Crypto bị thất thoát 1,26 tỷ USD giữa lúc Bitcoin tăng 40%. Ảnh: Forbes
Crypto bị cuỗm mất 1,26 tỷ USD trong quý
Thị trường crypto vừa khép lại một trong những quý tăng mạnh nhất trong nhiều năm, song hacker cũng có một quý “bội thu” không kém. Các vụ tấn công và sự cố bảo mật gây thiệt hại 1,26 tỷ USD trong quý 3/2026, riêng tháng 9 chiếm hơn 60% tổng số tiền bị đánh cắp.
Bitcoin đã tăng 40% trong quý vừa qua, vượt mặt hầu hết các nhóm tài sản lớn, bất chấp lợi suất trái phiếu Chính phủ Mỹ leo thang lên vùng cao nhất hơn hai thập kỷ. Dòng tiền cũng quay trở lại các ETF crypto, đưa thị trường phục hồi mạnh sau giai đoạn suy yếu đầu năm.
Tuy nhiên, đà tăng giá lại đi cùng với một nghịch lý khác về tổng thiệt hại tấn công mạng. Theo dữ liệu từ công ty bảo mật CertiK, ngành crypto ghi nhận 247 sự cố bảo mật trong Q3, gây thất thoát tổng cộng 1,26 tỷ USD. Lũy kế từ đầu năm, số tiền thất thoát đã lên đến 2,68 tỷ USD.
September was a stark reminder of how quickly the threat landscape can shift.
— CertiK (@CertiK) September 30, 2026
With both losses and incident count reaching their highest levels of 2026, the month’s data reinforces the need for security across every layer.
Full breakdown below ↓ https://t.co/VGe1ZoLWm3
Tháng 9 là giai đoạn đặc biệt nghiêm trọng khi số tiền bị đánh cắp lên tới khoảng 768,5 triệu USD, mức cao nhất kể từ đầu năm. CertiK ghi nhận gần 100 sự cố chỉ trong một tháng, trong khi PeckShield thống kê 55 vụ tấn công với tổng thiệt hại tương đương 766,5 triệu USD.
Top 10 vụ tấn công trong tháng 09/2026. Nguồn: CertiK
Nặng nề nhất là vụ tấn công sàn Bitget ngày 24/09. Thiệt hại ban đầu được ước tính khoảng 350 triệu USD và sau đó được điều chỉnh lên 387,5 triệu USD, tương đương gần 31% tổng thiệt hại của cả quý. Hacker xâm nhập một hệ thống backend quan trọng trong hạ tầng ví, từ đó bòn rút ETH, XRP, USDC, USDT cùng các tài sản khác trên nhiều blockchain.
Bitget lập tức đóng rút tiền và tuyên bố sử dụng quỹ bảo vệ người dùng trị giá 464 triệu USD để bù đắp thiệt hại. CEO Gracy Chen cho biết phương thức tấn công có nhiều điểm tương đồng với các nhóm hacker Triều Tiên, song cuộc điều tra vẫn đang tiếp diễn.
Một vụ việc lớn khác liên quan đến Liquid Network cũng rúng động với thiệt hại khoảng 319 triệu USD. Tiếp đến, vụ Tectonic và Coldcard lần lượt gây tổn thất 120 triệu USD và 130 triệu USD. Dù vậy, một phần tài sản từ các vụ tấn công đã được đóng băng hoặc hoàn trả. Trong tháng 9, khoảng 273 triệu USD đã được thu hồi hoặc ngăn hacker tiếp tục kiểm soát, đưa thiệt hại ròng xuống 495 triệu USD.
Nicolai Sondergaard, chuyên gia nghiên cứu cấp cao tại Nansen, cho rằng thiệt hại về hình ảnh có thể lớn hơn số tiền bị mất. Các vụ khai thác lỗ hổng liên tiếp củng cố lo ngại rằng hạ tầng crypto vẫn dễ tổn thương, từ đó có thể khiến tổ chức tài chính thận trọng hơn và cơ quan quản lý tăng cường giám sát.
Tuy nhiên, tác động trực tiếp lên dòng vốn tổ chức hiện vẫn tương đối hạn chế. Phần lớn nhà đầu tư truyền thống tiếp cận Bitcoin và các tài sản số thông qua ETF được quản lý thay vì trực tiếp đưa vốn vào giao thức DeFi, giúp họ tránh phần lớn rủi ro từ smart contract và ví on-chain.
Bảo hiểm không theo kịp, AI mở thêm mặt trận tấn công
Khoảng trống bảo vệ càng rõ rệt khi đặt quy mô thiệt hại cạnh thị trường bảo hiểm crypto.
Theo báo cáo State of Crypto Security 2026 của CoinGecko, tổng giá trị bảo hiểm đang có hiệu lực tại các giao thức crypto lớn chỉ còn 130,2 triệu USD, giảm 20,2% từ mức 163,2 triệu USD một năm trước. Tổng tiền bồi thường lũy kế gần như đi ngang ở 33 triệu USD.
Nói cách khác, toàn bộ năng lực bảo hiểm on-chain được CoinGecko thống kê hiện chỉ tương đương khoảng 10% số tiền crypto bị đánh cắp trong riêng Q3, và chưa bằng một nửa thiệt hại của vụ Bitget.
Kiểm toán smart contract cũng không đồng nghĩa với miễn nhiễm trước hacker. CoinGecko thống kê khoảng 60% nền tảng từng bị khai thác từ đầu năm 2025 đến tháng 7/2026 đã trải qua kiểm toán độc lập. Phần lớn các cuộc tấn công lại nằm ngoài phạm vi kiểm toán truyền thống, từ hạ tầng bên ngoài, khóa cá nhân bị đánh cắp đến các bản cập nhật mã chưa được kiểm tra.
Blockaid cảnh báo số vụ tấn công liên quan AI agent có thể tăng mạnh khi các công cụ tự động ngày càng được trao quyền đọc dữ liệu, giao dịch và ký giao dịch trực tiếp trên blockchain. Một trong những nguy cơ lớn nhất là prompt injection, khi hacker cài chỉ dẫn độc hại vào dữ liệu mà AI đọc được, khiến agent thực hiện hành động trái với ý định của chủ sở hữu.
Rủi ro này đã bắt đầu hiện hữu ngoài thực tế. Blockaid gần đây phát hiện kẻ xấu có thể nhúng câu lệnh vào metadata của token như tên, ký hiệu hoặc mô tả. Khi AI agent đọc những trường dữ liệu này để quyết định giao dịch, nội dung độc hại có thể bị hiểu thành mệnh lệnh và dẫn tới ký giao dịch ngoài ý muốn nếu hệ thống không có lớp kiểm tra độc lập.
Blockaid cho biết một AI agent mang tên Bankr từng bị lợi dụng khiến khoảng 215.000 USD rời khỏi ví do agent kiểm soát. Một thử nghiệm khác vào tháng 9 còn cho thấy prompt được giấu trong metadata token có thể khiến agent cấp quyền chi tiêu không giới hạn cho kẻ tấn công.
Coin68 tổng hợp
