Các dự án tiền điện tử đã mất khoảng 972 triệu đô la trong 207 vụ tấn công vào nửa đầu năm 2026, đây là số lượng vụ việc cao nhất từng được ghi nhận, theo Báo cáo Cập nhật Hệ sinh thái tháng 6 năm 2026 của Immunefi.

Tuy nhiên, tổng thiệt hại vẫn dưới 1 tỷ đô la và ít hơn một nửa so với những gì ngành này đã mất trong nửa đầu năm 2025.

Phát hiện chính này trái ngược với số lượng vụ việc, điều đó có nghĩa là các cuộc tấn công đang trở nên thường xuyên hơn nhưng ít tốn kém hơn cho mỗi sự kiện, công ty bảo mật blockchain này lưu ý.

Mở rộng Biểu đồ

Thiệt hại DeFi tiếp tục giảm

Immunefi nhận thấy rằng thiệt hại do khai thác tài chính phi tập trung (DeFi) đã giảm 74% so với mức đỉnh năm 2022, từ 2,62 tỷ đô la xuống còn 680,3 triệu đô la. Mức thiệt hại trung bình cho mỗi vụ khai thác đã giảm 75% trong cùng khoảng thời gian.

Công ty này quy sự sụt giảm này là do việc phủ sóng bảo mật liên tục, các chương trình tiền thưởng lỗi (bug bounty), các cuộc thi kiểm toán, và một lượng lớn các nhà nghiên cứu đang phát hiện các lỗ hổng trước khi kẻ tấn công có thể khai thác chúng.

Immunefi cũng liên kết con số 74% tương tự với tổng thiệt hại DeFi cả năm 2025 là 680,3 triệu đô la, giảm so với 534 triệu đô la vào năm 2024, và gắn sự gia tăng khiêm tốn theo năm này với sự phức tạp ngày càng tăng của các triển khai đa chuỗi (multi-chain deployments) thay vì sự suy thoái bảo mật rộng lớn hơn.

Rủi ro đã dịch chuyển đến đâu

Các lỗ hổng hợp đồng thông minh (smart contract) vẫn là một yếu tố, nhưng báo cáo cho thấy thiệt hại nghiêm trọng nhất ngày càng xuất phát từ các lỗi cơ sở hạ tầng, sự xâm phạm khóa riêng (private key compromises), lỗi cấu hình chuỗi chéo (cross-chain configuration errors) và các điểm yếu trong quyền truy cập đặc quyền (privileged access).

Immunefi coi đây là một sự dịch chuyển cấu trúc trong bối cảnh mối đe dọa, với việc những kẻ tấn công chuyển lên các lớp cao hơn, hướng tới các lớp vận hành và cơ sở hạ tầng thay vì chỉ tập trung vào mã giao thức.

Sự dịch chuyển này phù hợp với nghiên cứu trước đây của Immunefi. Các vụ khai thác cầu nối (bridge exploits), từng chịu trách nhiệm cho phần lớn thiệt hại DeFi, đã dần biến mất, trong khi các cuộc tấn công vay chớp nhoáng (flash-loan attacks), một kỹ thuật nổi bật vào năm 2020, giờ đây chỉ chiếm một phần nhỏ trong tổng số thiệt hại.

Kinh tế học tiền thưởng lỗi (Bug bounty economics)

Trong nửa đầu năm 2026, ngành này đã mất khoảng 972 triệu đô la do các vụ khai thác, trong khi nền tảng của Immunefi đã trả cho các nhà nghiên cứu khoảng 13,45 triệu đô la để phát hiện 837 lỗi hợp lệ trước khi kẻ tấn công có thể khai thác chúng.

Công ty đã vượt mốc 140 triệu đô la trong tổng số tiền thanh toán cho các nhà nghiên cứu trong tháng 6, một ngưỡng mà Immunefi mô tả là tổng số tiền lớn nhất trên thị trường nhà nghiên cứu bảo mật.

Nền tảng của Immunefi hiện có hơn 92.000 nhà nghiên cứu đã đăng ký, bảo vệ hơn 180 tỷ đô la tài sản trên hơn 650 giao thức, và cho biết họ đã giúp ngăn chặn hơn 25 tỷ đô la thiệt hại từ các vụ hack.

CEO của Immunefi, Mitchell Amador, trước đây đã nói rằng hàng trăm triệu đô la thiệt hại hàng năm vẫn không thể chấp nhận được, ngay cả khi xu hướng chung đang được cải thiện.

"Bảo mật tiền điện tử mang tính đối kháng và nó không ngừng phát triển," Amador nói trong bình luận với The Block sau Cuộc kiểm toán Lỗ hổng Hệ sinh thái năm 2026 của Immunefi. "Cách đọc trung thực về các con số rất đơn giản: ngành này đang học hỏi."