Aave công bố kế hoạch bảo mật nhiều lớp cho V4 sau chương trình kiểm toán trị giá 1,5 triệu USD

Theo bài đăng trên diễn đàn quản trị của dự án, quá trình kiểm tra và đánh giá bảo mật của Aave V4 kéo dài gần một năm, với tổng cộng 345 ngày kiểm toán và kiểm tra kỹ thuật. Chương trình này có sự tham gia của đội ngũ nội bộ Aave, các công ty kiểm toán độc lập và cộng đồng các nhà nghiên cứu bảo mật.

Toàn bộ quá trình được tài trợ thông qua ngân sách bảo mật 1,5 triệu USD đã được phê duyệt bởi Aave DAO.

Điểm đáng chú ý là thay vì chỉ thực hiện kiểm toán ở giai đoạn cuối trước khi ra mắt, Aave Labs đã tích hợp các lớp bảo mật ngay từ khâu thiết kế kiến trúc của giao thức. Cách tiếp cận này giúp phát hiện và xử lý rủi ro sớm hơn trong quá trình phát triển.

Trong quá trình phát triển Aave V4, đội ngũ đã áp dụng nhiều phương pháp đánh giá bảo mật khác nhau để giảm thiểu rủi ro cho giao thức.

Các lớp kiểm tra bao gồm:

Formal verification: xác minh toán học để đảm bảo smart contract hoạt động đúng theo thiết kế
Manual audit: kiểm toán thủ công bởi các công ty bảo mật blockchain
Invariant testing: kiểm tra các điều kiện vận hành quan trọng của hệ thống
Fuzzing: kiểm thử với dữ liệu ngẫu nhiên để phát hiện lỗi
Security contest: cuộc thi tìm lỗi bảo mật mở cho cộng đồng

Trong đó, phương pháp formal verification đóng vai trò quan trọng trong quá trình xây dựng V4. Công ty bảo mật Certora đã làm việc trực tiếp với đội ngũ phát triển Aave ngay từ giai đoạn thiết kế kiến trúc, giúp phát hiện các điểm yếu tiềm ẩn trước khi mã nguồn bước vào các vòng kiểm toán chính thức.

Ngoài Certora, Aave V4 cũng trải qua nhiều vòng kiểm toán từ các công ty bảo mật blockchain như ChainSecurity, Trail of Bits và Blackthorn.

Đội ngũ cũng phát triển một bộ invariant testing suite riêng sử dụng các công cụ fuzzing để kiểm tra các thành phần quan trọng của giao thức, bao gồm:

hệ thống quản lý thanh khoản
cơ chế thanh lý tài sản thế chấp (liquidation)
mô hình tính lãi suất

Cuộc thi săn lỗi bảo mật thu hút hơn 900 người tham gia

Bên cạnh các vòng kiểm toán chuyên sâu, Aave Labs còn tổ chức một cuộc thi săn lỗi bảo mật kéo dài 6 tuần trên nền tảng Sherlock, diễn ra từ tháng 12/2025 đến tháng 1/2026.

Chương trình đã thu hút hơn 900 nhà nghiên cứu bảo mật tham gia, gửi về hơn 950 báo cáo phát hiện lỗi. Tuy nhiên, kết quả cho thấy không có lỗ hổng nghiêm trọng hoặc mức độ cao nào được phát hiện trong mã nguồn của V4.

Aave Labs cho biết kiến trúc của V4 cũng được thiết kế lại để phục vụ tốt hơn cho việc kiểm toán. Cụ thể, giao thức được xây dựng theo mô hình hub-and-spoke, giúp mã nguồn trở nên nhỏ gọn và mô-đun hơn so với các phiên bản trước. Nhờ vậy, các nhóm kiểm toán có thể kiểm tra từng thành phần một cách độc lập và hiệu quả hơn.

Ngoài ra, Aave cũng mở rộng mô hình phân tích rủi ro bằng cách thu thập phản hồi từ các đơn vị quản lý rủi ro và các dự án xây dựng ứng dụng trên Aave. Điều này giúp hệ thống không chỉ xem xét rủi ro từ người dùng trực tiếp mà còn từ các giao thức tích hợp sử dụng thanh khoản của Aave.

Aave đặt ra 5 cam kết bảo mật dài hạn

Sau quá trình phát triển V4, Aave Labs cho biết họ sẽ áp dụng các nguyên tắc bảo mật này cho toàn bộ các bản nâng cấp trong tương lai.

Cụ thể, đội ngũ đưa ra 5 cam kết bảo mật dài hạn:

tích hợp formal verification ngay từ đầu chu kỳ phát triển
duy trì mô hình bảo mật nhiều lớp với nhiều kỹ thuật kiểm toán
thực hiện xác minh liên tục song song với quá trình phát triển
triển khai chương trình bug bounty dài hạn
phát triển công cụ quét smart contract bằng AI

Những bước đi này cho thấy Aave đang muốn xây dựng một tiêu chuẩn bảo mật cao hơn cho các giao thức DeFi, đặc biệt khi quy mô thanh khoản của nền tảng ngày càng lớn.

Hệ sinh thái Aave đang xuất hiện căng thẳng trong nội bộ

Thông báo về kế hoạch bảo mật V4 được đưa ra trong bối cảnh hệ sinh thái Aave đang xuất hiện nhiều tranh cãi trong cộng đồng quản trị.

Đầu năm nay, BGD Labs - một trong những đơn vị kỹ thuật đóng vai trò quan trọng trong việc xây dựng hạ tầng cho Aave cho biết sẽ ngừng tham gia phát triển giao thức sau khoảng 4 năm làm việc.

Trong khi đó, Marc Zeller cũng thông báo rằng Aave Chan Initiative dự kiến rút khỏi Aave vào tháng 7, khi căng thẳng giữa các bên đóng góp ngày càng gia tăng.

Trước đó, cộng đồng Aave đã có cuộc tranh luận khá gay gắt về đề xuất “Aave Will Win”, một kế hoạch thay đổi mô hình doanh thu và định hướng phát triển cho bản nâng cấp V4. Đề xuất này chỉ nhận được 52,6% phiếu ủng hộ trong vòng temperature check, cho thấy cộng đồng DAO đang có những quan điểm khác nhau về tương lai của giao thức.

Hiện tại, Aave vẫn là giao thức cho vay on-chain lớn nhất trong DeFi, đồng thời nằm trong nhóm dự án tạo ra doanh thu phí hàng tháng cao nhất thị trường.

Đọc thêm: