Gần 90% tiền mã hóa bị đánh cắp không thể thu hồi: Cuộc tấn công đang chuyển từ lỗi code sang điểm yếu con người

Khi tôi ngồi viết những dòng này, tôi nhớ lại khoảnh khắc đau đớn năm 2022, khi LUNA sụp đổ và 1.200 USDT của tôi biến mất chỉ sau một đêm. Lúc đó, tôi đổ lỗi cho giao thức, cho nhà phát triển. Nhưng nhìn lại, chính sự mù quáng lý tưởng hóa và niềm tin thái quá vào mô hình stablecoin đã khiến tôi bỏ qua mọi tín hiệu thanh khoản rõ ràng. Đó là bài học đầu tiên về sự nguy hiểm của con người – không phải mã nguồn – trong thế giới Web3. Báo cáo gần đây (dù thiếu nguồn cụ thể) chỉ ra một xu hướng đáng báo động: trong nửa đầu năm 2026, gần 90% tài sản số bị đánh cắp không thể thu hồi, và quan trọng hơn, mục tiêu tấn công đang chuyển dịch từ 'code' sang 'con người'. Đây không phải là một khám phá mới, nhưng nếu đúng, nó thay đổi hoàn toàn cách chúng ta nghĩ về bảo mật trong blockchain. Là một nhà phân tích chiến lược vĩ mô đã theo dõi thị trường này gần 10 năm, tôi cho rằng đây là tín hiệu cảnh báo sớm, đòi hỏi sự điều chỉnh căn bản trong tư duy đầu tư và vận hành. Hãy nhìn vào bối cảnh thanh khoản toàn cầu hiện tại: lãi suất Fed vẫn neo ở mức cao, dòng vốn rút khỏi các tài sản rủi ro, nhưng crypto lại tăng trưởng mạnh mẽ – một nghịch lý chỉ có thể giải thích bằng sự lạc quan đầu cơ hơn là nền tảng kỹ thuật. Trong môi trường như vậy, tội phạm mạng cũng thay đổi chiến thuật. Thay vì mất nhiều tuần để tìm lỗi trong hợp đồng thông minh, chúng chuyển sang đánh vào mắt xích yếu nhất: con người. Lừa đảo xã hội, phishing, giả mạo nhân viên sàn giao dịch – tất cả đều dễ dàng hơn và hiệu quả hơn so với việc khai thác lỗi kỹ thuật phức tạp. Từ kinh nghiệm thực tế của tôi khi còn là sinh viên khoa học dữ liệu, tôi đã từng viết script Python để phân tích thanh khoản trên Uniswap. Tôi phát hiện rằng nhiều pool nhỏ chỉ là bẫy do kẻ tấn công tạo ra, dụ dỗ người dùng thêm thanh khoản bằng APY cao. Nhưng thay vì khai thác code, kẻ tấn công chỉ cần tạo một giao diện giả mạo và chờ người dùng nhấn 'approve'. Đó là lần đầu tiên tôi hiểu: code có thể hoàn hảo, nhưng con người thì không. Đi sâu vào phân tích: con số '90% không thể thu hồi' không gây ngạc nhiên cho những ai đã từng theo dõi các vụ hack lớn. Vấn đề không nằm ở công nghệ mà ở khả năng truy vết và thực thi pháp lý. Một khi tiền bị chuyển qua mixers (như Tornado Cash) hoặc rải rác qua hàng trăm ví, việc thu hồi gần như bất khả thi. Tuy nhiên, điều đáng chú ý là tỷ lệ này đang tăng lên – hàm ý rằng kẻ tấn công đang sử dụng các kỹ thuật tinh vi hơn để che giấu dấu vết, hoặc các sàn giao dịch tập trung đang lỏng lẻo trong khâu xác minh. Nhưng luận điểm chính của bài báo – 'mục tiêu tấn công chuyển từ code sang con người' – cần được xem xét kỹ lưỡng. Tôi cho rằng đây là cách hiểu quá đơn giản. Trên thực tế, 'code' và 'con người' không phải hai phạm trù tách biệt. Mỗi giao thức đều có người vận hành, người dùng, và các tương tác phức tạp. Kẻ tấn công không chuyển đổi hoàn toàn mục tiêu, mà đa dạng hóa phương thức. Một số vẫn nhắm vào lỗi code (như reentrancy attack), số khác nhắm vào con người (như xã hội đen mạng). Dữ liệu gốc của báo cáo cần được đối chiếu với các nguồn như CertiK hay SlowMist để xác thực. Quan điểm phản trực giác của tôi: có thể mối đe dọa lớn nhất đến từ sự kết hợp giữa code và con người, chứ không phải chỉ một trong hai. Ví dụ, một smart contract có lỗi nhưng khó khai thác, thì kẻ tấn công sẽ dùng tâm lý học (social engineering) để dụ người dùng gọi hàm đó. Đây là 'tấn công kết hợp' – tận dụng điểm yếu cả hai mặt. Các dự án DeFi mới nổi thường quá tự tin vào kết quả audit mà quên rằng audit chỉ kiểm tra code, không kiểm tra người dùng. Tôi đặc biệt lo ngại khi thấy nhiều dự án Layer 2, ZK Rollup, vốn có chi phí chứng minh cao bất hợp lý, lại thu hút người dùng bằng lời hứa về hiệu quả. Các operator đang chảy máu tiền, và trong áp lực tài chính, họ dễ bỏ qua bảo mật vận hành. Nếu nhân viên có quyền cao bị lừa đảo qua email, toàn bộ hệ thống có thể sụp đổ. Đây không phải lỗi của công nghệ ZK, mà là lỗi của quản lý con người. Vậy chúng ta nên làm gì? Trước hết, với tư cách nhà đầu tư, hãy từ bỏ suy nghĩ 'dự án đã audit thì an toàn'. Một audit không bảo vệ bạn khỏi chính sự thiếu cảnh giác của bạn. Thứ hai, các sàn giao dịch và ví cần đầu tư vào bảo mật đa lớp, bao gồm xác thực sinh trắc học, giới hạn giao dịch theo hành vi, và đào tạo nhân viên về nhận diện lừa đảo. Thứ ba, cộng đồng nên xây dựng văn hóa báo cáo và chia sẻ kinh nghiệm bị tấn công, thay vì giấu giếm vì xấu hổ. Điều quan trọng là không để nỗi sợ lấn át. Crypto vẫn mang lại những giá trị không thể thay thế: tự do tài chính, không cần trung gian, khả năng kiểm soát tài sản cá nhân. Nhưng những giá trị đó đi kèm trách nhiệm. Mỗi lần click 'connect wallet', mỗi lần nhập private key, bạn đang giao phó tương lai tài chính của mình cho sự tỉnh táo trong giây lát. Kết lại, chu kỳ thị trường hiện tại đang ở giai đoạn tăng trưởng, nhưng sự hào hứng không được che mờ thực tế: kẻ xấu luôn tìm cách xâm nhập. Hãy nhìn vào lịch sử – mỗi bull run đều đi kèm với làn sóng hack và lừa đảo. Lần này, vũ khí của chúng không phải mã độc mà là sự tin tưởng mù quáng. Bạn đã sẵn sàng để bảo vệ chính mình chưa?