Theo Chainalysis, các hacker liên quan đến Bắc Hàn đã đánh cắp hơn 1 tỷ USD tiền điện tử trong năm nay. Vụ xâm nhập Bitget trị giá 387,5 triệu USD đã đẩy tổng số tiền vượt qua mốc này, trong khi tổng tổn thất từ các cuộc khai thác DeFi tiếp tục giảm, do các vụ trộm tập trung vào một hoạt động do nhà nước điều hành.
Việc đánh cắp tiền điện tử của Bắc Hàn vượt mốc 1 tỷ USD. Tiền điện tử vui mừng.
Điểm chính
- Các hacker liên kết với Bắc Hàn đã đánh cắp hơn 1 tỷ USD tiền điện tử trong năm 2026, sau khi chiếm hơn 2 tỷ USD trong năm 2025, theo Chainalysis.
- Vụ xâm phạm Bitget ngày 24 tháng 9, $387.5 million và là vụ lớn nhất năm nay, đã đẩy tổng tích lũy vượt mốc.
- Tổng tổn thất từ các vụ khai thác DeFi thực tế đang giảm. "Tin tốt" che giấu sự tập trung của các vụ trộm vào một hoạt động công nghiệp hóa, được nhà nước hậu thuẫn.
- Kênh tấn công đã chuyển từ mã sang con người: vụ tấn công Drift Protocol liên quan đến sáu tháng xâm nhập trực tiếp, chứ không phải lỗi hợp đồng thông minh.
- THORChain từ chối chặn các khoản tiền Bitget bị đánh cắp trong khi NEAR Intents chặn 50 triệu USD, chia DeFi thành hai tương lai không tương thích.
Các tin tặc của Triều Tiên đã đánh cắp hơn $1 billion tiền điện tử năm nay, theo Chainalysis. Con số đẩy họ vượt ngưỡng là $387.5 million bị rút cạn từ sàn giao dịch Bitget vào ngày 24 tháng 9, vụ hack đơn lẻ lớn nhất năm 2026. Tuy nhiên cùng tuần đó, một phần lớn ngành công nghiệp vẫn thầm lựng tự khen mình, vì tổng tổn thất khai thác DeFi đang giảm.
Cả hai sự thật đều đúng. Đó chính là vấn đề.
Bức tranh toàn cảnh: Giờ chơi nghiệp dư của tiền điện tử đã kết thúc
Tiêu đề "thiệt hại do hack giảm" là đúng nhưng dễ gây hiểu lầm. Trong quý đầu tiên của năm 2026, các giao thức DeFi đã mất khoảng $168 triệu do các vụ khai thác lỗ hổng, giảm khoảng 90% so với mức $1,58 tỷ bị đánh cắp trong quý đầu tiên của năm 2025, quý ghi nhận vụ hack Bybit kỷ lục $1,4 tỷ. Nếu chỉ đọc một cách đơn thuần, có vẻ như lĩnh vực tiền mã hóa cuối cùng đã cải thiện được vấn đề bảo mật.
Điều thực sự xảy ra còn kém hấp dẫn hơn. Các cuộc tấn công từ những kẻ mới học lập trình và những kẻ đơn độc, vốn từng làm tăng số liệu thống kê hàng năm, các lỗi trong giao thức cho vay trị giá 150.000 USD, các lỗ hổng logic định giá trị giá 80.000 USD, phần lớn đã cạn kiệt. Thay vào đó là một hoạt động duy nhất được nhà nước tài trợ, có khả năng rút sạch chín chữ số mỗi lần. Số vụ trộm không giảm. Nó đã tập trung lại.
Bắc Triều Tiên coi việc trộm tiền điện tử là một dòng doanh thu quốc gia. Liên Hợp Quốc nhiều lần ước tính rằng các khoản tiền tiền điện tử bị đánh cắp tài trợ cho một phần đáng kể các chương trình vũ khí của Bình Nhưỡng. Đây không phải là một băng nhóm tội phạm tình cờ học được Solidity. Đó là chính sách công nghiệp quốc gia được vận hành thông qua các đơn vị như Lazarus và TraderTraitor, với một quy trình tuyển dụng, chương trình đào tạo và chuỗi hậu cần rửa tiền khiến nhiều tổ chức tài chính hợp pháp phải xấu hổ.
