Truyền dẫn rủi ro: Ai là nạn nhân?

撰文：KarenZ，Foresight News

Ngày 22 tháng 3 năm 2026, Resolv đã gặp phải sự cố an ninh nghiêm trọng. Kẻ tấn công đã truy cập trái phép vào cơ sở hạ tầng của Resolv thông qua khóa riêng bị rò rỉ, chỉ với hai giao dịch, 200,000 USD, đã đúc ra 80 triệu USR stablecoin không có tài sản đảm bảo.

Chiến lược thoát của kẻ tấn công cũng sạch sẽ. Kẻ tấn công đã tách USR ra thành USDC và USDT trên nhiều DEX, sau đó chuyển đổi thành ETH, cuối cùng ví chứa 11,408 ETH, tương đương khoảng 24 triệu USD.

Giá USR đã có lúc giảm xuống dưới 0.03 USD, hiện đã phục hồi lên khoảng 0.3 USD, nhưng vẫn chưa khôi phục được mức neo.

Đây là một trong những vụ tai nạn an ninh DeFi tiêu biểu nhất cho đến nay trong năm 2026, và nó đã lan sang nhiều giao thức. Trong đó, gây tranh cãi nhất không ai khác chính là Morpho và Fluid.

Truyền dẫn rủi ro: Ai đã bị ảnh hưởng?

USR đóng vai trò là tài sản thế chấp và cũng là cặp giao dịch, đã được nhúng vào nhiều giao thức DeFi. Khi USR mất neo mạnh, nó đã kích hoạt một chuỗi phản ứng dây chuyền.

Morpho: oracle và quản lý rủi ro đều thất bại

Morpho chính thức ngay lập tức cho biết: hợp đồng lõi của giao thức không có lỗ hổng. Nhưng “không có lỗ hổng” và “không có vấn đề”, “không bị thiệt hại” là hai chuyện khác nhau.

Theo tiết lộ mới nhất từ Morpho: trong 500 kho có tiền gửi vượt 10.000 USD, khoảng 15 kho có mức tiếp xúc lớn với các thị trường bị ảnh hưởng.

Sau khi USR mất neo, một số nhà kinh doanh chênh lệch mua vào với chiết khấu, rồi đem thế chấp vào giao thức; trong khi oracle nội bộ của giao thức vẫn định giá ở mức 1 USD. Các nhà kinh doanh chênh lệch dùng khoảng chênh lệch giá đó để vay USDC thật, rút lấy thanh khoản stablecoin trong kho dự trữ.

Tại sao lại như vậy? Ngoài vấn đề oracle, điều thực sự khiến tổn thất không thể kiểm soát là tính năng “Public Allocator” (Bộ phân bổ công cộng) trên Morpho.

Ý định ban đầu khi thiết kế chức năng này là tốt: giám sát mức sử dụng của từng thị trường cho vay; khi lợi suất của một thị trường tăng vọt, tự động điều chuyển USDC từ kho dự trữ sang đó để giúp người quản lý nắm bắt lợi suất cao hơn. Trong thị trường bình thường, đây là một công cụ tối ưu hiệu quả vốn rất thanh lịch.

Nhưng sau khi cuộc tấn công xảy ra, do thanh lý và arbitrage, thị trường USR lập tức bùng nổ về tỷ lệ sử dụng (utilization). Các tổ chức như Gauntlet đã phát hiện “tín hiệu lợi suất cao”. Họ không biết đó là một thị trường “có hố”—vì vậy bắt đầu bơm vốn liên tục vào.

Nhà sáng lập Chaos Labs Omer Goldberg đã dựng lại dòng thời gian của vở kịch phi lý này: Gauntlet khởi động cấu hình tự động chỉ 20 phút sau khi tấn công, kéo dài khoảng 90 phút; một nhà quản lý khác là 9summits còn liên tục bơm thêm vốn tới 10 giờ sau cuộc tấn công, cho đến khi bị phát hiện thủ công mới dừng lại. Bao gồm Gauntlet, re7, kpk và 9summits, nhiều nhà quản lý đều tự động cung cấp vốn vào thị trường Resolv sau khi sự việc xảy ra.

