Krypto-Hacks 2025: Tại sao yếu tố con người vượt qua an ninh mã

Năm 2025 sẽ được ghi nhận trong lịch sử tiền điện tử là năm thua lỗ nhất – nhưng các con số kể một câu chuyện bất ngờ. Trong khi tổng thiệt hại do các vụ hack và hoạt động lừa đảo tiếp tục gia tăng, thì đồng thời an ninh kỹ thuật trên blockchain lại được cải thiện rõ rệt. Sự nghịch lý này tiết lộ một sự thay đổi căn bản trong cảnh quan an ninh: kẻ thù không còn nằm trong mã nguồn nữa, mà sau bàn phím.

Các thảm họa tài chính lớn nhất trong năm không xuất phát từ các khai thác tinh vi trong mã hợp đồng thông minh, mà từ con người – mật khẩu bị đánh cắp, thiết bị bị xâm phạm, nhân viên bị thao túng và các cuộc tấn công xã hội có tính toán. Phát hiện này đảo lộn giả định phổ biến của nhiều nhà đầu tư tiền điện tử.

17 tỷ đô la: Khi kẻ lừa đảo nhắm vào con người thay vì mã nguồn

Báo cáo tội phạm tiền điện tử 2026 của Chainalysis cho thấy một bức tranh rõ ràng: Năm 2025, khoảng 17 tỷ USD đã bị mất do gian lận và lừa đảo – một mức tăng đáng kể chủ yếu do các phương thức tấn công thay đổi. Dữ liệu còn tiết lộ một sự dịch chuyển đáng chú ý trong các vectơ đe dọa.

Trộm danh tính dẫn đầu các hình thức tấn công mới: Chỉ riêng các vụ chiếm đoạt danh tính gian lận đã tăng 1.400% so với cùng kỳ năm trước. Các chiêu thức này nhằm vào cá nhân – không nhằm vào các giao thức phi tập trung. Đồng thời, việc sử dụng trí tuệ nhân tạo (AI) trở nên đặc biệt sinh lợi: các chiêu lừa đảo dựa trên AI sinh lợi gấp 450% so với các phương pháp truyền thống, vì chúng cho phép kẻ lừa đảo tự động hóa và cá nhân hóa các cuộc tấn công quy mô lớn.

Một vụ việc gần đây minh họa rõ xu hướng này: Tháng 1 năm 2026, nền tảng nghiên cứu blockchain ZachXBT tiết lộ một vụ tấn công xã hội, trong đó hacker lấy đi 282 triệu USD – trong đó có 2,05 triệu LTC (hiện khoảng 119 triệu USD với giá $58.06) và 1.459 BTC (với giá hiện tại khoảng $78.99K, tương đương khoảng 115 triệu USD). Kẻ tấn công nhanh chóng đổi số tiền này sang đồng tiền riêng tư Monero.

Những vụ tấn công như vậy không phải là cá biệt. Chúng tượng trưng cho một xu hướng căn bản: Trong khi các dự án tiền điện tử liên tục nâng cao an ninh trên chuỗi, thì các kẻ lừa đảo chuyên nghiệp ngày càng tập trung vào điểm yếu giữa con người và máy móc.

Tình hình an ninh nghịch lý: Tại sao hack trên chuỗi giảm, thiệt hại tổng thể lại tăng

Nghịch lý này ban đầu gây bối rối, nhưng thực ra lại dễ hiểu khi nhìn nhận qua khả năng của ngành trong việc cải thiện các cơ chế phòng thủ kỹ thuật. Mitchell Amador, CEO của nền tảng an ninh chuỗi Immunefi, giải thích trong một cuộc phỏng vấn độc quyền rằng lý do của sự mâu thuẫn này là hợp lý:

„Dù năm 2025 là năm tồi tệ nhất đối với các vụ hack tiền điện tử kể từ khi bắt đầu ghi nhận, thì các vụ hack này chủ yếu xuất phát từ lỗi vận hành Web2 chứ không phải từ các khai thác mã nguồn trên chuỗi. An ninh trên chuỗi đang cải thiện rõ rệt và sẽ tiếp tục như vậy."