Hãy nghĩ xem "công nghiệp hóa" thực sự có nghĩa là gì ở đây. Cuộc tấn công vào Drift Protocol vào tháng Tư không phải là một vụ xâm nhập; đó là một chiến dịch. Những kẻ tấn công đã dành khoảng sáu tháng giả danh một công ty giao dịch định lượng, tham dự các hội nghị, kết bạn với những người đóng góp trực tiếp, và thậm chí gửi 1 triệu đô la vốn của chính họ vào một kho dự án để xây dựng lòng tin. Sau đó, chúng đã lợi dụng cơ chế durable nonce của Solana để chiếm quyền quản trị của Hội đồng Bảo mật. Các hợp đồng thông minh đã hoạt động hoàn hảo. Con người thì không.
Tại sao Bắc Triều Tiên đang thắng khi các vụ hack "giảm"?
Câu trả lời là ngành công nghiệp đã tối ưu hóa chống lại kẻ thù sai lầm. Trong một thập kỷ, tiền điện tử đã đổ tiền vào kiểm toán mã nguồn, thưởng tìm lỗi và xác minh hình thức, và công việc đó về cơ bản đã thành công. Việc khai thác một hợp đồng thông minh đã được kiểm toán kỹ lưỡng ngày thực sự rất khó. Vì vậy, đối thủ đã thay đổi mục tiêu.
CTO của Ledger, Charles Guillemet, đã vạch rõ ranh giới sau vụ Drift, liên kết phương pháp của nó với vụ cướp của Bybit: thâm nhập lâu dài vào những con người nắm giữ khóa, sau đó thuyết phục họ phê duyệt các giao dịch độc hại. Bề mặt tấn công đã dịch chuyển lên trên stack, từ mã nguồn sang những người vận hành nó. Ngành Crypto đã dành mười năm để tăng cường bảo mật cho các hợp đồng thông minh và quên rằng đầu vào yếu nhất vẫn là con người.
Ngược lại, vụ vi phạm của Bitget đã khai thác lỗ hổng phần mềm của bên thứ ba để đánh cắp thông tin xác thực nội bộ, liên quan đến rủi ro nhà cung cấp, chứ không phải lỗi giao thức. Mandiant và SlowMist vẫn đang giải mã chính xác cách thức thực hiện. Nhưng mô hình là nhất quán: đây là các cuộc tấn công chuỗi cung ứng và kỹ thuật xã hội nhằm vào con người vận hành, lớp duy nhất mà không bao giờ được kiểm toán viên phê duyệt.
Hiệu ứng Ripple: Mâu thuẫn của THORChain
Câu chuyện bên trong câu chuyện là những gì đã xảy ra với số tiền sau Bitget. Trong vòng ba giờ, các kẻ tấn công đã phân tán 387,5 triệu USD trên bốn mạng lưới: 49,7% sang Ethereum, 40,8% sang XRP Ledger, 7,6% sang Zcash, 1,8% sang Tron. Sau đó, họ đã thực hiện hành động đã trở thành dấu hiệu đặc trưng của Lazarus: họ đưa XRP qua THORChain, chuyển đổi hơn 90% thành Bitcoin gốc, mà không hề chạm vào bất kỳ sàn giao dịch tập trung nào có thể đóng băng tài sản của họ.
Giám đốc điều hành Bitget Gracy Chen công khai yêu cầu THORChain chặn các địa chỉ bị đánh dấu. "Phi tập trung là một nguyên tắc thiết kế," cô viết, "không phải là tấm khiên để tạo điều kiện cho việc chuyển tiền đã bị đánh cắp đã biết." THORChain từ chối, lập luận rằng nó "không cần sự cho phép như Bitcoin, Ethereum và BNB Chain," và đặt câu hỏi về trách nhiệm mà các lớp cơ sở đó phải chịu đối với các khoản tiền bị đánh cắp di chuyển qua chúng.
Lời đáp tự nó đã rõ. Khi THORChain bị rút cạn $10.7 triệu vào tháng Năm, mạng lưới đã ngừng hoạt động chỉ trong vài giờ và tiếp tục ngoại tuyến trong năm tuần. Khi ThorFi gặp sự cố dưới đáy vào tháng Một năm 2025, các node của nó đã bỏ phiếu qua đêm để đóng băng việc rút. Như người sáng lập OKX Star Xu nói: một mạng lưới dừng lại khi chính tiền của nó bị đe dọa nhưng lại từ chối dừng lại khi tiền của người khác bị đe dọa thì không "giống Bitcoin." Nó đang đưa ra một lựa chọn.
