Những vụ hack và lừa đảo crypto lớn nhất năm 2026 cho đến nay

Các vụ hack, lừa đảo và khai thác tài sản tiền mã hóa đã gây ra hơn 1,3 tỷ USD tổn thất gộp trong nửa đầu năm 2026, với một loạt sự cố lớn chiếm phần chủ đạo trong tổng số được ghi nhận. TL;DR

• Các vụ hack, lừa đảo và khai thác tiền mã hóa đã gây ra 1,316 tỷ USD tổn thất gộp trong nửa đầu năm 2026.
• Kelp DAO, Drift Protocol và một nạn nhân phishing nhắm mục tiêu đã chiếm khoảng 65% tổng số đó.
• Các sự cố lớn nhất bị xâm phạm RPC, quyền quản trị, hệ thống ký hoặc thiết bị đặc quyền, thay vì mã nguồn public của hợp đồng thông minh.
• Bảng xếp hạng này được chuẩn bị vào ngày 17 tháng 7, tức còn 167 ngày, tương đương 45,8% của cả năm, để phát sinh các sự cố mới, quá trình khôi phục và cập nhật quy kết có thể làm thay đổi danh sách.

Tổn thất an ninh tiền mã hóa đạt 1,316 tỷ USD qua 344 sự cố trong nửa đầu năm 2026, theo báo cáo bảo mật H1 của CertiK. Khoảng 115,3 triệu USD đã bị đóng băng hoặc hoàn trả, làm giảm tổn thất đã điều chỉnh xuống khoảng 1,2 tỷ USD. Sự cải thiện có vẻ như diễn ra so với năm 2025 cần có bối cảnh. Tổng số nửa đầu năm trước đó bao gồm vụ vi phạm Bybit ngoại lệ trị giá 1,45 tỷ USD. Khi loại trừ riêng sự kiện đơn lẻ này, CertiK ước tính các tổn thất tương đương đã tăng khoảng 28% trong năm 2026. Việc phân bổ các tổn thất cũng quan trọng không kém tổng số. Chi phí trung bình của mỗi sự cố xấp xỉ 3,82 triệu USD, trong khi mức lỗ trung vị chỉ là 138.703 USD. Do đó, mức trung bình cao hơn trung vị hơn 27 lần, cho thấy một số ít lỗi thảm khốc đã đẩy kết quả chung lên cao. Chỉ riêng ba sự cố—Kelp DAO, Drift Protocol và vụ trộm phishing nhắm mục tiêu trị giá 284 triệu USD—đã chiếm khoảng 65% tổng tổn thất được báo cáo trong nửa đầu năm. Một Bảng Xếp Hạng Tổn Thất Cần Hơn Một Con Số Các báo cáo về sự cố tiền mã hóa thường so sánh các số liệu phản ánh những dạng thiệt hại khác nhau.

Tổn thất gộp

Giá trị bị lấy đi khỏi một giao thức hoặc nạn nhân trước khi có các khoản thu hồi.

Trích xuất thực tế

Tài sản mà kẻ tấn công chuyển đổi thành giá trị kinh tế có thể chuyển nhượng.

Tổn thất ròng

Số tiền vẫn bị mất sau khi đã tính đến các khoản đóng băng, hoàn trả, trả nợ và thu hồi.

Nghĩa vụ của người dùng

Các khoản phải trả mà một nền tảng còn nợ, có thể lớn hơn hoặc nhỏ hơn số tiền thu được ban đầu của kẻ tấn công.

Rủi ro danh nghĩa

Giá trị lý thuyết của các tài sản được phát hành gian lận hoặc được đặt trong trạng thái rủi ro, ngay cả khi kẻ tấn công không thể kiếm tiền từ toàn bộ số đó.

