Bạn có tin không? Một giao thức không bị hack, không có lỗi code, không có exploit nào trên hợp đồng thông minh của nó, nhưng vẫn mất gần một nửa số tiền gửi. Đó là câu chuyện của Aave – gã khổng lồ cho vay phi tập trung – sau vụ tấn công KelpDAO hồi tháng 4 năm 2025. Bốn tháng trôi qua, TVL của Aave vẫn ở mức 149 tỷ USD, thấp hơn 43% so với trước sự cố. Và điều đáng sợ nhất: Aave vốn dĩ an toàn. Nhưng an toàn thôi chưa đủ.
Hãy cùng tôi nhìn lại bối cảnh. KelpDAO là một giao thức tái stake thanh khoản (LRT) phát hành token rsETH thông qua cầu nối LayerZero. Vào ngày 18 tháng 4, một nhóm hacker – được cho là Lazarus Group của Triều Tiên – đã khai thác KelpDAO, tạo ra một lượng lớn rsETH giả bằng cách thế chấp tài sản vô giá trị. Số rsETH này sau đó được đưa vào Aave như tài sản thế chấp hợp lệ, và kẻ tấn công đã vay ra hàng trăm triệu USD tiền thật. Aave không bị tấn công trực tiếp, nhưng nó trở thành "cỗ máy rút tiền" cho kẻ xấu. Kết quả: Khoản nợ xấu 2,46 tỷ USD lan sang cả Compound, và trong vòng hai ngày, hơn 8 tỷ USD tiền gửi đã rời khỏi Aave. Stablecoin pool của Aave chạm mức sử dụng 100%, nghĩa là không ai có thể rút stablecoin nữa – một cơn ác mộng thanh khoản.
Phân tích kỹ thuật cho thấy một sự thật phũ phàng: Aave hoạt động hoàn hảo theo thiết kế. Hợp đồng thông minh của nó không có lỗi, oracle báo giá chính xác, và cơ chế thanh lý cuối cùng đã hoạt động – nhưng phải mất ba tuần. Trong ba tuần đó, người dùng không thể rút tiền, lòng tin tan vỡ. Vấn đề không nằm ở code, mà nằm ở giả định về chất lượng tài sản thế chấp. Aave tin tưởng rằng rsETH là tài sản có giá trị thực, nhưng giá trị đó đã bị làm giả. Đây là rủi ro hệ thống xuyên giao thức: một lỗ hổng ở lớp phát hành tài sản có thể làm sập cả một đế chế cho vay. Tôi đã từng audit nhiều giao thức DeFi, và tôi biết rằng hầu hết các đội ngũ đều tập trung vào bảo mật hợp đồng của họ, nhưng lại quên mất rằng "tài sản đầu vào" là cửa ngõ dễ bị tổn thương nhất. Aave không phải là nạn nhân, nó là công cụ. Và công cụ thì không có lỗi, nhưng người sử dụng nó thì có.
Đây là góc nhìn phản trực giác: Mọi người thường nói "code is law", nhưng trong thế giới DeFi, code chỉ là một phần. Phần còn lại là niềm tin vào chuỗi cung ứng tài sản. Aave từng là giao thức cho vay lớn nhất, chiếm hơn một nửa thị trường. Sau vụ KelpDAO, nó mất ngôi vương. Và điều trớ trêu: Aave đã được giải cứu bởi liên minh DeFi United – một nhóm các dự án lớn góp ETH để bù đắp tài sản thế chấp. Điều đó cho thấy Aave quá lớn để sụp đổ, nhưng cũng cho thấy nó phụ thuộc vào sự cứu trợ từ bên ngoài. Liệu chúng ta có đang đánh giá quá cao khả năng cô lập rủi ro của các giao thức DeFi? Một giao thức không chết vì lỗi, mà chết vì sự thật rằng nó tin tưởng vào những thứ không đáng tin.
Bài học rút ra không phải là tránh xa Aave, mà là xây dựng các lớp xác minh tài sản gốc. DeFi cần một "bộ lọc" cho tài sản thế chấp, không chỉ dựa vào giá oracle. Có thể là bằng chứng dự trữ on-chain, hoặc cơ chế "mint-and-burn" được kiểm soát chặt chẽ hơn. Những dòng code không có lỗi, nhưng lòng tin đã có vết nứt. Và vết nứt đó, nếu không được hàn gắn bằng những cải tiến thực sự, sẽ khiến cả hệ sinh thái rò rỉ dần dần. TVL không chỉ là con số, nó là hơi thở của niềm tin. Khi niềm tin mất đi, hơi thở trở nên ngắn lại. Aave vẫn còn sống, nhưng nó sẽ không bao giờ trở lại như trước – trừ khi chúng ta học được cách tin tưởng một cách thông minh hơn.