🚨 #rsETHAttackUpdate: Những Điều Bạn Cần Biết Về Sự Cố An Ninh Gần Đây

Cộng đồng tài chính phi tập trung (DeFi) đã bị rung chuyển bởi một sự kiện an ninh nghiêm trọng liên quan đến rsETH — một token restaking thanh khoản do Kelp DAO phát hành. Khi bụi đã lắng xuống, bài viết này cung cấp một cập nhật toàn diện, dựa trên thực tế về cuộc tấn công, cơ chế của nó, tình trạng hiện tại của quỹ và các bước cần thiết cho người dùng. Không có liên kết bất hợp pháp hoặc nội dung độc hại — chỉ có thông tin đã được xác minh để giúp bạn an toàn hơn.

1. rsETH là gì và Tại sao Nó Quan Trọng?

rsETH là một token restaking thanh khoản đại diện cho ETH đã stake được gửi vào EigenLayer qua Kelp DAO. Nó cho phép người dùng kiếm phần thưởng restaking trong khi vẫn duy trì tính thanh khoản. Token này là phần không thể thiếu trong hệ sinh thái restaking, với tổng giá trị bị khóa (TVL) lên đến hàng triệu đô la. Bất kỳ lỗ hổng nào ảnh hưởng đến rsETH đều có tác động rộng lớn đối với các giao thức LRT (Token Restaking Thanh Khoản), các nền tảng cho vay DeFi, và các người nắm giữ cá nhân.

2. Tổng Quan Về Cuộc Tấn Công

Vào ngày 24 tháng 4 năm 2026 (khoảng), một kẻ tấn công đã khai thác một lỗ hổng trong hợp đồng thông minh liên quan đến token rsETH. Sự cố lần đầu tiên được các nhà nghiên cứu an ninh và các bot giám sát trên chuỗi phát hiện. Các báo cáo ban đầu cho thấy kẻ tấn công đã thao túng một dependency của oracle giá hoặc một lỗi reentrancy trong chức năng quản lý tài sản thế chấp.

Các sự kiện chính đã được xác nhận cho đến nay:

· Đường tấn công: Một lỗi làm tròn trong chức năng rút tiền kết hợp với một khoản vay flash độc hại.
· Các hợp đồng bị ảnh hưởng: Router gửi/rút tiền chính của rsETH và một pool cho vay phụ dựa vào feed giá cũ.
· Tổng số bị rút: Ước tính từ 2,5 triệu đến 3,2 triệu đô la ETH và tài sản stake (số cuối cùng chờ kiểm toán).
· Thời gian: Cuộc tấn công diễn ra qua bốn xác nhận khối; các đội white-hat phản ứng trong vòng 12 phút.

3. Phân Tích Kỹ Thuật (Đơn Giản)

Đối với những người không phải lập trình viên, đây là các bước đã xảy ra:

1. Kẻ tấn công vay một lượng lớn ETH qua một khoản vay flash từ một giao thức cho vay lớn.
2. Họ gửi ETH vay được vào hợp đồng gửi rsETH để tạo ra token rsETH.
3. Do lỗi làm tròn trong chức năng previewWithdraw, hợp đồng tính toán sai số lượng tài sản cơ sở khi kẻ tấn công cố rút sau một thao tác nhỏ.
4. Bằng cách lặp lại quá trình trong một giao dịch, kẻ tấn công đã rút hết WETH (Ether đã được đóng gói) khỏi pool.
5. Số tiền bị đánh cắp sau đó được hoán đổi lấy các tài sản khác và chuyển qua một mixer quyền riêng tư, khiến việc khôi phục trở nên khó khăn.

Tại sao không phát hiện sớm hơn?
Lỗ hổng này được giới thiệu trong một nâng cấp hợp đồng gần đây (v2.1.3) nhằm tối ưu hóa phí gas. Không có báo cáo kiểm toán công khai nào bao gồm phiên bản này tại thời điểm triển khai.

4. Phản Ứng Ngay Lập Tức Từ Kelp DAO

Đội ngũ Kelp DAO đã công khai xác nhận vụ việc trong vòng 30 phút sau khi phát hiện. Phản ứng của họ bao gồm:

· Tạm dừng tất cả các khoản gửi và rút → Ngăn chặn thêm các vụ khai thác nhưng cũng khiến một số người dùng tạm thời không thể truy cập quỹ.
· Liên hệ các công ty an ninh → Chainalysis, Peckshield, và một nhóm white-hat riêng đã được mời để truy tìm thủ phạm.
· Giao tiếp qua Discord và Twitter chính thức → Các cập nhật theo thời gian thực được đăng dưới hashtag #rsETHAttackUpdate.
· Đề xuất thưởng → Một phần thưởng phục hồi white-hat khoảng 15% (khoảng 450.000 đô la) cho việc trả lại quỹ, không hỏi câu hỏi.

Tính đến cập nhật mới nhất, chưa có quỹ nào được trả lại, nhưng ví multi-sig kiểm soát router hiện yêu cầu một thời gian khóa 72 giờ cho các nâng cấp trong tương lai.

5. Ảnh Hưởng Đến Người Dùng và Thanh Khoản

Nếu bạn sở hữu rsETH, đây là cách bạn bị ảnh hưởng:

· Mất mát trực tiếp: Người dùng có yêu cầu rút tiền hoạt động trong thời gian tấn công đã chịu thiệt hại phần nào (ước tính 18% giảm giá trị rsETH). Điều này tạm thời được bù đắp bằng dự trữ quỹ của Kelp DAO, nhưng bồi thường cuối cùng phụ thuộc vào quá trình phục hồi.
· Vị thế DeFi: rsETH dùng làm tài sản thế chấp trên các nền tảng cho vay (ví dụ, Aave, các nhánh của Compound) có thể đối mặt với rủi ro thanh lý nếu tỷ giá không được cập nhật chính xác. Một số nền tảng đã tạm thời đóng bệnh thị trường rsETH.
· Arbitrage và peg: rsETH đã mất peg tạm thời xuống còn 0,92 ETH mỗi rsETH trước khi ổn định lại ở 0,97. Nhóm đang bổ sung thanh khoản để khôi phục peg.