Bảng xếp hạng bên dưới chủ yếu sử dụng tổn thất gộp được báo cáo. Các khoản thu hồi, định giá bị tranh chấp và chênh lệch giữa số tiền thu được của kẻ tấn công với nghĩa vụ của nền tảng được nêu riêng. Với các sự cố liên quan đến việc tạo token không có bảo chứng, trích xuất thực tế có ý nghĩa hơn nhiều so với giá trị danh nghĩa của nguồn cung gian lận. Nếu không, một kẻ tấn công tạo ra 100 triệu USD token thanh khoản thấp nhưng chiết xuất được 1 triệu USD tài sản thế chấp thực có thể bị xếp hạng sai khi tưởng như đã trộm trọn vẹn 100 triệu USD. Những Tổn Thất Tiền Mã Hóa Lớn Nhất Được Báo Cáo của Năm 2026

1. Kelp DAO – 292 Triệu USD Ngày 18 tháng 4, các kẻ tấn công khiến hợp đồng cầu nối Ethereum của Kelp DAO phát hành khoảng 116.500 rsETH mà không có một lần đốt token tương ứng trên chuỗi nguồn. Điều tra của Chainalysis cho thấy các kẻ tấn công đã xâm phạm hai node RPC nội bộ được dùng bởi Decentralized Verifier Network của LayerZero, đồng thời làm gián đoạn một endpoint RPC bên ngoài thông qua cuộc tấn công từ chối dịch vụ phân tán. Các node bị thao túng đã báo cáo một lần đốt trên chuỗi nguồn chưa từng xảy ra. Vì cấu hình cầu nối của Kelp dựa trên một verifier duy nhất, nên không cần mạng thứ hai độc lập để xác nhận liệu “lần đốt” được báo cáo có thật hay không. Hợp đồng đích nhận được một thông điệp đã được định dạng và ký đúng và giải phóng tài sản đúng như đã lập trình. Lỗi xảy ra nằm ở hạ tầng cung cấp thông tin cho hợp đồng, chứ không nằm ở việc hợp đồng thực thi thông tin đó. Kelp tạm dừng các hợp đồng bị ảnh hưởng đủ nhanh để ngăn một lần rút tiền thứ hai liên quan đến khoảng 40.000 rsETH, tương đương khoảng 95 triệu USD. Sau đó, Arbitrum Security Council đã đóng băng 30.766 ETH gắn với hoạt động “xuôi dòng” của kẻ tấn công. Chainalysis và LayerZero quy kết hoạt động này cho Lazarus Group của Triều Tiên, cụ thể là nhóm TraderTraitor của tổ chức đó. Việc quy kết được đưa ra bởi các bên trực tiếp tham gia vào cuộc điều tra, dù các kết luận liên quan tới tác nhân do nhà nước hậu thuẫn vẫn có thể thay đổi khi xuất hiện thêm bằng chứng. Số lượng bị đóng băng không xóa đi lỗi kế toán ban đầu của cầu nối. Tổn thất gộp, các khoản tiền có thể thu hồi, số tiền thu được của kẻ tấn công và mọi phần thiếu hụt hỗ trợ còn lại cần được xử lý như những số liệu riêng biệt.
2. Drift Protocol – 285 Triệu USD Drift Protocol đã mất khoảng 285 triệu USD vào ngày 1 tháng 4 sau khi các kẻ tấn công giành được quyền kiểm soát hành chính của Security Council. Theo Chainalysis, những cá nhân mạo danh đại diện của một công ty giao dịch định lượng đã dành nhiều tháng để xây dựng các mối quan hệ với các bên đóng góp của Drift. Cuối cùng, các thành viên của Security Council đã bị thuyết phục ký các giao dịch bằng tính năng durable-nonce của Solana, cho phép các giao dịch