Sau sự cố của rsETH, Aave đã phải gánh chịu một khoản nợ xấu lên tới gần 200 triệu USD. Điều này khiến cộng đồng cực kì lo lắng và dòng tiền rút khỏi Aave tăng đột biến sau đó khiến các Pool ETH hay Stablecoin như USDC, USDT có tỉ lệ sử dụng vốn lên đến 100%. Câu hỏi quan trọng lúc này là Aave xử lí đống nợ xấu này như thế nào để đảm bảo tiền của người dùng được an toàn và để hiểu rõ vấn đề này thì hãy cùng Hak Research tìm hiểu chi tiết trong bài viết này nhé

Trước khi vào bài viết, mọi người có thể tham khảo một số bài viết sau để hiểu rõ hơn về thị trường Crypto nhé

rsETH Bị Hack, Aave Là Người Bị Thiệt Hại Nặng Nề Nhất

Vào ngày 18/04/2026, một Hacker đã tấn công vào Bridge rsETH sang các Layer 2 khác sử dụng công nghệ LayerZero OFT và lấy đi 116.500 rsETH tương đương với 18% nguồn cung của rsETH (ước tính tổng giá trị lên tới 292 triệu USD vào thời điểm đó). Mặc dù không liên quan gì đến vụ Hack nhưng cách kẻ tấn công rửa tiền đã khiến Aave trở thành nạn nhân, gánh chịu khoản nợ xấu sau vụ Hack lần này

Theo đó, vì biết thanh khoản trên thị trưởng mở không đủ để Swap toàn bộ rsETH về Stablecoin hoặc ETH nên Hacker đã dùng Aave, sử dụng rsETH làm tài sản thế chấp để vay khoảng hơn 200 triệu USD WETH và wstETH để tiếp tục hành vi rửa tiền. Điều này khiến Aave trở thành nạn nhân chịu hậu quả nặng nề nhất, gánh chịu khoản nợ xấu lên tới 193 triệu USD. Ngoài ra, vì lo sợ tính thanh khoản trên Aave mà hành vi rút tiền ồ ạt đã xảy ra, ban đầu xuất hiện từ Justin Sun và sàn MEXC sau đó lan rộng sang toàn bộ thị trường. Ngay cả các nền tảng Lending không liên quan đến vụ Hack như Kamino trên Solana cũng có nhiều Pool bị rút ồ ạt khiến tỉ lệ sử dụng đạt 100%

Chỉ trong vòng 1 ngày TVL của toàn bộ ngành DeFi đã giảm 10 tỷ USD và phần lớn đến khi Aave khi TVL của dự án này đã giảm từ 25 tỷ USD xuống còn khoảng 15 tỷ USD. Các Pool ETH hay Stablecoin trên Aave đạt tỉ lệ sử dụng 100%, khiến người gửi tiền vào các Pool này trước đó không thể rút tiền, cảm giác lo sợ lan rộng trên toàn bộ thị trường

Aave Giải Quyết Vấn Đề Nợ Xấu Như Thế Nào?

Theo báo cáo của LlamaRisk, vụ tấn công đã đánh cắp 152.577 rsETH từ lockbox LayerZero. Với tỉ lệ hiện hành là 1.0696 rsETH trên mỗi ETH thì điều này cho thấy sự thiếu hụt 164.183 ETH. Tuy nhiên, hành động kịp thời của nhiều bên trong hệ sinh thái đã giúp giảm đáng kể số lượng thiếu hụt này khi:

  • KelpDAO đã thu hồi và đóng băng 40.373 rsETH tương đương với khoảng 43.168 ETH theo tỉ lệ tham chiếu
  • Arbitrum đã đóng băng thành công 30.766 ETH mà Hacker vẫn nắm giữ trên Arbitrum
  • Vị thế còn lại của Hacker trên Aave có thể được thanh lí. Chênh lệch giữa tài sản thế chấp và khoản nợ giúp khả năng thu hồi lên đến 12.323 WETH
  • Trên cùng cơ sở đó, vị thể của Hacker trên Compound mang lại thêm 1.845 WETH 

