Báo cáo về các vụ hack tiền điện tử quý 3 năm 2026
Theo báo cáo từ Hacken, các vụ hack tiền điện tử đã gia tăng mạnh mẽ trong quý 3 năm 2026, với tổng thiệt hại lên tới 1,18 tỷ USD từ 107 sự cố được ghi nhận. Khoảng 77% tổng thiệt hại này, tương đương khoảng 906 triệu USD, xuất phát từ việc các nhà cung cấp và công cụ phát triển bị xâm phạm, cũng như các bản sửa lỗi chưa được triển khai và các thành phần hạ tầng bên ngoài không nằm trong các cuộc kiểm toán an ninh.
Các sự cố lớn nhất trong quý
Bốn sự cố lớn nhất trong quý này bao gồm:
- Vụ hack Bitget trị giá 387 triệu USD
- Vụ khai thác Liquid Network trị giá 320 triệu USD
- Vụ khai thác Tectonic trị giá 120 triệu USD
- Lỗ hổng firmware Coldcard với thiệt hại ước tính khoảng 115 triệu USD
Đây là quý có thiệt hại lớn nhất từ các vụ hack tiền điện tử kể từ quý 1 năm 2025, khi thiệt hại 1,4 tỷ USD của Bybit do Bắc Triều Tiên gây ra đã đẩy tổng số thiệt hại lên 1,6 tỷ USD.
Thống kê thiệt hại
Khoảng 80% thiệt hại trong quý này tập trung vào bốn sự cố lớn nhất, trong khi 98 trong số các sự cố ghi nhận thiệt hại dưới 10 triệu USD. Thiệt hại trung bình cho mỗi sự cố là 670.000 USD. Mặc dù các vụ xâm phạm nhà cung cấp và thất bại hạ tầng đã dẫn đến phần lớn giá trị bị đánh cắp, nhưng các sự cố hợp đồng thông minh lại là loại hình tấn công phổ biến nhất, chiếm khoảng 228 triệu USD trong tổng thiệt hại qua 71 sự cố.
Khôi phục thiệt hại
Trong số 1,18 tỷ USD bị mất, khoảng 387 triệu USD đã được trả lại hoặc đảo ngược, chiếm khoảng 33% tổng thiệt hại. Sau vụ hack Liquid Network, những người tự xưng là “mũ trắng” đã trả lại 272 triệu USD, tương đương khoảng 85% giá trị bị đánh cắp. Trong sự cố Tectonic, các validator Cronos đã đảo ngược 114 phút lịch sử blockchain, khôi phục khoảng 111,2 triệu USD trong số 120,4 triệu USD bị ảnh hưởng. Ngoài ra, các nhà phát hành stablecoin như Circle và Tether đã đóng băng khoảng 340.000 USD liên quan đến vụ trộm Bitget.
Các nhà điều hành đã bù đắp thêm 410 triệu USD thiệt hại của người dùng từ quỹ riêng của họ. Quỹ bảo vệ người dùng của Bitget đã bù đắp 387 triệu USD, trong khi Triple-A, Coinsbuy và TAC đã hoàn trả khoảng 22 triệu USD, giúp người dùng được bù đắp, mặc dù tài sản bị đánh cắp vẫn ở lại với kẻ tấn công. Khoảng 384 triệu USD, tương đương 32% tổng thiệt hại, không được trả lại hoặc bù đắp.
Khuyến nghị từ Hacken
Hacken đã kêu gọi các bên tham gia ngành công nghiệp tăng cường an ninh mạng cho các nhà cung cấp bên thứ ba, công cụ phát triển và các hạ tầng bên ngoài khác có thể không nằm trong các cuộc kiểm toán an ninh. Công ty cũng khuyến nghị rằng các giao thức nên mở rộng các cuộc kiểm toán an ninh để bao gồm các oracle, bridgers, hệ thống lưu ký, cơ quan ký và các thành phần đặc quyền khác.