đã ký hợp lệ được giữ lại và thực thi ở thời điểm sau. Những giao dịch đó chuyển quyền kiểm soát hành chính sang một địa chỉ do kẻ tấn công kiểm soát. Khi có được quyền đó, kẻ tấn công đã xóa giới hạn rút tiền, chấp thuận một token tên gọi CVT gần như vô giá làm tài sản thế chấp, gán cho token này một định giá nhân tạo, rồi nạp 500 triệu đơn vị. Vị thế phát sinh sau đó được dùng để rút USDC, SOL, ETH và các tài sản khác có giá trị thực ngoài chuỗi. Việc chiếm quyền hành chính diễn ra thông qua hai giao dịch thực thi cách nhau đúng 1 giây, nhưng các lần rút tiền tiếp theo vẫn kéo dài trong một khoảng thời gian lâu hơn. Vì vậy, mô tả toàn bộ mức lỗ 285 triệu USD xảy ra trong 10 giây sẽ không chính xác. Chainalysis dựa một phần việc tái dựng của mình trên cuộc điều tra của Drift và ghi nhận rằng tài khoản này vẫn chưa được xác minh độc lập thông qua một đợt rà soát bên thứ ba hoàn tất. Bằng chứng ban đầu phù hợp với các hoạt động trước đó của Triều Tiên, nhưng việc quy kết chính thức vẫn đang chờ. Sau đó, Drift thảo luận khoảng 295 triệu USD tổn thất từ phía người dùng. Con số cao hơn này có vẻ phản ánh các khoản nợ của nền tảng chứ không phải số tiền thu được ban đầu của kẻ tấn công và không nên được coi là một ước tính thay thế cho cùng một lượng đó.
3. Tổn Thất Phishing Nhắm Mục Tiêu Được CertiK Báo Cáo – 284 Triệu USD Theo CertiK, chỉ một cá nhân đã mất khoảng 284 triệu USD trong một vụ việc “social-engineering” nhắm mục tiêu vào tháng 1. Danh tính nạn nhân và toàn bộ trình tự tấn công chưa được công bố công khai. Điều đó hạn chế những kết luận có thể rút ra một cách có trách nhiệm về cấu hình ví, phương pháp social-engineering chính xác và triển vọng thu hồi. Tuy vậy, quy mô là rất đáng kể. Một ví do tư nhân kiểm soát tạo ra gần như lượng thiệt hại tài chính tương đương với vụ xâm phạm Drift Protocol và vượt tổng tổn thất kết hợp của đa số các khai thác giao thức nhỏ hơn được ghi nhận trong nửa đầu năm. CertiK ghi nhận 366,3 triệu USD tổn thất phishing trên 63 vụ trong H1. Số vụ phishing giảm 52,3% so với cùng kỳ năm 2025, nhưng mức lỗ chỉ giảm 10,8%. Bốn sự cố chiếm khoảng 85% tổng tổn thất phishing. Dữ liệu cho thấy có sự thay đổi trong việc lựa chọn mục tiêu thay vì việc phishing biến mất. Các chiến dịch lớn vẫn rất phổ biến, nhưng kết quả tài chính ngày càng bị quyết định bởi một số ít hoạt động được chuẩn bị kỹ lưỡng, nhắm vào những người hoặc tổ chức kiểm soát khối tài sản đáng kể trên chuỗi.
4. Step Finance – Khoảng 40 Triệu USD Step Finance cho biết khoảng 40 triệu USD đã bị rút khỏi kho quỹ của họ vào ngày 31 tháng 1 sau khi các thiết bị do thành viên trong nhóm điều hành sử dụng bị xâm phạm. Trong bản cập nhật sự cố chính thức, dự án cho biết đã thu hồi khoảng 3,7 triệu USD từ các tài sản Remora và thêm 1 triệu USD ở các vị thế khác.

