DefiLlama: 17 tỷ USD bị đánh cắp, rủi ro DeFi dịch chuyển từ lỗi code sang lỗi bảo mật ví

Theo DefiLlama thống kê, trong 10 năm qua đã xảy ra 518 vụ tấn công với tổng thiệt hại hơn 17 tỷ USD, trong đó phần lớn đến từ rò rỉ *từ khóa riêng tư*, lừa đảo *từ khóa* và chiếm đoạt tài khoản, chứ không chỉ do lỗi hợp đồng thông minh. *Bình luận*: Trọng tâm rủi ro của thị trường tiền mã hóa đang dịch chuyển rõ rệt từ “lỗi code” sang “lỗi con người” và cách người dùng bảo vệ ví.

Theo bảng dữ liệu của DefiLlama, các vụ đánh cắp *từ khóa riêng tư* chủ yếu xuất phát từ tấn công “brute force” (thử mật khẩu/ví hàng loạt) chiếm 22,3% và các trường hợp “không rõ nguyên nhân” chiếm 18,2%. Riêng các cuộc tấn công lừa đảo nhắm vào ví đa chữ ký (multisig) chiếm khoảng 10%. Những con số này cho thấy phần lớn tổn thất hiện nay liên quan đến cách quản lý ví, hạ tầng ký giao dịch và thói quen bảo mật của người dùng, thay vì chỉ nằm ở lỗ hổng mã nguồn hợp đồng thông minh.

Trong hai tháng gần đây, xu hướng này thể hiện rất rõ trên mảng tài chính phi tập trung (DeFi). Cuối tuần qua, cầu nối rsETH của Kelp DAO – vận hành trên LayerZero – đã bị rút khoảng 116.500 rsETH (tài sản tái thế chấp dựa trên Ethereum(ETH)), tương đương 290–293 triệu USD tại thời điểm xảy ra sự cố, trở thành một trong những vụ tấn công DeFi lớn nhất từ đầu năm đến nay.

Báo cáo của công ty giao dịch tiền mã hóa GSR Research cho biết, tổng giá trị tài sản DeFi bị chiếm đoạt trong 60 ngày gần nhất đã vượt 600 triệu USD. Phần lớn thiệt hại đến từ vụ việc của Kelp DAO và sự cố ngày 1 tháng 4 trên sàn giao dịch phi tập trung Drift Protocol xây dựng trên Solana(SOL). GSR nhận định, ngay cả khi kiểm toán *từ hợp đồng thông minh* được siết chặt hơn, kẻ tấn công đã chuyển trọng tâm sang “bảo mật vận hành, hạ tầng ký giao dịch, công cụ phát triển và quan trọng nhất là những con người đứng sau hệ thống”.

Song song đó, lợi suất DeFi bị nén xuống gần với mức lợi suất tài chính truyền thống. GSR đánh giá điều này buộc nhà đầu tư phải cân nhắc lại xem việc gửi tài sản *từ on-chain* có còn xứng đáng với mức rủi ro bảo mật phải gánh chịu hay không. Nhiều giao thức DeFi không còn hấp dẫn như giai đoạn lãi suất hai con số, trong khi rủi ro về *từ khóa ví*, quy trình ký và lỗi vận hành vẫn còn lớn, có thể khiến dòng vốn rời bỏ thị trường nhanh hơn.

Các công ty an ninh mạng cảnh báo, sự kết hợp giữa trí tuệ nhân tạo (AI) và mã độc đang làm cho các cuộc tấn công xã hội (social engineering) trở nên tinh vi nhưng lại dễ triển khai hơn. Tội phạm mạng có thể gửi những khoản chuyển nhỏ để tạo lịch sử giao dịch “đáng tin cậy”, sau đó dụ nạn nhân sao chép – dán nhầm địa chỉ ví, hoặc bấm vào những liên kết độc hại được cá nhân hóa bằng *từ AI*. Khi đó, thay vì tấn công thẳng vào giao thức, kẻ xấu chỉ cần “dẫn dụ” người dùng tự ký và trao quyền.

Đmưới Buđôrin (Dmytro Budorin), đồng sáng lập kiêm giám đốc điều hành công ty an ninh mạng Hacken, cảnh báo chỉ một đường link được mở muộn, hay một lần nhấp bất cẩn cũng có thể khiến ví bị rút sạch. Ông cho biết mô hình “dịch vụ hóa tấn công” trên dark web đang hạ thấp rào cản gia nhập cho tội phạm mạng, giúp ngay cả người ít kỹ năng cũng có thể thuê công cụ, mã độc và kịch bản tấn công trọn gói để săn những mục tiêu “dễ ăn” với nỗ lực tối thiểu.

Theo dữ liệu Hacken, riêng quý I năm 2026, các dự án Web3 đã thiệt hại khoảng 482 triệu USD, trong đó hơn 306 triệu USD bắt nguồn từ các cuộc tấn công phishing và lừa đảo xã hội. Tuy vậy, vẫn có một số chỉ báo tích cực. Nền tảng phân tích Scam Sniffer ghi nhận tổng thiệt hại do phishing trong thị trường tiền mã hóa năm 2025 đã giảm đáng kể so với trước, cho thấy nhận thức và cảnh giác của người dùng đang dần được cải thiện.

Tuy nhiên, bức tranh chung cho thấy tâm điểm của các vụ hack tiền mã hóa hiện nay đã dịch chuyển từ *từ lỗi code* sang con người. Trên toàn bộ thị trường, từ Bitcoin(BTC), Ethereum(ETH) cho tới các hệ sinh thái DeFi khác, *từ khóa bảo mật ví*, quy trình ký và thói quen sử dụng ví của người dùng đang trở thành mắt xích yếu nhất. *Bình luận*: Nếu ngành công nghiệp chỉ tập trung kiểm toán giao thức, mà không đồng thời nâng chuẩn an toàn cho ví, hạ tầng ký và giáo dục người dùng về *từ khóa riêng tư*, rò rỉ dữ liệu và lừa đảo sẽ tiếp tục là “mỏ vàng” cho tin tặc trong nhiều năm tới.