Một ví Ethereum nắm giữ rsETH được sử dụng đòn bẩy đã mất khoảng 7,8 triệu đô la sau khi kẻ tấn công khai thác một mô-đun Safe tùy chỉnh được liên kết với nhóm thanh khoản Uniswap v4.
Sự cố xảy ra vào ngày 15 tháng 9 năm 2026, nhưng các nhà nghiên cứu bảo mật cho biết cuộc tấn công không xuất phát từ lỗ hổng trong các hợp đồng rsETH cốt lõi của Kelp DAO.
Đây là cách mà lỗ hổng bảo mật này thực sự hoạt động.
Mô-đun bảo mật tùy chỉnh làm lộ ví tiền, tạo điều kiện cho tấn công
Công ty bảo mật blockchain Blockaid đã xác định cuộc tấn công và truy tìm nguồn gốc đến một mô-đun Uniswap v4 LP Safe tùy chỉnh được sử dụng bởi ví Gnosis Safe bị ảnh hưởng.
Ví điện tử tại địa chỉ 0x40E93…7AbA8 nắm giữ khoảng 7,73 triệu đô la Mỹ giá trị rsETH trước khi cuộc tấn công diễn ra.
Theo phân tích bảo mật, mô-đun này có một điểm truy cập công khai chấp nhận dữ liệu do người gọi kiểm soát và sử dụng DELEGATECALL mà không có các bước kiểm tra quyền truy cập thích hợp.
Vì mô-đun này đã được Safe ủy quyền, kẻ tấn công bên ngoài có thể sử dụng điểm truy cập đó để thực thi mã bên trong ngữ cảnh của ví.
Điều này cho phép kẻ tấn công kiểm soát tài sản trong ví.
Lỗ hổng bảo mật rsETH xảy ra như thế nào?
Kẻ tấn công đầu tiên sử dụng hàm multicall của public keeper để chuyển hướng mô-đun Uniswap v4 Safe tùy chỉnh của ví đến một pool Hook độc hại.
Sau đó, mô-đun này giải nén aEthrsETH của ví, một phiên bản ETH được đóng gói bằng Aave, thành rsETH thô. Kẻ tấn công đã cố gắng trích xuất các token này thông qua pool độc hại.
Có lẽ, kẻ tấn công ban đầu đã không lấy được số tiền bị đánh cắp.
Tại sao!
Vì giao dịch của kẻ tấn công đã đi vào mempool của Ethereum, nơi một bot MEV có tên “yoink” phát hiện và thực hiện giao dịch trước, chiếm đoạt toàn bộ số rsETH trị giá khoảng 7,8 triệu đô la cho riêng mình.
Liệu Kelp có thể rút 7,8 triệu đô la từ rsETH được không?
Không nhất thiết. Vì rsETH là một token có tính thanh khoản cao để tái đặt cọc. Việc ví đó nắm giữ 7,8 triệu đô la rsETH không có nghĩa là Kelp DAO đang sở hữu một lượng token trị giá 7,8 triệu đô la mà họ có thể dễ dàng thu hồi lại.
Nếu số rsETH bị đánh cắp vẫn nằm trong địa chỉ do Yoink kiểm soát, việc khôi phục thường sẽ yêu cầu đóng băng, đưa vào danh sách đen, thu hồi hoặc hạn chế các tài sản đó bằng các biện pháp khác, nếu thiết kế của token và các biện pháp kiểm soát hiện hành cho phép.
Kelp DAO khẳng định các hợp đồng rsETH cốt lõi vẫn an toàn
Trong khi đó, nhóm Kelp DAO đã phản hồi bằng cách tạm dừng các giao dịch chuyển khoản rsETH trong 24 giờ để cô lập các khoản tiền bị ảnh hưởng.
Nhóm phát triển cho biết các hợp đồng thông minh cốt lõi của họ vẫn an toàn và nhóm rsETH được thế chấp đầy đủ. Quá trình tạo, quy đổi và các tích hợp DeFi khác vẫn tiếp tục hoạt động bình thường.
