Các dự án crypto đã mất hơn 1,1 tỷ USD qua 212 vụ tấn công on-chain được xác minh trong nửa đầu năm 2026, mức cao kỷ lục cho bất kỳ giai đoạn sáu tháng nào.
Những điểm chính:
- Thiệt hại vượt 1,1 tỷ USD qua 212 vụ tấn công on-chain từ tháng 1 đến tháng 6, số vụ trong nửa năm cao nhất từng được ghi nhận.
- Bốn vụ lớn nhất, dẫn đầu là KelpDAO với 292 triệu USD và Drift Protocol với 285 triệu USD, chiếm khoảng 64% tổng thiệt hại.
- Các nhóm liên quan Triều Tiên chịu trách nhiệm khoảng 609 triệu USD, tương đương khoảng 55% thiệt hại nửa đầu năm.
Báo cáo của Blockaid ghi nhận kỷ lục các vụ tấn công crypto
Blockaid đã công bố báo cáo an ninh nửa đầu năm vào thứ Ba, với số liệu cao hơn các nền tảng theo dõi đối thủ công bố đầu tháng này.
Công ty bảo mật on-chain này xác minh 212 sự cố riêng biệt, với hơn 1,1 tỷ USD tài sản bị đánh cắp trong giai đoạn từ tháng 1 đến hết tháng 6. Blockaid cũng ghi nhận số vụ tấn công “ngưỡng lớn” (high-threshold) cao gấp 3,4 lần so với tổng cả năm 2025, dù năm đó tổng giá trị thiệt hại tính bằng USD còn cao hơn.
Bốn vụ xâm phạm lớn chiếm khoảng 64% tổng thiệt hại nửa đầu năm, giảm so với mức 72% mà ba vụ lớn nhất gây ra trong năm 2025. KelpDAO mất 292 triệu USD và Drift Protocol mất 285 triệu USD; một vụ mint 80 triệu USD stablecoin Resolv không được bảo chứng và vụ phê duyệt trị giá 50,4 triệu USD trên CowSwap hoàn tất nhóm bốn vụ lớn nhất.
Điều đáng chú ý là không vụ nào trong bốn vụ này xuất phát từ lỗi logic trực tiếp trong mã smart contract. Kẻ tấn công đã chiếm quyền truy cập thông tin xác thực của một lập trình viên LayerZero, sau đó đầu độc hạ tầng RPC để giả mạo chứng thực, qua đó “thông quan” cầu nối KelpDAO thông qua một lỗ hổng cấu hình DVN đơn.
Nhiều kỹ thuật mới cũng xuất hiện, bao gồm vụ rút ví đầu tiên khai thác cơ chế ủy quyền ví theo chuẩn EIP-7702 trên Arbitrum (ARB), hai vụ tấn công vượt ranh giới bằng chứng trên Aztec, cùng ít nhất bảy sự cố nhắm vào các cầu nối cross-chain khác nhau.
Nhóm Triều Tiên dẫn dắt làn sóng hack crypto
Blockaid đã lần theo các vụ trộm lớn nhất trong nửa đầu năm về một cụm tác nhân nhà nước sử dụng cùng một điểm xâm nhập.
Công ty cho biết các vụ tấn công vào KelpDAO, Drift Protocol và Humanity Protocol đều được quy về tiểu nhóm TraderTraitor thuộc Lazarus Group, với tổng thiệt hại 609 triệu USD, tương đương khoảng 55% thiệt hại nửa đầu năm. Trong vụ Drift, kẻ tấn công chiếm quyền điều khiển tài khoản quản trị chỉ trong chưa đầy 12 phút hồi tháng 4; đây là một trong hai vụ lớn bắt nguồn từ hoạt động lừa đảo xã hội (social engineering) trên LinkedIn.
Báo cáo nhận định mô hình tuyển dụng và tiếp cận nhân sự này hiện không có rào cản cấu trúc nào để chấm dứt, nên Blockaid kỳ vọng các cuộc tấn công tương tự sẽ tiếp diễn trong nửa cuối năm.
Thiệt hại trên các hệ Ethereum và Solana
Tổng giám đốc điều hành Ido Ben-Natan cho biết trong một bài phát biểu rằng năm 2025 ghi nhận 2,58 tỷ USD thiệt hại chỉ qua 63 sự cố, với Ethereum (ETH) và Arbitrum là hai mạng dẫn đầu về dòng tài sản bị đánh cắp.
Solana (SOL) sau đó đã vươn lên vị trí thứ hai, với hơn 98% trong tổng 326 triệu USD thiệt hại xuất phát từ khóa riêng bị lộ và hạ tầng ký giao dịch bị xâm phạm.
Ethereum vẫn dẫn đầu bảng xếp hạng nửa đầu năm 2026 với khoảng 332 triệu USD bị đánh cắp, phần lớn đến từ các lỗ hổng trong mã contract.
Trong khi đó, CertiK báo cáo 1,32 tỷ USD thiệt hại qua 344 vụ việc tính đến ngày 8/7, còn TRM Labs ghi nhận 207 vụ hack với tổng giá trị 972 triệu USD trong cùng giai đoạn. Cả ba bộ số liệu chỉ thấp hơn năm ngoái do Bybit từng mất 1,45 tỷ USD trong một vụ trộm duy nhất hồi tháng 2.
Bài tiếp theo: Dự báo XRP ngắn hạn dừng ở vùng 1,25 USD trước quyết định của Fed
