1,1 tỷ USD bốc hơi nửa đầu 2026: Kẻ trộm không cần hack code, chúng hack con người
Có tin, phi ngay! Vừa có báo cáo từ Blockaid dựng tóc gáy: trong sáu tháng đầu năm 2026, các vụ tấn công tiền mã hoá đã rút đi 1,1 tỷ USD, trải đều qua 212 sự cố an ninh. Đây là mức thiệt hại cao nhất từ trước đến nay, ghi nhận từ một trong những công ty phân tích bảo mật hàng đầu. Mình thích săn tin nhanh, nhưng tin này đọc xong phải ngồi thở. Vì con số này không chỉ nói về tiền, mà nói về một thực tế: kẻ xấu đã tìm ra cách tấn công dễ dàng hơn nhiều so với việc phá vỡ mã hoá.
Khi mình bắt đầu đào sâu vào dữ liệu, bức tranh càng rõ ràng. Vụ lớn nhất là KelpDAO, một giao thức restaking khá nổi trên Ethereum, bị rút 292 triệu USD thông qua việc giả mạo tin nhắn xuyên chuỗi. Ngay sau đó là Drift Protocol trên Solana, mất 285 triệu USD chỉ trong 12 phút. Rồi Resolv, một giao thức stablecoin, bị khai thác 80 triệu USD. CoW Swap cũng dính chấn động. Chưa hết, tần suất tấn công tăng vọt từ 18 vụ hồi tháng 1 lên 57 vụ vào tháng 6. Một vòng xoáy không có điểm dừng.
Điều quan trọng nhất mà mình muốn nhấn mạnh: hầu hết những vụ này không đến từ lỗi phức tạp trong smart contract. 790 triệu USD, tức gần 75% tổng thiệt hại, đến từ việc lạm dụng đặc quyền quản trị – hay admin key. Nói nôm na, kẻ tấn công không cần phải hack, chúng chỉ cần lấy được chìa khóa. Lấy bằng cách nào? Phishing qua email giả mạo, tin nhắn Discord giả làm admin, hoặc thậm chí mua chuộc nhân viên. Đó là lý do vì sao những dự án có bảo mật kỹ thuật tốt vẫn có thể sụp đổ chỉ vì một nhân viên bất cẩn click vào link lạ. Mình đã từng cảnh báo các khách hàng rằng: đừng bao giờ tin vào một dự án nếu team của họ không có quy trình bảo mật nội bộ nghiêm ngặt. Nhưng nhiều người chỉ quan tâm đến APY, chẳng ai hỏi admin key đang nằm trong tay ai.
Sang đến mảng cross-chain bridge, câu chuyện còn nghiệt ngã hơn. KelpDAO, Taiko, Verus đều bị xuyên thủng bằng 'bằng chứng giả mạo'. Nghĩa là cơ chế xác minh của cầu nối đã tin vào những xác nhận giả từ trung gian. Không phải mã hoá bị phá, mà là logic xác minh bị lừa. Những cây cầu này về bản chất vẫn dựa trên một mô hình bán tập trung: một nhóm validator xác nhận giao dịch, và nếu nhóm đó bị thao túng, toàn bộ tài sản coi như mất. Điều này càng củng cố quan điểm của mình: cái gọi là 'phi tập trung' trong nhiều dự án chỉ là hư cấu.
Công nghệ mới cũng không an toàn. Bốn vụ khai thác nhắm vào EIP-7702, chuẩn ví thông minh mới, đã khiến không ít người mất trắng. AI agent cũng là miếng mồi béo bở: Bankr, một nền tảng AI quản lý tài sản, bị tấn công bằng prompt injection – chỉ cần một câu lệnh ẩn trong prompt là AI tự động rút tiền. Số tiền mất chỉ 216.000 USD, nhưng đây là hồi chuông cảnh tỉnh cho ngành công nghiệp đang lao đầu vào AI mà quên mất bảo mật. Càng tự động hóa, càng có nhiều bề mặt tấn công.
