212 vụ hack nửa đầu 2026: 1,1 tỷ USD bốc hơi và sự thật không ai muốn nói

Tôi sẽ không bao giờ quên cái ngày tôi đọc báo cáo của Blockaid về an ninh tiền mã hóa nửa đầu năm 2026. Không phải vì con số 1,1 tỷ USD bị đánh cắp, cũng không phải vì kỷ lục 212 vụ khai thác. Mà vì một chi tiết nằm sâu trong báo cáo: gần 74% tổng thiệt hại không đến từ một dòng code bị phá vỡ, mà đến từ những chiếc chìa khóa riêng tư, những chữ ký bị đánh cắp và những con người bị thao túng. Chúng ta vẫn thường kể với nhau rằng blockchain là “mã là luật”, rằng một khi hợp đồng thông minh đã được kiểm toán, tài sản sẽ an toàn. Nhưng sự thật mà chúng ta cần đối mặt là: kẻ tấn công năm 2026 không phá mã, chúng đánh cắp danh tính. Chúng không cần tìm lỗ hổng trong EVM, chúng chỉ cần một thông báo tuyển dụng giả trên LinkedIn. Các con số thật sự đáng sợ. Trong nửa đầu năm 2026, hệ sinh thái tiền mã hóa ghi nhận 212 vụ khai thác, nhiều hơn gấp 3,4 lần so với cùng kỳ năm 2025, với tổng thiệt hại lên tới khoảng 1,1 tỷ USD. Nếu nhìn qua, con số này có vẻ thấp hơn năm ngoái vì không có một vụ Bybit thứ hai. Nhưng nhìn kỹ, tần suất các vụ việc tăng vọt lại là tín hiệu đáng báo động hơn nhiều. Bốn vụ lớn nhất – KelpDAO, Drift Protocol, Resolv và CowSwap – chiếm tới 64% tổng thiệt hại. Trong đó, riêng KelpDAO mất khoảng 292 triệu USD, còn Drift Protocol mất 285 triệu USD. Đáng chú ý, khoảng 55% tổng thiệt hại được cho là có liên quan đến các nhóm tin tặc có liên kết với Triều Tiên. Đây không còn là những vụ hack lẻ tẻ, mà là một chiến dịch có tổ chức với ngân sách và nhân sự chuyên nghiệp. Điều làm tôi trăn trở nhất là điểm chung của hầu hết các vụ tấn công năm nay: chúng nằm ở lớp vận hành, không nằm ở lớp hợp đồng. Các phân tích từ Blockaid và nhiều đơn vị điều tra độc lập đều chỉ ra rằng những vụ tấn công vận hành – bao gồm lộ mật khẩu, lộ khóa riêng tư, xâm nhập hạ tầng ký duyệt, kiểm soát hệ thống backend – chiếm tới 74% tổng thiệt hại. Các lỗi trong hợp đồng thông minh dù vẫn hiện hữu, lại chỉ chiếm phần nhỏ. Trên Ethereum, các dự án chịu thiệt hại khoảng 332 triệu USD chủ yếu từ lỗ hổng code. Nhưng trên Solana, hơn 98% thiệt hại lại bắt nguồn từ việc khóa riêng tư và hạ tầng chữ ký bị xâm phạm. Điều đó cho thấy kẻ tấn công đã học cách đi đường vòng: thay vì đối đầu với mã nguồn đã được kiểm toán, chúng tấn công con người đang vận hành mã nguồn đó. Dựa trên kinh nghiệm audit và đào tạo nhiều dự án của tôi, tôi có thể nói rằng hầu hết các team chưa sẵn sàng cho một cuộc chiến ở “tầng người”. Tôi sẽ không bao giờ quên câu chuyện về Drift Protocol. Các nhà điều tra phát hiện nhóm tin tặc đã tiến hành một chiến dịch do thám kéo dài sáu tháng. Chúng dùng LinkedIn để kết nối với nhân viên, giả vờ là nhà tuyển dụng, đối tác kinh doanh. Từng bước, chúng thâm nhập vào thiết bị cá nhân, lây nhiễm vào hệ thống, và cuối cùng là chiếm quyền kiểm soát các chữ ký đa chữ ký. Sáu tháng nhẫn nại, sáu tháng âm thầm – để rồi một ngày, hàng trăm triệu USD chuyển khỏi giao thức trong im lặng. Không có một dòng code nào bị “hack” theo nghĩa truyền thống. Toàn bộ hệ thống sụp đổ bởi một mắt xích yếu nhất: con người. Nếu chúng ta cứ tiếp tục đổ tiền vào kiểm toán hợp đồng mà quên đào tạo đội ngũ về phòng chống tấn công xã hội, chúng ta sẽ còn chứng kiến thêm rất nhiều vụ việc như thế này. Sự việc của KelpDAO còn khiến tôi giật mình hơn. Theo điều tra của LayerZero, vụ tấn công cầu nối đến từ một lỗ hổng cấu hình: chỉ một validator duy nhất được cài đặt, đủ để kẻ tấn công giả mạo các thông điệp xuyên chuỗi. Một cây cầu khoác lên mình vỏ bọc “đa chữ ký”, nhưng bên trong lại tồn tại một điểm nghẽn tập trung. Nói một cách dân dã, cái két sắt có tới ba ổ khóa, nhưng hai trong số đó được gắn vào cùng một bản