Theo báo cáo của công ty bảo mật Hacken, các vụ tấn công tiền mã hóa đã gây thiệt hại 1,18 tỷ USD trong quý III năm 2026, qua 107 sự cố được ghi nhận. Đây là quý gây thiệt hại nặng nề nhất cho an ninh tiền mã hóa kể từ quý I năm 2025, khi sự cố Bybit được cho là có liên quan đến Triều Tiên góp phần khiến tổng thiệt hại do các vụ tấn công lên tới 1,6 tỷ USD, theo các bản tổng kết sau đó của Hacken.
Dù tổng thiệt hại là con số đáng báo động, Hacken cũng ghi nhận những khoản thu hồi đáng kể. Khoảng 387 triệu USD trong tổng số 1,18 tỷ USD đã được hoàn trả hoặc đảo ngược sau các vụ tấn công—tương đương khoảng 33% tổng thiệt hại—cho thấy mức độ tổn thất cũng như việc một phần ngành công nghiệp có thể nhanh chóng khắc phục thiệt hại ra sao khi có sự can thiệp.
Những điểm chính
Thiệt hại trong Q3 2026 lên tới 1,18 tỷ USD qua 107 sự cố, mức cao nhất theo quý kể từ Q1 2025.
Điểm yếu của nhà cung cấp và công cụ gây ra phần lớn giá trị bị đánh cắp: 77% (khoảng 906 triệu USD) bắt nguồn từ các thành phần bên ngoài bị xâm nhập và những lỗ hổng tương tự nằm ngoài phạm vi đánh giá bảo mật tiêu chuẩn.
Khai thác lỗ hổng hợp đồng thông minh là hình thức tấn công phổ biến nhất, liên quan đến khoản thiệt hại 228 triệu USD trong 71 sự cố.
Khoảng một phần ba thiệt hại đã được thu hồi: 387 triệu USD được hoàn trả hoặc thu hồi thông qua việc đảo ngược giao dịch sau các vụ tấn công trong Q3, trong khi 384 triệu USD (32%) vẫn chưa được thu hồi.
Phần lớn sự cố có quy mô nhỏ hơn: 98 trong số 107 vụ gây thiệt hại dưới 10 triệu USD; mức thiệt hại trung vị là 670.000 USD.
Các khoản thiệt hại lớn tập trung ở một nhóm nhỏ sự cố
Đánh giá Q3 của Hacken cho thấy mức độ thiệt hại phân bổ không đồng đều. Bốn sự cố chiếm phần lớn tổng thiệt hại, trong khi các vụ còn lại có quy mô trung bình nhỏ hơn nhiều. Cụ thể, 80% giá trị bị đánh cắp trong quý tập trung ở bốn vụ việc lớn nhất.
Các sự cố lớn nhất bao gồm:
387 triệu USD liên quan đến vụ tấn công Bitget
320 triệu USD liên quan đến vụ khai thác lỗ hổng Liquid Network
120 triệu USD liên quan đến vụ khai thác lỗ hổng Tectonic
Thiệt hại ước tính 115 triệu USD liên quan đến lỗ hổng trong firmware Coldcard
Ở chiều ngược lại, 98 trong số 107 sự cố được ghi nhận gây thiệt hại dưới 10 triệu USD. Hacken báo cáo mức thiệt hại trung vị là 670.000 USD, cho thấy dù các vụ việc tồi tệ nhất chiếm trọn sự chú ý trên mặt báo, nhiều vụ xâm phạm vẫn gây thiệt hại thấp hơn—nhưng vẫn đáng kể.
Vì sao thiệt hại trong Q3 bắt nguồn từ rủi ro “nằm ngoài phạm vi kiểm toán”
Một điểm trọng tâm trong những phát hiện của Hacken là phần lớn giá trị thiệt hại trong quý không chỉ đến từ các lỗi hợp đồng thông minh truyền thống. Báo cáo cho biết 77% giá trị bị đánh cắp trong Q3—khoảng 906 triệu USD—bắt nguồn từ các vấn đề như nhà cung cấp hoặc công cụ dành cho nhà phát triển bị xâm nhập, các bản sửa lỗi đã được công bố công khai nhưng chưa triển khai, cùng những thành phần khác có thể nằm ngoài phạm vi đánh giá bảo mật.
Phân tích này có ý nghĩa với nhà đầu tư, người dùng và đội ngũ giao thức vì nó mở rộng sự chú ý từ bảo mật ở cấp độ mã nguồn sang toàn bộ hệ sinh thái phát triển và vận hành. Nếu vụ xâm nhập hoặc điểm yếu bắt nguồn từ công cụ của bên thứ ba, chuỗi phụ thuộc, hạ tầng có đặc quyền hoặc các thành phần bên ngoài, thì ngay cả những đội ngũ có quy trình nội bộ vững chắc vẫn có thể gặp rủi ro.
Các cuộc tấn công hợp đồng thông minh xảy ra thường xuyên, nhưng không phải là vấn đề duy nhất
Hacken cũng nhận thấy sự cố hợp đồng thông minh là loại hình khai thác lỗ hổng phổ biến nhất. Tổng thiệt hại liên quan đến hợp đồng thông minh là 228 triệu USD trong 71 sự cố, khiến đây trở thành vectơ tấn công bị khai thác nhiều nhất xét theo số vụ.
