19 Tỷ Mật Khẩu Bị Rò Rỉ Cho Thấy Rằng Vấn Đề An Ninh Thực Sự Của Crypto Không Phải Là Mã - Mà Là Con Người

Câu chuyện về an ninh tiền điện tử đang chuyển dịch theo những cách mà ngành công nghiệp chưa từng dự đoán. Trong khi năm 2025 ghi nhận kỷ lục tồi tệ nhất về các vụ hack tiền điện tử, thì sự tiết lộ đáng lo ngại không nằm ở các khai thác hợp đồng thông minh tinh vi hay các lỗ hổng mã code tinh tế. Thay vào đó, 19 tỷ mật khẩu bị xâm phạm và các thất bại vận hành theo phong cách Web2—các thông tin đăng nhập bị đánh cắp, nhân viên bị thao túng, các kênh hỗ trợ giả mạo—chiếm phần lớn các tổn thất. Việc này mang ý nghĩa rất sâu sắc vì nó gợi ý một điều trái ngược trực tiếp: khi an ninh onchain trở nên cứng cáp hơn, các hacker đang thích nghi bằng cách nhắm vào điểm yếu dễ nhất trong bất kỳ hệ thống nào: con người.

Mitchell Amador, CEO của nền tảng an ninh onchain Immunefi, đã làm rõ sự chuyển dịch này trong một cuộc trò chuyện độc quyền: “Dù năm 2025 là năm tồi tệ nhất về các vụ hack trên ghi nhận, thì các vụ hack đó bắt nguồn từ các thất bại vận hành Web2, chứ không phải từ mã code onchain.” Sự phân biệt này đi thẳng vào trung tâm của bối cảnh đe dọa đang phát triển của crypto. Trong khi các tổn thất gia tăng suốt năm 2025, an ninh onchain lại paradoxically được cải thiện—một sự phân kỳ có thể sẽ định hình kỷ nguyên tiếp theo của việc bảo vệ tài sản kỹ thuật số.

Yếu tố con người trở thành điểm yếu nhất của Crypto

Bằng chứng rõ ràng. Khoảng 17 tỷ đô la tiền điện tử đã bị rút sạch qua các vụ lừa đảo và gian lận trong năm 2025, với các chiến thuật mạo danh và các kế hoạch sử dụng AI trở thành các phương tiện gây thiệt hại cực kỳ hiệu quả. Báo cáo Tội phạm Tiền điện tử 2026 của Chainalysis ghi nhận một sự chuyển dịch địa chấn trong hành vi của kẻ tấn công: các vụ lừa đảo mạo danh tăng vọt 1.400% theo năm, trong khi các kế hoạch sử dụng AI để nâng cao hiệu quả mang lại lợi nhuận cao hơn 450% so với các phương pháp gian lận truyền thống.

Điều này không phải là trừu tượng—thiệt hại là rõ ràng. Chỉ trong tháng trước, nhà nghiên cứu blockchain ZachXBT đã phơi bày một vụ trộm xã hội trị giá 282 triệu đô la, trong đó các hacker đã thao túng mục tiêu để buộc họ phải giao nộp 2.05 triệu LTC và 1.459 BTC. Khoản tiền này ngay lập tức được rửa qua các sàn giao dịch tức thì tập trung vào quyền riêng tư để chuyển thành Monero, minh chứng cho cách các thất bại về an ninh vận hành lan rộng khắp toàn bộ hệ sinh thái.

Điều làm cho các cuộc tấn công này đặc biệt nguy hiểm là rào cản kỹ thuật thấp của chúng. Một email lừa đảo thuyết phục, một nhân viên hỗ trợ giả mạo, hoặc các thông tin đăng nhập bị xâm phạm đều có thể vượt qua mọi tường lửa và các cuộc kiểm tra mã hợp đồng tinh vi mà tiền có thể mua được. 19 tỷ mật khẩu bị xâm phạm đang lưu hành trong các góc tối của internet đại diện cho một bề mặt tấn công ngày càng mở rộng—một mà các hệ thống phòng thủ tự động gặp khó khăn trong việc kiểm soát.

