Vụ đánh cắp tiền mã hóa lớn nhất trong năm
Ngày 18 tháng 4 năm 2026, tin tặc đã đánh cắp lượng tiền mã hóa trị giá khoảng 290 triệu USD từ KelpDAO, một giao thức tài chính phi tập trung hoạt động trên mạng Ethereum, trong vụ trộm tài sản số lớn nhất từ đầu năm. LayerZero Labs, nhà cung cấp hạ tầng xuyên chuỗi bị cuốn vào vụ việc, quy trách nhiệm cho TraderTraitor, một đơn vị chuyên trách thuộc nhóm Lazarus của Triều Tiên, dựa trên các dấu hiệu kỹ thuật sơ bộ cho thấy đây là chiến dịch tinh vi do nhà nước bảo trợ. Vụ trộm xảy ra chỉ vài tuần sau khi chính nhóm tin tặc này bị cáo buộc lấy đi 285 triệu USD từ giao thức Drift, nâng tổng số tiền tin tặc Triều Tiên đánh cắp chỉ riêng trong tháng 4 lên hơn 575 triệu USD.
Nội dung
Vụ tấn công nhắm vào rsETH, một token restaking thanh khoản do KelpDAO phát hành, đại diện cho Ethereum đã staking và tạo lợi nhuận trong khi vẫn có thể sử dụng trên các ứng dụng phi tập trung khác. Bằng cách khai thác điểm yếu trong quy trình xác minh xuyên chuỗi, tin tặc đã rút 116.500 token rsETH, trị giá khoảng 293 triệu USD, rồi rửa một phần số tiền qua Tornado Cash, dịch vụ trộn tiền mã hóa được thiết kế để che giấu dấu vết giao dịch. Một hội đồng Liên Hợp Quốc trước đây ước tính Triều Tiên đã đánh cắp hơn 3 tỷ USD tiền mã hóa kể từ năm 2017, dùng số tiền bất hợp pháp này để góp phần tài trợ chương trình phát triển vũ khí hạt nhân.
Vụ việc không chỉ là một hành vi phạm tội riêng lẻ. Các nhà phân tích an ninh xem đây là dấu hiệu cho thấy Bình Nhưỡng đang đẩy mạnh chiến dịch nhằm vào hệ sinh thái tài chính phi tập trung, phơi bày những lỗ hổng căn bản trong cách thức hoạt động của các cầu nối xuyên chuỗi và cơ chế xác minh. Vụ trộm gây chấn động ngành tiền mã hóa, khiến đại gia cho vay Aave đóng băng các thị trường và kích hoạt làn sóng rút hàng tỷ USD khỏi những giao thức bị ảnh hưởng.
Cách thức khai thác lỗ hổng xuyên chuỗi
KelpDAO vận hành như một giao thức restaking thanh khoản, cho phép người dùng nạp Ethereum và nhận lại token rsETH. Các token phái sinh này đại diện cho tài sản cơ sở đã staking, đồng thời tiếp tục sinh phần thưởng thông qua EigenLayer, một hạ tầng restaking trên Ethereum. Nhờ các lớp tương tác như LayerZero, rsETH có thể chuyển qua lại giữa những mạng blockchain khác nhau, tăng tính linh hoạt nhưng cũng mở rộng bề mặt tấn công tiềm tàng. Chính chức năng xuyên chuỗi này đã trở thành cửa ngõ cho vụ khai thác tiền mã hóa lớn nhất được ghi nhận trong năm nay.
Những kẻ tấn công nhắm vào Mạng lưới Xác minh Phi tập trung, hay DVN, chịu trách nhiệm xác thực thông điệp giữa các blockchain khác nhau. Thay vì khai thác lỗi trong chính mã hợp đồng thông minh của KelpDAO, tin tặc thao túng hạ tầng hỗ trợ các hoạt động xác minh này. Chúng xâm nhập một số nút Gọi thủ tục từ xa (RPC), vốn là các điểm cuối liên lạc cho phép ứng dụng đọc dữ liệu blockchain, rồi chèn dữ liệu giả vào lớp xác minh.
