Crypto đang bị tấn công thường xuyên hơn, chứ không phải ít đi. Vụ rút cạn Liquid Network cho thấy vấn đề thực sự: 1,5 triệu USD được chi để bảo vệ 5 tỷ USD tài sản.
# Tại sao Crypto liên tục bị tấn công — 1,5 triệu USD để bảo vệ 5 tỷ USD
Những điểm chính
- Crypto đang bị tấn công thường xuyên hơn, chứ không phải ít đi: khoảng 1,4 tỷ USD bị đánh cắp qua 250 vụ tấn công trong năm 2026, so với 2,7 tỷ USD qua 146 vụ trong năm 2025 — các vụ đánh cắp có quy mô trung bình nhỏ hơn, nhưng tần suất cao hơn rất nhiều.
- Vụ hack [Mạng Liquid](https://liquid.net) của [Blockstream](https://blockstream.com) đã phơi bày động lực mục nát bên dưới: ngân sách bảo mật 1,5 triệu USD bảo vệ 5 tỷ USD tài sản — mức chi tiêu chỉ 0,03%.
- Kẻ tự xưng là "mũ trắng" đã hoàn trả 3.400 BTC và giữ lại 598,5 BTC (~47 triệu USD) như phần thưởng tự đặt ra — gấp khoảng 30 lần toàn bộ ngân sách bảo mật.
- Chìa khóa bị xâm phạm và kỹ thuật xã hội — chứ không phải lỗi hợp đồng thông minh — đã vượt qua các lỗ hổng mã nguồn để trở thành nguyên nhân hàng đầu gây tổn thất cho DeFi theo giá trị tiền tệ trong năm nay.
- Bài học bền vững: rủi ro bảo mật giờ đây là một yếu tố đầu vào hàng đầu, có thể định giá được, và những giao thức sống sót sẽ là những giao thức đầu tư cho bảo mật như một sản phẩm cốt lõi, chứ không phải điều được nghĩ đến sau cùng.
Vào ngày September 6, 2026, một người đã lấy đi khoảng 4,000 Bitcoin — khoảng $320 million — từ ví federation hỗ trợ Liquid, sidechain Bitcoin của Blockstream. Điều đó không phải do khóa bị đánh cắp. Multisig 11-of-15 vẫn còn nguyên vẹn, và các khóa ủy quyền peg-out chưa từng bị chạm. Một người lạ đã phát hiện một lỗi trong Elements, mã nguồn mở mà Liquid chạy trên đó, đã tạo ra L-BTC không có Bitcoin thực sự làm bản sao, và đã đổi lấy nó qua cửa trước như một khách hàng bình thường. Dự trữ đã giảm từ 4,200 BTC xuống 197 BTC trong khoảng 23 phút.
Sau đó là phần kỳ lạ. Kẻ tấn công đã không bỏ chạy. Họ đã viết "we are whitehats. contact us on chain" vào một giao dịch Bitcoin và bắt đầu thương lượng một khoản hoàn trả $320 million một cách công khai, qua từng tin nhắn OP_RETURN. Một ngày sau, họ đã trả lại 3,400 BTC — 85% số tiền thu được — và giữ lại 598.5 BTC, khoảng $47 million, như một khoản tiền thưởng tự phong.
Đây là con số khiến mọi người sáng lập, trader và LP phải ngồi thẳng lưng: vào ngày September 9, kẻ tấn công đã nói với thế giới rằng Blockstream chỉ phân bổ $1.5 million để bảo vệ $5 billion tài sản. "Sự lơ là nhiệm vụ của bạn là rõ ràng," họ viết, đe dọa giữ lại phần còn lại trừ khi Blockstream trả 10% tiền thưởng.
Tỷ lệ đó là cả câu chuyện về bảo mật crypto năm 2026. Không phải lỗi kỹ thuật. Là lỗi động lực. Nếu bạn muốn hiểu tại sao crypto liên tục bị hack, hãy ngừng đọc các báo cáo hậu kiểm smart-contract và bắt đầu đọc bảng tính ngân sách.