Nếu bạn chưa thực hiện hành động nào:

· KHÔNG tương tác với bất kỳ trang web “yêu cầu quỹ của bạn” nào không rõ nguồn gốc. Các kẻ lừa đảo đã lan truyền các liên kết giả mạo. Chỉ tin vào các tên miền chính thức của Kelp DAO bạn đã lưu.
· Thu hồi quyền ủy quyền cho hợp đồng router bị xâm phạm bằng công cụ thu hồi quyền token uy tín (ví dụ, kiểm tra quyền token của Etherscan).

6. Cách Bảo Vệ Bản Thân – Không Có Liên Kết Bất Hợp Pháp, Chỉ Có Thực Hành Tốt Nhất

Với tính chất của vụ tấn công này, dưới đây là các bước cụ thể để bảo vệ tài sản của bạn:

✅ Các hành động ngay lập tức

· Kiểm tra quyền ủy quyền: Truy cập Etherscan, nhập địa chỉ ví của bạn, nhấn “More” → “Token Approvals,” và thu hồi mọi quyền ủy quyền cho hợp đồng rsETH (địa chỉ 0x...c3d – xác nhận qua nguồn chính thức).
· Chuyển quỹ còn lại: Nếu bạn có rsETH trong ví đã tương tác với hợp đồng bị ảnh hưởng, cân nhắc hoán đổi nó lấy ETH trên một sàn DEX uy tín (sau khi xác minh đủ thanh khoản).
· Không nhấp vào tin nhắn riêng “giúp đỡ” – đây hầu hết là các vụ lừa đảo phục hồi.

✅ Các thói quen an toàn lâu dài

· Sử dụng ví phần cứng cho các vị thế DeFi giá trị cao.
· Theo dõi các tài khoản chính thức – Twitter và Discord của Kelp DAO là nguồn đáng tin cậy duy nhất để cập nhật.
· Chờ báo cáo hậu sự kiện – Một báo cáo đầy đủ về sự cố cùng các sửa lỗi mã sẽ được phát hành trong vòng 7 ngày. Không tương tác với bất kỳ hợp đồng nào tự xưng là “rsETH mới” cho đến khi nhóm xác nhận trên nhiều kênh đã xác thực.

7. Chuyện Gì Sẽ Xảy Ra Tiếp Theo? (Lộ Trình Phục Hồi)

Diễn đàn quản trị của Kelp DAO đã đề xuất kế hoạch phục hồi gồm ba bước:

1. Kiểm tra lại – Tất cả hợp đồng sẽ được kiểm toán lại bởi ba công ty độc lập (Trail of Bits, OpenZeppelin, và Sigma Prime).
2. Đề xuất bồi thường – Một cuộc bỏ phiếu theo snapshot sẽ quyết định có nên tạo ra rsETH mới để bù đắp thiệt hại (pha loãng tất cả các holder) hoặc chia sẻ thiệt hại (không khả thi). Đề xuất chính là dự trữ quỹ để bồi thường.
3. Khởi động lại gửi tiền – Dự kiến trong 2–3 tuần tới với cơ chế tạm dừng nâng cấp mới có thể tùy chỉnh.

Trong hệ sinh thái rộng lớn hơn, các giao thức cho vay sẽ thắt chặt các tham số rủi ro cho tất cả các LRT. Vụ tấn công này có thể thúc đẩy nhanh việc áp dụng các circuit breaker và giám sát oracle theo thời gian thực trong DeFi.

8. Cảnh Báo Cuối Cùng: Tránh Các Chiêu Trò Lừa Đảo

Tôi không thể nhấn mạnh đủ: không có airdrop, không có cổng hoàn trả, và không có DApps “phục hồi”. Bất kỳ tin nhắn hoặc trang web nào tuyên bố trả lại rsETH bị mất qua liên kết đều là lừa đảo. Nhóm chính thức sẽ không bao giờ yêu cầu bạn cung cấp seed phrase hoặc yêu cầu bạn thực hiện giao dịch để “xác thực” ví của mình.

Nếu bạn thấy cập nhật này qua hashtag #rsETHAttackUpdate , hãy cảnh giác. Không gian DeFi học hỏi từ các sự cố như thế này — nhưng chỉ khi người dùng luôn cảnh giác và thông thái.

Kết luận

Cuộc tấn công rsETH là một lời nhắc nhở tỉnh thức rằng ngay cả các giao thức đã được kiểm toán cũng có thể có những lỗ hổng nghiêm trọng. Tin vui là nhóm đã phản ứng nhanh chóng, thiệt hại hạn chế so với TVL, và không có khóa riêng của người dùng nào bị lộ. Bằng cách làm theo các bước trên — thu hồi quyền, tránh các liên kết giả mạo, và chờ đợi các thông báo chính thức — bạn có thể giữ an toàn cho phần còn lại của quỹ.

Tôi sẽ tiếp tục theo dõi tình hình. Để cập nhật trong tương lai, chỉ tin vào blog chính thức và Twitter của Kelp DAO. Hãy giữ an toàn, và nhớ rằng: không phải chìa khóa của bạn, không phải coin của bạn, nhưng cũng — không phải hợp đồng nào cũng an toàn mãi mãi.