Để tăng hiệu quả tấn công, nhóm tin tặc đồng thời triển khai các cuộc tấn công từ chối dịch vụ phân tán nhằm vào những nút RPC hợp lệ. Loạt tấn công này làm suy giảm khả năng cung cấp dữ liệu của các nguồn đáng tin cậy, buộc hệ thống phải dựa vào các nút bị xâm nhập đang cung cấp thông tin sai lệch. Về cơ bản, tin tặc đã đầu độc quy trình xác thực, khiến các thông điệp xuyên chuỗi giả mạo được chấp nhận là hợp lệ dù những giao dịch tương ứng chưa từng thực sự diễn ra trên blockchain.
Một lỗ hổng nghiêm trọng đã tạo điều kiện cho hành vi đánh lừa này. KelpDAO sử dụng cấu hình một DVN duy nhất cho các hoạt động xuyên chuỗi, tức chỉ có một đơn vị xác minh tính hợp lệ của thông điệp thay vì yêu cầu đồng thuận từ nhiều bên xác thực độc lập. LayerZero cho biết cấu hình này tạo ra một điểm lỗi duy nhất, cho phép thông điệp giả mạo được thông qua mà không cần xác minh bổ sung. Tin tặc sử dụng một gói dữ liệu tùy chỉnh được thiết kế riêng để gửi thông điệp giả đến DVN với ít cảnh báo nhất, qua đó chuyển trái phép token rsETH vào các ví do chúng kiểm soát.
LayerZero và KelpDAO đổ lỗi cho nhau
Sau vụ trộm, LayerZero và KelpDAO đã công khai tranh cãi về trách nhiệm trong sự cố an ninh. LayerZero khẳng định sự việc hoàn toàn bắt nguồn từ quyết định của KelpDAO sử dụng cấu hình chỉ có một đơn vị xác minh, bất chấp khuyến nghị triển khai nhiều DVN độc lập. Công ty nhấn mạnh rằng trước đó họ đã thông báo cho KelpDAO về các thông lệ tốt nhất để đa dạng hóa DVN, đồng thời cho rằng cấu hình được bảo vệ đúng cách, yêu cầu đồng thuận giữa nhiều đơn vị xác minh, sẽ khiến cuộc tấn công này không thể thành công.
LayerZero công bố báo cáo hậu kiểm kỹ thuật chi tiết, giải thích phương thức giả mạo RPC và khẳng định sự cố không gây lây lan sang các tài sản hay ứng dụng xuyên chuỗi khác sử dụng cấu hình khác. Công ty thông báo sẽ ngừng ký thông điệp cho các ứng dụng sử dụng cấu hình chỉ có một đơn vị xác minh nhằm ngăn những sự cố tương tự. LayerZero xác định thủ phạm là TraderTraitor, một nhánh của nhóm Lazarus chuyên nhắm vào các nền tảng tiền mã hóa.
KelpDAO phản bác cách diễn giải này, cho biết họ đã sử dụng hạ tầng LayerZero từ tháng 1 năm 2024 và duy trì các kênh liên lạc cởi mở với đội ngũ LayerZero. Theo KelpDAO, các câu hỏi về cấu hình DVN nảy sinh trong quá trình mở rộng sang Layer 2, và các thiết lập mặc định khi đó đã được xác nhận rõ ràng là phù hợp. Giao thức này cho rằng cấu hình mặc định của LayerZero đã tạo điều kiện cho thiết lập dễ tổn thương, đồng thời phản đối quan điểm rằng người dùng phải chịu hoàn toàn trách nhiệm về các thông số bảo mật được giới thiệu như những lựa chọn tiêu chuẩn.
Việc vận hành với cấu hình có một điểm lỗi duy nhất đồng nghĩa không có đơn vị xác minh độc lập nào để phát hiện và từ chối thông điệp giả mạo. LayerZero và các bên bên ngoài khác trước đó đã thông báo cho KelpDAO về các thông lệ tốt nhất trong việc đa dạng hóa DVN. Bất chấp những khuyến nghị này, KelpDAO vẫn chọn cấu hình DVN 1/1.