Đây là vụ fork quan trọng đối với toàn bộ hệ sinh thái. NEAR Intents đã làm ngược lại THORChain: hệ thống SHIELD tự động của họ đã chặn khoảng 50 triệu USD trong các giao dịch hoán đổi liên kết với Bitget và thậm chí từ chối khoản tiền thưởng 5% mà Bitget đưa ra. Bitget đã cảm ơn họ. Những người theo chủ nghĩa thuần túy phi tập trung đã chỉ trích họ vì không đủ tính phi quyền lực. Hai giao thức, hai câu trả lời không tương thích cho cùng một câu hỏi, và mọi dự án DeFi hiện nay đều phải chọn phe, dù có nói ra hay không.
Bối cảnh lịch sử: Sổ tay Bybit, được tinh chỉnh
Không có gì mới mẻ ở đây; nó chỉ sắc bén hơn thôi. Vào tháng 2 năm 2025, Lazarus đã đánh cắp $1.46 billion từ Bybit và rửa tiền khoảng $1.2 billion trong số đó thông qua THORChain, mười một ngày sau khi THORChain ngừng sử dụng khóa quản trị. Kẻ trộm Coldcard đã sử dụng nó. Kẻ trộm Bitget đã sử dụng nó. THORChain đã trở thành nơi rửa tiền crypto như Tornado Cash từng là nơi rửa tiền mixer, ngoại trừ việc người đồng sáng lập Tornado Cash bị kết tội điều hành dịch vụ chuyển tiền không có giấy phép, trong khi THORChain hoạt động công khai với một token hạng nhất.
Sự khác biệt giữa quá khứ và hiện tại nằm ở quy mô và tính bền vững. Một năm với doanh thu 1 tỷ USD từng là một ngoại lệ do một vụ hack thảm khốc duy nhất gây ra. Bây giờ, đó là mức nền tảng liên tục, và năm nay vẫn chưa kết thúc. Triều Tiên đã biến việc trộm cắp quy mô lớn thành một hoạt động có thể lặp lại, tái diễn theo quý, giống như một gói đăng ký doanh thu thù địch mà ngành crypto đang có.
Góc nhìn tương lai: Xu hướng trong 1-3 năm tới
Ba xu hướng sẽ tăng tốc từ đây.
Đầu tiên, điểm nghẽn chuyển sang cửa ngõ rút tiền. Nếu lớp giao thức không kiểm duyệt, các nhà quản lý sẽ gây sức ép lên các sàn giao dịch, bàn giao dịch OTC và các ngân hàng tiếp xúc với Bitcoin đã chuyển đổi. Sổ cái của Bitcoin vẫn minh bạch ngay cả sau khi chuyển đổi, vì vậy việc thực thi tập trung vào nơi tiền tệ rút ra dưới dạng tiền pháp định, chính xác là nơi các nhà điều tra luôn đạt được nhiều thành công nhất.
Thứ hai, sự phân chia giữa NEAR và THORChain trở thành một ranh giới pháp lý. Khung pháp lý DeFi năm 2026 của Lực lượng Đặc nhiệm Hành động Tài chính đã nêu rõ rằng các hợp đồng thông minh không chịu sự điều chỉnh của các quy định này, nhưng những cá nhân có thể nhận dạng được với "ảnh hưởng đáng kể" đối với một giao thức thì có thể phải chịu trách nhiệm. Việc THORChain tự đình chỉ hoạt động vào tháng Năm chứng minh rằng nó có ảnh hưởng đó. Đây không còn là vấn đề pháp lý, mà là vấn đề về thời gian biểu.
Thứ ba, câu chuyện "các vụ hack đang giảm" sẽ nhanh chóng lỗi thời. Một sự cố đơn lẻ được thực hiện đúng thời điểm vẫn có thể khiến năm 2026 trở thành một năm kỷ lục, bởi vì kẻ thù hiện đang vận hành một quy trình có thể lặp lại thay vì một chuỗi các lỗ hổng may mắn. Rủi ro đuôi đã dày hơn ngay cả khi mức trung bình đã giảm.
