Nửa năm 2026: 212 vụ tấn công, KelpDAO và Drift bị thiệt hại hơn 5,7 tỷ USD
Thị trường đi ngang nhưng hacker thì không
Khi giá Bitcoin nằm im và altcoin tích lũy trong biên độ hẹp, có một chỉ số vẫn tăng trưởng không ngừng: số lượng các vụ tấn công trên chuỗi. Blockaid, công ty an ninh blockchain có trụ sở tại Tel Aviv, vừa công bố báo cáo an ninh nửa đầu năm 2026 với con số gây sốc: 212 vụ tấn công, tổng thiệt hại vượt 11 tỷ USD. Số vụ việc cao kỷ lục trong lịch sử ngành.
Con số này cho thấy một thực tế phũ phàng: trong khi thị trường đi ngang, các nhóm tấn công có tổ chức — đặc biệt là các nhóm APT có liên hệ với Triều Tiên — vẫn duy trì nhịp độ hoạt động đều đặn như một ngành công nghiệp. Tổng thiệt hại nửa đầu năm 2026 thấp hơn so với cùng kỳ trước, nhưng điều đó không mang lại sự an ủi. Vì con số 11 tỷ USD vẫn là một vết nứt khổng lồ trên bức tường tin cậy của toàn bộ hệ sinh thái DeFi.
Bản đồ tấn công: LRT và Perp DEX trở thành mục tiêu
Hai sự kiện nổi bật nhất trong báo cáo đều là những giao thức nằm trong top đầu của các phân khúc đang hot nhất:
KelpDAO — thiệt hại 2,92 tỷ USD. Là giao thức liquid restaking token (LRT) hoạt động trên Ethereum và các L2, KelpDAO cho phép người dùng gửi ETH và nhận lại token thanh khoản để tham gia EigenLayer. Đây là một chồng công nghệ phức tạp: tương tác với hợp đồng thông minh của EigenLayer, cầu nối cross-chain, và hệ thống đa chữ ký quản trị. Với quy mô như vậy, bề mặt tấn công của KelpDAO rộng hơn hầu hết các giao thức cho vay thông thường. Không phải ngẫu nhiên tin tặc lựa chọn nó làm mục tiêu: càng nhiều lớp tương tác, càng nhiều kẽ hở.
Drift — thiệt hại 2,85 tỷ USD. Sàn giao dịch phái sinh phi tập trung (Perp DEX) trên Solana này phụ thuộc vào các oracle giá như Pyth và Switchboard, hệ thống thanh lý và quỹ bảo hiểm. Một vụ tấn công vào Perp DEX thường nhắm vào một trong ba điểm: thao túng oracle, rút cạn quỹ bảo hiểm, hoặc tấn công trực tiếp vào quyền quản trị. Quy mô thiệt hại 2,85 tỷ USD đặt câu hỏi: liệu toàn bộ thanh khoản của Drift đã bị chạm tới, hay một phần lớn tài sản nằm trong các nhóm thanh khoản chéo?
Điều đáng chú ý: Blockaid xác nhận cả hai vụ tấn công lớn nhất đều có liên quan đến các tổ chức Triều Tiên. Đây không phải điều bất ngờ với những người đã theo dõi ngành lâu năm. Tổ chức Lazarus và các nhóm con của nó đã vận hành như một tập đoàn tấn công chuyên nghiệp kể từ vụ Bybit 1,5 tỷ USD năm 2025. Phương thức của họ không dừng ở khai thác lỗi smart contract — mà tập trung vào kỹ thuật xã hội, tấn công chuỗi cung ứng, và đánh cắp private key. Dựa trên kinh nghiệm audit của tôi, đây là loại hình tấn công nguy hiểm nhất vì nó không cần lỗi code — nó khai thác sự lơ đãng của con người.