## Tại sao bề mặt tấn công di chuyển từ code sang con người?
Trong một thập kỷ, ngành công nghiệp đã coi bảo mật là một vấn đề về kiểm tra mã nguồn: nhiều kiểm toán viên hơn, nhiều xác minh chính thức hơn, nhiều chương trình săn lỗi nhận thưởng hơn cho reentrancy và overflow. Những kẻ tấn công đơn giản là đã di chuyển lên các lớp cao hơn. Vào năm 2026, các cuộc tấn công bằng khóa bị lộ đã vượt qua các lỗ hổng hợp đồng thông minh để trở thành nguyên nhân hàng đầu gây ra tổn thất DeFi tính theo giá trị đô la — bởi vì đó là nơi giá trị không được bảo vệ hiện đang nằm ở đó.
Hãy nhìn vào vụ trộm lớn nhất trong năm. Vào tháng Tư, [Drift Protocol](https://drift.trade), sàn giao dịch perpetuals lớn nhất của Solana, đã mất khoảng $285 million. Đó không phải là lỗi. Đó là một chiến dịch tình báo Bắc Hàn kéo dài sáu tháng (được theo dõi dưới mã UNC4736, hoặc AppleJeus). Các điệp viên giả danh là công ty giao dịch định lượng, gặp các nhà đóng góp trực tiếp tại các hội nghị ở nhiều quốc gia, và đã nộp hơn $1 million vốn tự có để tạo độ tin cậy. Sau đó họ đã xâm phạm hai nhà đóng góp — một qua kho mã độc hại, một khác qua ứng dụng ví TestFlight giả mạo khai thác lỗ hổng thực thi mã im lặng trong VSCode và Cursor. Các hợp đồng của Drift đã được Trail of Bits kiểm toán vào năm 2022. Kiểm toán sạch, nhưng đã bị rút sạch trong mười hai phút qua một đa chữ ký 2-of-5 không có timelock.
Cùng mẫu, ngày khác: KelpDAO mất khoảng $292 million khi kẻ tấn công cung cấp dữ liệu sai cho bộ xác thực duy nhất đáng tin cậy của nó. Tectonic mất khoảng $75 million do tài sản thế chấp mỏng và một oracle pump-and-dump. Coldcard mất $115–130 million vì lỗi ngẫu nhiên số trong firmware. Không có gì trong số này là zero-days thông minh. Chúng là các điểm tin cậy đơn lẻ, thiếu defense-in-depth.
Tần suất là dấu hiệu cho thấy. 1,4 tỷ USD từ 250 vụ tấn công trong năm 2026, so với 2,7 tỷ USD từ 146 vụ trong năm 2025. Số tiền ít hơn, nhưng số vụ việc nhiều hơn gấp nhiều lần — vụ trộm trung bình nhỏ hơn, nhanh hơn và ngày càng được tự động hóa. Các cầu nối và hạ tầng xuyên chuỗi hiện chiếm 26 vụ tấn công (hơn 10% tổng số), so với chỉ 3 vụ trong năm 2025. Đây là sự chuyên nghiệp hóa của hành vi trộm cắp: một dải dài các kẻ tấn công bán tự động khai thác những rìa thiếu vốn của hệ sinh thái.
## Ai là người thắng khi một "mũ trắng" giữ lại 47 triệu USD?
CTO của Ledger, Charles Guillemet, gọi sự cố Liquid là "gần giống với sự cưỡng đoạt hơn là hack mũ trắng". Ông đúng về phương pháp — rút tiền trước, đàm phán sau là sự cưỡng ép, không phải tiết lộ có trách nhiệm. Nhưng phần khó chịu là con số. Một lỗ hổng có thể rút 320 triệu USD trong 23 phút có giá trị hàng triệu USD theo bất kỳ tiêu chuẩn thưởng nào nghiêm túc. Lý do duy nhất khiến điều này được xem là một bê bối là vì Blockstream chưa bao giờ định giá rủi ro của chính mình. Kẻ tấn công đã định giá thay cho họ — và, một cách nghịch lý, thị trường đang lặng lẽ đồng ý.
Những người thắng dễ dàng được gọi tên. Các nhà nghiên cứu bảo mật đã dành nhiều năm kêu gọi các khoản thưởng thực sự vừa nhận được bài thuyết phục tuyển dụng mạnh mẽ nhất có thể: bằng chứng sống rằng lợi ích từ việc tìm ra lỗ hổng lớn là vô cùng to lớn. Các nhà kiểm toán, công ty bảo hiểm và công ty giám sát sẽ thắng — nhu cầu về dịch vụ của họ sắp tăng vọt. Kẻ tấn công, tất nhiên, cũng thắng.