Tổng cộng, bốn nguồn hỗ trợ này giúp mang lại 87.955 ETH đã được thu hồi hoặc có thể thu hồi tương đương với khoảng 54% số tiền thiếu hụt ban đầu và số tiền còn lại phải bù đắp là 75.081 ETH. Tuy nhiên trong 4 khoản thu hồi này thì chỉ có KelpDAO là có thể triển khai ngay lập tức dưới dạng rsETH còn các kế hoạch thu hồi còn lại chẳng hạn như việc thu hồi trên Arbitrum hay thanh lí các vị thế của Hacker trên Aave hay Compound về bản chất có thể thu hồi được nhưng chưa thể thanh khoản và có thể mất vài tuần

Đề xuất giải pháp khắc phục ban đầu

Để hậu quả này được xử lí nhanh chóng, một đề xuất của LlamaRisk đăng trong trang quản trị của Aave đã được đưa ra với 2 phương án xử lí nợ xấu:

  • Phương án 1 - Phân bổ tổn thất đồng đều cho những người nắm giữ rsETH còn lại: Kịch bản này coi tất cả những người nắm giữ rsETH là một cộng đồng chung và khoản nợ bị Hack sẽ được phân bổ cho toàn bộ người nắm giữ rsETH còn lại. Ta sẽ có phép tính tổng số rsETH bị mất (112.204 Token) chia cho tổng nguồn cung toàn thị trường (629.689) = 15.12%. Vì vậy, Aave sẽ điều chỉnh giảm giá rsETH trên toàn bộ hệ thống xuống còn 84.88% giá cũ để giữ an toàn cho hệ thống. Đối với phương án này, thiệt hại được chia đều cho từng người nhưng những người nắm giữ rsETH trên Ethereum cảm thấy bất công vì tỉ lệ dự trữ bằng ETH vẫn an toàn đạt 100% và lỗ hổng này xảy ra tên Layer 2
  • Phương án 2 - tổn thất chỉ áp dụng với người dùng Layer 2: Theo lí thuyết thì Bridge trên Layer 2 bị Hack vì vậy chỉ những người nắm giữ rsETH trên Layer 2 bị ảnh hưởng còn những người nắm giữ rsETH trên Ethereum vẫn có tài sản thật đảm bảo trên Treasury nên không bị ảnh hưởng. Tuy nhiên với phương án này thì rsETH trên Layer 2 sẽ bị định giá lại cực nặng khi giảm tới 26.46% giá trị trong khi rsETH trên Ethereum vẫn giữ nguyên giá trị. Điều này đảm bảo thanh khoản của Aave trên Ethereum không bị nợ xấu nhưng trên các Layer 2 thì bị tổn thất cực nặng chẳng hạn như Mantle thì nợ xấu lên tới 71.45% TVL còn Arbitrum cũng bị chiếm đến 26.67% TVL

Với phương án nào thì người dùng cũng chịu thiệt hại nặng nề vì vậy 2 phương án này không nhận được sự đồng tình của cộng đồng và Aave tiếp tục phải loai hoai tìm các phương án mới để giải quyết vấn đề nợ xấu này 

DeFi United - Hướng tiếp cận mới

Rõ ràng đề xuất ban đầu là không hiệu quả và nhận phải sự phản đối của cộng đồng. Song song với việc thu hồi khoản tiền đóng băng từ Hacker thì Aave đã lên một phương án khác để giải quyết với mục tiêu là nhanh chóng xử lí xong khoản nợ xấu và đưa Aave hoạt động bình thường trở lại. DeFi United là một hướng tiếp cận mới với mục đích kêu gọi nhiều bên tham gia bao gồm các dự án, hệ sinh thái và các cá nhân đóng góp nhằm mục đích cải thiện sự hỗ trợ của rsETH để bình ổn trở lại điều kiện thị trường

Đề xuất này đã được sự ủng hộ của nhiều bên trên thị trường khi Consensys và Joseph Lubin đã ủng hộ 30,000 ETH, Aave DAO cũng đang đề xuất với cộng đồng để hỗ trợ 25,000 ETH, Founder Aave DAO là Stani cũng hỗ trợ 5000 ETH, Ether.Fi đã hỗ trợ 5.000 ETH, Mantle cũng đang đề xuất với cộng đồng cho Aave vay 30,000 ETH,.... Tính đến thời điểm hiện tại, chương trình này đã thu hút tới 137,716 ETH tương đương với 326 triệu USD. Đây là một con số vượt quá sự mong đợi và thậm chí còn dư rất nhiều so với khoản cần là khoảng 75.000 ETH