Khi private key là tài sản duy nhất
Trong thế giới tài chính truyền thống, bảo mật là một hệ thống phân lớp: nhân viên, quy trình, hệ thống giám sát. Trong DeFi, nhiều giao thức vẫn đặt toàn bộ số phận của mình vào một mật khẩu dài 64 ký tự. Bạn có thể có mã nguồn được kiểm toán bởi bảy công ty an ninh, nhưng nếu một developer dính bẫy phishing, toàn bộ kho tiền sẽ bốc hơi. Trong 12 năm làm việc trong ngành, tôi chưa thấy ví nào bị tấn công vì thuật toán yếu — tôi thấy những người tài giỏi giao private key cho đúng đối tượng sai.
Báo cáo của Blockaid chỉ ra một xu hướng đáng lo ngại: số vụ tấn công tăng nhưng giá trị trung bình mỗi vụ giảm. Điều này phản ánh sự "công nghiệp hóa" của tội phạm mạng — các bot săn lỗi tự động quét hàng nghìn hợp đồng mỗi giờ, các nhóm tấn công vận hành theo ca làm việc 24/7. Đây không còn là những hacker đơn lẻ tìm kiếm vận may. Đây là một ngành công nghiệp có nghiên cứu thị trường, có phòng phân tích kỹ thuật, và có nguồn lực để phát triển công cụ riêng.
Với các giao thức LRT, rủi ro còn lan tỏa hơn. Khi KelpDAO bị tấn công, thiệt hại không chỉ nằm ở số tiền mất — mà còn ở sự sụt giảm niềm tin vào toàn bộ token LRT được sử dụng làm tài sản thế chấp trong các giao thức cho vay khác. Một vụ tấn công LRT có thể gây ra hiệu ứng domino: giá token LRT mất neo, các vị thế vay thế chấp bằng token đó bị thanh lý, làn sóng thanh lý lan sang các thị trường cho vay khác. Đây chính là lý do vì sao an ninh LRT không chỉ là vấn đề của một giao thức — nó là vấn đề hệ thống.
Nghịch lý của người quan sát: kẻ tấn công hoàn hảo hơn người phòng thủ
Điều tôi thấy thú vị nhất trong báo cáo này không phải là con số thiệt hại. Mà là việc tổng thiệt hại nửa đầu năm 2026 giảm so với các kỳ trước dù số vụ việc tăng kỷ lục. Hai cách đọc: một là tin xấu — tin tặc tấn công thường xuyên hơn, dàn trải hơn. Hai là tin tốt — mỗi vụ tấn công nhỏ hơn, nghĩa là các biện pháp phòng thủ đang khiến việc rút tiền quy mô lớn trở nên khó khăn hơn. Khi một ngân hàng bị cướp với số tiền nhỏ lặp đi lặp lại, điều đó có nghĩa là hệ thống báo động đang hoạt động — nhưng tên cướp vẫn tìm được đường vào.
Chu kỳ đi, chu kỳ đến. Năm 2022, khi FTX sụp đổ, ngành công nghiệp này đã trải qua một cuộc thanh lọc tự nhiên. Năm 2025, vụ Bybit trở thành hồi chuông cảnh tỉnh về quy mô tấn công cấp quốc gia. Năm 2026, chúng ta đang chứng kiến giai đoạn mà các cuộc tấn công không còn là ngoại lệ — mà là một chi phí vận hành, một biến số cố định trong phương trình rủi ro.
Khi tôi nhìn vào các quỹ đầu tư trong khu vực, tôi thấy một sự thay đổi lớn trong cách họ đánh giá giao thức. Trước đây, các yếu tố như TVL, tokenomics, và tốc độ phát triển được đặt lên hàng đầu. Bây giờ, câu hỏi đầu tiên mà các nhà đầu tư tổ chức đặt ra là: "Giao thức này đã trải qua bao nhiêu cuộc tấn công và phản ứng của họ như thế nào?" Khả năng phục hồi sau tấn công trở thành một chỉ số định giá — và đó là điều tốt. Các quyết định đầu tư trong thị trường đi ngang không còn dựa trên câu chuyện tăng trưởng — mà dựa trên khả năng sống sót.