Đánh giá của Amador còn được hỗ trợ bởi dữ liệu thị trường: mã của các giao thức DeFi và trên chuỗi ngày càng khó khai thác hơn. Điều này nhờ vào việc kiểm tra mã tốt hơn, thực hành kiểm toán chặt chẽ hơn và các cuộc kiểm tra an ninh nâng cao. Do đó, các hacker buộc phải đánh giá lại chiến lược của mình và chuyển sang các phương pháp ít kỹ thuật hơn, linh hoạt hơn.

Tuy nhiên, tin tốt dừng lại ở đó. Amador cảnh báo rằng hơn 90% các dự án tiền điện tử vẫn còn tồn tại các lỗ hổng nghiêm trọng, dễ bị khai thác. Thậm chí còn đáng lo ngại hơn là việc ngành chưa tận dụng hết các công cụ phòng thủ hiện có: Dưới 1% sử dụng tường lửa, trong khi chưa đến 10% áp dụng hệ thống phát hiện dựa trên AI. Điều này cho thấy vấn đề không phải ở kỹ thuật, mà nằm ở cách thực thi và yếu tố con người.

Trộm danh tính và lừa đảo bằng AI: Điểm tấn công chính mới

Sự chuyển dịch của các vectơ đe dọa rõ ràng. Các chiến thuật xã hội, nhân viên hỗ trợ bị thao túng và việc giả mạo các nhân vật đáng tin cậy đã trở thành các hình thức tấn công thành công nhất. Những phương pháp này không đòi hỏi kiến thức kỹ thuật sâu về hợp đồng thông minh – thay vào đó, chúng khai thác điểm yếu tâm lý và sự dễ mắc lỗi của con người.

Sự kết hợp giữa công nghệ AI và tấn công xã hội làm tăng hiệu quả của các vụ tấn công này. Chatbot có thể cá nhân hóa các tin nhắn lừa đảo quy mô lớn, giọng nói tổng hợp có thể bắt chước danh tính, và các thuật toán có thể phân tích hành vi để xác định chiến lược tấn công tối ưu.

Amador tóm tắt thực tế này một cách ngắn gọn: „Khi mã nguồn ngày càng ít dễ bị tấn công, thì năm 2026, điểm tấn công chính sẽ là con người. Yếu tố con người giờ đây là điểm yếu nhất mà các chuyên gia an ninh chuỗi và các nhà Web3 cần ưu tiên."

2026 và tương lai: Các đại lý AI trên chuỗi là giới hạn an ninh tiếp theo

Cảnh báo dự đoán của Amador không chỉ liên quan đến các mối đe dọa hiện tại, mà còn về một thực tế mới nổi: các đại lý AI tự trị trên chuỗi.

Các hệ thống này sẽ có khả năng thực hiện các giao dịch độc lập, đưa ra quyết định chiến lược và quản lý lượng tài sản lớn – tất cả mà không cần sự can thiệp trực tiếp của con người. Chúng hứa hẹn tăng hiệu quả, nhưng đồng thời mở ra các lỗ hổng mới.

„Điều này mở ra một loại vectơ tấn công hoàn toàn mới", Amador cảnh báo. „Các đại lý AI trên chuỗi có thể nhanh hơn và mạnh mẽ hơn con người, và đặc biệt dễ bị thao túng nếu các kênh truy cập hoặc các cấp kiểm soát bị xâm phạm."

Năm 2026, AI sẽ thúc đẩy tốc độ của cuộc chiến bảo vệ và tấn công trong lĩnh vực an ninh. Các nhà phòng thủ sẽ ngày càng dựa vào giám sát và phản ứng tự động dựa trên AI – các công nghệ vận hành với tốc độ của máy móc. Đồng thời, các hacker cũng sẽ sử dụng các công cụ AI tương tự để nghiên cứu lỗ hổng, phát triển khai thác và thực hiện các chiến dịch xã hội quy mô lớn.

Mô hình an ninh của ngành tiền điện tử đã thay đổi căn bản. Thay vì tập trung chủ yếu vào việc củng cố mã kỹ thuật, thì giờ đây là lớp bảo vệ giữa công nghệ và người dùng – giao diện người dùng, chính sách doanh nghiệp, hệ thống giám sát và giáo dục. Thông điệp rõ ràng: Trong một thế giới mà các vụ hack tiền điện tử ngày càng phổ biến, không phải là mã nguồn lỗi, mà là con người cần học cách bảo vệ tài sản kỹ thuật số của mình.