Lỗ hổng tấn công KelpDAO cho phép kẻ tấn công rút bòn token rsETH không được bảo chứng và gửi chúng vào Aave, kích hoạt một trong những đợt co thắt thanh khoản mạnh nhất trong lịch sử DeFi gần đây, theo báo cáo Cryptoquant mới nhất mang tên “DeFi Contagion.”
Điểm chính:
- Lỗ hổng KelpDAO ngày 18/4/2026 đã khiến Aave phải đối mặt với khoản nợ xấu ước tính $124M-$230M trong vòng 72 giờ.
- Tổng giá trị bị khóa của Aave (TVL) giảm 33%, “bốc hơi” hàng tỷ, với lãi suất vay USDT và USDC chạm 14%.
- Nguồn cung USDe giảm 800 triệu USD trong ba ngày, cho thấy căng thẳng thanh khoản DeFi tiếp diễn trên các giao thức lớn.
Vụ hack rsETH của KelpDAO kích hoạt đợt rút thanh khoản nhiều tỷ USD trên Aave
Theo đánh giá của Cryptoquant, kẻ tấn công đã dùng lượng rsETH không có tài sản đảm bảo (được rút ra) để đổi lấy WETH và stablecoin trên Aave, khai thác một lỗ hổng nghiêm trọng trong hạ tầng của KelpDAO. Cuộc tấn công nhanh chóng lan truyền sang hệ sinh thái DeFi rộng hơn.
Các nhà nghiên cứu Cryptoquant phát hiện hợp đồng aETHrsETH của Aave nắm giữ khoảng 83% toàn bộ nguồn cung rsETH đang lưu hành, khiến đây là giao thức bị phơi bày nhất trước vụ hack. Công ty ước tính rằng Aave hiện đang gánh từ $124 triệu đến $230 triệu nợ xấu tiềm tàng liên quan đến tài sản đảm bảo rsETH bị mất neo.
TVL của Aave (tổng giá trị bị khóa) giảm mạnh trong 72 giờ sau vụ khai thác, giảm 33% mà Cryptoquant mô tả là một trong những đợt co thắt thanh khoản ở cấp giao thức mạnh nhất trong lịch sử DeFi gần đây.
Lãi suất vay trên ba thị trường lớn nhất của Aave phản ánh áp lực ngay lập tức. Dữ liệu Cryptoquant cho thấy lãi suất vay USDT và USDC trên Aave V3 tăng từ 3,4% lên 14% khi người dùng vội vã vay stablecoin và rút khỏi giao thức. Trước vụ hack, các mức này duy trì ổn định ở 3,4%, phù hợp với điều kiện cho vay DeFi bình thường.
Lãi suất vay ETH trên Aave V3 tăng lên 8%, mức cao nhất mà Cryptoquant ghi nhận kể từ ít nhất là tháng 1/2024. Sau đó, lãi suất ổn định trở lại quanh mức 5%, vẫn cao hơn gấp đôi so với mức 2% trước vụ hack.
Việc đồng loạt tăng vọt lãi suất trên ETH, USDC và USDT cho thấy tình trạng căng thẳng trên toàn hệ thống thay vì chỉ là biến động cục bộ của một thị trường, theo báo cáo Cryptoquant. ETH, USDC và USDT là ba thị trường lớn nhất của Aave theo tổng giá trị bị khóa.
Các nhà nghiên cứu Cryptoquant mô tả diễn biến này như một “cơn khát thanh khoản” điển hình trong DeFi: người gửi tiền rút đi trong khi nhu cầu vay tăng lên đồng thời, khiến thanh khoản khả dụng giảm nhanh và lãi suất buộc phải thiết lập lại ở mức cao hơn. Tính đến thời điểm báo cáo, lãi suất vẫn ở mức cao hơn so với trước vụ hack.
Stablecoin chịu lãi là USDe, tài sản lớn thứ tư trên Aave với 412 triệu USD tiền gửi của giao thức, cũng chịu áp lực đáng kể. Cryptoquant ghi nhận hoạt động đúc mới USDe sụp đổ ròng trong những ngày sau vụ hack, do cả hiệu ứng lây lan từ cuộc khủng hoảng ở Aave và các mức funding rate tương lai cho hợp đồng vĩnh viễn ETH và BTC vẫn âm dai dẳng.
Tổng nguồn cung USDe giảm từ 5,8 tỷ USD xuống 5 tỷ USD trong ba ngày, giảm 800 triệu USD hay 14%. Cryptoquant gọi đây là một trong những sự kiện redemption ngắn hạn lớn nhất trong lịch sử USDe.
Là một trong những stablecoin lớn nhất toàn cầu chỉ sau USDT, USDC, USDS và DAI, việc USDe co lại cho thấy một lượng rút thanh khoản đáng kể khỏi hệ sinh thái DeFi rộng hơn, công ty cho biết.
Funding rate hợp đồng vĩnh viễn âm làm nén lợi suất chịu delta-neutral của USDe trong giai đoạn này, thúc đẩy động lực redemption đối với người nắm giữ. Cryptoquant giải thích rằng sự kết hợp giữa hành vi “risk-off” do vụ hack kích hoạt và áp lực funding rate mang tính cấu trúc đang làm điều kiện thị trường DeFi suy giảm rõ rệt.
Báo cáo Cryptoquant mới nhất nhấn mạnh rủi ro hệ thống từ việc tài sản đảm bảo tập trung trong các giao thức cho vay DeFi, cho rằng vị thế rsETH có quy mô lớn của Aave đã khuếch đại mức độ lây lan vượt xa vụ khai thác ban đầu.