Omer Goldberg 统计数据显示，共有约 620 万美元的 USDC 被作为「exit liquidity」（thanh khoản để thoát）、「喂」给了 USR 的借款人，其中 96% 的资金（约 600 万美元）来自 Gauntlet 管理的金库。

Omer Goldberg 还指出了两个致命点：一个是 Morpho 的这些市场使用了硬编码的预言机，在极端脱锚时无法及时反映资产已归零或严重贬值；另一个是风险管理的失职，策展人或者风险管理者的角色本应是在压力测试下进行人工判断，但在此次事件反应迟钝。

Fluid: chịu thiệt hại nặng nhất, gây tranh cãi nhiều nhất

Trong tất cả các giao thức bị ảnh hưởng, Fluid cũng là một trong những giao thức được thảo luận nhiều nhất trong sự kiện này.

Muốn hiểu điều này, trước hết cần hiểu cấu trúc của chính giao thức Fluid.

Fluid được nhóm Instadapp ra mắt vào năm 2024. Từ năm 2018, Instadapp hoạt động với tư cách là “middleware” DeFi; sau đó nhóm nhận ra rằng chỉ dựa vào các giao thức hiện có thì không còn nhiều không gian để đổi mới. Vì vậy họ tự xây dựng: một giao thức tích hợp hoàn toàn thanh khoản cho vay và giao dịch—đó là Fluid.

Triết lý thiết kế cốt lõi của Fluid là: kết nối thanh khoản cho vay và giao dịch, để cùng một khoản tài sản có thể làm đồng thời nhiều việc; cụ thể được thực hiện thông qua hai cơ chế đổi mới:

• Smart Collateral (tài sản thế chấp thông minh): tài sản thế chấp được gửi vào, đồng thời được dùng như tiền tạo lập thị trường cho pool thanh khoản AMM; vừa chờ bạn hoàn trả, vừa giúp người khác khớp lệnh giao dịch, kiếm phí giao dịch.

• Smart Debt (nợ thông minh): tiền vay ra không hề nằm yên, mà được tự động bơm vào pool thanh khoản AMM để đóng vai trò thanh khoản; phí giao dịch thu được sẽ bù lại lãi suất vay—trong trường hợp cực đoan thậm chí có thể đạt được “vay lãi suất âm”.

Nhờ thiết kế này, Fluid đưa LTV (tỷ lệ giá trị khoản vay) lên tới 95%, và hình phạt thanh lý xuống chỉ 0,1%. Cơ chế này là lợi thế trong điều kiện thị trường bình thường, nhưng trước tình huống mất neo cực đoan thì gần như không có “dung sai”—chỉ cần dao động giá trị tài sản thế chấp nhỏ cũng có thể kích hoạt chuỗi thanh lý liên hoàn.

Vậy cuộc tấn công của Resolv sẽ ảnh hưởng tới Fluid như thế nào?

Vấn đề nằm ở thị trường cho vay của Fluid. Trước đây, Fluid chấp nhận wstUSR (Wrapped Staked USR) làm tài sản thế chấp. Khi USR giảm giá, giá trị tài sản thế chấp trong các vị thế này bốc hơi gần như ngay lập tức.

Nợ xấu là kết cục tất yếu. Ở trang vay Fluid bên dưới, nhiều trạng thái thị trường hiển thị wstUSR (phiên bản USR được stake của Resolv) như tài sản thế chấp.

Theo thống kê của Omer Goldberg, nợ xấu tiềm ẩn của Fluid có thể lên tới hơn 11 triệu USD.

Nguồn: Omer Goldberg

Về vấn đề này, Fluid cho biết đội ngũ đã nhận được khoản vay ngắn hạn để bù đắp 100% nợ xấu hiện tại trong giao thức. Nguồn vốn này do Konstantin Lomashuk của Cyber Fund (một trong các nhà đầu tư của Fluid), meow (đồng sáng lập Jupiter) và đội ngũ cốt lõi của Fluid cùng góp. Ngoài ra, nhiều nhà đầu tư cũng cho biết nếu cần thêm vốn, họ sẵn sàng mua token FLUID từ quỹ dự trữ để làm lớp hỗ trợ bổ sung.

Người sáng lập Fluid Samyak Jain cũng công khai phát biểu: “Trong 2 đến 4 tuần tới, chúng tôi sẽ tập trung vào hai việc: nâng cao tính an toàn của Fluid và tự động hóa các cơ chế an toàn. Để robot có thể phản ứng trong 30 đến 60 giây, thay vì chờ đội ngũ phản ứng—đội ngũ có thể cần 30 đến 60 phút. Fluid sẽ xây dựng hạ tầng bảo mật phức tạp nhất, cho phép những phần cụ thể của giao thức tự động chuyển sang trạng thái bị đóng băng tùy theo điều kiện thị trường.”

