Theo công ty bảo mật Hacken, các vụ tấn công tiền mã hóa đã gây thiệt hại lên tới 1,18 tỷ USD trong 107 sự cố được ghi nhận vào quý III năm 2026.

Báo cáo quý III của Hacken cho biết 77% thiệt hại (khoảng 906 triệu USD) bắt nguồn từ các nhà cung cấp hoặc công cụ dành cho nhà phát triển bị xâm nhập, các bản vá đã được công bố công khai nhưng chưa triển khai, hoặc những thành phần khác nằm ngoài phạm vi rà soát bảo mật.

Bốn sự cố lớn nhất gồm vụ tấn công Bitget gây thiệt hại 387 triệu USD, vụ khai thác lỗ hổng Liquid Network trị giá 320 triệu USD, vụ khai thác lỗ hổng Tectonic trị giá 120 triệu USD và lỗ hổng firmware của Coldcard, với mức thiệt hại ước tính 115 triệu USD.

Quý III là quý gây thiệt hại nặng nề nhất do các vụ tấn công tiền mã hóa kể từ quý I năm 2025, thời điểm khoản thiệt hại 1,4 tỷ USD của Bybit do Triều Tiên gây ra đã đẩy tổng thiệt hại lên 1,6 tỷ USD.

Tổng số tiền thiệt hại trong quý III và cơ cấu thiệt hại. Nguồn: Hacken

Khoảng 80% thiệt hại trong quý tập trung ở bốn vụ việc lớn nhất, trong khi 98 vụ ghi nhận thiệt hại dưới 10 triệu USD. Mức thiệt hại trung vị trong tổng số 107 vụ là 670.000 USD.

Trong khi các vụ xâm nhập nhà cung cấp và sự cố cơ sở hạ tầng chiếm phần lớn giá trị tài sản bị đánh cắp, sự cố hợp đồng thông minh xảy ra thường xuyên nhất, với 71 vụ gây thiệt hại 228 triệu USD, trở thành hình thức tấn công bị khai thác nhiều nhất.

Khoảng một phần ba thiệt hại đã được hoàn trả hoặc đảo ngược sau các vụ tấn công tiền mã hóa trong quý III

Trong số 1,18 tỷ USD bị mất, khoảng 387 triệu USD đã được hoàn trả hoặc đảo ngược, tương đương khoảng 33% tổng thiệt hại.

Sau vụ tấn công Liquid Network, những người tự nhận là “mũ trắng” đã hoàn trả 272 triệu USD, tương đương khoảng 85% giá trị bị đánh cắp.

Trong sự cố Tectonic, các trình xác thực Cronos đã khôi phục lại 114 phút lịch sử blockchain đã được xác nhận, đảo ngược khoảng 111,2 triệu USD trong tổng số 120,4 triệu USD khoản vay bị ảnh hưởng. Ngoài ra, các đơn vị phát hành stablecoin Circle và Tether đã đóng băng khoảng 340.000 USD có liên quan đến vụ trộm tại Bitget.

Các đơn vị vận hành đã dùng thêm 410 triệu USD từ nguồn quỹ riêng để bù đắp tổn thất cho người dùng. Quỹ bảo vệ người dùng của Bitget đã chi trả 387 triệu USD, trong khi Triple-A, Coinsbuy và TAC hoàn trả khoảng 22 triệu USD để bồi thường đầy đủ cho người dùng, còn tài sản bị đánh cắp vẫn nằm trong tay kẻ tấn công.

Khoảng 384 triệu USD, tương đương 32% tổng thiệt hại, không được hoàn trả hay bù đắp.

Số tiền thiệt hại được các đơn vị vận hành bù đắp so với số tiền được hoàn trả hoặc đảo ngược. Nguồn: Hacken

Hacken kêu gọi các bên trong ngành tăng cường an ninh mạng cho các nhà cung cấp bên thứ ba, công cụ dành cho nhà phát triển và các cơ sở hạ tầng bên ngoài khác có thể nằm ngoài phạm vi kiểm toán bảo mật.

Công ty cũng khuyến nghị các giao thức mở rộng phạm vi kiểm toán bảo mật để bao gồm oracle, cầu nối, hệ thống lưu ký, đơn vị có thẩm quyền ký và các thành phần đặc quyền khác.

Tạp chí: Bên trong “cuộc đột kích giả của cảnh sát” buộc một người phải chuyển 1 triệu USD Bitcoin