Rác thải từ quá khứ vẫn chưa được dọn. Aztec Connect, Raydium AMM V3 – những hợp đồng thông minh cũ, không còn được bảo trì – vẫn tiếp tục bị khai thác. Các dự án thường quên rằng smart contract là thứ không thể thay đổi, nếu không hủy nó đi thì nó vẫn sống và vẫn có thể bị hack. Mình từng audit một dự án nhỏ mà họ để tới hàng chục hợp đồng 'chết' trên mainnet, không ai để ý. Hỏi họ tại sao không hủy, câu trả lời là 'không có thời gian'. Thế rồi một vụ hack xảy ra, họ mới cuống cuồng đi cầu cứu.
Bối cảnh thị trường giảm cũng khiến mọi thứ tồi tệ hơn. Khi giá token lao dốc, thanh khoản cạn kiệt, các giao thức càng khó huy động vốn cho bảo mật. Người dùng thì sợ hãi rút tiền, tạo ra hiệu ứng domino. Một vụ hack ở một giao thức nhỏ có thể tạo thành làn sóng hoảng loạn trong toàn hệ sinh thái. Mình nhớ năm 2022, sau vụ sập FTX, mọi người đều quy chụp 'crypto đầy rẫy lừa đảo'. Bây giờ, 1,1 tỷ USD bị hacker đánh cắp có thể sẽ lại tiếp tay cho câu chuyện đó, dù sự thật là tiền không biến mất do thị trường mà do yếu tố con người.
Điều gì đang chờ đợi chúng ta? Cơ quan quản lý chắc chắn sẽ siết chặt hơn. MiCA ở châu Âu đã tạo ra nhiều quy định về stablecoin, nhưng liệu quy định có thể ngăn hacker Triều Tiên? Khó, vì chúng không quan tâm luật pháp. Nhưng quy định có thể vô tình giết chết những dự án nhỏ vì chi phí tuân thủ đắt đỏ. Mặt khác, ngành bảo mật blockchain sẽ bùng nổ. Các công ty như Blockaid, Chainalysis, Elliptic sẽ hưởng lợi lớn. Người dùng sẽ dịch chuyển vốn về các nền tảng có quỹ bảo hiểm và đội ngũ an ninh chuyên nghiệp, bao gồm cả sàn giao dịch tập trung. Điều này nghe có vẻ mỉa mai, khi mà DeFi được sinh ra để xóa bỏ trung gian.
Nhưng mình tin có một cách nhìn khác, phản trực giác hơn. Những vụ hack này chứng minh rằng vấn đề không nằm ở công nghệ blockchain, mà là văn hóa phát triển 'nhanh hơn, giàu hơn, quên hết'. Các dự án chi hàng triệu USD cho marketing, cho listing trên sàn, nhưng ngân sách bảo mật chỉ như muối bỏ bể. Họ gọi đó là 'tối ưu chi phí', nhưng thực chất là đặt cược rằng mình không phải là mục tiêu. Rồi khi trở thành mục tiêu, mọi thứ sụp đổ. Rug pull kịch bản cũ, nhưng mồi mới.
Sự thật là kẻ trộm không cần hack code, chúng hack con người. Trong khi chúng ta loay hoay với phòng thủ chuỗi, kẻ tấn công lại ngồi trong phòng nhân sự, giả làm đồng nghiệp để xin mật khẩu. Chúng ta cần một cuộc cách mạng về ý thức bảo mật ở cả cấp độ cá nhân và tổ chức. Dự án nào không chú trọng điều này sẽ bị đào thải. Và điều đó có thể tạo ra một hệ sinh thái tập trung hơn, nơi chỉ những ông lớn có tiền mới sống sót. Nghe có vẻ buồn, nhưng có lẽ đó là cái giá của sự an toàn.
Cuối cùng, mình muốn hỏi: wave đang hình thành, em vào chưa? Trong thị trường này, có tin là phi ngay, nhưng cũng phải biết dừng đúng lúc. Không chốt lời là không có lời, và không bảo mật cũng đồng nghĩa với không có gì. Trước khi quyết định gửi tiền vào bất kỳ giao thức nào, hãy tự hỏi: dự án có quỹ bảo mật riêng không? Họ đã dọn dẹp hợp đồng cũ chưa? Ai đang nắm admin key? Nếu đội ngũ không trả lời được, có lẽ em đã biết câu trả lời. Hãy để cho 1,1 tỷ USD này là bài học, chứ không phải là cái cớ để em từ bỏ crypto. Có tin, phi ngay, nhưng nhớ kiểm tra nguồn trước khi tin, và kiểm tra ví trước khi ngủ.