Thời kỳ vàng của hacker

Trong 5 năm qua, ngành công nghiệp tiền điện tử đã xảy ra hơn 1000 sự kiện an ninh, trong đó có 28 sự kiện an ninh lớn liên quan đến số tiền trên 100 triệu USD.

Tác giả: Joe Zhou, Foresight News

Đây là thời kỳ vàng của hacker.

Theo thống kê của tác giả, trong 5 năm qua (từ tháng 1 năm 2022 đến tháng 10 năm 2026), ngành công nghiệp tiền điện tử đã xảy ra ít nhất 28 sự kiện an ninh lớn liên quan đến số tiền trên 100 triệu USD.

Điều này có nghĩa là, trong gần 5 năm qua, trung bình cứ hai tháng, ngành công nghiệp tiền điện tử lại xảy ra một sự kiện an ninh lớn trị giá 100 triệu USD.

Chỉ riêng 28 sự kiện này đã liên quan đến số tiền vượt quá 14.2 tỷ USD.

Trong đó, sự kiện có số tiền lớn nhất là sự cố an ninh Binance xảy ra vào tháng 10 năm 2026, với ước tính ban đầu của chính thức là khoảng 6.3 tỷ USD. Tiếp theo là sự cố an ninh Bybit xảy ra vào tháng 2 năm 2025, liên quan đến khoảng 1.46 tỷ USD.

Các cuộc tấn công của hacker trong ngành công nghiệp tiền điện tử không chỉ gây thiệt hại ngày càng lớn mà còn ngày càng trở nên thường xuyên hơn.

Nếu mở rộng tầm nhìn từ 28 sự kiện lớn này, theo cơ sở dữ liệu sự kiện an ninh DeFiLlama, từ tháng 1 năm 2022 đến tháng 10 năm 2026, ngành công nghiệp tiền điện tử đã ghi nhận hơn 1000 sự kiện an ninh. Tính toán theo đó, trung bình mỗi tháng xảy ra khoảng 18 sự kiện, tương đương với mỗi hai ngày lại có một sự kiện an ninh.

Từ hàng trăm triệu đến hàng tỷ USD, từ các cuộc tấn công ngẫu nhiên đến các sự cố xảy ra thường xuyên, ngành công nghiệp tiền điện tử đang phải chịu đựng một cuộc thử nghiệm an ninh liên tục.

Hai khu vực trọng điểm

Hacker tấn công đâu để thu được lợi nhuận lớn nhất?

Câu trả lời là: sàn giao dịch tập trung và cầu nối chuỗi chéo.

Tác giả đã phân tích 28 sự kiện an ninh lớn liên quan đến số tiền trên 100 triệu USD trong 5 năm qua và phát hiện ra rằng có 7 sự kiện xảy ra tại các sàn giao dịch tiền điện tử tập trung, chiếm một phần tư.

Theo số tiền liên quan ban đầu của sự kiện, bảy sự kiện này lần lượt là: 6.3 tỷ USD của Binance, 1.46 tỷ USD của Bybit, 477 triệu USD của FTX, 351.6 triệu USD của Bitget, 305 triệu USD của DMM Bitcoin, 235 triệu USD của WazirX và 120 triệu USD của Poloniex.

Bảy cuộc tấn công vào các sàn giao dịch này tổng cộng liên quan đến số tiền lên tới 9.2486 tỷ USD.

Đứng thứ hai là cơ sở hạ tầng quan trọng của ngành công nghiệp tiền điện tử - cầu nối chuỗi chéo. Trong 28 sự kiện an ninh lớn này, có 7 sự kiện liên quan đến cầu nối chuỗi chéo và cơ sở hạ tầng chuỗi chéo.

Cầu nối chuỗi chéo thường cần thiết lập cơ chế tin cậy giữa các chuỗi blockchain khác nhau, một khi có vấn đề với nút xác thực, hệ thống chữ ký hoặc xác thực tin nhắn, có thể xảy ra khoảng trống tài sản lớn.

Theo quy mô số tiền bị đánh cắp, 7 sự kiện an ninh liên quan đến cầu nối chuỗi chéo lần lượt là: 625 triệu USD của Ronin Network, 586 triệu USD của BNB Chain Bridge (số tiền thực tế chuyển ra khoảng 120 triệu USD), 326 triệu USD của Wormhole, 292 triệu USD của KelpDAO, 190 triệu USD của Nomad Bridge, 125 triệu USD của Multichain và 100 triệu USD của Harmony Horizon Bridge. Trong đó, KelpDAO chủ yếu hoạt động trong lĩnh vực tái thế chấp thanh khoản, nhưng điểm tấn công liên quan đến cầu nối chuỗi chéo rsETH.

Nói cách khác, trong 28 sự kiện an ninh lớn này, một nửa xảy ra tại các sàn giao dịch tập trung và cầu nối chuỗi chéo. Hai lĩnh vực này cũng trở thành nơi tập trung nhiều sự kiện an ninh lớn trong ngành công nghiệp tiền điện tử.

Điều thú vị là không phải tất cả hacker đều nhằm mục tiêu “cướp bóc trắng trợn”, trong đó cũng đã xảy ra hai sự kiện hacker mũ trắng.

Ví dụ, sau cuộc tấn công của hacker vào Nomad Bridge vào năm 2022, một số người tham gia đã hành động với tư cách là hacker mũ trắng, tuyên bố rằng việc lấy đi tài sản là để bảo vệ tài sản, cuối cùng khoảng 36 triệu USD đã được hoàn trả.

