Ngày 18/4/2026, Kelp DAO trở thành tâm điểm của thị trường crypto khi bị exploit với thiệt hại lên tới khoảng 290 – 293 triệu USD. Đây được xem là vụ tấn công DeFi lớn nhất từ đầu năm 2026, đồng thời gây ra hiệu ứng domino trên toàn hệ sinh thái.
Earlier today we identified suspicious cross-chain activity involving rsETH. We have paused rsETH contracts across mainnet and several L2s while we investigate.
— Kelp (@KelpDAO) April 18, 2026
We are working with @LayerZero_Core, @unichain, our auditors and top security experts on RCA.
We will keep you…
Quy mô thiệt hại Kelp DAO
- Số tiền bị hack: ~116.500 rsETH
- Giá trị quy đổi: ~292–293 triệu USD
- Tỷ lệ ảnh hưởng: ~18% tổng cung lưu hành rsETH
rsETH là token liquid restaking của Kelp DAO, gắn liền với hệ sinh thái staking Ethereum và các Layer 2.
Dòng thời gian sự kiện của vụ hack Kelp DAO
- 17:35 UTC: Exploit bắt đầu
- 18:21 UTC: Kelp DAO khẩn cấp freeze hợp đồng (ngăn thêm ~80.000 rsETH bị rút)
- 20:10 UTC: Kelp DAO chính thức xác nhận vụ việc
Phản ứng nhanh đã giúp giảm thiểu thiệt hại, nhưng không thể ngăn chặn phần lớn tài sản bị đánh cắp.
Mục tiêu bị tấn công Kelp DAO
Vụ hack không nhắm trực tiếp vào smart contract, mà vào hệ thống bridge cross-chain sử dụng công nghệ của LayerZero.
Bridge này kết nối rsETH giữa:
- Ethereum mainnet
- Hơn 20 Layer 2 như Arbitrum, Base, Linea, Blast, Mantle, Scroll
Hệ quả là:
- Wrapped rsETH trên các chain này bị kẹt (stranded)
- Thanh khoản bị đóng băng trên diện rộng
Cách hacker thực hiện hành vi tấn công Kelp DAO
Theo phân tích từ LayerZero, đây là một cuộc tấn công ở cấp độ hạ tầng (infrastructure-level), không phải lỗi code.
Quy trình tấn công
- Hacker xâm nhập 2 RPC nodes mà hệ thống verifier sử dụng
- DDoS các node dự phòng → buộc hệ thống chuyển sang node đã bị kiểm soát
- Thay đổi binary trên node để:
- Gửi thông tin giả
- “Đánh lừa” verifier
- Approve fake message → bridge release 116.500 rsETH
Sau khi hoàn tất:
- Malware tự xóa dấu vết
- Tài sản được chuyển đi và trộn qua Tornado Cash
Nhóm hacker bị nghi ngờ là Lazarus Group (TraderTraitor).
Tranh cãi: LayerZero vs Kelp DAO
— LayerZero (@LayerZero_Core) April 20, 2026
Phía LayerZero
- Kelp DAO sử dụng cấu hình single-verifier (1-of-1 DVN)
- Đã được cảnh báo trước đó
- Nếu dùng multi-verifier → exploit không xảy ra
- Tuyên bố sẽ ngừng hỗ trợ các dự án dùng cấu hình 1-of-1
Phía Kelp DAO
- Cấu hình 1-of-1 là default trong:
- Quickstart guide
- GitHub code
- OApp V2
- Khoảng 40% dự án dùng setup này
- Không nhận được cảnh báo cụ thể
- Verifier bị hack là infrastructure của LayerZero
Phản ứng cộng đồng với vụ hack Kelp DAO
Nhiều developer và researcher (bao gồm cộng đồng Yearn Finance và Chainlink) nghiêng về phía Kelp DAO, cho rằng:
- Default design của LayerZero tiềm ẩn rủi ro
- Việc “đổ lỗi cho user” là không hợp lý
Hiệu ứng domino trên DeFi sau vụ hack Kelp DAO
Vụ việc nhanh chóng lan rộng toàn hệ sinh thái:
Aave
- Bad debt: ~200 triệu USD
- Freeze rsETH market
- TVL giảm ~6 tỷ USD
- Token AAVE giảm ~10%
Aave đã đưa ra thông báo chính thức nhằm làm rõ tình trạng tài sản và các biện pháp phòng ngừa rủi ro:
- Theo phân tích hiện tại, rsETH trên Ethereum mainnet vẫn được bảo chứng đầy đủ (fully backed), tức là tài sản gốc không bị mất cân đối.
