Thị trường tiền số trở thành ‘mỏ vàng’ cho tin tặc: 657 vụ hack, hơn 12,8 tỷ USD bị chiếm đoạt vì 3 lỗ hổng bảo mật dai dẳng

Gia tăng tấn công mạng, 12,8 tỷ USD bị đánh cắp

Theo Bộ phận Nghiên cứu & Phát triển của Hiệp hội Blockchain Việt Nam (VBA), dựa trên báo cáo của Chainalysis và Immunefi, từ năm 2020 đến ngày 25/2/2025, thế giới đã ghi nhận 657 vụ hack nhắm vào các sàn giao dịch tiền mã hóa, gây thiệt hại lên đến 12,8 tỷ USD. Con số này cho thấy mức độ rủi ro ngày càng gia tăng trong lĩnh vực tài sản số.

Năm 2022 được xem là "đỉnh điểm" với 219 vụ tấn công mạng, gây thất thoát 3,8 tỷ USD. Đáng chú ý, chỉ trong hai tháng đầu năm 2025, đã có 20 vụ hack với số tiền thiệt hại gần 2,5 tỷ USD, cảnh báo về mức độ tinh vi của các cuộc tấn công mạng.

Trong số những vụ hack nghiêm trọng nhất 5 năm qua, đáng chú ý có:

Bybit (2025): 1,5 tỷ USD bị đánh cắp, do nhóm hacker Lazarus từ Triều Tiên thực hiện thông qua phần mềm độc hại.

Ronin (2022): 615 triệu USD bị tấn công qua lỗ hổng cầu nối chuỗi chéo, ảnh hưởng trực tiếp đến mạng Axie Infinity.

Poly Network (2021): 610 triệu USD bị đánh cắp, nhưng hacker sau đó đã hoàn trả phần lớn số tiền sau quá trình đàm phán.

DMM Bitcoin (2024): 300 triệu USD bị rút ròng do hacker xâm phạm khóa riêng, buộc sàn giao dịch này phải đóng cửa.

KuCoin (2020): 281 triệu USD bị đánh cắp, gây ra tâm lý hoang mang trong cộng đồng blockchain.

Vụ đánh cắp 1,5 tỷ USD từ sàn tiền số Bybit trở thành vụ hack tiền số lớn nhất từ trước đến nay.

Ba hình thức tấn công phổ biến nhất

Theo VBA, từ năm 2020 đến 2025, hacker đã sử dụng ba phương thức chính để tấn công vào thị trường tiền mã hóa:

Xâm phạm khóa riêng (Private Key Compromise): Chiếm 36% tổng số vụ hack (235 vụ), gây thất thoát 5,6 tỷ USD (tương đương 44% tổng thiệt hại). Hacker đánh cắp khóa riêng để chiếm quyền kiểm soát tài sản, thường nhắm vào sàn giao dịch tập trung (CEX) hoặc ví cá nhân. Trong năm 2024, nhóm Lazarus đã sử dụng phương thức này để đánh cắp 1,34 tỷ USD.

Tấn công cầu nối chuỗi chéo (Cross-chain Bridge Attack): Ghi nhận 79 vụ hack (12% tổng số vụ), gây thiệt hại 1,25 tỷ USD. Các giao dịch giữa các mạng blockchain thường gặp rủi ro bảo mật, khiến hacker có thể khai thác lỗ hổng và rút tiền trái phép.

Khai thác hợp đồng thông minh (Smart Contract Exploit): Là phương thức tấn công phổ biến nhất, chiếm 58% tổng số vụ hack, gây thiệt hại lên tới 6,95 tỷ USD. Năm 2022, có 150 vụ tấn công theo hình thức này, gây mất 2,4 tỷ USD.

TS. Đỗ Văn Thuật, chuyên gia công nghệ của Hiệp hội Blockchain Việt Nam, cho biết:

“Hợp đồng thông minh là nơi nắm giữ nhiều tài sản, xử lý nhiều tỷ USD giao dịch mỗi ngày, ai cũng có thể đọc và tương tác với hợp đồng, do đó dễ trở thành mục tiêu của các hackers. Trở lại với vụ tấn công Bybit, Ronin, Poly Network, điểm chung là các nền tảng này lưu ký tài sản ở các hợp đồng thông minh đa chữ ký, tức là cần chữ ký số chấp thuận đồng thời của nhiều người (đang quản trị hợp đồng) thì mới rút được tiền. Các hợp đồng đó nguồn mở, được kiểm toán kĩ lưỡng và được dùng khá phổ biến”.

TS. Thuật phân tích về vụ hack Bybit gần đây, Hacker đã không tấn công trực tiếp vào hợp đồng thông minh, mà nhắm vào những người quản lý hợp đồng. Bằng cách giả mạo thông tin, chúng khiến quản trị viên tin tưởng và cấp quyền rút tiền.

Ông cũng nhấn mạnh, ngoài lỗi hợp đồng thông minh, giao diện người dùng (UX/UI) và hệ thống IT truyền thống (Web2) cũng có thể bị khai thác. Hacker thường xâm nhập vào các nền tảng đám mây như AWS, cài mã độc vào hệ thống và khiến quản trị viên vô tình cấp quyền thay đổi hợp đồng, từ đó rút tiền dễ dàng.

TS. Đỗ Văn Thuật, Chuyên gia Công nghệ Hiệp hội Blockchain Việt Nam, Thành viên Hội đồng Khoa học Viện ABAII. (Ảnh: Blockchain.vn)

Giải pháp nào để ngăn chặn hacker?

Theo TS. Nguyễn Duy Lân, chuyên gia an ninh mạng tại Veramine Inc., hacker không chỉ khai thác lỗ hổng kỹ thuật mà còn sử dụng kỹ thuật tấn công xã hội (social engineering), nhằm vào con người và các quy trình bảo mật chưa chặt chẽ.

TS. Nguyễn Trung Thành, Chủ nhiệm Ủy ban Web3 của Hiệp hội Blockchain Việt Nam, cho rằng, cần đầu tư vào công nghệ bảo mật, như hệ thống quản lý khóa bảo mật phần cứng (HSM) và ví lạnh. Áp dụng AI để phát hiện bất thường trong giao dịch tài sản số. Kiểm tra bảo mật định kỳ với hợp đồng thông minh và giao diện Web2.

Trong khi đó, ông Phan Đức Trung, Chủ tịch Hiệp hội Blockchain Việt Nam, nhấn mạnh, Việt Nam cần sớm có các tiêu chuẩn an toàn thông tin và quản lý tài sản mã hóa: “Khi thị trường tài sản số ngày càng phát triển, việc thiếu khung pháp lý rõ ràng không chỉ khiến nhà đầu tư dễ bị tổn thương mà còn hạn chế tiềm năng của ngành blockchain. Chỉ khi có luật pháp làm nền tảng, chúng ta mới xây dựng được hệ sinh thái tài sản mã hóa đáng tin cậy, vừa bảo vệ người dùng vừa thúc đẩy đổi mới”, ông Trung nhấn mạnh”.