Sự trở lại của những kẻ lừa đảo: an toàn là yếu tố định giá
Có một thực tế mà ít người nói đến: các vụ tấn công quy mô lớn thường không đến từ lỗi mã nguồn phức tạp, mà từ sự thiếu sót trong quy trình quản lý quyền truy cập. Một giao thức có thể có mã nguồn hoàn hảo đến mức không một lỗi nào bị phát hiện trong bảy lần kiểm toán — nhưng nếu private key của một nhà phát triển nằm trong một máy tính bị nhiễm phần mềm gián điệp, thì toàn bộ công sức đó trở nên vô nghĩa.
Trong các cuộc tấn công có tổ chức vào năm 2026, chúng ta thấy một mô hình lặp lại: tin tặc sử dụng kỹ thuật xã hội để tiếp cận các nhân viên phát triển, giả dạng nhà tuyển dụng, gửi các file độc hại, hoặc thâm nhập vào hệ thống quản lý mã nguồn. Đây là một cuộc chiến không giới hạn ở hợp đồng thông minh — nó mở rộng ra toàn bộ cơ sở hạ tầng hoạt động của một dự án. Giới tính không phải là private key, nhưng cách bạn bảo vệ private key cũng giống như cách bạn bảo vệ danh tính của mình: nó cần một hệ thống, không phải một mật khẩu.
Các nhóm tấn công Triều Tiên không chỉ giỏi về kỹ thuật — họ có khả năng nghiên cứu và kiên nhẫn phi thường. Họ sẵn sàng điều tra một mục tiêu trong nhiều tháng, hiểu rõ cơ cấu vận hành, tìm ra người có quyền truy cập lớn nhất, và thời điểm lơ là nhất. Với các giao thức có TVL lớn và cấu trúc quản trị phức tạp, họ có thể tấn công theo nhiều hướng: một giao thức LRT với hệ thống đa chữ ký phân tán, một sàn Perp DEX với các công cụ thanh lý tự động — mỗi giao thức là một thử thách riêng.
Khi các cuộc tấn công định hình lại bản đồ cạnh tranh
Nhìn vào hệ sinh thái sau báo cáo này, tôi thấy một cuộc tái phân bổ thị trường đang diễn ra. Các giao thức bị tấn công mất đi sự tin tưởng đã xây dựng trong nhiều năm. Người dùng có xu hướng rút thanh khoản khỏi LRT bị ảnh hưởng và chuyển sang các giao thức chưa từng bị tấn công hoặc có lịch sử xử lý khủng hoảng tốt. Trong khi đó, các công ty an ninh như Blockaid và CertiK đang trở thành những mắt xích không thể thiếu trong chuỗi vận hành của DeFi — ngày càng nhiều giao thức đưa báo cáo an ninh độc lập vào hoạt động thường ngày của họ.
Sự thay đổi này không chỉ ảnh hưởng đến cấu trúc cạnh tranh giữa các giao thức; nó cũng định hình lại xu hướng của toàn ngành. Các ứng dụng DeFi ngày càng trở nên phức tạp, đa lớp, đòi hỏi nhiều tương tác với cầu nối và oracle hơn. Điều này làm tăng bề mặt tấn công — và do đó, làm tăng chi phí bảo mật. Ngân sách dành cho an ninh của các giao thức lớn tăng gấp đôi trong nửa đầu năm 2026, và xu hướng này sẽ tiếp tục. An ninh không còn là một hạng mục chi phí tùy chọn — nó là một phần của chi phí sản xuất.
Quy định và trách nhiệm của người vận hành
Báo cáo của Blockaid cũng có một hàm ý pháp lý lớn: khi các tổ chức Triều Tiên được xác nhận là thủ phạm chính, vấn đề an ninh blockchain nhanh chóng bị kéo vào câu chuyện an ninh quốc gia và trừng phạt kinh tế. Các giao thức bị tấn công không chỉ phải đối mặt với thiệt hại tài chính — họ có thể phải đối mặt với sự giám sát chặt chẽ hơn từ các cơ quan quản lý, đặc biệt nếu dòng tiền từ các vụ tấn công chảy qua các sàn giao dịch hoặc cầu nối có trụ sở tại các khu vực pháp lý lớn.
