Theo công ty bảo mật Web3 Immunefi, thiệt hại của các giao thức DeFi do khai thác lỗ hổng đã giảm 74% từ mức đỉnh 2,62 tỷ USD vào năm 2022 xuống còn 680,3 triệu USD vào năm 2025.

Ngành này cũng ghi nhận mức giảm 75% trong mức thiệt hại trung bình trên mỗi vụ khai thác lỗ hổng, từ 6 triệu USD vào năm 2022 xuống còn 1,5 triệu USD vào năm 2025, một con số mà công ty mô tả là "chỉ số nói lên nhiều điều hơn".

Những phát hiện này đến từ Báo cáo Kiểm toán Lỗ hổng Hệ sinh thái 2026 của Immunefi, một phân tích kéo dài sáu năm về các thiệt hại do khai thác lỗ hổng trên các hệ sinh thái blockchain lớn từ năm 2020 đến năm 2025. 

Theo báo cáo, các cuộc tấn công cấp hệ sinh thái, bao gồm thao túng oracle bằng khoản vay nhanh (flash-loan) và khai thác reentrancy ảnh hưởng đến các lớp khả năng kết hợp (composability layers), đã giảm từ gần 19% tổng thiệt hại vào năm 2022 xuống dưới 1% vào năm 2025. 

Đồng thời, các lỗi cơ sở hạ tầng, như lộ khóa riêng tư (private-key compromises) và tấn công cơ sở dữ liệu, đã giảm từ 30,7% tổng thiệt hại vào năm 2022 xuống còn 10,3% vào năm 2025.

Immunefi cho biết thiệt hại do khai thác cầu nối (bridge exploit) đã sụt giảm mạnh từ 73% tổng thiệt hại DeFi vào năm 2022 xuống còn 3% vào năm 2025, trong khi các cuộc tấn công flash-loan, chiếm 54% tổng thiệt hại vào năm 2020, đã giảm xuống dưới 1% tổng thiệt hại vào năm 2025. 

Việc lộ khóa riêng tư, danh mục kỹ thuật đơn lẻ lớn nhất vào năm 2022 với 28,7% tổng thiệt hại, đã giảm xuống còn 8,1% vào năm 2025.

DeFi đang 'trở nên an toàn hơn'

Immunefi cho biết DeFi đang "trở nên an toàn hơn", với việc giảm thiểu thiệt hại phản ánh những thay đổi trong cách các giao thức được thiết kế và bảo mật trên các hệ sinh thái, bao gồm cải tiến trong thiết kế oracle, các biện pháp bảo vệ chống reentrancy và tiêu chuẩn kiểm soát truy cập.

Theo Immunefi, mức tăng nhẹ trong thiệt hại năm 2025 lên 680,3 triệu USD từ 534 triệu USD vào năm 2024 phản ánh sự phức tạp ngày càng tăng của việc triển khai đa chuỗi (multi-chain deployments) và một số lượng hạn chế các sự cố nghiêm trọng chứ không phải là sự xuống cấp rộng khắp. 

Các sự cố lớn như thiệt hại 1,5 tỷ USD của Bybit vào tháng 2 năm 2025 và thiệt hại 305 triệu USD của DMM Bitcoin vào năm 2024 không được tính vào bảng xếp hạng hệ sinh thái của báo cáo, vì những thất bại đó xuất phát từ các vấn đề về lưu ký và quản lý khóa ở cấp sàn giao dịch tập trung (centralized exchange) chứ không phải do các lỗ hổng trong chính các hệ sinh thái blockchain.

CEO Immunefi Mitchell Amador nói với The Block rằng "hàng trăm triệu đô la thiệt hại hàng năm vẫn là điều không thể chấp nhận được", nhưng nói thêm rằng "không thể chấp nhận được" và "tình hình tệ hơn" không phải là cùng một nhận định.

"Bảo mật tiền điện tử mang tính đối kháng và nó không ngừng phát triển," Amador nói. "Cách đọc trung thực về các con số rất đơn giản: ngành đang học hỏi."

AI đẩy nhanh cuộc chạy đua vũ trang an ninh

Mặc dù thiệt hại tính bằng đô la Mỹ giảm, số lượng các sự cố độc nhất lại đang tăng lên.

Trong số những điều mà ngành đang học hỏi, theo Amador, là sự xuất hiện của AI như một yếu tố đẩy nhanh cuộc chạy đua vũ trang an ninh. AI hạ thấp rào cản gia nhập đối với kẻ tấn công, giúp nhiều người đọc hiểu cơ sở mã nhanh hơn và tự động hóa một phần việc phát hiện lỗ hổng, ông nói. 

Về mặt phòng thủ, Amador cho biết AI mạnh mẽ hơn vì phòng thủ chủ yếu là một vấn đề về quy mô: phân loại, giám sát, nhận dạng mẫu và mô phỏng các trường hợp biên đều có thể mở rộng với các công cụ tốt. Khoảng cách sẽ được thu hẹp cho bất kỳ ai kết hợp AI với kỷ luật an ninh của con người, các cuộc kiểm toán thực tế và các chương trình tiền thưởng lỗi (bug bounty) tích cực, ông nói thêm.

Trong khi đó, Amador cảnh báo: "Những thất bại hệ thống tiếp theo sẽ đến từ các giả định chung bị phá vỡ đồng thời ở khắp mọi nơi." Ông đã dẫn chứng mã chia sẻ (shared code), người ký chung (shared signers), nhà cung cấp cơ sở hạ tầng chung (shared infrastructure providers), giao diện người dùng chung (shared front ends), oracle chung (shared oracles) và các phương pháp triển khai chung (shared deployment practices) là những phụ thuộc vô hình sẽ bị phá vỡ tiếp theo.