Báo cáo: 88% thiệt hại do hack tiền điện tử từ năm 2025 nhắm vào các giao thức đã được kiểm toán

Kể từ tháng 1 năm 2025, các giao thức tiền điện tử đã hoàn thành các cuộc kiểm toán bảo mật độc lập chiếm 88.44% tổng số tiền bị đánh cắp, theo báo cáo an ninh tiền điện tử năm 2026 của CoinGecko.

Nghiên cứu đã theo dõi 245 sự cố và 3.63 tỷ USD thiệt hại tính đến tháng 7 năm 2026. Trong số các nền tảng bị xâm phạm, 147 nền tảng đã được các kiểm toán viên độc lập thông qua trước khi kẻ tấn công ra tay.

Kiểm toán bảo mật không thể ngăn chặn 147 trong số 245 vụ hack tiền điện tử

Chỉ 11% các vụ khai thác liên quan đến lỗ hổng hợp đồng thông minh trong phạm vi kiểm toán, CoinGecko lưu ý, nhưng những trường hợp đó vẫn rút được 396 triệu USD.

Phần thiệt hại còn lại đến từ các vectơ khác. Kẻ tấn công nhắm vào cơ sở hạ tầng bên ngoài, mã được triển khai sau khi kiểm toán và các tính năng hệ thống có thể bị thao túng thông qua quản trị.

Các vi phạm chuỗi cung ứng và cơ sở hạ tầng đã lấy đi hơn 1.8 tỷ USD, hạng mục lớn nhất trong báo cáo. Nhìn chung, thiệt hại do khai thác hợp đồng thông minh trên các ứng dụng phi tập trung (dApps) đạt 546 triệu USD.

Vụ vi phạm Stake DAO vào tháng 5 đã cho thấy giới hạn. Thay vì khai thác logic hợp đồng, kẻ tấn công đã xâm phạm khóa triển khai. Trên các sàn giao dịch tập trung, khóa riêng tư bị đánh cắp vẫn là điểm thất bại phổ biến nhất.

“Các lỗ hổng cơ sở hạ tầng và chuỗi cung ứng đã chứng tỏ là tàn phá nhất đối với cả CEX và DEX,” báo cáo cho biết.

Thiệt hại tập trung cao độ. Chỉ riêng 10 cuộc tấn công lớn nhất đã tạo ra 72.5% tổng số tiền bị đánh cắp trong 19 tháng.

Phạm vi bảo hiểm cho những tổn thất đó cũng đang thu hẹp. Bảo hiểm trên chuỗi đang hoạt động giảm 20.2% xuống còn 130.2 triệu USD, và năm trong số chín giao thức bảo hiểm đã ngừng hoạt động hoặc chuyển hướng trọng tâm.

Năm 2026 chứng kiến nhiều vụ hack hơn nhưng thiệt hại nhỏ hơn

Trong khi đó, DefiLlama đã ghi nhận 233 sự cố riêng biệt trong năm 2026, trị giá khoảng 1.31 tỷ USD. Cùng kỳ năm 2025 chứng kiến 92 sự cố và 2.37 tỷ USD thiệt hại.

Số lượng sự cố tăng hơn gấp đôi trong khi tổng thiệt hại giảm khoảng 45%. Thiệt hại trung bình mỗi sự cố giảm từ 25.8 triệu USD xuống 5.6 triệu USD. Vụ trộm 1.5 tỷ USD tại Bybit đã làm tăng tổng số năm 2025.

Ba trường hợp chiếm phần lớn tổng số năm nay. Kelp DAO mất 292 triệu USD và Drift Protocol mất 285 triệu USD vào tháng 4 năm 2026. Hai trường hợp này cũng nằm trong top 3 vụ hack kể từ năm 2025, sau Bybit.

Các cuộc tấn công nhỏ hơn hiện xảy ra khá thường xuyên, thêm vào danh sách dài các vụ vi phạm tiền điện tử năm 2026. Riêng tháng 8 đã mang đến một vụ khai thác quản trị Term Labs trị giá 8.5 triệu USD.

Nhìn chung, mô hình này đặt ra câu hỏi về phạm vi hơn là về năng lực. Các đánh giá hợp đồng vẫn hẹp trong khi khóa triển khai và tham số quản trị mang giá trị ngày càng tăng.