Hacken: Thiệt hại hack tiền mã hóa quý 2/2026 vọt lên 764 triệu USD, lộ điểm yếu lớn nhất là kiểm soát quyền truy cập

Theo báo cáo mới nhất của công ty bảo mật blockchain Hacken, thiệt hại từ các vụ *từ tiền mã hóa*, *từ hack crypto* trong quý 2 năm 2026 đã tăng vọt lên 763,97 triệu USD (khoảng 1,1264 nghìn tỷ đồng). Đáng chú ý, Hacken chỉ ra rằng “quyền truy cập hệ thống” – chứ không phải lỗi mã nguồn – mới là mắt xích yếu nhất, đứng sau phần lớn các khoản thất thoát này.

Theo Hacken công bố ngày 24 (giờ địa phương), tổng giá trị tài sản bị đánh cắp trong quý 2 đã tăng 58,3% so với mức 482,7 triệu USD của quý 1, đồng thời là con số lớn nhất kể từ quý 2 năm ngoái. Hai vụ tấn công lớn nhắm vào giao thức Drift Protocol và dự án KelpDAO, với mức thiệt hại khoảng 290 triệu USD mỗi vụ, đã kéo tổng thiệt hại toàn thị trường tăng mạnh.

Xét theo loại hình sự cố, các lỗi liên quan đến hợp đồng thông minh chiếm số vụ việc nhiều nhất, nhưng chỉ đóng góp khoảng 11% tổng giá trị thiệt hại. Ngược lại, các vấn đề thuộc về vận hành và hạ tầng – gồm rò rỉ khóa riêng, tài khoản người ký bị chiếm đoạt, quản lý *từ quyền truy cập* lỏng lẻo – lại chiếm tới 88,3% tổng số tiền bị đánh cắp. Hacken nhận định, trong thực tế, “mã” không còn là điểm yếu chí tử duy nhất; thay vào đó, “kiểm soát vận hành” mới là lỗ hổng lớn nhất của hệ sinh thái *từ tiền mã hóa* hiện nay.

bình luận: Điều này cho thấy chỉ kiểm toán hợp đồng thông minh là chưa đủ, mà cần cơ chế kiểm soát nội bộ, phân quyền truy cập, quy trình vận hành an toàn tương tự ngành tài chính truyền thống.

Về chủ thể tấn công, các nhóm hacker bị nghi có liên quan tới Triều Tiên được cho là đã chiếm khoảng 75,5% tổng số tiền bị đánh cắp trong quý. Trong bối cảnh đó, vụ việc công ty Consensys – đơn vị đứng sau ví Ethereum(ETH) MetaMask – từng tuyển dụng một nhà phát triển có liên hệ với Triều Tiên rồi sau đó phải sa thải đang được nhắc lại. Theo thông tin công bố, người này đã có được *từ quyền truy cập* hệ thống nhưng sau đó bị chặn, và công ty khẳng định không ghi nhận thiệt hại tài sản hay rò rỉ dữ liệu.

bình luận: Dù không gây tổn thất trực tiếp, trường hợp Consensys cho thấy rủi ro từ “con người” và quy trình kiểm duyệt nhân sự lỏng lẻo, đặc biệt với các doanh nghiệp hạ tầng *từ crypto* quy mô lớn.

Báo cáo của Hacken cũng ghi nhận một trường hợp đầu tiên được phân loại là “tấn công bằng chèn prompt độc hại” (malicious prompt injection) sử dụng công nghệ trí tuệ nhân tạo(AI). Vụ việc này khiến khoảng 174.000 USD bị rút khỏi hệ thống. Hacken cho rằng nguyên nhân nằm ở quy trình xem xét chưa đầy đủ, không lường trước các biến thể tấn công và khâu kiểm thử bảo mật còn sơ sài.

bình luận: Việc xuất hiện tấn công AI đối với *từ tiền mã hóa* báo hiệu một làn sóng rủi ro mới, khi kẻ xấu lợi dụng các công cụ AI để lừa hệ thống hoặc người dùng, vượt qua cơ chế bảo vệ truyền thống.

Song song với làn sóng *từ hack crypto* là sự thay đổi nhanh chóng của môi trường pháp lý. Tại Mỹ, đạo luật GENIUS (GENIUS Act) dự kiến sẽ chính thức có hiệu lực từ đầu năm 2027, đặt ra những chuẩn mực mới đối với lĩnh vực tài sản số. Ở châu Âu, Liên minh châu Âu(EU) đã chấm dứt thời gian “quá độ” cho các nhà cung cấp dịch vụ tài sản mã hóa (CASP) kể từ ngày 1 tháng 7. Dù có tới khoảng 1.200 đơn vị bày tỏ quan tâm, chỉ khoảng 215 doanh nghiệp thực sự đáp ứng yêu cầu và nhận được giấy phép theo khuôn khổ MiCA.

Do không kịp điều chỉnh theo quy định mới, một số sàn giao dịch lớn như Binance, MEXC, HTX (trước đây là Huobi) đã phải tạm dừng hoặc chấm dứt hoạt động tại một số thị trường thuộc EU. Trong nhóm 10 đồng *từ stablecoin* có vốn hóa lớn nhất, USDC do Circle phát hành gần như là đồng tiền duy nhất hiện đáp ứng đầy đủ tiêu chuẩn MiCA.

bình luận: Khung quy định chặt chẽ khiến rào cản gia nhập thị trường châu Âu cao hơn, nhưng đồng thời có thể trở thành “tem bảo chứng” cho những đơn vị đáp ứng được, đặc biệt trong bối cảnh người dùng ngày càng nhạy cảm với rủi ro bảo mật và pháp lý.

Hacken nhấn mạnh, trong giai đoạn tới, yếu tố quyết định niềm tin của thị trường sẽ không còn là “thâm niên hoạt động” hay tổng giá trị tài sản khóa (TVL), mà là khả năng chứng minh “độ an toàn” một cách minh bạch và nhất quán. Khi các vụ *từ hack crypto* liên tiếp xảy ra, đồng thời các quy định pháp lý được siết chặt tại Mỹ và EU, bảo mật và tuân thủ (compliance) đang trở thành lợi thế cạnh tranh cốt lõi của các sàn giao dịch, ví lưu ký và dự án *từ tiền mã hóa*.

bình luận: Với nhà đầu tư, thay vì chỉ nhìn vào lợi suất hay TVL, việc đánh giá cơ chế bảo mật, chính sách quản trị rủi ro, chứng chỉ tuân thủ luật của một nền tảng sẽ ngày càng quan trọng nếu muốn giảm thiểu nguy cơ mất tài sản trong các vụ tấn công mạng.