Những người thua: các chủ sở hữu L-BTC, những người có quỹ bị đóng băng trong khi mạng lưới bị tạm dừng, tin tưởng vào một chuỗi phụ mà các nhà vận hành của nó chỉ chi 0,03% giá trị rủi ro để bảo vệ nó. Và danh tiếng của Blockstream chịu tổn thương sâu sắc nhất — đây không phải một startup nhỏ lẻ, mà là công ty nghiêm túc nhất về Bitcoin trong lĩnh vực này, và ngay cả họ cũng đã đầu tư thiếu hụt cho bảo mật theo cấp số nhân.
## Điều này đã từng xảy ra trước đây — hay đây là điều mới?
Có một lịch sử dài về việc các hacker trả lại số tiền bị đánh cắp: Poly Network vào năm 2021 ($610 million, tất cả được trả lại), Euler vào năm 2023 ($197 million, phần lớn được trả lại). Nhưng đó là những kẻ trộm bị bắt và chọn cách bồi thường. Điều khác biệt ở Liquid là cách đặt vấn đề: kẻ tấn công tự tuyên bố mình là một white hat trước khi vụ trộm được phát hiện, sau đó sử dụng số tiền trả lại làm đòn bẩy để yêu cầu một sự nhượng bộ công khai.
Đó là một danh mục mới — hãy gọi nó là ransomware với một mẫu đơn tiết lộ. Và nó chỉ hoạt động vì một vấn đề sâu xa và lâu đời hơn: ngân sách bảo mật của crypto bị phân bổ sai lệch một cách khủng khiếp so với giá trị gặp rủi ro. Sự cố Liquid đơn giản là lần đầu tiên một kẻ tấn công công khai vũ khí hóa ngân sách bảo mật của một dự án làm luận điểm cho tội ác. Đó là một dấu hiệu của sự trưởng thành, theo một cách lệch lạc — giờ đây những kẻ tấn công hiểu về kinh tế học của crypto hơn nhiều nhà sáng lập.
## Điều này sẽ đi về đâu trong ba năm tới?
Ba dự đoán, không cái nào nói về giá cả. Thứ nhất, chi tiêu cho bảo mật sẽ trở nên chuyên nghiệp hơn hoặc các protocol sẽ bị "farm". Tỷ lệ $1.5-million-to-$5-billion là không thể bào chữa và hiện đã công khai; hãy mong đợi các dự án nghiêm túc sẽ hội tụ ở mức tối thiểu là một vài điểm cơ bản (single-digit basis points) của TVL được phân bổ cho bảo mật, và mong đợi những dự án còn lại sẽ bị vét sạch.
Thứ hai, "white hat cầm súng" sẽ trở thành một đặc điểm được công nhận — dù xấu xí — của bối cảnh này. Cho dù các cơ quan quản lý gọi đó là tống tiền hay tòa án gọi đó là trộm cắp, các động lực đã được thiết lập: một người lạ tìm thấy một lỗi nghiêm trọng và được trả gấp 30 lần toàn bộ ngân sách bảo mật của nạn nhân. Điều đó sẽ xảy ra lần nữa, vì thị trường tiếp tục tài trợ cho giải thưởng.
Thứ ba, bảo hiểm và chứng thực (attestation) sẽ trở thành lợi thế cạnh tranh. Các protocol sống sót sau cuộc thanh lọc 2026–2027 sẽ không phải là những dự án có hợp đồng khéo léo nhất; mà sẽ là những dự án có đội ngũ bảo mật thực thụ, các khoản bounty thực thụ, timelocks và bảo hiểm. DeFi sắp trở nên nhàm chán — và sự nhàm chán chính xác là điều mà các tổ chức đang chờ đợi.
## Điều này có ý nghĩa gì đối với các nhà giao dịch?
Xác định rủi ro bảo mật như một yếu tố đầu vào có thể định giá được, ở cấp độ ưu tiên hàng đầu — giống như cách bạn xử lý rủi ro thanh khoản hoặc rủi ro pháp lý, chứ không phải là một dấu sao chú thích. "Chiết khấu do bị hack" là có thật và mang tính lũy tiến: TVL của Tectonic đã sụp đổ từ 121,7 triệu USD xuống còn khoảng 3 triệu USD sau vụ khai thác lỗ hổng. Khi một giao thức bị hack, thanh khoản sẽ không quay lại. Sự bất đối xứng là tàn khốc — bạn không được bù đắp cho rủi ro đuôi (tail risk) khi giữ vốn trong một cầu nối xác thực viên đơn lẻ hoặc một thị trường cho vay chưa được kiểm toán.
