Tác giả: Tom Dunleavy
Biên soạn bởi: Jia Huan, ChainCatcher
Lỗ hổng cầu nối xuyên chuỗi giá 292 triệu đô la trên KelpDAO đã gây ra phản ứng dây chuyền thông qua Aave, làm thất thoát 13 tỷ đô la giá trị bị khóa (TVL) khỏi DeFi trong vòng 48 giờ.
Nếu bạn kiếm được lợi nhuận 5% USDC trên thị trường tiền tệ, vấn đề không phải là liệu DeFi có rủi ro hay không, mà là liệu rủi ro bạn chấp nhận có được đền bù tương xứng hay không. Hãy sử dụng toán học trái phiếu để giải quyết vấn đề này.
Hai tuần trước, tin tặc đã đánh cắp 292 triệu đô la từ KelpDAO thông qua một cầu nối xuyên chuỗi LayerZero bị xâm nhập. Số rsETH bị đánh cắp sau đó được gửi lại vào Aave V3 làm tài sản thế chấp, để lại khoảng 196 triệu đô nợ xấu trên bảng tài sản của Aave , và TVL giảm mạnh từ 26,4 tỷ đô la xuống còn 17,9 tỷ đô la chỉ trong ba ngày.
Hai tuần trước đó, giao thức Drift của Solana đã mất 285 triệu đô la do hacker Triều Tiên đánh cắp khóa quản trị; cuộc tấn công kỹ thuật xã hội này đã được lên kế hoạch từ mùa thu năm 2025.
Hai sự cố xảy ra cách nhau ba tuần, dẫn đến tổng thiệt hại vĩnh viễn lên tới 577 triệu đô la. Thị trường USDC của Aave đạt mức sử dụng 99,87% trong bốn ngày liên tiếp, với lãi suất vay mượn tăng vọt lên 12,4%. Nhà kinh tế trưởng của Circle, Gordon Liao, đã đệ trình một Đề án quản trị nhằm tăng gấp bốn lần giới hạn vay, đơn giản chỉ để giải quyết tình trạng tồn đọng các yêu cầu rút tiền.
Đối với những người đã cung cấp stablecoin cho thị trường tiền tệ DeFi với tỷ suất lợi nhuận từ 4% đến 6% chỉ cách đây một tháng, câu hỏi quan trọng nhất là: liệu tỷ suất lợi nhuận đó có thực sự hợp lý hay không?
Liệu chúng ta đã nhận được sự đền bù xứng đáng cho rủi ro đã gánh chịu trong DeFi hay chưa, và mức chênh lệch lãi suất trong tương lai nên được thiết lập ở mức nào, đều là những câu hỏi đáng được nghiên cứu sâu hơn.
Tài chính truyền thống định rủi ro rủi ro như thế nào?
Tỷ suất lợi nhuận của mỗi trái phiếu doanh nghiệp là tổng của các khoản bù đắp rủi ro . Công thức cốt lõi của suy diễn lần là:
Tỷ suất lợi nhuận= Rf + [PD x LGD] + Phần rủi ro+ Phần thanh khoản thanh khoản
Rf là lãi suất không rủi ro, dựa trên kỳ hạn của trái phiếu chính phủ. PD x LGD là tổn thất dự kiến: xác suất vỡ nợ nhân với tổn thất do vỡ nợ, trong đó LGD bằng 1 trừ đi tỷ lệ thu hồi nợ.
Phần bù rủi ro bù đắp cho sự không chắc chắn về các khoản lỗ dự kiến — hai trái phiếu có PD và LGD giống hệt nhau, nhưng có khả năng biến động lớn hơn, vẫn sẽ được định giá cao hơn. Mặt khác, thanh khoản bù đắp cho chi phí rút lui.