Các chuyên gia an ninh đã tham gia tranh luận, lưu ý rằng việc phụ thuộc vào việc người dùng đọc tài liệu và tự chọn các phương án an toàn hơn là một lỗi thiết kế căn bản trong các hệ thống phi tập trung. David Schwed, giám đốc vận hành tại công ty an ninh blockchain SVRN, nhận định rằng nếu một cấu hình được xác định là không an toàn thì không nên cung cấp cấu hình đó như một lựa chọn. Điều này phản ánh mâu thuẫn rộng hơn trong hệ sinh thái Web3 giữa lý tưởng phi tập trung và nhu cầu thực tế về các thiết lập mặc định an toàn.
Tác động dây chuyền tới tài chính phi tập trung
Vụ trộm gây ảnh hưởng vượt xa phạm vi KelpDAO, cho thấy các giao thức tài chính phi tập trung hiện đại có mối liên kết chặt chẽ ra sao. Vì rsETH được dùng làm tài sản thế chấp trên nhiều nền tảng cho vay, vụ khai thác đã tạo ra rủi ro hệ thống, lan khắp hệ sinh thái chỉ trong vài giờ. Aave, một trong những giao thức cho vay phi tập trung lớn nhất, ghi nhận tổng giá trị khóa giảm gần 8 tỷ USD khi nhà đầu tư vội rút tài sản. Giao thức này đóng băng các thị trường rsETH trên Ethereum, Arbitrum, Base, Mantle và Linea để ngăn mức độ phơi nhiễm tăng thêm.
Tin tặc thể hiện kỹ năng tài chính tinh vi khi gửi số rsETH đánh cắp vào Aave v3 làm tài sản thế chấp rồi vay Ether bọc, tạo ra khoản nợ khoảng 195 triệu USD trên nền tảng. Khi người dùng vội rút tài sản để tránh nguy cơ thua lỗ, các bể cho vay Aave v3 đạt mức sử dụng tối đa, tạm thời khiến hơn 5,1 tỷ USD stablecoin không thể tiếp cận. Các giao thức Compound và Euler cũng ghi nhận ảnh hưởng từ sự cố, dù đã triển khai biện pháp khẩn cấp để hạn chế lây lan.
Nhà sáng lập Cardano Charles Hoskinson phân tích vụ khai thác trong một buổi phát trực tiếp, phân biệt giữa vụ trộm ban đầu và tác động lây lan sau đó qua các thị trường cho vay. Ông lưu ý điểm mới không nằm ở việc làm giả giao dịch qua cầu nối, mà ở cách kẻ tấn công dùng rsETH đánh cắp làm tài sản thế chấp để vay tài sản có tính thanh khoản, biến một vụ trộm đơn thuần thành khủng hoảng bảng cân đối kế toán đối với ít nhất chín giao thức. Phương thức tấn công thứ cấp này đã biến tài sản thế chấp bị đầu độc thành vũ khí nhằm vào toàn bộ hệ sinh thái DeFi.
Thị trường phản ứng dữ dội trước tin tức. Trong 24 giờ đầu, token rsETH dao động trong khoảng 1.600 đến 2.500 USD khi các nhà cung cấp thanh khoản rút hỗ trợ. Tổng giá trị khóa trên toàn DeFi giảm khoảng 13 tỷ USD trong 48 giờ sau sự cố. Hội đồng An ninh Arbitrum đã đóng băng được khoảng 30.766 ETH, trị giá 71 triệu USD, tương đương khoảng một phần tư số tiền bị đánh cắp, song phần lớn vẫn nằm trong tay tin tặc.
Nhóm Lazarus và các vụ trộm do nhà nước bảo trợ
Việc quy trách nhiệm cho nhóm Lazarus của Triều Tiên phù hợp với mô hình đã được ghi nhận rộng rãi về các vụ trộm tiền mã hóa do nhà nước bảo trợ, nhằm né tránh lệnh trừng phạt quốc tế và tài trợ cho các chương trình vũ khí. TraderTraitor, nhánh cụ thể bị xác định trong vụ tấn công này, có liên quan đến nhiều vụ trộm lớn trong những năm gần đây, trong đó có vụ đánh cắp 1,5 tỷ USD từ Bybit hồi đầu năm 2026, hiện là vụ trộm tiền mã hóa lớn nhất lịch sử. Các giám sát viên Liên Hợp Quốc đã ghi nhận việc Bình Nhưỡng chuyển trực tiếp nguồn thu bất hợp pháp này vào hoạt động phát triển hạt nhân và tên lửa đạn đạo.