Sự tập trung là tương quan ẩn. L-BTC, các chuỗi bên liên kết (federated sidechains) và các cầu nối xác thực viên đơn lẻ trông giống như mức độ tiếp xúc với "Bitcoin" hoặc "ETH", nhưng chúng mang theo rủi ro phần mềm và đối tác mà tài sản gốc không có. Chuỗi gốc không bị hack; lớp bọc (wrapper) mới là thứ bị hack. Nếu luận điểm của bạn là "Tôi muốn tiếp xúc với Bitcoin", việc nắm giữ phiên bản được bọc hoặc trên chuỗi bên sẽ âm thầm thêm vào rủi ro mà bạn không được trả tiền để chấp nhận.
Và quan sát về công cụ hỗ trợ (picks-and-shovels): chủ đề lặp đi lặp lại xuyên suốt mỗi chu kỳ hack không phải là một token — mà là hệ thống bảo mật. Các công ty kiểm toán, bảo hiểm, giám sát và các giao thức tài trợ đúng mức cho bảo mật là nơi giá trị bền vững tích lũy. Đây không phải là khuyến nghị; chỉ là một ghi chú về nơi nguồn lực thực sự khan hiếm của ngành hiện đang nằm: niềm tin.
## Hóa đơn luôn phải được thanh toán
Blockstream có khả năng sẽ bồi hoàn đầy đủ cho các nhà đầu tư L-BTC — Adam Back đã nói rằng tỷ giá neo (peg) sẽ được bảo đảm 1:1. Tiền, cuối cùng, sẽ phần lớn quay trở lại. Nhưng bài học sẽ không thể in lại: một ngành công nghiệp đã huy động hàng tỷ USD cho marketing và phát hành token chỉ chi 1,5 triệu USD để bảo vệ 5 tỷ USD — và một người lạ với một trình soạn thảo văn bản đã phải chỉ cho họ thấy phép tính đó, dưới sự uy hiếp, với mức ngân sách gấp 30 lần.
Lần tới khi có ai đó hỏi tại sao crypto cứ liên tục bị hack, đừng cho họ xem bản phân tích sau sự cố. Hãy cho họ xem bảng tính.
## Câu hỏi thường gặp
Tại sao crypto cứ liên tục bị hack vào năm 2026?
Nguyên nhân hàng đầu gây tổn thất đã chuyển từ các lỗi hợp đồng thông minh sang việc lộ khóa, người xác thực đơn lẻ và tấn công phi kỹ thuật. Những kẻ tấn công đã chuyển lên các tầng cao hơn là tầng con người và cơ sở hạ tầng, vì đó là nơi giá trị không được bảo vệ.
Vụ "mũ trắng" của Liquid Network có thực sự là mũ trắng không?
Còn gây tranh cãi. Kẻ tấn công đã trả lại 85% số tiền nhưng giữ lại khoảng $47 million và đe dọa sẽ giữ số tiền đó nếu không có khoản tiền thưởng 10% — điều mà CTO của Ledger, Charles Guillemet và những người khác gọi là "giống tống tiền hơn là hack mũ trắng."
Blockstream đã chi bao nhiêu cho bảo mật?
Kẻ tấn công tiết lộ rằng Blockstream đã phân bổ khoảng $1.5 million để bảo mật xấp xỉ $5 billion tài sản trên Liquid — khoảng 0.03%.
Vụ hack Liquid có làm tổn hại đến chính Bitcoin không?
Không. Lớp cơ sở của Bitcoin không bị ảnh hưởng. Lỗi nằm trong Elements, phần mềm vận hành sidechain Liquid, và trong cơ sở hạ tầng liên hợp xung quanh peg. Không có khóa multisig nào bị xâm phạm.
Bài học quan trọng nhất đối với người dùng DeFi là gì?
Bảo mật giờ đây là một rủi ro bậc một có thể định giá được. Việc tập trung vốn vào các cầu đơn xác thực, sidechain liên hợp, hoặc các giao thức chưa được kiểm toán sẽ làm tăng rủi ro đuôi mà bạn không được đền bù — và các giao thức bị hack hiếm khi khôi phục được tính thanh khoản của họ.