Dữ liệu dài hạn của Moody's từ năm 1920 cung cấp một điểm tham chiếu:
Tỷ lệ vỡ nợ trung bình hàng năm dài hạn đối với trái phiếu hạng đầu cơ của Mỹ là 4,5%, hiện ở mức 3,2% trong giai đoạn 12 tháng liên tục và dự kiến sẽ tăng lên 4,1% trong quý đầu tiên năm 2026. Lịch sử , tỷ lệ thu hồi nợ đối với trái phiếu lợi lợi nhuận cao không có bảo đảm là khoảng 40%, trong khi trái phiếu LGD có tỷ lệ thu hồi nợ khoảng 60%. Mức lỗ dự kiến đối với trái phiếu lợi nhuận cao là 2,7% mỗi năm dựa trên mức trung bình dài hạn.
Trong lĩnh vực cho vay quỹ đầu tư tư nhân, KBRA dự báo tỷ lệ vỡ nợ trực tiếp là 3,0% và tỷ lệ thu hồi nợ khoảng 48% vào năm 2026. Tỷ lệ thu hồi nợ lịch sử đối với các khoản vay đòn bẩy có bảo đảm ưu tiên nằm trong khoảng từ 65% đến 75%.
Tỷ suất lợi nhuận thị trường hiện nay như thế nào?
Hãy cùng xem dữ liệu thực tế ngày hôm nay. Lợi suất trái phiếu kho bạc kỳ hạn 10 năm đóng cửa ở mức 4,29% vào thứ Tư. Tính đến tháng 4 năm 2026, chênh lệch điều chỉnh theo quyền chọn của chỉ số tín dụng ICE BofA (một thước đo mức độ rủi ro của trái phiếu so với trái phiếu kho bạc) cho thấy:
Quy luật này khá dễ hiểu. Từ trái phiếu chính phủ đến trái phiếu hạng đầu tư, rồi đến trái phiếu hạng đầu cơ, và cuối cùng là bất động sản thương mại lần, tỷ suất lợi nhuận tăng dần, bù đắp cho xác suất vỡ nợ ngày càng tăng và mức độ thiệt hại ngày càng nghiêm trọng.
Tỷ suất lợi nhuận cho vay trực tiếp vào khoảng 9%, không phải vì tỷ lệ vỡ nợ của người vay cao hơn, mà vì phí thanh khoản khi nắm giữ các trái phiếu tư nhân thanh khoản là có thật và rõ ràng.
Giờ hãy xem xét mức lãi suất USDC của Aave trước sự cố Kelp — khoảng 5,5%, nằm giữa trái phiếu hạng đầu tư và trái phiếu lợi nhuận cao hạng B.
Morpho kết hợp một kho lưu trữ được quản lý và lựa chọn kỹ lưỡng với tỷ suất lợi nhuận khoảng 10,4%. Hai con số này không thể đồng thời phản ánh chính xác mức định giá của cùng một rủi ro tiềm ẩn.
DeFi thể hiện ba loại "mặc định" không có trong tài chính truyền thống.
Các vụ vỡ nợ tín dụng truyền thống rất rắc rối: người vay không trả lãi, chủ nợ kích hoạt việc thu hồi nợ nhanh chóng, tiếp theo là tái cấu trúc, bán tài sản và đàm phán để xác định số tiền thu hồi được.
DeFi thiếu quy trình thanh lý tài sản này; nó đối mặt với nguy cơ bị khai thác lỗ hổng. Có ba chế độ lỗi khác nhau:
Mẫu 1. Lỗ hổng bảo mật hợp đồng thông minh
Mã nguồn chứa các lỗ hổng: lỗ hổng tái nhập, lỗi xác thực đầu vào và thiếu kiểm soát truy cập. Kẻ tấn công đã rút sạch quỹ. Lịch sử , tỷ lệ thu hồi vốn đối với các cuộc tấn công trực tiếp vào giao thức là từ 5% đến 15% khi hacker Mũ trắng hoàn trả tiền, nhưng gần như bằng không khi có sự tham gia hacker Triều Tiên.
