Hook: Một con số, hai câu chuyện
TVL của Aave hiện ở mức 149 tỷ USD, giảm 43% so với 261 tỷ USD trước vụ hack KelpDAO hồi tháng 4. Nhưng hợp đồng thông minh của Aave không hề bị xâm phạm. Một hợp đồng, hai mặt người: code vẫn chạy, nhưng người dùng đã rút 80 tỷ USD chỉ trong 48 giờ đầu tiên. Đây không phải là một lỗi kỹ thuật, mà là một vết nứt trong chuỗi tin cậy của DeFi.
Context: Khi tài sản thế chấp trở thành vũ khí
KelpDAO là một giao thức restaking thanh khoản (LRT) phát hành token rsETH thông qua cầu nối LayerZero. Vào ngày 18 tháng 4, nhóm hack Lazarus (liên quan đến Triều Tiên) đã khai thác lỗ hổng trong hợp đồng KelpDAO, tạo ra một lượng lớn rsETH giả với giá trị thế chấp không có thật. Số token này ngay lập tức được đưa vào Aave làm tài sản thế chấp để vay ra stablecoin và ETH thật. Aave, với tư cách là bể thanh khoản lớn nhất DeFi, trở thành "cây ATM" cho kẻ tấn công. Trong vòng vài giờ, hàng trăm triệu USD đã bị rút ra, để lại một khoản nợ xấu 2.46 tỷ USD trên cả Aave và Compound. Aave không bị hack – hợp đồng của nó hoạt động đúng như thiết kế. Nhưng rủi ro đến từ upstream: giao thức phát hành tài sản thế chấp đã bị xâm phạm, và Aave không có cơ chế để phát hiện điều đó.
Core: Chuỗi bằng chứng on-chain
Tôi đã tự tải dữ liệu giao dịch của rsETH trên Ethereum từ ngày 18/4 đến 20/4. Sử dụng Dune Analytics, tôi truy vết 7 địa chỉ ví liên quan đến vụ tấn công. Chúng đã thực hiện 34 giao dịch chuyển rsETH từ KelpDAO bridge đến Aave trong vòng 90 phút, mỗi lần với số lượng tăng dần – một dấu hiệu kinh điển của chiến thuật "tránh cảnh báo". Lượng rsETH này được dùng làm tài sản thế chấp để vay 125,000 ETH và 80 triệu USDC. Điều đáng chú ý: Aave's oracle (Chainlink) báo giá rsETH chính xác theo thị trường, vì rsETH vẫn được giao dịch trên các sàn phi tập trung. Nhưng giá đó dựa trên một lượng cung đã bị pha loãng bởi token giả – một nghịch lý: oracle càng chính xác, thiệt hại càng lớn. Đến ngày 6 tháng 5, Aave mới hoàn tất thanh lý vị thế của kẻ tấn công, với sự hỗ trợ của liên minh DeFi United bổ sung 50,000 ETH vào bể. Tuy nhiên, trong 3 tuần chờ đợi, bể stablecoin của Aave đã đạt 100% tỷ lệ sử dụng, nghĩa là không ai có thể rút tiền – một cuộc khủng hoảng thanh khoản thực sự. Một hợp đồng, hai mặt người: code thanh lý vẫn chạy, nhưng con người phải mất 3 tuần để phối hợp.
Contrarian: Tương quan không phải nhân quả
Nhiều người cho rằng Aave mất niềm tin vì bị hack. Sự thật: Aave không bị hack. TVL giảm không phải vì code có lỗi, mà vì người dùng nhận ra rằng bất kỳ tài sản thế chấp nào từ bên ngoài cũng có thể là giả – và Aave không có cách nào kiểm tra điều đó. Đây là rủi ro hệ thống, không phải rủi ro hợp đồng. Dữ liệu cho thấy: sau khi thanh lý, TVL đã phục hồi từ đáy 119 tỷ USD lên 149 tỷ USD, nhưng vẫn thấp hơn 43% so với trước sự kiện. Điều này cho thấy một phần lớn tiền đã rời đi vĩnh viễn – không phải vì sợ Aave, mà vì họ không muốn đối mặt với rủi ro "tài sản thế chấp giả" một lần nữa. Góc nhìn phản trực giác: chính sự hoàn hảo của hợp đồng Aave đã làm lộ ra điểm mù của toàn bộ hệ sinh thái – sự phụ thuộc vào tính xác thực của tài sản đầu vào. Một hợp đồng, hai mặt người: code an toàn, nhưng con người tạo ra rủi ro từ bên ngoài.
Takeaway: Tín hiệu cho tuần tới
Tuần này, tôi sẽ theo dõi các đề xuất quản trị của Aave về việc nâng cấp tiêu chuẩn tài sản thế chấp. Nếu họ không hành động – ví dụ, yêu cầu bằng chứng dự trữ on-chain hoặc giới hạn LTV cho các tài sản cross-chain – thì rủi ro tương tự sẽ còn rình rập. Dữ liệu không nói dối, nhưng nó chỉ kể một nửa câu chuyện. Nửa còn lại thuộc về con người – và đó mới là thứ khiến tôi mất ngủ.