Tuy nhiên, tần suất và mức độ tác động không nhất thiết tương ứng với nhau. Báo cáo của Hacken cho thấy các khoản thiệt hại lớn thường tập trung ở một số sự cố có tác động nghiêm trọng, nhiều vụ chịu ảnh hưởng từ các yếu tố nằm ngoài quá trình thực thi hợp đồng trực tiếp—chẳng hạn như hệ thống bên ngoài bị xâm nhập, sự cố hạ tầng hoặc các thành phần vận hành có đặc quyền.
Nói cách khác, dữ liệu Q3 cho thấy bức tranh mối đe dọa kết hợp: hợp đồng thông minh vẫn là mục tiêu hàng đầu, nhưng hậu quả nghiêm trọng nhất có thể phụ thuộc vào việc kẻ tấn công tận dụng được điểm yếu nào bên ngoài lớp ứng dụng.
Thu hồi sau các vụ tấn công trong Q3: tiền được hoàn trả, giao dịch bị đảo ngược và những thiệt hại chưa được khắc phục
Dù thiệt hại rất lớn, Hacken ghi nhận đã có những khoản tiền đáng kể được thu hồi sau các vụ việc. Trong số 1,18 tỷ USD bị mất, khoảng 387 triệu USD đã được hoàn trả hoặc thu hồi thông qua việc đảo ngược giao dịch, tương đương khoảng 33% tổng thiệt hại.
Một số ví dụ cho thấy việc thu hồi có thể diễn ra thông qua nhiều cơ chế khác nhau:
Liquid Network: Sau vụ tấn công, những người tự xưng là “mũ trắng” được cho là đã hoàn trả 272 triệu USD; Hacken mô tả con số này tương đương khoảng 85% giá trị bị đánh cắp. (Bài đưa tin trước đó của Cointelegraph đề cập khoản tiền 270 triệu USD được hoàn trả.)
Tectonic: Hacken cho biết các trình xác thực Cronos đã hoàn tác 114 phút lịch sử blockchain đã được xác nhận, đảo ngược khoảng 111,2 triệu USD trong tổng số khoảng 120,4 triệu USD khoản vay bị ảnh hưởng. Báo cáo cũng đề cập đến hành động của các đơn vị phát hành stablecoin: Circle và Tether đã đóng băng khoảng 340.000 USD liên quan đến vụ trộm tại Bitget.
Các đơn vị vận hành bù đắp thêm: Hacken báo cáo rằng 410 triệu USD thiệt hại của người dùng đã được bù đắp bằng chính nguồn vốn của các đơn vị vận hành. Cụ thể, quỹ bảo vệ người dùng của Bitget đã chi trả 387 triệu USD, cùng với các khoản hoàn trả tổng cộng khoảng 22 triệu USD từ Triple-A, Coinsbuy và TAC.
Ngay cả khi đã có những biện pháp can thiệp đó, không phải mọi khoản thiệt hại đều được khắc phục. Hacken ước tính khoảng 384 triệu USD, tương đương 32% tổng thiệt hại, chưa được hoàn trả hay bù đắp—nghĩa là tài sản bị đánh cắp vẫn nằm trong tay kẻ tấn công.
Hacken muốn ngành công nghiệp thay đổi điều gì tiếp theo
Các khuyến nghị của Hacken tập trung vào việc ngăn chặn mô hình “xâm nhập từ bên ngoài” được thể hiện trong phân tích thiệt hại của quý này. Công ty kêu gọi các bên tăng cường an ninh mạng đối với nhà cung cấp bên thứ ba, công cụ dành cho nhà phát triển và hạ tầng bên ngoài khác—những yếu tố có thể chưa được kiểm tra đầy đủ trong các cuộc kiểm toán bảo mật tiêu chuẩn.
Công ty cũng khuyến nghị mở rộng phạm vi kiểm toán giao thức để bao gồm các thành phần có đặc quyền, vốn có thể bị khai thác ngay cả khi mã nguồn cốt lõi an toàn, chẳng hạn như oracle, cầu nối, hệ thống lưu ký và đơn vị có quyền ký.
Như Q3 2026 cho thấy, việc thu hồi có thể giảm thiểu thiệt hại ròng, nhưng không được đảm bảo—và những tổn thất lớn nhất vẫn có thể bắt nguồn từ các mắt xích yếu bên ngoài chính các hợp đồng. Với 98 trong số 107 sự cố gây thiệt hại dưới 10 triệu USD, xu hướng cấp bách nhất có thể là liệu ngành có thể giảm mức độ phơi nhiễm mang tính hệ thống trước các rủi ro “nằm ngoài phạm vi kiểm toán” hay không, thay vì chỉ vá từng lỗ hổng sau khi chúng bị khai thác.
Nhà đầu tư và nhà phát triển nên theo dõi xem các giao thức có mở rộng hoạt động đánh giá bảo mật vượt ra ngoài cơ sở mã của mình hay không—đặc biệt là đối với chuỗi công cụ, các thành phần phụ thuộc và quyền vận hành—cũng như liệu các cơ chế thu hồi có được chuẩn hóa hơn khi một quý khác với mức thiệt hại cao đang đến gần hay không.
Bài viết này ban đầu được đăng với tiêu đề Bitget và Liquid khiến các vụ tấn công tiền mã hóa trong Q3 tiến sát mốc 1,2 tỷ USD trên Crypto Breaking News – nguồn tin đáng tin cậy của bạn về tiền mã hóa, Bitcoin và các cập nhật blockchain.