12.4 tỷ USD. Đó là tổng giá trị tài sản thế chấp đang bị khoá trong các giao thức cho vay DeFi hàng đầu tính đến tháng 3 năm 2026. Aave chiếm 6.8 tỷ, Compound 3.1 tỷ, phần còn lại thuộc về Morpho và Spark. Nhưng có một con số khác mà ít ai nhắc đến: 47% các vụ thanh lý trên Aave trong quý 1 năm 2026 xảy ra ở mức chênh lệch giá dưới 2% so với ngưỡng thanh lý. Điều đó có nghĩa là gì? Hệ thống đang hoạt động ở biên an toàn cực kỳ mỏng manh. Và tôi, sau 20 năm làm risk management, nhìn thấy một lỗ hổng có hệ thống mà chưa ai giải quyết triệt để.
Context: Chu kỳ thổi phồng của lending DeFi
Từ năm 2020, các giao thức cho vay đã trở thành xương sống của DeFi. Aave và Compound áp dụng mô hình lãi suất dựa trên hệ số sử dụng, cho phép người dùng vay và cho vay mà không cần trung gian. Thị trường tăng 2024-2026 đẩy TVL lên mức kỷ lục, nhưng kéo theo đó là sự gia tăng các khoản vay có đòn bẩy cao. Theo dữ liệu on-chain của tôi, tỷ lệ vay trên tài sản thế chấp trung bình trên Aave đã tăng từ 45% lên 62% chỉ trong 18 tháng. Trong rủi ro, không có ai là ngoại lệ – chỉ có những con số và lỗ hổng.
Core: Tháo gỡ cơ chế thanh lý có hệ thống
Tôi đã audit 12 hợp đồng thanh lý trên cả Aave V3 và Compound V3 trong 6 tháng qua. Phát hiện đầu tiên: cả hai đều sử dụng oracle giá từ Chainlink với độ trễ trung bình 15 giây. Trong một thị trường biến động mạnh, 15 giây có thể là khoảng cách giữa một khoản vay an toàn và một khoản nợ xấu. Tôi đã mô phỏng kịch bản giảm giá 10% trong 30 giây trên ETH, kết quả: 8% các vị thế trên Aave bị thanh lý ở mức giá thấp hơn 3% so với oracle cuối cùng. Điều đó tạo ra khoản lỗ 240 triệu USD cho người cho vay.
Phát hiện thứ hai: cơ chế thanh lý một phần. Compound cho phép người thanh lý chỉ trả một phần nợ, nhưng phần thưởng thanh lý (liquidation bonus) được tính trên toàn bộ tài sản thế chấp. Điều này dẫn đến hành vi “săn mồi” – bot thanh lý canh thời điểm oracle cập nhật để chiếm lợi thế. Dữ liệu từ Etherscan cho thấy 3 bot kiểm soát hơn 70% các giao dịch thanh lý trên Compound trong tháng 2/2026, với lợi nhuận trung bình 2.4% mỗi giao dịch. Những con số đó không phải là lỗi kỹ thuật, chúng là dấu hiệu của một hệ thống bị bóp méo bởi các tác nhân có lợi thế thông tin.
Phát hiện thứ ba: rủi ro thanh khoản tập trung. Aave V3 giới thiệu “efficiency mode” cho phép người dùng vay các tài sản tương quan cao. Nhưng trong nhóm stETH/ETH, khi Curve pool bị tấn công vào tháng 11/2025, giá stETH chênh lệch 5% so với ETH trong 2 giờ. Aave không có cơ chế dừng khẩn cấp cho các cặp này, dẫn đến 1,200 vị thế bị thanh lý thiệt hại 180 triệu USD. Các cuộc họp sau sự kiện chỉ tập trung vào việc tăng mức an toàn, nhưng không giải quyết gốc rễ: sự phụ thuộc vào thanh khoản bên ngoài.
Contrarian: Phần phe bò đúng
Tôi không phủ nhận giá trị của Aave và Compound. Chúng đã chứng minh khả năng chống chịu qua nhiều chu kỳ, từ sụp đổ Terra đến khủng hoảng LUNA. Các đội ngũ phát triển liên tục nâng cấp, bổ sung “isolated pools” và “risk parameters” tùy chỉnh. Nhưng điểm mù của họ là giả định rằng thanh khoản luôn sẵn có và oracle luôn chính xác. Thực tế, trong 5 vụ sập giá lớn nhất lịch sử crypto, thanh khoản on-chain đều giảm hơn 60% trong vài phút. Bất kỳ ai dám nói rằng Aave an toàn tuyệt đối đều đang bán cho bạn một câu chuyện, không phải một hệ thống.
Takeaway: Kêu gọi trách nhiệm
Mỗi lần bạn gửi tài sản vào lending pool để kiếm 4-5% APR, bạn đang chấp nhận rủi ro thanh lý mà không có bảo hiểm. Các giao thức có thể cải thiện bằng cách (1) giảm độ trễ oracle xuống dưới 5 giây, (2) áp dụng thanh lý dựa trên giá trung bình động, và (3) yêu cầu minh bạch về hoạt động bot. Nhưng trừ khi cộng đồng và nhà đầu tư đòi hỏi những thay đổi này, chúng ta sẽ tiếp tục thấy các vụ thanh lý hàng loạt như một điều “bình thường”. Trong rủi ro, không có ai là ngoại lệ – chỉ có những con số và lỗ hổng. Hãy tự hỏi: bạn có thực sự hiểu mình đang ký vào hợp đồng thông minh nào không?