- Tuy nhiên, để đảm bảo an toàn, rsETH vẫn tiếp tục bị đóng băng trên Aave V3 và V4, đồng thời mức độ tiếp xúc (exposure) với sự cố đã được giới hạn.
- WETH reserves cũng bị đóng băng trên các thị trường bị ảnh hưởng, bao gồm:
- Ethereum
- Arbitrum
- Base
- Mantle
- Linea
Hiện tại, Aave cho biết họ đang tiếp tục xác minh thông tin và đánh giá các phương án xử lý, cho thấy quá trình khắc phục vẫn đang ở giai đoạn thận trọng, ưu tiên bảo vệ hệ thống hơn là mở lại thanh khoản sớm.
Update on rsETH incident:
— Aave (@aave) April 19, 2026
According to our analysis, rsETH on Ethereum mainnet is fully backed.
Out of an abundance of caution, rsETH remains frozen across Aave V3 and V4 and exposure to the incident is capped.
WETH reserves also remain frozen across affected markets including…
Các nền tảng khác
- SparkLend, Fluid: freeze market rsETH
- Lido Finance: tạm dừng earnETH
- Ethena: pause bridge LayerZero ~6 giờ
Thị trường
- Peg rsETH chịu áp lực mạnh
- Panic sell trên các L2
- Thanh khoản phân mảnh nghiêm trọng
Tình hình hiện tại sau vụ hack Kelp DAO (20/4/2026)
- Funds: chưa thu hồi
- Hacker đã sử dụng mixer để che dấu dòng tiền
- Justin Sun đề nghị đàm phán trực tiếp với hacker
OK — Kelpdao hacker, how much you want? Let’s just talk. With KelpDAO’s help, of course. It’s simply not worth it to sacrifice both Aave and KelpDAO and let them go down over this hack. You can’t spend $300 million anyway.
— H.E. Justin Sun 👨🚀 🌞 (@justinsuntron) April 19, 2026
- Kelp DAO đã:
- Pause toàn bộ contract rsETH
- Hợp tác điều tra với LayerZero, auditor và security team
Đây không chỉ là một vụ hack đơn lẻ, mà là lời cảnh báo lớn cho toàn ngành:
- Rủi ro không chỉ nằm ở smart contract, mà còn ở hạ tầng off-chain
- Default config có thể trở thành “điểm chết” nếu không được kiểm tra kỹ
- Cross-chain bridge tiếp tục là điểm yếu lớn nhất của DeFi
Arbitrum vào cuộc: đóng băng hơn 30.000 ETH liên quan exploit
Trước mức độ nghiêm trọng của sự cố, Arbitrum đã nhanh chóng đưa ra hành động khẩn cấp thông qua Security Council nhằm kiểm soát dòng tiền bị đánh cắp.
- Hội đồng bảo mật đã đóng băng 30.766 ETH nằm trong một địa chỉ trên Arbitrum One có liên quan trực tiếp đến vụ exploit của Kelp DAO.
- Quyết định này được thực hiện với sự phối hợp từ cơ quan thực thi pháp luật, dựa trên thông tin nhận diện về hacker.
- Trong suốt quá trình xử lý, Arbitrum nhấn mạnh việc đảm bảo an toàn hệ sinh thái mà không ảnh hưởng đến người dùng hay các ứng dụng khác trên mạng.
The Arbitrum Security Council has taken emergency action to freeze the 30,766 ETH being held in the address on Arbitrum One that is connected to the KelpDAO exploit. The Security Council acted with input from law enforcement as to the exploiter’s identity, and, at all times,…
— Arbitrum (@arbitrum) April 21, 2026
Sau quá trình phân tích kỹ thuật và cân nhắc, Security Council đã:
- Xác định phương án kỹ thuật để di chuyển tài sản về trạng thái an toàn
- Đảm bảo không làm thay đổi state của chain hoặc ảnh hưởng đến hoạt động chung
Tính đến 10:26 sáng ngày 21/4 (giờ Việt Nam):
- Toàn bộ số ETH đã được chuyển tới một ví trung gian bị đóng băng
- Số tiền này không còn nằm trong quyền kiểm soát của hacker
- Mọi hoạt động tiếp theo sẽ cần thông qua governance của Arbitrum, phối hợp với các bên liên quan
Động thái này được xem là một bước quan trọng hiếm hoi trong việc can thiệp thành công vào dòng tiền sau exploit, góp phần hạn chế thiệt hại lan rộng trong hệ sinh thái DeFi.
Sự kiện này diễn ra ngay sau vụ hack của Drift Protocol, cho thấy tháng 4/2026 là một trong những giai đoạn biến động và rủi ro nhất của thị trường crypto.