Mạo danh và lừa đảo AI vượt mặt các cuộc tấn công hạ tầng truyền thống

Tư duy tội phạm đã thay đổi. Trước đây, các hacker tập trung vào việc tìm kiếm các lỗi hiếm trong các hợp đồng token hoặc các triển khai layer-2, thì giờ đây họ ưu tiên tâm lý xã hội và thao túng quy mô lớn. Dữ liệu của Chainalysis tiết lộ sự chuyển dịch địa chấn này: các vụ lừa đảo và gian lận hiện vượt xa các vi phạm trực tiếp hạ tầng như là phương tiện chính để khai thác giá trị từ hệ sinh thái crypto.

Amador giải thích lý do tại sao khả năng khai thác mã code đang giảm: “Với mã code ngày càng ít dễ khai thác hơn, bề mặt tấn công chính trong năm 2026 sẽ là con người.” Các giao thức DeFi đã cải thiện rõ rệt tư thế an ninh của mình thông qua các cuộc kiểm tra, chương trình thưởng lỗi, và kiến trúc phòng thủ. Tuy nhiên, tiến bộ này tạo ra một cấu trúc khuyến khích lệ—các hacker đơn giản chuyển sang các mục tiêu mềm hơn: người dùng cá nhân, nhân viên doanh nghiệp, và các quy trình vận hành.

Quy mô là đáng kể. Các vụ lừa đảo mạo danh riêng lẻ không chỉ là một loại trong gian lận, mà còn trở thành một phương tiện đe dọa chi phối. Kết hợp với các chiến dịch xã hội sử dụng AI để tổng hợp danh tính giả thuyết và thao túng cá nhân theo tốc độ máy, việc nhắm vào cá nhân đã trở nên hiệu quả và sinh lợi hơn bao giờ hết.

Tại sao an ninh hợp đồng thông minh không thể ngăn chặn xã hội engineering

Một thống kê đáng suy ngẫm làm nổi bật nghịch lý này: hơn 90% các dự án crypto vẫn chứa các lỗ hổng nghiêm trọng, có thể khai thác trong mã của chúng. Tuy nhiên, ngay cả thực tế ảm đạm này cũng che giấu một sự thật sâu sắc hơn. Lỗ hổng không phải là hợp đồng chưa vá—đó là mật khẩu ví được viết trên giấy dán, USB bị bỏ quên trong taxi, nhân viên nhấp vào liên kết độc hại.

Các phát hiện của Chainalysis và Immunefi đều hội tụ về một thực tế không thoải mái. Các công cụ phòng thủ có thể giảm thiểu rủi ro rõ ràng vẫn bị sử dụng rất ít. Chưa đến 1% ngành công nghiệp triển khai tường lửa. Dưới 10% đã áp dụng hệ thống phát hiện dựa trên AI. Những khoảng trống này không phải là thất bại kỹ thuật; chúng là thất bại tổ chức. Hạ tầng để ngăn chặn phần lớn các thảm họa vận hành đã định hình năm 2025 vẫn tồn tại, nhưng việc áp dụng còn rất hạn chế.

Quan điểm của Amador đặt ra thử thách này theo cách con người: “Yếu tố con người giờ đây là điểm yếu nhất mà các chuyên gia an ninh onchain và các nhà chơi Web3 cần ưu tiên.” Điều này không phải là phóng đại. Một mật khẩu bị xâm phạm, khác với lỗi hợp đồng thông minh, không cần nghiên cứu lỗ hổng phức tạp để khai thác. Đó là phân phối quy mô lớn, thao túng trở nên dễ dàng nhờ AI, và tính dễ biến đổi vĩnh viễn của tâm lý con người.

Cuộc đua vũ khí AI: Bảo vệ chống lại tấn công ở tốc độ máy

Nếu năm 2025 thuộc về tội phạm học cách khai thác con người quy mô lớn, thì năm 2026 sẽ thuộc về công nghệ cho phép và chống lại các hành vi khai thác đó ở tốc độ máy. “AI sẽ thay đổi nhịp độ của an ninh ở cả hai phía,” Amador giải thích. Các nhà phòng thủ sẽ triển khai các hệ thống giám sát và phản ứng dựa trên AI hoạt động ở tốc độ máy, phát hiện các bất thường và chặn các cuộc tấn công trong mili giây. Đồng thời, các hacker sẽ sử dụng các công cụ tương tự để nghiên cứu lỗ hổng, kỹ thuật khai thác, và các chiến dịch xã hội quy mô lớn.