lề. Kẻ trộm chỉ cần phá một điểm, cả cánh cửa mở toang. Đây không phải bài toán về mã nguồn, mà là bài toán về mức độ phân quyền thực sự trong từng tầng cấu hình. Một bài kiểm toán tĩnh sẽ không bao giờ phát hiện ra điều này. Năm 2026 còn chứng kiến những vector tấn công hoàn toàn mới mà ngay cả những người lạc quan nhất cũng khó ngờ tới. Vụ Bankr là lần đầu tiên một AI Agent bị điều khiển để phê duyệt một giao dịch bất hợp pháp, gây thiệt hại khoảng 216.000 USD. Con số này không lớn so với các vụ khác, nhưng nó mở ra một cánh cửa rất nguy hiểm: khi các đại lý tự động được giao quyền quản lý tài sản, kẻ tấn công chỉ cần thao túng “lời nhắc” của AI, thay vì hack hợp đồng. Bên cạnh đó, chuẩn EIP-7702 – thứ cho phép ví tài khoản ủy quyền hoạt động cho một hợp đồng thông minh – đang bị lạm dụng như một công cụ đánh cắp tài sản từ những người dùng chưa hiểu rõ rủi ro. Những vector mới này xuất hiện với tốc độ chóng mặt, trong khi hệ thống phòng thủ vẫn chỉ đang ở giai đoạn chập chững. Tuy nhiên, không phải tất cả đều ảm đạm. Một điểm sáng hiếm hoi là khả năng truy vết và phản ứng của ngành đang được cải thiện rõ rệt. Trong vụ tấn công Stellar Blend, các nhà điều tra đã phong tỏa được 7,3 triệu USD nhờ sự phối hợp giữa các sàn giao dịch và công cụ phân tích on-chain. Điều này cho thấy ngành đang học cách “đánh trả” – không chỉ chặn giao dịch, mà còn xây dựng hồ sơ tội phạm rõ ràng, gắn các vụ tấn công khác nhau với cùng một tổ chức. Blockaid, chẳng hạn, đã gộp KelpDAO, Drift và Humanity Protocol vào cùng một cụm tội phạm có liên kết với Triều Tiên. Sự phòng thủ tốt nhất không nằm ở một bức tường cao hơn, mà nằm ở khả năng khiến việc rửa tiền trở nên bất khả thi. Trong một thị trường đang lạc quan, những con số này dễ bị bỏ qua. Nhưng với nhà đầu tư, chúng là một tín hiệu rất cụ thể: chi phí bảo hiểm giao thức sẽ tăng, yêu cầu an ninh sẽ khắt khe hơn, và các dự án không có kế hoạch phản ứng sự cố sẽ sớm bị định giá lại. Chúng ta có thể sẽ thấy một làn sóng các startup “bảo mật như một dịch vụ” trở nên có giá trị hơn hẳn trong mắt các quỹ đầu tư. Bởi rốt cuộc, trong một nền kinh tế mã hóa, an toàn cũng là một dạng lợi nhuận. Vậy đâu là điều mà hầu hết mọi người đang hiểu sai? Tôi tin rằng chúng ta đang quá chú trọng vào tổng số tiền thiệt hại. 1,1 tỷ USD nghe có vẻ khủng khiếp, nhưng so với tổng giá trị thị trường tiền mã hóa, đó vẫn là một vết xước nhỏ. Điều thực sự đáng sợ là tần suất 212 vụ – gấp hơn ba lần năm ngoái – bởi nó phản ánh một hệ thống phòng thủ không theo kịp tốc độ đổi mới của kẻ tấn công. Và ở chiều ngược lại, chính nỗi sợ này đang khiến nhiều dự án quan tâm đến việc vá lỗ hổng bên ngoài mà quên xây dựng một văn hóa an toàn bên trong. Tôi đã từng gặp những đội ngũ tự hào về bản kiểm toán dày cộp, nhưng lại dùng chung một mật khẩu cho toàn bộ hạ tầng admin. Trong khi đó, những người dùng bình thường – những người sẽ chịu tổn thương đầu tiên – vẫn không được dạy cách bảo vệ chính mình. Và nếu bạn là một builder, hãy nhìn lại đội ngũ của mình. Bạn có dạy họ nhận diện một email lừa đảo không? Bạn có mô phỏng một cuộc tấn công xã hội không? Hay bạn chỉ chăm chăm vào việc ship sản phẩm? Tôi đã chứng kiến quá nhiều team trẻ sụp đổ chỉ vì một cú click chuột. Nếu có một điều tôi học được từ hơn hai thập kỷ trong lĩnh vực này, thì đó là: tương lai của blockchain không nằm ở một loại mã chống đạn, mà nằm ở một cộng đồng biết cảnh giác, biết chia sẻ và biết bảo vệ nhau. Sự an toàn của tiền mã hóa không đến từ công nghệ. Nó đến từ sự trưởng thành của những con người vận hành nó. Và câu hỏi cuối cùng dành cho bạn: liệu chúng ta đang thực sự dạy thế hệ tiếp theo về sự kiên nhẫn, về quản lý rủi ro và lòng tin, hay chúng ta chỉ đang dạy họ cách giàu nhanh?