Aave vẫn chưa thoát khỏi bóng đen KelpDAO: TVL giảm 43% và bài học về niềm tin trong DeFi

Bốn tháng trước, vào một ngày tháng 4 năm 2025, tôi mở dashboard của Aave trên DefiLlama và thấy con số 149 tỷ USD – thấp hơn 43% so với trước vụ hack KelpDAO. Ký ức về cú sập ấy vẫn còn sống động, như một vết sẹo trên thị trường DeFi. NFT là nơi ký ức sống động, nhưng với Aave, ký ức ấy lại là bài học đắt giá về sự phụ thuộc vào các tài sản cầu nối. Vụ tấn công KelpDAO diễn ra vào ngày 18 tháng 4, khi nhóm Lazarus (hay TraderTraitor) khai thác lỗ hổng trong cross-chain bridge của KelpDAO, tạo ra hàng triệu rsETH giả. Những token này sau đó được gửi thẳng vào Aave và Compound làm tài sản thế chấp, rút ra khoảng 2.46 tỷ USD tài sản thật (theo báo cáo của Chainalysis). Aave không bị hack – hợp đồng thông minh của nó hoạt động hoàn hảo, nhưng hậu quả thì thảm khốc: TVL từ đỉnh 459 tỷ USD rơi xuống còn 119 tỷ USD vào tháng 6, trước khi phục hồi nhẹ lên 149 tỷ USD. Điều đáng nói là ngay cả sau bốn tháng, lượng tiền gửi vẫn chưa quay lại. Tôi nhớ lại câu nói của một nhà sưu tập NFT ở Seoul: “NFT là nơi ký ức sống động.” Nhưng với DeFi, ký ức về sự kiện thanh khoản đóng băng còn sống động hơn. Cốt lõi của vấn đề nằm ở cơ chế truyền dẫn rủi ro. Aave, với tư cách là giao thức cho vay hàng đầu, chấp nhận rsETH làm tài sản thế chấp mà không có cơ chế xác thực “tính thật” của token đó. Kẻ tấn công đã lợi dụng điểm mù này: chúng không cần phải tấn công Aave, chỉ cần tạo ra tài sản thế chấp vô giá trị rồi rút tiền thật. Dữ liệu on-chain cho thấy trong 48 giờ đầu, 80 tỷ USD đã bị rút khỏi Aave, pool stablecoin chạm mức 100% utilization – người dùng không thể rút được tiền. Điều này phơi bày một sự thật phản trực giác: Aave càng thanh khoản, càng dễ bị tổn thương trước các cuộc tấn công từ thượng nguồn. Tôi từng viết trong một báo cáo nội bộ rằng, “NFT là nơi ký ức sống động, nhưng niềm tin trong DeFi lại rất mong manh.” Góc nhìn contrarian: Nhiều người cho rằng đây là cơ hội mua AAVE khi giá thấp. Xét cho cùng, Aave vẫn là giao thức cho vay lớn nhất, với hệ thống thanh lý vận hành đúng thiết kế, và liên minh DeFi United đã kịp thời bơm ETH để bù đắp thiệt hại. Nhưng tôi không đồng tình. Vết thương lòng về niềm tin không thể chữa lành bằng một vài báo cáo kỹ thuật. TVL giảm 43% trong khi AAVE chỉ giảm 23% so với trước hack cho thấy thị trường vẫn đang định giá lại rủi ro hệ thống. Những người gửi tiền tổ chức đã rút đi, và có thể sẽ không quay lại nếu không có cải tiến về bảo mật tài sản thế chấp. Từ kinh nghiệm phân tích của tôi, các giao thức cạnh tranh như Morpho hay Spark đang âm thầm hút thị phần, và Aave đang mất dần vị thế “quá lớn để sụp đổ”. Takeaway: Aave đang đứng trước ngã rẽ. Một là tiếp tục duy trì cách tiếp cận “mở” với các tài sản cầu nối, chấp nhận rủi ro hệ thống. Hai là siết chặt tiêu chuẩn thế chấp, đánh đổi tăng trưởng để lấy an toàn. Tôi nghiêng về phương án thứ hai, nhưng điều đó đồng nghĩa với việc TVL sẽ khó quay lại mức cũ. Câu hỏi đặt ra: Liệu DeFi có cần một cơ chế bảo hiểm chung, hay mỗi giao thức phải tự xây dựng lớp bảo vệ riêng? Bốn tháng sau cú sốc, câu trả lời vẫn còn bỏ ngỏ.