Thiệt hại hack tiền mã hóa vượt 10 tỷ USD năm 2026, DeFi trở thành mục tiêu tấn công tinh vi

Theo Protos đưa tin ngày 13 (giờ địa phương), tổng thiệt hại từ *tiền mã hóa* bị *hack* trong năm 2026 đã vượt mốc *10 tỷ USD*, cho thấy rủi ro *bảo mật* trong thị trường *tiền mã hóa* tiếp tục leo thang, trong khi ngay cả các công ty *an ninh mạng* chuyên về blockchain cũng đang chật vật ứng phó.

Trong năm nay, đã ghi nhận ít nhất 68 vụ *tấn công tiền mã hóa*, với tổng thiệt hại khoảng 1,08 tỷ USD, tương đương gần 1.594 tỷ won. Riêng tháng 4 đã xảy ra tới 30 vụ, và chỉ trong một tuần gần đây cũng đã có 13 vụ được xác nhận. Nhiều vụ trong số này có giá trị không quá lớn, nhưng tần suất tấn công dày đặc – có ngày ghi nhận tới ba vụ – làm dấy lên lo ngại rằng môi trường *DeFi* và các giao thức on-chain đang trở thành “sân chơi” lý tưởng cho hacker.

Thiệt hại chủ yếu tập trung ở một số vụ tấn công quy mô lớn. Phần lớn số tiền bị đánh cắp đến từ ba vụ *hack* nổi bật, trong đó hai vụ diễn ra trong tháng 4. Giao thức Drift Protocol thiệt hại khoảng 280 triệu USD và Kelp DAO mất khoảng 290 triệu USD. Đáng chú ý, cả hai vụ này đều không được xếp vào nhóm tấn công do lỗ hổng *smart contract* truyền thống, mà liên quan nhiều hơn đến các hình thức tấn công như chiếm quyền, thao túng hạ tầng hay quy trình, cho thấy xu hướng dịch chuyển từ việc khai thác lỗi mã nguồn sang các kỹ thuật xã hội tinh vi hơn.

Làn sóng tấn công cũng khiến ngành *bảo mật blockchain* rơi vào thế bị động. Đại diện các dự án Alchemix, Trading Strategy và Yearn Finance gần đây đã công khai chỉ trích công ty phân tích on-chain PeckShield vì đã phát đi cảnh báo mà họ cho là “thiếu trách nhiệm”, khiến vấn đề ở hợp đồng bên thứ ba bị hiểu nhầm thành lỗi trực tiếp trong sản phẩm của họ. Không chỉ vậy, một nhân sự phụ trách phát triển kinh doanh của công ty kiểm toán hợp đồng thông minh CertiK cũng bị chiếm đoạt tài khoản Telegram, kẻ tấn công đã lợi dụng để phát tán liên kết độc hại. *bình luận: Khi cả những đơn vị được xem là “lá chắn” cho hệ sinh thái cũng trở thành nạn nhân, niềm tin vào khả năng phòng vệ chung của thị trường bị ảnh hưởng đáng kể.*

Giới phân tích cho rằng sự phổ biến của *trí tuệ nhân tạo (AI)* là một trong những tác nhân làm gia tăng xu hướng này. Công cụ AI đang được dùng để tự động hóa việc tìm kiếm lỗ hổng trong code và hạ tầng, đồng thời giúp hacker xây dựng kịch bản tấn công, email lừa đảo hay *phishing* có độ tinh vi cao hơn. Ở chiều ngược lại, chính AI cũng đang giúp các công cụ giám sát blockchain phát hiện giao dịch bất thường nhanh hơn, từ đó nâng cao “độ nhìn thấy” của các vụ *hack*. Nền tảng Piggy Finance ước tính, dựa trên dữ liệu 5 năm, trung bình 3,37% tài sản DeFi bị “bốc hơi” mỗi năm do các vụ khai thác lỗ hổng giao thức (protocol exploit), chưa tính đến các hình thức như hack cầu nối (bridge), sàn giao dịch, ví cá nhân hay lừa đảo *phishing*. *bình luận: Con số này cho thấy tổn thất do rủi ro kỹ thuật thuần túy vẫn ở mức rất cao, ngay cả khi loại trừ các kênh tấn công phổ biến khác.*

Tuy vậy, không phải mọi vụ việc đều bắt nguồn từ lỗ hổng *smart contract*. Mitchell Amador, đại diện giao thức bảo hiểm rủi ro DeFi Immunefi, nhận định rằng “mức độ an toàn của các giao thức đã được cải thiện đáng kể”. Số lượng vụ tấn công có xu hướng giảm dần, và tổng thiệt hại cũng như mức thiệt hại trung bình theo vụ hiện thấp hơn đỉnh năm 2022. Dựa trên các dữ liệu này, nhiều chuyên gia cho rằng trọng tâm của *hack tiền mã hóa* đang chuyển hẳn sang những chiến thuật như tấn công xã hội dài hạn, spear phishing nhắm vào cá nhân có quyền truy cập quan trọng, cũng như chiếm đoạt các thiết bị và tài khoản có quyền quản trị.

Trong bối cảnh thị trường *tiền mã hóa* tìm cách mở rộng vào khuôn khổ tài chính chính thống, rủi ro *bảo mật* tiếp tục là điểm yếu lớn nhất. Ngày càng nhiều cuộc tấn công không thể ngăn chặn chỉ bằng việc *audit code*, bởi bề mặt tấn công đã mở rộng sang các lớp hạ tầng, quyền vận hành và hành vi người dùng. Nhiều ý kiến trong ngành cho rằng cần rà soát lại toàn diện hệ thống phòng thủ cho DeFi, cầu nối, cũng như quy trình quản lý ví cá nhân và ví tổ chức, kết hợp giữa chuẩn bảo mật kỹ thuật, đào tạo con người và giải pháp bảo hiểm rủi ro, nếu thị trường muốn hạn chế các thiệt hại *hack tiền mã hóa* quy mô tỷ USD trong những năm tới.