Nhưng rốt cuộc thị trường có tin không? Dữ liệu DefiLlama cho thấy Fluid TVL đã giảm từ 1,25 tỷ USD trước khi xảy ra cuộc tấn công vào USR xuống còn 870 triệu USD hiện tại; chỉ trong một ngày, TVL giảm 380 triệu USD, tương đương mức sụt giảm 30%.

Xét theo giá: Morpho giảm 3,64% trong 24 giờ, trong khi FLUID giảm tới 15% trong 24 giờ.

Ngoài ra còn những giao thức và bên tham gia nào bị ảnh hưởng?

Người nắm giữ RLP: RLP là “quỹ rủi ro” của giao thức, được lập riêng để hỗ trợ người nắm giữ USR, nhưng lợi suất sẽ cao hơn. Theo thống kê của @yieldsandmore: trước khi sự việc xảy ra, tổng lượng RLP lưu hành là 29.999.625 token, tương đương khoảng 38,6 triệu USD; và bên nắm giữ lớn nhất là Stream Finance. Đây là giao thức đã mất 93 triệu USD do đối tác chiếm dụng tài sản vào tháng 11/2025; trên Morpho, Stream Finance nắm khoảng 13,6 triệu token RLP, với mức rủi ro ròng khoảng 17 triệu USD. Đáng chú ý, tài khoản X (trang chính thức) của Stream Finance từ tháng 11/2025 đến nay không có cập nhật nào.

Sản phẩm chiến lược lợi nhuận có đòn bẩy yoUSD: cũng sử dụng RLP làm tài sản thế chấp; mức tiếp xúc với RLP là 2,75%, nắm giữ 943.248 token RLP.

Inverse Finance: phản ứng nhanh. Phía chính thức cho biết sau khi USR lần đầu bị tấn công, trong vòng 15 phút, nhóm phụ trách rủi ro đã tạm dừng thị trường wstUSR-DOLA FiRM. Sau đó người thanh lý vào cuộc nhanh chóng; cuối cùng, nợ xấu chỉ ở mức 340.000 USD.

Tóm tắt

Kéo ống kính ra xa hơn: sự kiện Resolv đã đặt cho toàn ngành DeFi một câu hỏi cực kỳ sắc bén và khó tránh né: giới hạn an toàn của giao thức từ lâu không còn chỉ dựa vào audit mã nguồn.

Audit (kiểm toán) là trước khi xảy ra; giám sát (monitoring) là theo thời gian thực—hai thứ này thiếu cái nào cũng không được. Sự phòng vệ thực sự cũng cần được hiện thực ngay trong lúc vận hành: giám sát thời gian thực và liên tục. Chỉ cần phát hiện bất kỳ bất thường nào (mismatch dự trữ, chữ ký của người thao tác bất thường, v.v.), phải kích hoạt “hard kill switch” trong vòng vài giây, thậm chí vài mili giây, chặn đứng sự lan truyền rủi ro.

Đối với bất kỳ giao thức vay, phái sinh hoặc thanh khoản nào chấp nhận stablecoin bên ngoài làm tài sản thế chấp, càng phải hiểu rõ: bạn có thể kiểm soát smart contract của mình, nhưng bạn sẽ không bao giờ kiểm soát được logic đúc (mint) của stablecoin mà bạn phụ thuộc—cũng như quản lý khóa và an toàn vận hành của nó. Những rủi ro ngoại sinh này là một nhược điểm cấu trúc “cứng đầu” và khó khắc phục nhất trong mô hình “lego” ghép nối của DeFi.

Đồng thời, khi DeFi theo đuổi hiệu quả tối đa, cũng cần song song xây dựng cơ chế cách ly rủi ro mạnh hơn và “bức tường lửa” cho các phụ thuộc bên ngoài. Nếu không, mỗi lần ghép các “khối lego” lại với nhau có thể sẽ biến thành điểm khởi đầu của domino ngay trong giây tiếp theo.

Bảo mật không bao giờ chỉ là “lợi thế thêm”; đó là đường ranh sinh tử để DeFi tồn tại lâu dài.