Các nhà nghiên cứu an ninh nhận định hoạt động mạng của Triều Tiên đã chuyển từ những cuộc tấn công cơ hội nhằm vào sàn giao dịch sang các vụ xâm nhập tinh vi, kiên nhẫn nhắm vào hạ tầng nền tảng của tài chính phi tập trung. Alexander Urbelis, giám đốc an ninh thông tin tại ENS Labs, mô tả những sự cố này không phải các vụ việc riêng lẻ mà là một chuỗi hoạt động liên tục. Ông nhấn mạnh rằng các nhóm như Lazarus không chỉ rời đi với nhiều tiền hơn mà còn trở nên mạnh hơn, sử dụng nguồn lực đánh cắp được để mở rộng công cụ, hoàn thiện kỹ thuật và tái đầu tư vào các chiến dịch sau.
Các môi trường này không phải đối mặt với những kẻ tấn công chỉ biết đập phá rồi bỏ chạy, mà đang chịu sức ép từ những đối thủ có kỷ luật, hiểu cách kết hợp các điểm yếu trong hạ tầng, ứng dụng và quan hệ tin cậy.
Phương thức tấn công cho thấy chiến lược nhắm mục tiêu của Lazarus đang thay đổi. Thay vì khai thác lỗ hổng hợp đồng thông minh hoặc đánh cắp khóa riêng, nhóm này bắt đầu tập trung vào hạ tầng xuyên chuỗi và restaking, tức các lớp hạ tầng kết nối những mạng blockchain khác nhau. Những lớp này phức tạp về kỹ thuật, thường nắm giữ giá trị lớn và khó giám sát hơn các ứng dụng ở bề mặt. Bằng cách xâm nhập hạ tầng xác minh thay vì logic ứng dụng, tin tặc cho thấy chúng hiểu sâu cách các hệ thống phi tập trung đặt niềm tin và xác thực thông tin.
Henri Arslanian, đồng sáng lập Nine Blocks Capital Management, khẳng định chắc chắn về việc quy trách nhiệm. Ông nói không có nhóm nào khác trên thế giới đủ chuyên môn và năng lực để thực hiện vụ tấn công như vậy, đồng thời lưu ý mức độ tinh vi về kỹ thuật và tính bảo mật trong hoạt động được thể hiện qua vụ khai thác KelpDAO chỉ phù hợp với năng lực cấp nhà nước. Việc sử dụng Tornado Cash để rửa tiền, kết hợp với cuộc tấn công nhiều giai đoạn bao gồm cả xâm nhập hạ tầng lẫn yếu tố kỹ thuật xã hội, củng cố nhận định này.
Nỗ lực đàm phán và bài học an ninh
Trong một động thái khác thường, tỷ phú Justin Sun, nhà sáng lập mạng Tron, đã công khai khẩn thiết đề nghị tin tặc trả lại số tiền bị đánh cắp. Trên mạng xã hội, Sun đề nghị đàm phán trực tiếp với những kẻ tấn công, hỏi chúng muốn bao nhiêu và lập luận rằng việc hy sinh cả Aave lẫn KelpDAO đơn giản là không đáng. Sự can thiệp của ông cho thấy mức độ nghiêm trọng của rủi ro hệ thống do vụ khai thác gây ra, đặc biệt trong bối cảnh các địa chỉ liên quan đến HTX, sàn giao dịch thuộc sở hữu của Sun, đã chuyển hàng trăm triệu USD vào các tài khoản trên Aave.
Hacker Kelp DAO, các người muốn bao nhiêu? Hãy nói chuyện. Dĩ nhiên là với sự hỗ trợ của Kelp DAO. Hy sinh cả Aave lẫn Kelp DAO, để họ sụp đổ vì vụ tấn công này, đơn giản là không đáng. Dù sao các người cũng không thể tiêu hết 300 triệu USD.