Statement on Recent Security Incident

Vào đầu giờ chiều ngày 31 tháng 1 (APAC), khoảng $40M đã bị rút từ kho quỹ Step Finance. Đây là kết quả của việc các thiết bị của nhóm điều hành chúng tôi bị xâm phạm.

Ngay lập tức sau khi phát hiện sự cố, chúng tôi đã bắt đầu làm việc…

— Step☀️ (@StepFinance_) February 2, 2026

Các ước tính onchain trước đó đặt mức lỗ gần hơn 27 triệu USD vì chúng tập trung vào khoảng 261.854 SOL ban đầu được xác định là đã rời khỏi các ví kho quỹ. Con số sau này của Step bao gồm nhóm tài sản bị ảnh hưởng rộng hơn. Việc dùng ước tính gộp 40 triệu USD của dự án, đồng thời báo cáo riêng số tiền thu hồi, cho thấy bức tranh đầy đủ hơn so với việc chọn một con số mà không giải thích vì sao các ước tính khác nhau. Hệ quả tài chính của một cuộc tấn công cũng có thể vượt xa số tiền chuyển cho kẻ tấn công. Việc tài trợ khẩn cấp, chi phí pháp lý, bồi thường cho người dùng, hoạt động bị gián đoạn và doanh thu bị mất có thể khiến tác động cuối cùng với doanh nghiệp lớn hơn cả khoản rút onchain ban đầu. 5. Humanity Protocol – 36 Triệu USD Humanity Protocol bị tấn công vào ngày 9 tháng 6 sau khi một thiết bị bị xâm phạm làm lộ dữ liệu ví và các khóa riêng liên quan tới các tài khoản dự án có đặc quyền. Trong phần giải thích chính thức, Humanity cho biết kẻ tấn công đã sao chép các khóa riêng từ thiết bị và sử dụng chúng để thực thi cuộc tấn công onchain. Dự án cũng cho biết hợp đồng Ethereum H token được bảo vệ bởi một clean multisig riêng và cầu nối mainnet chuẩn của nó không bị xâm phạm.

