Chuyên gia cảnh báo: 90% tiền điện tử bị đánh cắp không thể thu hồi, tấn công mạng đang chuyển hướng sang con người

Gần chín phần mười số tiền điện tử bị đánh cắp trong nửa đầu năm 2026 không thể thu hồi. Con số này, được tổng hợp từ nhiều báo cáo an ninh mạng, không phải là một sự ngẫu nhiên. Nó phản ánh một sự dịch chuyển căn bản trong chiến thuật của tội phạm mạng: thay vì mày mò tìm lỗ hổng trong hợp đồng thông minh, chúng đang nhắm vào mắt xích yếu nhất của hệ thống – con người. Bối cảnh đằng sau con số này rất rõ ràng. Kể từ khi Ethereum ra đời, các cuộc tấn công Web3 chủ yếu khai thác lỗi code: reentrancy, flash loan attack, oracle manipulation. Các công ty bảo mật đã đầu tư hàng tỷ USD vào công cụ kiểm toán tự động, form verification và bug bounty. Kết quả là các lỗ hổng cấp độ hợp đồng ngày càng khan hiếm và khó khai thác. Nhưng song song đó, một mặt trận mới mở ra – mặt trận tâm lý học xã hội. "Bằng chứng nằm ở những gì họ cố tình quên deploy," một thám tử on-chain kỳ cựu nhận xét. "Kẻ tấn công không cần tìm lỗi trong code nếu chúng có thể dụ nạn nhân ký một giao dịch độc hại." Và đúng vậy, các cuộc tấn công phishing, social engineering, SIM swap đang tăng vọt về cả số lượng lẫn quy mô thiệt hại. Một vụ lừa đảo qua email giả mạo đội ngũ dự án có thể đánh cắp số tài sản tương đương với việc khai thác một lỗ hổng zero-day, nhưng với chi phí thấp hơn nhiều. Phân tích kỹ thuật cho thấy các cuộc tấn công này khai thác ba điểm mù chính. Thứ nhất, giao diện người dùng của nhiều dApp vẫn chưa được thiết kế để chống phishing: ví dụ, việc hiển thị địa chỉ ví dưới dạng hash dài khiến người dùng khó phát hiện giả mạo. Thứ hai, quy trình approve token ERC-20 vẫn là một cánh cửa mở: một chữ ký vô tình có thể trao toàn quyền kiểm soát token cho kẻ tấn công. Thứ ba, các giải pháp lưu trữ private key (ví nóng, ví lạnh, seed phrase trên giấy) vẫn dựa vào hành vi của con người – nơi dễ mắc sai lầm nhất. Nhưng có một góc nhìn phản trực giác: không phải mọi thứ đều chuyển sang tấn công con người. Trên thực tế, các lỗ hổng hợp đồng thông minh vẫn chiếm tỷ lệ lớn trong tổng số vụ việc được báo cáo bởi các công ty bảo mật hàng đầu như CertiK và SlowMist. Điều khác biệt là: các vụ tấn công thành công có quy mô lớn thường kết hợp cả hai yếu tố – một lỗi code nhỏ làm bàn đạp, và một chiêu trò xã hội để ép nạn nhân hành động. Việc nói rằng "mục tiêu chuyển từ code sang người" là một sự đơn giản hóa quá mức. Thực tế, mục tiêu vẫn là code, nhưng con đường tấn công thường đi qua con người. Điều này dẫn đến một hệ quả quan trọng: các giải pháp bảo mật thuần túy kỹ thuật – như kiểm toán hợp đồng, form verification – không còn đủ. Chúng ta cần một lớp bảo vệ mới tập trung vào hành vi người dùng: giao diện cảnh báo khi approve quá nhiều token, xác thực đa yếu tố cho mọi giao dịch, và quan trọng nhất là giáo dục cộng đồng. Các dự án DeFi thành công trong tương lai sẽ là những dự án thiết kế sản phẩm với giả định rằng người dùng có thể bị lừa bất cứ lúc nào. Từ góc nhìn của một nhà phân tích on-chain, tôi thấy rõ một sự thật đáng buồn: phần lớn số tiền bị đánh cắp không bao giờ quay trở lại, không phải vì công nghệ theo dõi yếu kém, mà vì kẻ tấn công đã tận dụng triệt để sự thiếu hiểu biết và sự tin tưởng mù quáng của nạn nhân. Mỗi lần một người dùng vội vàng ký giao dịch mà không kiểm tra kỹ, họ đang tiếp tay cho một hệ sinh thái tội phạm đang ngày càng tinh vi. Vậy, câu hỏi cuối cùng không phải là "công nghệ nào có thể ngăn chặn điều này?", mà là "chúng ta sẵn sàng thay đổi thói quen của mình đến đâu?" Khi mỗi chúng ta trở thành một bức tường thành cuối cùng, thì mỗi hành động cẩn trọng – kiểm tra URL, xác minh nguồn gốc tin nhắn, không bao giờ chia sẻ seed phrase – chính là viên gạch xây nên một Web3 an toàn hơn.