Các dự án tiền mã hóa đã mất hơn 1,1 tỷ USD trong 212 vụ tấn công on-chain được xác minh trong nửa đầu năm 2026, đánh dấu giai đoạn sáu tháng tồi tệ nhất từ trước đến nay về số vụ.
Các điểm chính:
- Thiệt hại vượt 1,1 tỷ USD qua 212 vụ tấn công on-chain từ tháng 1 đến tháng 6, số vụ cao nhất từng được ghi nhận cho một nửa năm.
- Chỉ bốn vụ, dẫn đầu là KelpDAO (292 triệu USD) và Drift Protocol (285 triệu USD), đã chiếm khoảng 64% tổng thiệt hại.
- Các nhóm tin tặc bị nghi liên quan Triều Tiên chịu trách nhiệm khoảng 609 triệu USD, tương đương 55% tổng thiệt hại nửa đầu năm.
Báo cáo Blockaid ghi nhận kỷ lục tấn công crypto
Blockaid đã công bố báo cáo an ninh nửa đầu năm vào thứ Ba, với tổng thiệt hại cao hơn số liệu mà các nền tảng theo dõi đối thủ đưa ra trước đó trong tháng.
Công ty an ninh on-chain này xác minh 212 sự cố riêng biệt, với hơn 1,1 tỷ USD tài sản bị đánh cắp trong giai đoạn từ tháng 1 đến hết tháng 6. Blockaid cũng ghi nhận số vụ tấn công “ngưỡng lớn” (high-threshold) gấp 3,4 lần so với cả năm 2025, dù tổng giá trị thiệt hại năm 2025 vẫn cao hơn.
Bốn vụ tấn công lớn nhất chiếm xấp xỉ 64% tổng thiệt hại nửa đầu năm, giảm so với mức 72% mà ba vụ lớn nhất đóng góp trong cả năm 2025. KelpDAO mất 292 triệu USD, Drift Protocol mất 285 triệu USD, bên cạnh vụ mint trái phép 80 triệu USD stablecoin Resolv không được bảo chứng và vụ phê duyệt giao dịch trên CowSwap gây thiệt hại 50,4 triệu USD.
Đáng chú ý, không vụ nào trong bốn sự cố này bắt nguồn từ lỗi trực tiếp trong mã smart contract. Thay vào đó, kẻ tấn công chiếm được thông tin truy cập của một lập trình viên LayerZero, sau đó đầu độc hạ tầng RPC để giả mạo chứng thực, lợi dụng lỗ hổng cấu hình single-DVN trên cầu nối (bridge) của KelpDAO.
Nhiều kỹ thuật mới cũng xuất hiện, bao gồm vụ rút ví dựa trên cơ chế ủy quyền EIP-7702 đầu tiên trên môi trường sản xuất của Arbitrum (ARB), hai vụ tấn công vượt ranh giới bằng chứng (proof-boundary) trên Aztec, cùng ít nhất bảy sự cố liên quan đến cầu nối khác.
Nhóm Triều Tiên dẫn dắt làn sóng hack crypto
Blockaid lần theo dấu vết của các vụ trộm lớn nhất trong kỳ về một nhóm tác nhân nhà nước sử dụng chung một điểm đột nhập.
Công ty quy trách nhiệm cho phân nhóm TraderTraitor thuộc Lazarus Group trong ba vụ tấn công KelpDAO, Drift Protocol và Humanity Protocol, với tổng thiệt hại 609 triệu USD, tương đương khoảng 55% tổng số tiền mất mát nửa đầu năm. Trong một vụ, kẻ tấn công chiếm quyền quản trị (admin) Drift chỉ trong chưa đầy 12 phút hồi tháng 4, một trong hai sự cố lớn có điểm khởi phát từ các chiêu trò lừa đảo xã hội trên LinkedIn.
Báo cáo cho biết mô hình tuyển dụng và tiếp cận nạn nhân kiểu này hiện chưa có rào cản cấu trúc nào để chấm dứt, và Blockaid kỳ vọng các cuộc tấn công tương tự sẽ tiếp diễn trong nửa cuối năm.
Ethereum và Solana dẫn đầu về thiệt hại trên từng chuỗi
Giám đốc điều hành Ido Ben-Natan cho biết trong năm 2025, thị trường đã mất 2,58 tỷ USD chỉ qua 63 vụ, với Ethereum (ETH) và Arbitrum là hai mạng lưới dẫn đầu về dòng tiền bị đánh cắp.
Từ đó đến nay, Solana (SOL) vươn lên vị trí thứ hai, với hơn 98% trong tổng 326 triệu USD thiệt hại của mạng này bắt nguồn từ khóa riêng (private key) và hạ tầng ký giao dịch bị xâm phạm.
Ethereum vẫn dẫn đầu bảng xếp hạng nửa đầu năm 2026 với khoảng 332 triệu USD bị đánh cắp, phần lớn do các lỗ hổng trong mã hợp đồng.
Ở chiều so sánh, CertiK báo cáo 1,32 tỷ USD thiệt hại qua 344 sự cố tính đến ngày 8/7, trong khi TRM Labs ghi nhận 207 vụ hack với tổng giá trị 972 triệu USD trong cùng giai đoạn. Cả ba bộ số liệu chỉ thấp hơn năm ngoái vì Bybit từng mất riêng 1,45 tỷ USD trong một vụ trộm hồi tháng 2.
Bài tiếp theo: Dự báo ngắn hạn với XRP: kịch bản cao nhất quanh 1,25 USD trước quyết định của Fed