https://t.co/VjouykTSPw

— Humanity (@Humanityprot) June 12, 2026

Các ước tính được công bố dao động từ khoảng 31 triệu USD đến 36 triệu USD, một phần vì các H token bị đánh cắp được định giá ở các mức giá thị trường khác nhau và ở các giai đoạn khác nhau của sự cố. Vấn đề cấu trúc quan trọng hơn là việc gom nhiều thông tin xác thực đặc quyền vào đúng một endpoint bị xâm phạm. Một cơ chế multisignature chỉ mang lại bảo vệ có ý nghĩa khi các khóa của nó được tách ra giữa nhiều người, thiết bị, địa điểm và môi trường quản trị khác nhau. Một số khóa được lưu trên cùng hoặc có thể khôi phục từ cùng một máy tính vẫn có thể đạt ngưỡng chữ ký onchain trong khi thực tế vận hành như một điểm lỗi đơn lẻ. 6. Resolv Protocol – Khoảng 26,8 Triệu USD Resolv Protocol đã bị khai thác vào ngày 22 tháng 3 sau khi một kẻ tấn công xâm phạm hạ tầng cloud của họ và giành quyền truy cập vào một khóa được điều khiển thông qua AWS Key Management Service. Resolv sử dụng một dịch vụ ngoài chuỗi để ủy quyền việc tạo USR sau khi người dùng gửi tài sản thế chấp. Theo phân tích sự cố của CertiK, kẻ tấn công thực hiện các khoản tiền gửi USDC hợp lệ tương đối nhỏ, rồi dùng vai trò dịch vụ bị xâm phạm để ủy quyền cho khoảng 80 triệu USR qua hai giao dịch. Hợp đồng xác minh rằng lệnh ủy quyền đến từ dịch vụ đã được phê duyệt. Nó đặt ra mức đầu ra tối thiểu nhưng không áp dụng mức tối đa gắn với số tài sản thế chấp mà người dùng đã gửi. Khi dịch vụ đặc quyền bị xâm phạm, kẻ tấn công có thể tạo ra chữ ký có tính hợp lệ về mặt mật mã nhưng không được hỗ trợ về mặt kinh tế. Điều này không có nghĩa là các dịch vụ quản lý khóa trên cloud vốn không phù hợp cho hạ tầng tiền mã hóa. Vấn đề thiết kế lớn nằm ở mức độ quyền lực kinh tế không bị giới hạn được cấp cho một vai trò dịch vụ. Một khóa được bảo vệ vẫn có thể trở thành điểm lỗi thảm họa khi hợp đồng nhận chữ ký không tự mình thực thi các tỷ lệ tài sản thế chấp, trần phát hành, giới hạn giao dịch hoặc tốc độ rút tiền. 7. Truebit – 26 Triệu USD Truebit bị khai thác vào ngày 8 tháng 1 thông qua lỗ hổng integer-overflow trong một hợp đồng bonding-curve được triển khai vào năm 2021. Hợp đồng được biên dịch với Solidity 0.5.3, trước khi cơ chế tự động chống tràn (overflow) được giới thiệu trong Solidity 0.8.0. Một kẻ tấn công đưa vào một giá trị cực lớn khiến phép tính số học bị “quay vòng” về một con số gần bằng không. Điều này cho phép đúc một lượng lớn TRU với gần như không cần ETH rồi đổi lại lấy ETH thực được giữ trong hợp đồng. Chainalysis ước tính tổn thất chính ở mức 26,2 triệu USD. CertiK đặt tổng số gần hơn 26,6 triệu USD, bao gồm khoảng 224.000 USD được rút ra bởi một kẻ tấn công thứ hai. Việc triển khai có lỗ hổng chưa được xác minh công khai trên Etherscan. Điều đó không ngăn kẻ tấn công xem xét nó. Bytecode hợp đồng có thể được dịch ngược, hành vi trình biên dịch cũ có thể được nhận diện, và các lỗ hổng nghi ngờ có thể được kiểm thử qua mô phỏng hoặc các nhánh tách blockchain (fork). Truebit là ngoại lệ lớn rõ ràng nhất so với mô hình tổng thể mà 2026 thể hiện. Tổn thất của nó đến từ logic thực thi công khai chứ không phải từ việc bị xâm phạm quyền vận hành. Nó cũng cho thấy vì sao các hợp đồng “ngủ yên” vẫn phải nằm trong phạm vi audit, giám sát và bug-bounty miễn là chúng còn nắm giữ tiền hoặc quyền hạn. Vì Sao Echo Protocol Không Được Xếp Hạng Là Vụ Trộm 76,7 Triệu USD Echo Protocol đôi khi được mô tả là chịu tổn thất 76,7 triệu USD vì một kẻ tấn công dùng khóa quản trị bị xâm phạm để đúc 1.000 eBTC không có bảo chứng mang giá trị danh nghĩa đó. Kẻ tấn công không chiết xuất 76,7 triệu USD tài sản thực. Theo Merkle Science, 45 trong số eBTC gian lận đã được gửi vào giao thức cho vay Curvance. Kẻ tấn công đã vay khoảng 11,29 WBTC, trị giá khoảng 867.000 USD, trước khi 955 eBTC không có bảo chứng còn lại bị đốt. Vì vậy, các con số chính xác là:

• Phát hành gian lận: Khoảng 76,7 triệu USD eBTC theo giá trị danh nghĩa.
• Tài sản thực bị chiết xuất: Khoảng 867.000 USD WBTC.
• Nguồn cung không có bảo chứng còn lại: Bị đốt sau sự cố.

Việc phân loại toàn bộ giá trị danh nghĩa là “bị trộm” sẽ phóng đại mức thiệt hại thực tế lên gần 90 lần. Echo vẫn phơi bày một vấn đề rủi ro tài sản thế chấp quan trọng. Oracle của Curvance đã nhận đúng giá trị thị trường gán cho eBTC, nhưng nó không thể xác định rằng các token cụ thể đó đã được tạo ra mà không có bảo chứng. Giữ vững tính đúng đắn của giá không giống với giữ vững tính đúng đắn của việc phát hành. Các giao thức cho vay chấp nhận tài sản thế chấp được phát hành từ bên ngoài cần có cơ chế kiểm soát đối với việc tạo nguồn cung bất thường, thay đổi quyền đúc, tiền gửi tài sản thế chấp đột ngột, xác minh bảo chứng và rủi ro quản trị cấp người phát hành. Một feed giá chính xác không thể trả lời các câu hỏi đó một cách độc lập. Lỗi Chung Nằm ở Control Plane Các sự cố lớn nhất trong năm 2026 không chia sẻ một lỗ hổng code duy nhất. Chúng chia sẻ điểm yếu trong các hệ thống chịu trách nhiệm quyết định phần code được phép làm gì. Trong thuật ngữ hạ tầng truyền thống, lớp thực thi xử lý hoạt động thông thường, trong khi control plane quyết định quyền hạn, cấu hình, nguồn dữ liệu tin cậy và các hành động đặc biệt.