Góc nhìn của nhà giao dịch: Không phải giá cả, mà là sàn giao dịch và tài sản
Đây không phải là câu chuyện về giá cả, mà là câu chuyện về rủi ro đối tác. Sự cố trên Bitget là một thí nghiệm tự nhiên rõ ràng về những gì bị đóng băng và những gì không. Circle và Tether đã đóng băng các ví được gắn nhãn là của kẻ tấn công trong vòng vài ngày, nhưng tổng số tiền chỉ khoảng 318.000 USD, hay 0,08% tổng số tiền đánh cắp. Phần còn lại, chiếm 88%, nằm im lặng trong ETH, XRP và Zcash, những loại tài sản mà không nhà phát hành tập trung nào có thể đóng băng. Kẻ tấn công biết chính xác những tài sản nào không thể kiểm duyệt, và họ phân bổ vốn tương ứng.
Bài học thực tiễn khá đơn giản nhưng hữu ích: hãy coi các trung tâm thanh khoản liên chuỗi, tiền riêng tư và việc lưu ký ví nóng là các biến số rủi ro có thể bị siết chặt bởi quy định hoặc nhắm mục tiêu bởi một thực thể nhà nước, chứ không chỉ là cơ sở hạ tầng trung lập. Đa dạng hóa qua các sàn giao dịch. Hiểu rằng tư thế tuân thủ của một sàn, hoặc việc thiếu nó, hiện là một yếu tố vật chất ảnh hưởng đến mức độ phơi nhiễm của bạn, bất kể bạn có đang rửa tiền hay không.
Đóng cửa
Đây là câu hỏi mà cộng đồng crypto liên tục từ chối trả lời. Nếu một quốc gia bị trừng phạt, sở hữu vũ khí hạt nhân sử dụng giao thức "không cần phép" của bạn làm đường dây rửa tiền chính, và giao thức của bạn có khả năng rõ ràng là tạm dừng giao dịch khi chính nguồn vốn của nó gặp rủi ro, thì bao lâu nữa thì "chúng tôi không thể" sẽ không còn là triết lý thiết kế mà bắt đầu được đọc như một sự lựa chọn?
Ngành công nghiệp đã dành một thập kỷ để tranh luận rằng mã là luật. Bắc Hàn vừa chứng minh rằng luật pháp có một lỗ hổng. Và lỗ hổng đó chính là chúng ta.
Câu hỏi thường gặp
Bắc Triều Tiên đã đánh cắp bao nhiêu tiền điện tử trong năm 2026? Hơn 1 tỷ USD, theo Chainalysis, sau con số khoảng 2 tỷ USD trong năm 2025. Vụ vi phạm bảo mật Bitget trị giá 387,5 triệu USD vào tháng Chín là sự cố đơn lẻ đã đẩy tổng số tiền bị đánh cắp trong năm 2026 vượt qua mốc này.
Tại sao tổng tổn thất do hack đang giảm trong khi trộm cắp của Bắc Triều Tiên đang tăng? Tổn thất từ các cuộc khai thác DeFi đã giảm khoảng 90% so với cùng kỳ năm ngoái trong quý 1 năm 2026 do các vụ hack quy mô nhỏ, do những kẻ mới vào nghề thực hiện giảm. Trộm cắp không dừng lại, mà đã tập trung vào một hoạt động do nhà nước điều hành, thực hiện ít vụ tấn công hơn nhưng có quy mô lớn hơn.
Tại sao THORChain lại từ chối chặn các quỹ Bitget? Nó lập luận rằng đây là phi tập trung, giống như Bitcoin hay Ethereum, và không thể kiểm duyệt các địa chỉ cá nhân. Các nhà phê bình chỉ ra rằng nó đã tạm dừng toàn bộ mạng của mình trong vòng vài giờ sau vụ khai thác trị giá $10.7 triệu vào tháng Năm, và đóng băng sản phẩm cho vay của mình vào tháng Một năm 2025.
Vụ hack Drift đã xảy ra như thế nào mà không có lỗi mã nguồn? Kẻ tấn công đã dành khoảng sáu tháng để thao túng xã hội các cộng tác viên, giả danh một công ty định lượng, gặp mặt trực tiếp, gửi 1 triệu USD, sau đó lạm dụng các nonce bền vững trên Solana để chiếm quyền quản trị của Hội đồng Bảo mật. Mã nguồn vẫn ổn; con người thì không.
Sự khác biệt giữa NEAR Intents và THORChain ở đây là gì? Hệ thống SHIELD của NEAR Intents đã chặn khoảng 50 triệu USD trong các giao dịch hoán đổi liên kết với Bitget và từ chối khoản tiền thưởng 5%. THORChain từ chối hành động hoàn toàn. Hai phản ứng này đại diện cho hai tương lai loại trừ lẫn nhau cho tài chính phi tập trung.