Những kẻ tấn công mạng Poly Network năm 2021 đã trả lại toàn bộ 611 triệu đô la, điều này nghe có vẻ như một trò đùa. 625 triệu đô la của Ronin và 325 triệu đô la của Wormhole được thu hồi là nhờ Sky Mavis và Jump Trading đã dùng chính nguồn tài sản của mình để cứu trợ – đây không phải là thu hồi tài sản, mà là cứu trợ cổ đông.
Chế độ 2. Các cuộc tấn công thao túng Oracle và quản trị
Nguồn cấp dữ liệu giá bị gián đoạn, thường là do thao túng các pool DEX thanh khoản, dẫn đến nợ xấu. Ngoài ra, kẻ tấn công có thể tích lũy token quản trị và rút cạn kho bạc thông qua Đề án độc hại. Beanstalk đã mất 182 triệu đô la vì điều này vào năm 2022.
Các cuộc tấn công như vậy thường có thể được đảo ngược một phần thông qua can thiệp ở cấp độ giao thức, nhưng các yêu sách của người cho vay đối với "tài sản" thường kết thúc bằng việc yêu sách đối với token vô giá trị.
Mẫu 3. Hiệu ứng dây chuyền khả năng kết hợp
Đây là mô hình thất bại của KelpDAO, và nó nguy hiểm nhất vì khó kiểm toán nhất. Giao thức A phát hành thanh khoản - đặt thanh khoản hoặc reStake token, Giao thức B chấp nhận token này làm tài sản thế chấp, và Giao thức C kết nối chúng với một Chuỗi khác. Một lỗ hổng trong bất kỳ liên kết nào của chuỗi này đều có thể dẫn đến các vị thế bị bỏ rơi ở phía hạ lưu.
Kẻ tấn công không cần phải phá vỡ Aave; chúng phá vỡ rsETH, và các chủ nợ của Aave sẽ gánh chịu nợ xấu .
Ba mô hình này có một điểm chung, cũng chính là điều phân biệt DeFi với tất cả các thị trường tín dụng truyền thống: một khi vấn đề phát sinh, nó sẽ bùng phát trong vòng vài phút, chứ không phải kéo dài trong vài quý.
Không có đàm phán lại hợp đồng, không có tài trợ DIP (tài trợ tái cấu trúc phá sản, khoản tài trợ mới nhận được trong quá trình bảo hộ phá sản của doanh nghiệp để duy trì hoạt động cho đến khi quá trình tái cấu trúc hoàn tất, với quyền ưu tiên trả nợ), và hợp đồng thông minh được thực thi trực tiếp.
Quy chuẩn là luật – và khi quy chuẩn bị sai sót, hậu quả có thể rất nghiêm trọng.
Nợ xấu trên rsETH ở mức Aave V3 đã tăng vọt từ 0 lên 196 triệu đô la chỉ trong vòng bốn giờ. Ngược lại, số trung vị từ dấu hiệu căng thẳng đầu tiên đến khi hoàn tất tái cấu trúc đối với các khoản nợ xấu được xếp hạng BB là 14 tháng.
Liệu dữ liệu có cho thấy DeFi đã trở nên an toàn hơn? Câu trả lời không đơn giản như vậy.
Các quan điểm truyền thống đang bắt đầu sụp đổ. Bản cập nhật giữa năm của Chainalysis vào tháng 12 năm 2025 đã ghi nhận một sự khác biệt đáng chú ý: trong khi tổng giá trị hacker DeFi vẫn ở mức thấp như năm 2023.
Các vụ trộm crypto trị giá 3,4 tỷ đô la trong năm 2025 chủ yếu tập trung vào các lỗ hổng bảo mật sàn giao dịch tập trung(riêng Bybit đã chiếm 1,5 tỷ đô la) và các vụ rò rỉ ví cá nhân (chiếm 44% tổng giá trị bị đánh cắp, tăng từ 7% năm 2022).
Nguồn dữ liệu : Báo cáo tội phạm crypto của Chainalysis năm 2025 và 2026.
