$391,000. Đó là con số mà hôm nay ai cũng sẽ lướt qua — và chính vì thế tôi mới viết về BitMart.
Nhà sáng lập Sheldon Xia xác nhận hôm 2 tháng 11 rằng khoảng $391,000 đã bị rút khỏi các ví liên kết với BitMart trên Base, Arbitrum và Optimism. So với những tin tức nổi bật khác trong tuần này thì đây đúng là khoản tiền nhỏ. Nhưng dữ liệu on-chain cho thấy các dòng tiền rút này bắt đầu 53 phút trước khi kẻ tấn công nhắm đến Mercado Bitcoin cũng trong ngày hôm đó — gây thiệt hại khoảng $48.6M — và Xia cho biết các cuộc điều tra sơ bộ cho thấy cùng một nhóm đứng sau cả hai vụ. Hãy nhìn nhận trình tự này đúng như những gì nó cho thấy: BitMart có vẻ chỉ là màn khởi động, hoặc điểm dừng đầu tiên, trước sự kiện chính.
Đây là điều cần khiến bạn thay đổi hành vi, chứ không chỉ thay đổi dòng thời gian theo dõi. BitMart đã thông báo ngừng hoạt động từ tháng 7, dự kiến đóng cửa hoàn toàn vào ngày 31 tháng 1 năm 2027, và từ đó đến nay chỉ vận hành với một đội ngũ nòng cốt — theo chính lời họ, đội ngũ bảo mật đang thiếu nhân sự. Một sàn giao dịch đang đóng cửa là mục tiêu dễ bị tấn công: ít người giám sát hơn, phản ứng chậm hơn, và người dùng vẫn để số dư ở đó vì nghĩ rằng “vẫn còn thời gian” trước hạn chót. Kẻ tấn công cũng biết điều đó.
Không giống Mercado, nơi cam kết bù đắp tổn thất, bài đăng của Xia không nói gì về việc số dư người dùng có bị ảnh hưởng hay không, cũng như BitMart có dự định bồi thường hay không. Chưa công bố không có nghĩa là đã được bồi thường — đừng xem đó là lời trấn an.
Bối cảnh rộng hơn thật ảm đạm: các công cụ theo dõi vụ tấn công hiện ước tính tổng thiệt hại do trộm cắp trong năm 2026 là $8.776B, cao hơn gấp ba lần mức $2.715B của năm 2025; và việc $BTC vẫn giữ quanh mức $78,000 cho thấy cho đến nay thị trường đã hấp thụ từng vụ việc thay vì định giá lại rủi ro. Việc thị trường hấp thụ được không có nghĩa là an toàn.
Bài học của tôi từ vụ này rất đơn giản và cần thực hiện ngay: ngay khi bất kỳ sàn giao dịch nào bạn sử dụng thông báo ngừng hoạt động, hãy coi ngày đóng cửa là không còn liên quan và rút tiền khỏi sàn ngay trong tuần đó, chứ đừng chờ đến hết quý. Có bao nhiêu người trong số các bạn vẫn còn ít tiền lẻ hoặc số dư cũ trên những nền tảng mà mình hầu như chẳng bao giờ kiểm tra?
Nhà sáng lập Sheldon Xia xác nhận hôm 2 tháng 11 rằng khoảng $391,000 đã bị rút khỏi các ví liên kết với BitMart trên Base, Arbitrum và Optimism. So với những tin tức nổi bật khác trong tuần này thì đây đúng là khoản tiền nhỏ. Nhưng dữ liệu on-chain cho thấy các dòng tiền rút này bắt đầu 53 phút trước khi kẻ tấn công nhắm đến Mercado Bitcoin cũng trong ngày hôm đó — gây thiệt hại khoảng $48.6M — và Xia cho biết các cuộc điều tra sơ bộ cho thấy cùng một nhóm đứng sau cả hai vụ. Hãy nhìn nhận trình tự này đúng như những gì nó cho thấy: BitMart có vẻ chỉ là màn khởi động, hoặc điểm dừng đầu tiên, trước sự kiện chính.
Đây là điều cần khiến bạn thay đổi hành vi, chứ không chỉ thay đổi dòng thời gian theo dõi. BitMart đã thông báo ngừng hoạt động từ tháng 7, dự kiến đóng cửa hoàn toàn vào ngày 31 tháng 1 năm 2027, và từ đó đến nay chỉ vận hành với một đội ngũ nòng cốt — theo chính lời họ, đội ngũ bảo mật đang thiếu nhân sự. Một sàn giao dịch đang đóng cửa là mục tiêu dễ bị tấn công: ít người giám sát hơn, phản ứng chậm hơn, và người dùng vẫn để số dư ở đó vì nghĩ rằng “vẫn còn thời gian” trước hạn chót. Kẻ tấn công cũng biết điều đó.
Không giống Mercado, nơi cam kết bù đắp tổn thất, bài đăng của Xia không nói gì về việc số dư người dùng có bị ảnh hưởng hay không, cũng như BitMart có dự định bồi thường hay không. Chưa công bố không có nghĩa là đã được bồi thường — đừng xem đó là lời trấn an.
Bối cảnh rộng hơn thật ảm đạm: các công cụ theo dõi vụ tấn công hiện ước tính tổng thiệt hại do trộm cắp trong năm 2026 là $8.776B, cao hơn gấp ba lần mức $2.715B của năm 2025; và việc $BTC vẫn giữ quanh mức $78,000 cho thấy cho đến nay thị trường đã hấp thụ từng vụ việc thay vì định giá lại rủi ro. Việc thị trường hấp thụ được không có nghĩa là an toàn.
Bài học của tôi từ vụ này rất đơn giản và cần thực hiện ngay: ngay khi bất kỳ sàn giao dịch nào bạn sử dụng thông báo ngừng hoạt động, hãy coi ngày đóng cửa là không còn liên quan và rút tiền khỏi sàn ngay trong tuần đó, chứ đừng chờ đến hết quý. Có bao nhiêu người trong số các bạn vẫn còn ít tiền lẻ hoặc số dư cũ trên những nền tảng mà mình hầu như chẳng bao giờ kiểm tra?