Sự phân biệt này khớp rất sát với các sự cố lớn nhất:

Kelp: Một verifier chấp nhận một phiên bản giả mạo của hoạt động trên chuỗi nguồn.

Drift: Các chữ ký hợp lệ chuyển giao quyền kiểm soát hành chính.

Step: Các thiết bị điều hành bị xâm phạm đã lộ quyền đối với kho quỹ.

Humanity: Một endpoint bị xâm phạm đã lộ các khóa đặc quyền.

Resolv: Một vai trò dịch vụ bị xâm phạm tạo ra các ủy quyền hợp lệ về mật mã nhưng không được hỗ trợ về mặt kinh tế.

Echo: Một khóa quản trị có thể cấp quyền đúc không bị giới hạn.

Truebit: Ngoại lệ là lỗi số học trong code hợp đồng phiên bản cũ.

CertiK ghi nhận 204 sự cố liên quan đến lỗ hổng code trong nửa đầu năm, tạo ra khoảng 151,6 triệu USD tổn thất. Các vụ xâm phạm ví gây ra 444,5 triệu USD tổn thất chỉ trong 33 sự cố. Điều đó tương ứng với mức trung bình khoảng 743.000 USD cho mỗi sự cố do lỗ hổng code và 13,5 triệu USD cho mỗi sự cố xâm phạm ví. Trung bình, xâm phạm ví đắt hơn khoảng 18 lần. So sánh này không làm giảm tầm quan trọng của audit hợp đồng thông minh. Nó cho thấy việc audit hợp đồng mà loại trừ chữ ký, phụ thuộc RPC, giao diện quản trị, vai trò cloud và các cơ chế khẩn cấp sẽ để lại một phần đáng kể của hệ thống tài chính không được kiểm thử. Năm Cơ Chế Kiểm Soát Trả Đũa Các Lỗi Thực Sự Thực thi giới hạn kinh tế sau khi đã xác thực Một chữ ký hợp lệ nên chứng minh ai đã phê duyệt một hành động. Nó không nên cấp quyền lực kinh tế vô hạn. Việc đúc, khóa-cầu (bridging), chấp thuận tài sản thế chấp và rút tiền vẫn có thể bị giới hạn thông qua kích thước giao dịch tối đa, giới hạn luân phiên, tỷ lệ tài sản thế chấp, độ trễ theo thời gian, trần theo từng loại tài sản và cơ chế tạm dừng tự động. Những kiểm soát này có thể không ngăn chặn việc lộ thông tin xác thực, nhưng chúng có thể ngăn một khóa bị xâm phạm ngay lập tức tạo ra một nghĩa vụ vô hạn. Đo mức độ độc lập, không phải số lượng khóa Một multisig 3 trên 5 không thực sự được phân tán khi 3 khóa có thể được khôi phục từ một laptop hoặc được điều khiển thông qua cùng một tài khoản công ty. Hướng dẫn quản lý khóa của NIST nhấn mạnh kiểm soát theo vòng đời, bao gồm ủy quyền, sao lưu, trách nhiệm giải trình, tách biệt trách nhiệm, phản ứng khi bị xâm phạm và bảo vệ vật liệu tạo khóa. Các giao thức nên xác định xem những người ký “độc lập” có dùng chung thiết bị, trình quản lý mật khẩu, tenant cloud, quy trình khôi phục, vị trí vật lý hoặc tuyến báo cáo hay không. Giám sát các mối quan hệ, không chỉ các giao dịch Mỗi giao dịch trong vụ exploit của Kelp đều có vẻ hợp lệ. Lỗi có thể phát hiện được là sự thiếu vắng mối quan hệ giữa hai chuỗi: rsETH được phát hành trên Ethereum mà không