Nếu chỉ nhìn vào Biểu đồ 02, bạn có thể kết luận rằng DeFi đang trở nên an toàn hơn. Điều này đúng một phần: kiểm toán hợp đồng thông minh đã hoàn thiện, các chương trình thưởng tìm lỗi như Immunefi hiện đang bảo vệ hơn 100 tỷ đô la tiền của người dùng, và các kiến trúc cầu nối xuyên chuỗi đang dần áp dụng khóa thời gian và xác minh bên long.
Nhưng số liệu năm 2026 lại kể một câu chuyện khác. Vào ngày 1 tháng 4, Drift mất 285 triệu đô la, và vào ngày 18 tháng 4, KelpDAO mất 292 triệu đô la. Hai sự kiện thua lỗ với số tiền lên đến hàng trăm triệu đô la trong vòng 18 ngày, cả hai đều nhắm vào những điểm yếu trong khả năng kết hợp các thành phần chứ không phải các yếu tố cơ bản của vay mượn cốt lõi.
So với tổng giá trị bị khóa (TVL) trung bình, tỷ lệ thua lỗ hàng năm của DeFi trong những năm gần đây xấp xỉ như sau:
Năm 2024: Tổng thiệt hại trong lĩnh vực DeFi ước tính khoảng 500 triệu đô la, với tổng giá trị tài sản bị khóa (TVL) trung bình là 75 tỷ đô la = tỷ lệ thua lỗ hàng năm là 0,67%.
Năm 2025: Ước tính thiệt hại cụ thể trong lĩnh vực DeFi là 600 triệu đô la, với tổng giá trị tài sản bị khóa (TVL) trung bình là 120 tỷ đô la = tỷ lệ thua lỗ hàng năm là 0,50%.
Tính đến thời điểm hiện tại năm 2026 (tính theo năm): Chỉ riêng trong quý 2, tổn thất do các sự kiện lần đã lên tới khoảng 577 triệu đô la, với tổng giá trị tổn thất (TVL) là 95 tỷ đô la. Nếu tốc độ này tiếp tục, tỷ lệ tổn thất hàng năm tiềm năng có thể đạt từ 2,0% đến 2,5%.
Giả sử xác suất vỡ nợ (PD) hàng năm dự kiến là từ 1,5% đến 2,0% đối với vay mượn DeFi chất lượng cao, và áp dụng tỷ lệ tổn thất khi vỡ nợ (LGD) là 90%—với tỷ lệ thu hồi trung bình từ 5% đến 15% đối với các vụ tấn công trực tiếp khi không có nguồn tài sản bên ngoài nào sẵn sàng bù đắp—thì tổn thất dự kiến là từ 1,35% đến 1,80% mỗi năm.
Mức này đã cao hơn cả trái phiếu lợi nhuận cao. Và nó thậm chí còn chưa bao gồm khoản phí bảo hiểm từ sự không chắc chắn, thanh khoản, sự bất đối xứng trong quy định và cấu trúc độc đáo của sự lây lan khả năng kết hợp.
Tỷ suất lợi nhuận của DeFi nên ở mức nào?
Đây là lúc toán học về trái phiếu thực sự phát huy tác dụng. Tôi sẽ định giá tỷ suất lợi nhuận hợp lý của các khoản tiền gửi stablecoin DeFi chất lượng cao giả định — tức là các vị thế vay mượn thế chấp vượt mức bằng USDC trên Aave hoặc Compound dành cho người vay cá nhân và định lượng trên mạng chính ETH .
Tỷ suất lợi nhuận giá trị hợp lý được xây dựng dựa trên lợi suất trái phiếu kho bạc 10 năm làm chuẩn. Khung phân tích này tuân theo phương pháp phân tích chênh lệch tín dụng Duffie-Singleton và đã được điều chỉnh cho phù hợp với các chế độ rủi ro đặc thù của DeFi.