Liquid Network thì đặc biệt hơn. Vào tháng 9 năm 2026, kẻ tấn công tự xưng là hacker mũ trắng, đã lợi dụng lỗ hổng để chuyển đi khoảng 4000 BTC, sau đó hoàn trả khoảng 3400 BTC, vẫn giữ lại khoảng 598.5 BTC.

Các hacker mũ trắng cũng đã để lại một chút ánh sáng trong thế giới tấn công và phòng thủ mạng như một khu rừng tối tăm.

Hacker Triều Tiên, kẻ cướp chuyên nghiệp

Mỗi năm, hacker Triều Tiên đều đến ngành công nghiệp tiền điện tử để “rút tiền”.

Họ đã hình thành một hệ thống tấn công mạng khá chuyên nghiệp, thường xuyên tấn công vào hệ thống tài chính toàn cầu, doanh nghiệp và cơ quan chính phủ để thu thập tiền và thông tin.

Trong giai đoạn đầu, mục tiêu tấn công của hacker Triều Tiên chủ yếu tập trung vào hệ thống tài chính truyền thống. Ví dụ, từ năm 2016, họ đã xâm nhập vào Ngân hàng Trung ương Bangladesh, lợi dụng hệ thống SWIFT để thực hiện các giao dịch gian lận trị giá khoảng 951 triệu USD, cuối cùng thành công chuyển đi 81 triệu USD.

Nhưng với sự phát triển của ngành công nghiệp tiền điện tử, mục tiêu tấn công của hacker Triều Tiên cũng đang thay đổi. Từ những vụ trộm lớn được công bố gần đây, các sàn giao dịch tiền điện tử, ví, cầu nối chuỗi chéo và giao thức DeFi đã trở thành những mục tiêu quan trọng để họ thu thập tiền.

Trong 28 sự kiện an ninh lớn trong ngành công nghiệp tiền điện tử mà tác giả thống kê, có 10 sự kiện được xác định rõ ràng hoặc được các cơ quan an ninh quy cho các tổ chức hacker liên quan đến Triều Tiên với độ tin cậy cao.

Càng đáng chú ý hơn, tác giả phát hiện ra rằng: phương thức và sở thích tấn công của hacker Triều Tiên cũng đang thay đổi. Ví dụ: họ không còn chỉ tìm kiếm lỗ hổng mã trong hợp đồng thông minh, mà ngày càng nhiều hơn nhắm vào con người.

Nhân viên liên quan đến Triều Tiên thậm chí có thể giả mạo danh tính, trực tiếp ứng tuyển vào các vị trí làm việc từ xa của công ty tiền điện tử. Đồng thời, kẻ tấn công cũng sẽ giả mạo nhân viên tuyển dụng, đối tác thương mại hoặc tổ chức đầu tư, thông qua việc tiếp xúc lâu dài để có được sự tin tưởng của đội ngũ, sau đó tìm cơ hội xâm nhập vào thiết bị của nhân viên, môi trường phát triển và quy trình ký kết quan trọng.

Một người đàn ông bị nghi ngờ rộng rãi có liên quan đến tổ chức hacker Triều Tiên

Sự cố bị đánh cắp của Bybit là một ví dụ điển hình. Kẻ tấn công không trực tiếp xâm nhập vào hệ thống cốt lõi của Bybit, mà trước tiên xâm nhập vào môi trường làm việc của nhà phát triển Safe, thao túng nội dung hiển thị trên giao diện giao dịch đa chữ ký, dụ dỗ người ký của Bybit ký vào giao dịch độc hại, cuối cùng chuyển đi tài sản trị giá khoảng 1.46 tỷ USD.

Quá trình tấn công Drift Protocol thì còn gây nhầm lẫn hơn nữa. Theo điều tra sau đó của Drift, kẻ tấn công đã mất vài tháng để thiết lập mối quan hệ với nhóm dự án, giả mạo thành nhóm giao dịch định lượng, dần dần chiếm được lòng tin. Sau đó, họ đã lợi dụng cơ chế Durable Nonce của Solana, dụ dỗ các thành viên hội đồng an ninh ký trước giao dịch. Những giao dịch đã ký trước này sau đó được thực hiện, cuối cùng khiến kẻ tấn công có được quyền quản lý Drift và chuyển đi tài sản trị giá khoảng 290 triệu USD. Các cơ quan an ninh cho rằng cuộc tấn công này có dấu hiệu liên quan đến hacker Triều Tiên, nhưng việc quy cho vẫn cần xác nhận thêm.

Từ các sàn giao dịch đến cầu nối chuỗi chéo, từ lỗ hổng mã đến lòng tin của con người, hacker đang phá vỡ từng hàng rào bảo vệ của ngành công nghiệp tiền điện tử.

Khi hàng tỷ USD tài sản có thể thay đổi chủ sở hữu chỉ trong một đêm, khi một lần tin tưởng có thể trở thành điểm xâm nhập của cuộc tấn công, tốc độ tạo ra của ngành này dường như đã vượt qua khả năng bảo vệ tài sản.

Và đây chính là thời kỳ vàng của hacker.

Ghi chú: Số tiền được thống kê trong bài viết này là số tiền bị đánh cắp, quy mô tài sản bất thường hoặc số tiền ước tính ban đầu của các sự kiện, không tương đương với tổn thất ròng cuối cùng. Một số sự kiện liên quan đến việc đóng băng, thu hồi hoặc đúc bất thường, tổn thất thực tế có thể khác với số tiền liên quan ban đầu.