bị đốt trên chuỗi nguồn. Giám sát cầu nối nên liên tục đối chiếu các lệnh khóa (locks), đốt (burns), đúc (mints) và phát hành (releases) trên mọi mạng liên quan. Các kiểm tra bất biến tương tự có thể so sánh tài sản thế chấp gửi vào với token được đúc, dự trữ với nguồn cung đang lưu hành, và giới hạn rút tiền đã được phê duyệt với các dòng tiền thực ra. Mô phỏng ý định quản trị trước khi ký Ví phần cứng bảo vệ khóa riêng, nhưng chúng không thể xác định liệu một người dùng hợp lệ có đang phê duyệt một giao dịch độc hại hay không. Các giao dịch hành chính nên được giải mã và mô phỏng trong một môi trường tách biệt trước khi thực thi. Người ký cần thấy những thay đổi quyền hạn phát sinh, các tài sản thế chấp mới được phê duyệt, tham số định giá, giới hạn rút tiền, nâng cấp hợp đồng và chuyển nhượng quyền sở hữu—không chỉ là mã băm giao dịch hoặc lời nhắc ví mơ hồ. Giữ hợp đồng cũ trong “vùng bảo mật” Một hợp đồng không trở nên an toàn hơn chỉ vì nó đã vận hành không xảy ra sự cố trong vài năm. Bất kỳ triển khai nào nắm giữ tài sản, xử lý việc hoàn trả, kiểm soát quyền của giao thức, hoặc vẫn được kết nối với các sản phẩm hiện tại đều cần code nguồn đã được xác minh, tài liệu hóa giả định của trình biên dịch, giám sát chủ động và được đưa vào các chương trình audit và bug-bounty. Giải mã hỗ trợ bởi AI có thể giảm thời gian kẻ tấn công cần để nhận diện lỗi số học cũ, lỗi kiểm soát truy cập hoặc lỗi xác thực. “Bảo mật nhờ che giấu” sẽ kém hiệu quả hơn khi các công cụ đó được cải thiện. AI đang khuếch đại các mô hình gian lận hiện có AI không tạo ra các lỗ hổng cốt lõi đứng sau Kelp, Drift, Resolv hay Echo. Tác động ngay lập tức của nó là làm giảm chi phí cho việc nghiên cứu mục tiêu, mạo danh, bản địa hóa và duy trì liên lạc. Báo cáo Tội phạm Crypto 2026 của Chainalysis, phân tích hoạt động năm 2025, cho thấy các hoạt động lừa đảo có liên kết nhận diện được tới nhà cung cấp dịch vụ AI mang lại lợi nhuận cao hơn khoảng 4,5 lần so với các vụ lừa đảo không có các liên kết đó. Bằng chứng này không nên được trình bày như bằng chứng rằng mọi cuộc tấn công tinh vi trong năm 2026 đều dùng AI. Nó cho thấy các hoạt động có hỗ trợ AI đã tạo ra lợi nhuận cao hơn và có thể làm một số kỹ thuật đã biết dễ mở rộng hơn:

Nhận dạng tổng hợp

Giả mạo video và giọng nói (deepfake).

Trinh sát nâng cao

Nghiên cứu mục tiêu trên mạng xã hội và mạng lưới nghề nghiệp.

Lừa đảo bằng nhiều ngôn ngữ

Các cuộc trò chuyện kéo dài bằng nhiều ngôn ngữ.

Phishing thích ứng

Giao diện bị sao chép và trang phishing được cá nhân hóa.

Nghiên cứu lỗ hổng tự động

Phân tích tự động hợp đồng và bytecode đã được dịch ngược.

