.

Khả năng ghép nối chỉ hoạt động như một lập luận tổ chức nếu các thất bại chỉ xảy ra cục bộ. Một khi bộ xác minh cầu, bỏ phiếu quản trị hay oracle bị xâm nhập có thể lan truyền tổn thất qua các pool thanh khoản chung ở quy mô lớn, khả năng ghép nối sẽ hoạt động như cơ sở lây nhiễm.

Amador lưu ý:

“Tin tưởng vào mã thôi chưa đủ khi các giao thức phụ thuộc vào cầu nối, multisig, quy trình quản trị hoặc tài sản bên ngoài. Tiêu chuẩn mới phải là: giả định mọi lớp đều có thể thất bại, và thiết kế hệ thống sao cho một thất bại không lan tỏa khắp thị trường.”

Pawlowski định hình những thay đổi cần thiết như “trưởng thành,” mô tả một ngành phải chấp nhận và công bố các đánh đổi rõ ràng, xây dựng các cấu trúc quản trị thực sự độc lập và biến bảo mật thành một tính năng sản phẩm mà người dùng và tổ chức có thể đánh giá và so sánh.

DeFi đã xây dựng cơ sở hạ tầng ghép nối mà các thị trường token hóa hiện đang áp dụng. Các tuyến stablecoin, nguyên mẫu cho vay và cơ chế thanh khoản xuất phát từ DeFi không cần phép đang được đóng gói thành các sản phẩm mà Phố Wall đang tung ra dưới sự bảo hộ quy định.

Nếu DeFi xây dựng được sự trưởng thành vận hành tương xứng với kiến trúc kỹ thuật, khả năng ghép nối vẫn là năng lực duy nhất vượt khỏi tầm với của các bao bì được quy định. Nếu DeFi không xây dựng được sự trưởng thành đó, Phố Wall sẽ nắm lấy lớp stablecoin và token hóa, đồng thời chiếm lấy lập luận rằng tài chính ghép nối mở đã thiếu kỷ luật vận hành mà vốn nghiêm túc cần có.

Bài viết Sau vụ tấn công 16,5 tỷ USD, DeFi giờ đây bị ép tiến tới các biện pháp kiểm soát từng kháng cự xuất hiện đầu tiên trên CryptoSlate.