Hack crypto quý 3/2026 mất 1,26 tỷ USD: bài học cho dự án Web3

Quý 3/2026 là quý thiệt hại nặng nhất của ngành tiền mã hóa kể từ đầu năm 2025: CertiK thống kê 1,26 tỷ USD bị mất qua 247 sự cố, còn Hacken ghi nhận 1,18 tỷ USD qua 107 sự cố. Con số đáng suy nghĩ nhất lại không phải tổng thiệt hại, mà là nhận định của Hacken rằng khoảng 77% tổn thất đến từ nhà cung cấp bị xâm nhập, công cụ lập trình, bản vá chưa áp dụng và hạ tầng nằm ngoài phạm vi kiểm toán hợp đồng thông minh thông thường. Với các đội phát triển Web3 tại Việt Nam, điều đó có nghĩa: đã kiểm toán code chưa phải là đã an toàn.

Các con số chính của quý

Theo Cointelegraph tổng hợp dữ liệu CertiK ngày 1/10/2026, thiệt hại quý 3 tăng 53,9% so với mức 819,4 triệu USD của quý 2, số sự cố tăng khoảng 13% từ 219. Riêng tháng 9 mất khoảng 769 triệu USD qua 99 sự cố; khoảng 273 triệu USD sau đó được đóng băng hoặc trả lại.

Hai tổ chức dùng tập sự cố và cách định giá khác nhau, nên tổng số không khớp tuyệt đối. Cả hai đồng ý ở điểm thiệt hại tập trung rất mạnh: theo Hacken, bốn vụ lớn nhất chiếm khoảng 80% tổng tổn thất, trong khi 98/107 sự cố có thiệt hại dưới 10 triệu USD và mức trung vị chỉ khoảng 670.000 USD.

Tháng 9: khai thác lỗ hổng chiếm gần hết thiệt hại

Nhìn riêng tháng 9 sẽ thấy rõ bức tranh hơn. CertiK ghi nhận 58 vụ khai thác lỗ hổng (exploit) gây thiệt hại khoảng 734 triệu USD, xấp xỉ 96% tổn thất của cả tháng. Sau khi trừ phần được đóng băng hoặc hoàn trả, thiệt hại điều chỉnh của tháng 9 còn khoảng 495,3 triệu USD. Lừa đảo giả mạo và chiếm ví cá nhân vẫn diễn ra hằng ngày, nhưng về giá trị, chúng bị lu mờ bởi vài vụ tấn công vào hạ tầng của sàn và giao thức. Đây là lý do các doanh nghiệp vận hành nền tảng, chứ không chỉ người dùng cuối, cần coi bảo mật là chi phí vận hành bắt buộc.

Vụ Bitget: lỗ hổng nằm ở sản phẩm của bên thứ ba

Bitget cho biết kẻ tấn công lợi dụng lỗ hổng trong một sản phẩm bảo mật của bên thứ ba để lấy thông tin xác thực nội bộ, rồi giả mạo lệnh rút tiền. Sàn đã tạm ngừng rút tiền khi phát hiện. Một báo cáo của SlowMist được dẫn trong bài truy vết hoạt động liên quan đến một lỗ hổng zero-day từ ngày 31/8.

Chuỗi sự kiện này cho thấy một nghịch lý: chính công cụ được mua về để bảo vệ hệ thống lại trở thành cửa vào. Không có hợp đồng thông minh nào bị lỗi trong kịch bản đó; thứ bị phá là quy trình cấp quyền và ký lệnh rút.

Con số 77% nói gì

Báo cáo Hacken công bố ngày 16/10/2026 ước tính khoảng 906 triệu USD, tức 77% tổn thất, đến từ những thành phần nằm ngoài phạm vi kiểm toán hợp đồng thông minh tiêu chuẩn: nhà cung cấp bị xâm nhập, công cụ phát triển, bản vá bảo mật chưa triển khai và hạ tầng. Ngược lại, tấn công hợp đồng thông minh xảy ra nhiều nhất về số vụ, 71 trường hợp, nhưng chỉ gây thiệt hại khoảng 228 triệu USD.

Nói cách khác, kiểm toán mã nguồn vẫn cần, nhưng phần lớn tiền bị mất ở những chỗ đội dự án ít nhìn tới. Bài kiểm toán mã nguồn mở chống lỗ hổng trên trang này nên được đọc kèm một câu hỏi: phạm vi kiểm toán của bạn dừng ở đâu?

Tiền có lấy lại được không

Theo Hacken, khoảng 387 triệu USD sau đó được thu hồi hoặc đảo ngược, gồm 272 triệu USD do những người tự nhận là hacker mũ trắng trả lại trong vụ Liquid và khoảng 111,2 triệu USD giao dịch Tectonic được đảo ngược khi các nút xác thực Cronos khôi phục lịch sử chuỗi. Các nhà vận hành nền tảng tự bỏ 410 triệu USD bù cho người dùng. Khoảng 384 triệu USD vẫn chưa được thu hồi hay bồi thường.

Việc đảo ngược lịch sử chuỗi để lấy lại tiền là con dao hai lưỡi: nó cứu được người dùng trong một vụ cụ thể nhưng đặt ra câu hỏi về tính bất biến mà blockchain vẫn quảng bá.

Danh sách kiểm tra cho đội dự án Việt

Những gợi ý dưới đây là suy luận từ các sự cố được công bố, không phải khuyến nghị chính thức của CertiK hay Hacken:

• Kiểm kê nhà cung cấp: liệt kê mọi phần mềm bảo mật, dịch vụ ký, nhà cung cấp ví lưu ký và thư viện bên thứ ba; theo dõi bản tin lỗ hổng của từng bên.
• Tách quyền ký lệnh rút: lệnh rút lớn từ ví nóng cần nhiều chữ ký từ các thiết bị và người khác nhau; thông tin xác thực nội bộ không đủ để tự tạo lệnh.
• Giới hạn số dư ví nóng: chỉ giữ lượng cần cho thanh khoản trong ngày, phần còn lại ở ví lạnh.
• Vá theo hạn định: đặt thời hạn áp dụng bản vá nghiêm trọng và ghi nhận ngoại lệ có người chịu trách nhiệm.
• Bảo vệ máy lập trình viên: công cụ phát triển và trình quản lý gói là đích ngắm của tấn công chuỗi cung ứng; dùng máy riêng cho việc ký và triển khai.
• Kế hoạch ứng cứu: có quy trình tạm dừng rút tiền, liên hệ sàn để đóng băng và thông báo người dùng trong vài giờ đầu.

Người dùng phổ thông nên rút ra điều gì

Ngay cả sàn lớn cũng có thể bị xâm nhập, và việc bù đắp phụ thuộc vào khả năng tài chính, thiện chí của nhà vận hành. Vụ Coldcard cũng nhắc rằng ví phần cứng không miễn nhiễm: firmware cần được cập nhật từ nguồn chính hãng. Giữ tài sản phân tán, không để toàn bộ trên một nền tảng, và coi mọi thông báo "khẩn cấp, hãy chuyển tiền sang ví an toàn" là dấu hiệu lừa đảo cho đến khi tự kiểm chứng qua kênh chính thức. Bài rủi ro bảo mật trong Web3 và crypto có thêm các tình huống thường gặp. Bài viết không nhằm khuyến nghị đầu tư.