Cuộc đua vũ khí này tạo ra một loại rủi ro mà ít ai trong ngành đã chuẩn bị đầy đủ. Khi khả năng bảo mật mã code trở nên vững chắc hơn, biên giới của lỗ hổng chuyển từ các hợp đồng tĩnh sang các giao diện con người-máy động. Giao diện giữa người dùng, ví, sàn giao dịch, và giao thức trở thành chiến trường mới—nơi AI vừa tạo ra phòng thủ chưa từng có, vừa tạo ra các thủ đoạn lừa đảo chưa từng có.

Các đại lý onchain mở ra các lỗ hổng mới

Có lẽ rủi ro tiên phong nhất mà Amador đề cập vượt ra ngoài các mô hình an ninh mạng truyền thống. Khi các đại lý onchain tự trị và hệ thống AI có khả năng thực hiện các quyết định và chuyển giao tài sản mà không cần trung gian con người, một bề mặt tấn công mới xuất hiện. “Các đại lý AI onchain có thể nhanh hơn và mạnh hơn con người, và chúng đặc biệt dễ bị thao túng nếu các đường dẫn truy cập hoặc các lớp kiểm soát của chúng bị xâm phạm,” ông cảnh báo.

Điều này đánh dấu một bước chuyển đổi định tính trong rủi ro. Các thất bại an ninh trước đây yêu cầu hacker xâm phạm ví hoặc tài khoản sàn giao dịch—là các tài sản riêng biệt, có thể nhận biết rõ ràng. Các đại lý AI, ngược lại, hoạt động với quyền ủy quyền được phân bổ qua các giao thức và các nhóm thanh khoản. Xâm phạm một lớp kiểm soát của một đại lý duy nhất và hacker có thể truy cập theo thuật toán vào dòng vốn ở tốc độ máy. “Chúng ta vẫn còn sớm trong việc học cách bảo vệ các đại lý một cách đúng đắn,” Amador thừa nhận, “và đó sẽ là một trong những thách thức an ninh định hình của chu kỳ tiếp theo.”

Con đường phía trước: An ninh vượt ra ngoài mã code

Nhận thức chung ngày càng rõ ràng của các chuyên gia an ninh là: An ninh onchain đang được cải thiện rõ rệt, nhưng tổng thiệt hại vẫn tiếp tục gia tăng. Sự mâu thuẫn rõ ràng này tan biến khi nhìn qua lăng kính chuyển từ mã code sang vận hành. Kẻ thù không phải là một lập trình viên khéo léo tìm ra lỗi reentrancy—mà là một tội phạm tinh vi sử dụng 19 tỷ mật khẩu bị xâm phạm, danh tính tổng hợp, và thao túng tâm lý để khai thác giá trị từ cá nhân.

Phản ứng của ngành crypto sẽ quyết định liệu năm 2026 có thể đảo ngược thiệt hại của năm 2025 hay không. Nó đòi hỏi đầu tư vào các hệ thống AI phòng thủ, quản lý mật khẩu doanh nghiệp, kiểm soát đa chữ ký, và giáo dục. Nó đòi hỏi phải thu hẹp khoảng cách áp dụng để 99% các dự án không còn bị bỏ lại không có hạ tầng bảo mật cơ bản. Và quan trọng nhất, nó đòi hỏi nhận thức rằng mã mã hóa mạnh nhất thế giới cũng vô nghĩa nếu điểm yếu nhất vẫn là sự phán đoán, sự xâm phạm, và lừa đảo của con người.

Cuộc chiến an ninh không còn diễn ra trên onchain nữa. Nó diễn ra trong các giao diện người dùng, kiểm soát truy cập doanh nghiệp, bảng điều khiển giám sát, và các không gian giữa ý định của con người và thực thi tự động. Và trong chiến trường đó, bên kết hợp sự tinh vi công nghệ với kỷ luật vận hành cuối cùng sẽ chiến thắng.