Vẫn chưa có kế hoạch Aave dùng khoản tiền này để xử lí nợ xấu như thế nào tuy nhiên nhìn chung với khoản đóng góp này thì câu chuyện Aave hoạt động bình thường trở lại chỉ là vấn đề về thời gian mà thôi. Tuy nhiên, hậu quả để lại cho Aave vẫn còn rất lớn và thậm chí cho đến khi xử lí xong nợ xấu thì chưa thấy Aave giữ được vị thế ban đầu của mình 

Nguồn Vốn Được Đảm Bảo Nhưng Hậu Quả Để Lại Vẫn Nặng Nề

Trên lí thuyết thì nguồn vốn để bù đắp cho khoản nợ xấu đã được xử lí xong tuy nhiên ngay cả khi Aave hoạt động bình thường trở lại thì niềm tin của cộng đồng và vị thế của Aave chắc chắn không thể nào bằng được so với lúc ban đầu. Nguyên nhân xuất phát từ thiết kế Pool thanh khoản chung và điều này đã cho thấy hậu quả cực kì nặng trong vụ Hack vừa rồi. Không ai đảm bảo được sẽ không có sự kiện tương tự thứ 2 tiếp tục xảy ra với Aave và nếu như xảy ra thật thì chẳng lẽ Aave lại kêu gọi cộng đồng đóng góp như sự việc vừa rồi và liệu cộng đồng còn ủng hộ không?

Rõ ràng Aave đã nhận biết được điểm yếu từ mô hình thiết kế của mình và ra mắt V4 là một giải pháp để khắc phục điều này. Nếu mọi người chưa tìm hiểu về Aave V4 thì hiểu một cách đơn giản đây là phiên bản cải tiến của mô hình Isolated Pool tuy nhiên các Pool này vẫn được liên kết với nhau. Mọi người có thể tưởng tượng cách thiết kế của Aave V4 như một bánh xe đạp nơi các Pool được thiết kế riêng lẻ như các nan hoa nhưng vẫn được liên kết với nhau bằng 1 Pool chung bởi trục chính giữa. Tuy nhiên sẽ có giới hạn rút tiền từ mỗi Pool này tùy thuộc vào tài sản thế chấp của từng Pool, điều này sẽ tránh được tình trạng Hacker có thể rút 1 khoản tiền lớn ra khỏi hệ thống chỉ nhờ 1 tài sản đảm bảo

Tuy nhiên, từ thời điểm hiện tại đến lúc Aave V4 được áp dụng hoàn toàn trên nền tảng cần một khoảng thời gian nữa. Tâm lí của người dùng sẽ có phần nào lo sợ khi gửi tiền vào Aave V3 mặc dù như mình đã nói vấn đề không xuất phát từ yếu tố bảo mật mà chính từ mô hình thiết kế của Aave mà thôi, vậy Aave phải xử lí như thế nào?

Có lẽ họ phải co hẹp lại tài sản thế chấp và chấp nhận sự tham gia của ít tài sản thế chấp hơn đồng nghĩa Aave sẽ mất đi 1 vài lớp người dùng nhưng điều này sẽ đảm bảo sản phẩm Core của họ được an toàn và giữ vững niềm tin của cộng đồng. Trên hết đối với một nền tảng Lending thì lòng tin vẫn là một yếu tố quyết định người dùng có gửi tiền vào nền tảng không

Tổng Kết

Vụ Hack lần này đã bộc lộ rõ những vấn đề của mô hình Pool thanh khoản chung của Aave V3, khoản vốn để đền bù cho vụ Hack nhìn chung đã được đảm bảo. Vấn đề trước mắt của Aave là nhanh chóng thay đổi mô hình sản phẩm, có thể là đẩy lên Aave V4 sớm hơn dự kiến hoặc hạn chế tài sản đảm bảo lại để ổn định lòng tin của cộng đồng. Trên đây là tất cả thông tin mình muốn chia sẻ trong bài viết này, hi vọng mọi người đã nhận được những kiến thức bổ ích