TVL của Hedera lao dốc 40% sau sự cố khai thác Bonzo Lend trị giá 9,05 triệu USD, dù mảng tổ chức vẫn ghi dấu tiến triển

Hedera vừa trải qua một tuần đầy tương phản. Ở mảng DeFi, một vụ tấn công vào cơ chế oracle đã rút khỏi giao thức cho vay lớn nhất mạng lưới khoảng 9,05 triệu USD, kéo tổng giá trị khóa (TVL) của Hedera giảm gần 40% chỉ trong một ngày. Trái lại, Lloyds Banking Group, Aberdeen Investments và Archax lại hoàn tất giao dịch ngoại hối đầu tiên tại Anh sử dụng tài sản thực được token hóa (RWA) làm tài sản thế chấp trên Hedera; cột mốc này cũng xuất hiện trong báo cáo do HM Treasury hậu thuẫn ngay trong cùng tuần. Những điểm chính - Bonzo Lend, giao thức cho vay DeFi lớn nhất của Hedera, ghi nhận thiệt hại khoảng 9,05 triệu USD vào ngày 11/7 sau khi kẻ tấn công khai thác lỗ hổng xác minh của oracle bên thứ ba Supra, thao túng giá token SAUCE để vay vượt xa mức tài sản thế chấp. - TVL toàn mạng Hedera giảm gần 40% trong 24 giờ sau sự cố; riêng TVL của Bonzo giảm 77%. TVL toàn mạng hiện vào khoảng 25,7 triệu USD. - HBAR giảm về vùng 0,067"0,069 USD sau vụ việc, giảm khoảng 71% trong 12 tháng qua và thấp hơn khoảng 88% so với đỉnh lịch sử 0,5692 USD hồi tháng 9/2021. - Vài ngày sau, Lloyds Banking Group, Aberdeen Investments và Archax hoàn tất giao dịch FX đầu tiên tại Anh dùng RWA token hóa làm tài sản thế chấp, triển khai trên Hedera và được nêu trong báo cáo Wholesale Digital Markets Champion do HM Treasury hậu thuẫn. - Hedera Council, cơ quan quản trị theo mô hình doanh nghiệp của mạng, hiện có khoảng 31"32 thành viên như Google, IBM, Boeing, FedEx, Deutsche Telekom và McLaren Racing; mỗi thành viên vận hành một nút xác thực (validator) của mạng. - ETF giao ngay Canary Capital HBAR (mã: HBR) ghi nhận dòng vốn vào lũy kế khoảng 93 triệu USD kể từ khi ra mắt, tài sản ròng khoảng 49 triệu USD, sau khi SEC và CFTC xếp HBAR vào nhóm "hàng hóa số" trong danh sách công bố ngày 17/3/2026. Diễn biến vụ khai thác Bonzo Lend Theo báo cáo sự cố chính thức của Bonzo, vụ tấn công bắt đầu khoảng 00:51 UTC ngày 11/7/2026. Kẻ tấn công nạp 250 token SAUCE (giá trị chỉ vài USD) rồi gửi một bản cập nhật giá đã bị thao túng tới hợp đồng oracle theo yêu cầu. Dữ liệu giả đã đẩy giá trị SAUCE tăng khoảng 12 bậc độ lớn. Điểm then chốt là bộ xác minh oracle lại chấp nhận cập nhật dù chữ ký bị đặt về 0 thay vì chữ ký hợp lệ từ ủy ban oracle được ủy quyền. Chỉ 8 giây sau, kẻ tấn công dùng tài sản thế chấp đã bị thổi giá để vay khoảng 6,6 triệu USDC và 34,5 triệu Wrapped HBAR (WHBAR), tổng trị giá khoảng 9,05 triệu USD. Trong cùng khoảng thời gian, một ví thứ hai vay thêm khoảng 1 triệu USD trước khi tự nhận là "whitehat" và cam kết hoàn trả. Vì vậy, tổng giá trị vay bất thường trong sự cố vào khoảng 10,06 triệu USD, còn con số thiệt hại 9,05 triệu USD mà Bonzo công bố không tính phần tiền mà ví whitehat nói sẽ trả lại. Các nhà nghiên cứu an ninh blockchain Specter và PeckShield theo dõi hơn 5,25 triệu USD bị chuyển cầu (bridge) từ Hedera sang Ethereum qua LayerZero, sau đó hoán đổi từ Wrapped Bitcoin sang ETH. Hiện Bonzo Lend và Bonzo Points vẫn tạm dừng để đánh giá phương án khắc phục. Bonzo Vaults, Bonzo Bridge và hình thức staking một phía không bị ảnh hưởng và vẫn hoạt động bình thường. Bonzo cho biết nguyên nhân nằm ở lỗi trong hạ tầng xác minh oracle của Supra, không xuất phát từ lỗ hổng trong smart contract của Bonzo hay từ mạng Hedera. Điều này hàm ý rủi ro nằm ở lựa chọn nhà cung cấp oracle của một giao thức DeFi hơn là ở cơ chế đồng thuận cốt lõi. Phía Supra đã thừa nhận vấn đề và triển khai bản sửa cho hợp đồng verifier bị ảnh