Sự cố đã làm dấy lên tranh luận gay gắt trong cộng đồng an ninh blockchain về sự cân bằng giữa tính phi tập trung và an toàn. Charles Hoskinson cho rằng lỗi nằm ở logic xác minh chứ không phải logic ứng dụng, đồng thời chỉ ra rằng cấu hình ba trong năm đơn vị xác minh thay vì một trên một đã có thể ngăn chặn hành vi giả mạo. Chỉ trích này cũng hướng tới toàn bộ hệ sinh thái Ethereum, nơi các tương tác xuyên chuỗi phức tạp tạo ra những quan hệ phụ thuộc có thể khuếch đại các điểm lỗi đơn lẻ.
Các chuyên gia an ninh đang kêu gọi áp dụng kiến trúc không tin cậy mặc định, giả định rằng sự cố xâm nhập sẽ xảy ra và yêu cầu xác minh nghiêm ngặt trên các môi trường phức tạp. Những biện pháp giảm thiểu được khuyến nghị gồm tăng cường bảo vệ các điểm cuối RPC, triển khai cơ chế đồng thuận nhiều bên, xây dựng hệ thống phòng thủ DDoS vững chắc và đưa vào các công tắc ngắt có thể tự động tạm dừng giao dịch khi phát hiện dấu hiệu bất thường. Vụ khai thác KelpDAO cho thấy trong tài chính phi tập trung, sức mạnh của cả chuỗi phụ thuộc vào biện pháp kiểm soát tại từng mắt xích; khi một mắt xích đứt gãy, hậu quả nhanh chóng lan rộng.
Đối với những người mới tham gia DeFi, vụ trộm là lời nhắc nhở rõ ràng rằng phi tập trung không phải một thuộc tính chỉ có hoặc không có, mà là tập hợp các lựa chọn về niềm tin và xác minh. Khi hoạt động mạng của Triều Tiên tiếp tục thích nghi và mở rộng, ngành này chịu áp lực ngày càng lớn phải tích hợp bảo mật ngay từ mặc định thay vì chỉ đưa ra khuyến nghị, bảo đảm những lựa chọn an toàn nhất cũng là lựa chọn dễ sử dụng nhất chứ không bị chôn sâu trong tài liệu kỹ thuật.
Những điểm chính
- Nhóm Lazarus của Triều Tiên, cụ thể là nhánh TraderTraitor, bị nghi đánh cắp khoảng 290 triệu USD bằng token rsETH từ KelpDAO ngày 18 tháng 4 năm 2026
- Cuộc tấn công khai thác cấu hình chỉ có một đơn vị xác minh trong hạ tầng xuyên chuỗi KelZero, cho phép tin tặc làm giả thông điệp xác minh và rút tiền
- Tin tặc xâm nhập các nút RPC và triển khai các cuộc tấn công DDoS để buộc hệ thống dựa vào những nguồn dữ liệu bị đầu độc
- Vụ trộm gây lây lan rủi ro hệ thống trên DeFi, buộc Aave đóng băng các thị trường và kích hoạt 8 tỷ USD bị rút khỏi các giao thức cho vay
- LayerZero và KelpDAO công khai tranh cãi về trách nhiệm: LayerZero cho rằng nguyên nhân là lựa chọn cấu hình không an toàn, còn KelpDAO nói họ đã sử dụng thiết lập mặc định
- Sự cố là vụ trộm tiền mã hóa lớn thứ hai do Triều Tiên thực hiện trong tháng 4 năm 2026, sau vụ đánh cắp 285 triệu USD từ giao thức Drift
- Hội đồng An ninh Arbitrum đã đóng băng khoảng 71 triệu USD trong số tiền bị đánh cắp, trong khi phần lớn đã được rửa qua Tornado Cash
- Các hội đồng Liên Hợp Quốc ước tính Triều Tiên đã đánh cắp hơn 3 tỷ USD tiền mã hóa kể từ năm 2017 để tài trợ phát triển vũ khí hạt nhân