Trong bối cảnh đó, các giao thức DeFi cần xây dựng cơ chế phản ứng nhanh và minh bạch khi xảy ra sự cố. Quan sát cách một số giao thức xử lý khủng hoảng trong quá khứ cho thấy: quá trình phản ứng nhanh chóng, công khai thông tin, và tích cực hợp tác với các cơ quan thực thi pháp luật có thể tạo ra sự khác biệt lớn. Khi vụ tấn công Bybit xảy ra vào năm 2025, phản ứng nhanh của đội ngũ vận hành đã giúp thu hồi một phần tài sản và duy trì niềm tin của người dùng. Với các giao thức nhỏ hơn, việc giữ im lặng hoặc đổ lỗi có thể là con đường ngắn nhất đến sự suy tàn.
Bài học cho người xây dựng giữa thị trường đi ngang
Chu kỳ đi, chu kỳ đến. Lời khuyên của tôi cho các nhà phát triển trong giai đoạn này: hãy coi an ninh như một sản phẩm cần được xây dựng và kiểm tra liên tục, chứ không phải một bước cuối cùng trước khi phát hành. Ý tưởng này không phải là mới — nhưng những con số trong báo cáo của Blockaid nhắc nhở chúng ta rằng ngành công nghiệp vẫn chưa thực sự nội hóa nó. Trong một thị trường đi ngang, không có sự lãng mạn nào của câu chuyện tăng trưởng — chỉ có sự khắc nghiệt của thực tại kỹ thuật.
Góc nhìn phản trực giác: an ninh yếu là cơ hội cho kẻ mạnh
Trong khi hầu hết thị trường nhìn vào các vụ tấn công như một tín hiệu tiêu cực, tôi lại thấy một cơ hội ở đó: cuộc khủng hoảng an ninh đang tạo ra sự phân hóa rõ rệt giữa các giao thức có kỷ luật vận hành và các giao thức chạy theo những câu chuyện tuần hoàn. Các đội ngũ xây dựng có năng lực — những người đã đầu tư vào hạ tầng giám sát, kiểm toán liên tục và quy trình ứng phó sự cố — sẽ trở thành nơi trú ẩn cho dòng vốn dịch chuyển từ các dự án kém an toàn. Trong một chu kỳ, thị trường thưởng cho những người đi nhanh nhất; trong chu kỳ tiếp theo, thị trường thưởng cho những người giữ vững được tài sản của mình.
Khi nhìn vào dòng chảy của các nhà đầu tư tổ chức vào không gian DeFi trong năm 2026, tôi thấy một xu hướng lặp lại: họ không tìm kiếm lợi nhuận cao nhất nữa — họ tìm kiếm sự ổn định dài hạn. Và sự ổn định đó chỉ có được khi bạn đặt an ninh ở trung tâm của thiết kế giao thức. Điều này nghe có vẻ đơn giản, nhưng đó là một trong những bài học đắt giá nhất mà thị trường này từng dạy.
Kết luận mở
Khi nửa đầu năm 2026 đã khép lại, câu hỏi lớn nhất không phải là "Ai sẽ là mục tiêu tiếp theo?" Mà là: liệu ngành công nghiệp này có sẵn sàng trả giá cho việc xây dựng một hệ thống an toàn hơn khi tăng trưởng đang chậm lại? Câu trả lời sẽ định hình không chỉ số phận của từng giao thức — mà còn toàn bộ cấu trúc tin cậy của nền tài chính phi tập trung. Chu kỳ đi, chu kỳ đến. Nhưng những giao thức tồn tại qua các chu kỳ đều có một điểm chung: họ đối xử với an ninh không như một chi phí — mà như một khoản đầu tư cho sự sống còn. Còn bạn thì sao?