hưởng. Tác động vượt ra ngoài con số thiệt hại Thiệt hại lớn nhất có thể nằm ở niềm tin. TVL toàn mạng giảm gần 40% trong 24 giờ sau sự cố do người dùng rút vốn. Các sàn Hàn Quốc như Upbit, Bithumb và Coinone cũng phát thông báo cảnh báo nhà đầu tư liên quan đến Hedera. Thời điểm xảy ra sự cố cũng gây chú ý: đây là một trong ba vụ khai thác DeFi lớn chỉ trong một tuần, bên cạnh vụ Summer.fi khoảng 6 triệu USD và vụ tấn công quản trị BonkDAO khoảng 20 triệu USD. Tổng thiệt hại vượt 35 triệu USD, phù hợp với nhận định trong báo cáo H1/2026 của CertiK rằng môi trường an ninh "không cải thiện và ở nhiều khía cạnh còn xấu đi", dù tổng thiệt hại tính theo USD đang có xu hướng giảm. Mảng tổ chức: Lloyds, Aberdeen và Archax Trong lúc câu chuyện khai thác vẫn chiếm tiêu đề, Hedera đồng thời ghi nhận một bước tiến đáng kể ở khối tổ chức. Lloyds Banking Group, Aberdeen Investments và nền tảng tài sản số Archax đã hoàn tất giao dịch ngoại hối đầu tiên tại Anh sử dụng RWA token hóa làm tài sản thế chấp, triển khai trên mạng Hedera. Giao dịch sử dụng các đơn vị quỹ thị trường tiền tệ của Aberdeen Investments dưới dạng token, cùng với nợ chính phủ Vương quốc Anh được token hóa. Thương vụ được nêu trong báo cáo Wholesale Digital Markets Champion do HM Treasury hậu thuẫn như một ví dụ về ứng dụng blockchain mang tính thực tiễn trong hệ thống tài chính truyền thống. Sự đối lập giữa một vụ khai thác DeFi và một thử nghiệm tài chính truyền thống mang tính cột mốc trong cùng tuần phản ánh đúng trạng thái hiện tại của Hedera: mạng lưới có uy tín ở khối doanh nghiệp, trong khi lớp DeFi không cần cấp phép vẫn đối mặt rủi ro smart contract và bên thứ ba tương tự các chain khác. Hedera được quản trị như thế nào: Hedera Council Khác với Bitcoin hay Ethereum, Hedera không do các validator ẩn danh hay một đội ngũ sáng lập điều hành. Mạng lưới vận hành dưới Hedera Council (đổi tên từ "Hedera Governing Council" vào tháng 5/2025), một cơ chế luân phiên gồm tối đa 39 tổ chức toàn cầu, hiện khoảng 31"32 thành viên. Mỗi thành viên có một phiếu biểu quyết ngang nhau cho các quyết định giao thức, nhiệm kỳ 3 năm và tối đa hai nhiệm kỳ liên tiếp. Các thành viên đồng thời phải vận hành một nút đồng thuận để xác thực giao dịch. Mô hình này được mô tả là lấy cảm hứng từ khung quản trị Visa năm 1968, khi một hội đồng các ngân hàng thành viên cùng điều hành mạng thanh toán mà không có một tổ chức đơn lẻ kiểm soát. Thành phần hội đồng trải rộng các lĩnh vực công nghệ, tài chính, viễn thông, năng lượng và học thuật; gồm Google, IBM, Boeing, FedEx, Dell, Deutsche Telekom, LG Electronics, Standard Bank, Chainlink Labs, Nomura Holdings, Ubisoft, McLaren Racing và Accenture (gia nhập tháng 4/2026 để xây dựng hạ tầng quản trị AI doanh nghiệp trên mạng), cùng các tổ chức học thuật như London School of Economics và University College London. Bất kỳ thay đổi nào đối với tổng cung HBAR (giới hạn 50 tỷ token) đều cần sự đồng thuận tuyệt đối của toàn bộ thành viên hội đồng " ngưỡng cao nhất trong cấu trúc quản trị của mạng. Bối cảnh pháp lý và sản phẩm tổ chức liên quan HBAR HBAR nằm trong danh sách 16 token được SEC và CFTC đưa vào phân loại "hàng hóa số" công bố ngày 17/3/2026, cùng Bitcoin, Ethereum, Solana và XRP. Việc được đưa vào danh sách này giúp mở rộng khả năng tiếp cận theo khuôn khổ quản lý cho khối tổ chức. Diễn biến đó cũng tạo điều kiện cho các sản phẩm như ETF giao ngay Canary Capital HBAR (HBR), hiện thu hút dòng vốn vào lũy kế khoảng 93 triệu USD kể từ khi ra mắt với tài sản ròng khoảng 49 triệu USD, cùng một sản phẩm chỉ số của Hashdex cũng có mức tiếp xúc với HBAR.