Khả năng phát triển là sự kết hợp giữa phương pháp xã hội và kỹ thuật. Social engineering giành được thông tin xác thực hoặc ủy quyền; các quyền đã có trong giao thức biến quyền truy cập đó thành một khoản lỗ tài chính. Thay đổi quy định: trách nhiệm giải trình, không phải cơ chế khai thác Giai đoạn chuyển tiếp của MiCA của Liên minh châu Âu đã kết thúc vào ngày 1 tháng 7 năm 2026. Các nhà cung cấp dịch vụ tài sản crypto thuộc phạm vi nói chung hiện cần được ủy quyền để tiếp tục hoạt động trong EU, tùy theo phạm vi của quy định và các quyết định giám sát theo từng quốc gia. MiCA có thể tăng cường quản trị, lưu ký, kiểm soát vận hành và trách nhiệm giải trình. Nó không thể quyết định liệu một cầu nối có dùng independent verifiers hay không, liệu các khóa đặc quyền có được tách đúng cách hay không, hoặc liệu người ký được ủy quyền có hiểu một giao dịch độc hại hay không. Đạo luật US GENIUS đã được ký thành luật vào ngày 18 tháng 7 năm 2025 và thiết lập một khung liên bang cho stablecoin thanh toán. Nó không phải là một cơ chế quản trị an ninh mạng chung cho mọi cầu nối, sàn giao dịch, ví hoặc giao thức DeFi. Quy định xác định ai chịu trách nhiệm và các biện pháp bảo vệ nào phải tồn tại. Kỹ thuật an ninh xác định liệu một thông điệp giả mạo, một khóa bị xâm phạm hoặc một phê duyệt độc hại có thể thực thi trước khi các biện pháp bảo vệ đó phản ứng hay không. Những gì cần theo dõi trong phần còn lại của 2026 Bức tranh bảo mật cuối cùng của năm 2026 cần được đánh giá dựa trên nhiều hơn tổng tổn thất trên tiêu đề, cộng dồn.

Tình báo an ninh: Các chỉ báo quan trọng

Tập trung tổn thất

Liệu một vài sự cố cực đoan có tiếp tục chiếm phần chủ đạo trong tổng năm hay không.

Bề mặt tấn công

Liệu các vụ xâm phạm ví, hành chính, cloud và hạ tầng có tiếp tục đắt hơn các vụ khai thác code hay không.

Thiệt hại đã điều chỉnh theo thu hồi

Bao nhiêu vẫn còn thiếu sau các đợt đóng băng, trả lại và thu hồi qua thương lượng.

Chất lượng quy kết

Liệu các liên kết ban đầu tới các nhóm được nhà nước hậu thuẫn có được củng cố bởi các cuộc điều tra hoàn tất hay không.

Việc áp dụng kiểm soát

Liệu các giao thức có giới thiệu xác thực độc lập, mô phỏng giao dịch, tách khóa và các giới hạn kinh tế có thể thực thi trước cuộc tấn công lớn tiếp theo hay không.

Bảng xếp hạng này là một ảnh chụp được chuẩn bị vào ngày 17 tháng 7, không phải kỷ lục cuối cùng của cả năm. Gần 46% của năm 2026 vẫn còn lại, và các số liệu tổn thất trong quá khứ có thể tiếp tục thay đổi thông qua việc thu hồi tài sản, điều chỉnh giá token, phát hiện thêm ví mới và phân biệt rõ hơn giữa rủi ro danh nghĩa và trộm cắp đã thực hiện. Bằng chứng ủng hộ một kết luận hẹp hơn: các sự cố có giá trị cao ngày càng nhắm vào hệ thống control xung quanh smart contract, người ký, thiết bị, hạ tầng RPC, dịch vụ đặc quyền và mạng xác minh, thay vì chỉ nhắm vào logic hợp đồng.

Bài viết này chỉ nhằm mục đích giáo dục. Định giá sự cố có thể thay đổi do biến động giá tài sản, thu hồi, quy kết được cập nhật và sự khác biệt giữa tổng phơi nhiễm, trích xuất thực tế và tổn thất ròng.