Sự xâm phạm khóa riêng tư đang nổi lên như một trong những vector tấn công gây thiệt hại nặng nề nhất trong lĩnh vực tiền điện tử, với tin tặc đã đánh cắp hơn 17 tỷ USD thông qua 518 sự cố được ghi nhận trong thập kỷ qua, theo nền tảng dữ liệu DefiLlama.
Trong dữ liệu được chia sẻ vào thứ Ba, bảng điều khiển của DefiLlama cho thấy phần lớn các sự cố đó xuất phát từ khóa riêng tư bị xâm phạm, cùng với lừa đảo (phishing) và các cuộc tấn công dựa trên thông tin xác thực khác.
Khoảng 22,3% các sự cố được cho là do xâm phạm khóa riêng tư thông qua tấn công “brute force”, 18,2% do xâm phạm khóa riêng tư thông qua “phương pháp không xác định”, và 10% xảy ra do các cuộc tấn công lừa đảo vào ví đa chữ ký.
Những con số này củng cố thêm bằng chứng cho thấy một số tổn thất lớn nhất của ngành ngày càng đến từ những điểm yếu trong bảo mật ví, hạ tầng ký kết và hành vi người dùng, thay vì chỉ do lỗi trong mã giao thức.
Những phát hiện này được đưa ra vài ngày sau khi ngành tiền điện tử chịu đựng vụ hack lớn nhất từ đầu năm 2026 đến nay vào thứ Bảy, khi một kẻ tấn công đã rút khoảng 116.500 Ether được restake (rsETH), trị giá khoảng 290 triệu đến 293 triệu USD vào thời điểm đó, từ cầu rsETH do LayerZero cung cấp của Kelp DAO.
Làn sóng tổn thất gần đây cũng đã ảnh hưởng nặng nề đến tài chính phi tập trung (DeFi). Hơn 600 triệu USD đã bị đánh cắp từ các giao thức DeFi trong 60 ngày qua, theo một báo cáo hôm thứ Hai từ công ty giao dịch tiền điện tử GSR, với vụ khai thác Kelp và vụ khai thác ngày 1 tháng 4 liên quan đến sàn giao dịch phi tập trung Drift Protocol dựa trên Solana chiếm phần lớn tổng số tiền.
Các cuộc tấn công đang đặt ra những câu hỏi mới về việc liệu việc cải thiện kiểm toán hợp đồng thông minh đơn thuần có đủ để bảo vệ người dùng hay không. Trong báo cáo của mình, GSR cho biết những kẻ tấn công dường như đang chuyển hướng sang “bảo mật vận hành, hạ tầng ký kết, công cụ dành cho nhà phát triển và yếu tố con người đằng sau chúng” khi bảo mật hợp đồng thông minh tiếp tục được cải thiện.
Sự thay đổi này đang gây áp lực lên một lĩnh vực vốn đã đối mặt với lợi nhuận thấp hơn. GSR viết: “Lợi suất DeFi đã nén về mức lãi suất của tài chính truyền thống (TradFi), đặt ra câu hỏi liệu việc gửi tiền lên chuỗi có còn đáng để chấp nhận rủi ro hay không.”
Các công ty an ninh mạng cho biết những tiến bộ trong phần mềm độc hại và trí tuệ nhân tạo đang khiến các cuộc tấn công kỹ thuật xã hội và nhắm mục tiêu ví trở nên dễ mở rộng hơn, trong đó những kẻ lừa đảo lừa nạn nhân gửi tiền điện tử đến các địa chỉ bất hợp pháp bằng cách đầu tiên gửi cho họ các giao dịch nhỏ, hy vọng rằng các nhà đầu tư sẽ sao chép và dán địa chỉ của kẻ tấn công từ lịch sử giao dịch.
Liên quan: ZachXBT yêu cầu MemeCore giải thích về định giá và nguồn cung token
Sự gia tăng của các công cụ hacking-as-a-service (hack dưới dạng dịch vụ) cũng đang hạ thấp rào cản gia nhập cho những kẻ tấn công tiềm năng, theo Dyma Budorin, đồng sáng lập và CEO của công ty an ninh mạng Hacken.
“Nếu mọi người nhận được những liên kết này, ví của họ có thể bị rút sạch hoàn toàn,” Budorin nói với Cointelegraph trong một cuộc phỏng vấn tại EthCC 2026. “Nền tảng trên darknet sẽ lấy hoa hồng cho các công cụ của họ và [những kẻ lừa đảo] sẽ nhận được phần lớn hơn từ các ví bị rút cạn.”
Budorin nói thêm rằng tin tặc thường tìm kiếm những mục tiêu dễ nhất mà đòi hỏi ít nỗ lực lừa đảo nhất.
Các dự án Web3 đã mất 482 triệu USD trong quý đầu tiên của năm 2026, trong đó lừa đảo (phishing) và các vụ lừa đảo kỹ thuật xã hội gây ra 306 triệu USD trong số những tổn thất đó, trở thành vector tấn công lớn nhất, theo một báo cáo của Hacken.
Mặc dù vậy, một số khía cạnh của bức tranh mối đe dọa đã được cải thiện. Scam Sniffer cho biết trong một báo cáo tháng Giêng rằng thiệt hại liên quan đến các cuộc tấn công lừa đảo tiền điện tử đã giảm mạnh vào năm 2025, cho thấy người dùng ngày càng nhận thức rõ hơn về mối đe dọa, ngay cả khi các script rút ví và các chủng phần mềm độc hại mới vẫn tiếp tục lưu hành.
Tạp chí: 53 dự án DeFi bị xâm nhập, 50 triệu token NEO có thể được ‘trả lại’: Asia Express