Phân tích chi tiết từng thành phần:
Phần rủi ro: Chuẩn mực không rủi ro (trái phiếu kho bạc Mỹ kỳ hạn 10 năm) + 4,30% tổn thất dự kiến (xác suất vỡ nợ × tỷ lệ tổn thất) + 1,50% rủi ro thao túng oracle + 0,75% rủi ro quản trị/khóa quản trị viên + 1,00% rủi ro lan truyền xuyên Chuỗi (các sự kiện tương tự Kelp) + 1,25% rủi ro bất đối xứng quy định + 1,25% rủi ro mất neo giá stablecoin + 0,50% phần bù thanh khoản+ 0,50% phần bù không chắc chắn của mô hình + 1,50% = mức tỷ suất lợi nhuận sàn hợp lý 12,55%
Do đó, đối với các khoản tiền gửi stablecoin DeFi chất lượng cao trên các giao thức chính thống, lãi suất tối thiểu không nên thấp hơn 13%. Các vị thế có bảo hiểm rõ ràng (bảo hiểm Nexus Mutual, dự trữ giao thức kiểu Umbrella) có thể có lãi suất thấp hơn một chút, trong khi các vị thế liên quan đến các giao thức ít phổ biến, thị trường triển khai mới hoặc reStake, và tiếp xúc với giao thức cơ sở chuỗi Chuỗi nên có lãi suất cao hơn.
Kết luận chính
Đầu tiên, cần có sự đền bù công bằng. Nếu bạn cung cấp USDC cho DeFi với lãi suất 5%, bạn thực chất đang định giá rủi ro tín dụng ở mức BB, chấp nhận rủi ro kỹ thuật và khả năng kết hợp tồi tệ hơn so với mức CCC.
Tỷ suất lợi nhuận thị trường kho lưu trữ chọn lọc của Morpho từ 9% đến 12% gần với mức giá thanh lý hợp lý hơn, mặc dù điều này cũng đặt ra những câu hỏi riêng về việc lựa chọn người quản lý và tính minh bạch.
Thứ hai, hãy chuyển vốn đầu tư lên cấp cao hơn (từ nợ có bảo đảm ưu tiên lên cổ phiếu phổ thông, vốn càng có mức độ ưu tiên cao thì rủi ro càng thấp ).
Vay mượn vượt mức bảo đảm bằng tài sản thế chấp cao cấp (ETH, wBTC và LST đã được kiểm chứng) có các đặc điểm như dự phòng oracle, bảo hiểm lớp giao thức và không có rủi ro xuyên Chuỗi—đây mới thực sự là mức đầu tư chất lượng cao trong DeFi, và phí bảo hiểm rủi ro yêu cầu sẽ thấp hơn đáng kể so với các ước tính trong khuôn khổ nêu trên.
Thứ ba, định giá chính xác rủi ro đuôi.
Lỗ hổng bảo mật KelpDAO không phải là một sự kiện "thiên nga đen"; đó là một kiểu lỗi có thể dự đoán được của giao thức cơ bản về cầu nối reStake trong một kiến trúc đa chuỗi ngày càng dễ bị tổn thương. Drift cũng tương tự, chỉ khác ở các nhân vật chính.
Tính đến quý 2 năm 2026, đã ghi nhận khoản lỗ vĩnh viễn 577 triệu đô la. Danh mục đầu tư DeFi lai tỷ suất lợi nhuận 5,5% đối mặt với rủi ro sụt giảm nghiêm trọng mà tỷ suất lợi nhuận không thể bù đắp được.
DeFi không phải là không thể đầu tư; chỉ là giá của nó đang bị định giá sai ở giai đoạn đầu của sổ lệnh . Cơ hội đầu tư cho các tổ chức là có thật, nhưng chỉ giới hạn ở những nhà phân bổ tài sản yêu cầu mức phí rủi ro được hỗ trợ bởi khuôn khổ hoặc xem xét kỹ lưỡng các giao thức cụ thể với cùng sự nghiêm ngặt như khi đánh giá tín dụng quỹ đầu tư tư nhân .
Cách tiếp cận dễ nhất — gửi stablecoin vào nền tảng lending chính thống và chấp nhận tỷ suất lợi nhuận được công bố một cách thụ động — thực chất chỉ là một hình thức cá cược chênh lệch giá được ngụy trang dưới dạng lãi suất không rủi ro.
