CertiK ước tính các nhóm hacker liên quan đến Triều Tiên đã gây thiệt hại khoảng 6,75 tỷ USD qua 263 vụ tấn công crypto kể từ năm 2016.
Con số này củng cố lo ngại rằng mối đe dọa lớn nhất với các dự án và sàn giao dịch không chỉ nằm ở lỗ hổng code, mà còn ở các chiến thuật nhắm vào con người và quy trình nội bộ.
- CertiK ước tính thiệt hại từ các vụ tấn công liên quan đến Triều Tiên đạt 6,75 tỷ USD kể từ năm 2016.
- Các báo cáo an ninh cho thấy nhóm này gây ra phần lớn giá trị bị đánh cắp dù số vụ tấn công không chiếm đa số.
- Nhiều vụ việc gần đây cho thấy social engineering, giả mạo danh tính và khai thác quy trình đang là điểm yếu nổi bật.
Quy mô thiệt hại từ các cuộc tấn công liên quan đến Triều Tiên
CertiK cho biết các tác nhân liên quan đến Triều Tiên đã đứng sau khoảng 6,75 tỷ USD tiền điện tử bị đánh cắp qua 263 sự cố từ năm 2016.
Báo cáo này xuất hiện trong bối cảnh TRM Labs cũng cho rằng các tác nhân Triều Tiên chiếm khoảng 76% số tiền mất mát từ các vụ hack crypto tính đến hết tháng 4 năm 2026.
Theo cùng dữ liệu, năm 2025 nhóm này chỉ liên quan đến 12% tổng số vụ nhưng lại chiếm khoảng 60% giá trị bị đánh cắp. Sang năm 2026, xu hướng đó tiếp tục khi họ bị quy trách nhiệm cho 55% khoản thua lỗ mà các dự án ghi nhận trong năm.
Ít vụ hơn nhưng số tiền bị lấy đi lớn hơn
Điểm đáng chú ý là số tiền thất thoát đang tập trung vào ít sự cố lớn hơn thay vì nhiều vụ nhỏ lẻ.
TRM Labs nêu hai vụ Drift Protocol và KelpDAO là những vụ nổi bật trong năm 2026. Riêng Drift Protocol bị thiệt hại 285 triệu USD vào ngày 1/4, còn KelpDAO mất 292 triệu USD vào ngày 18/4.
Hai vụ này chỉ chiếm 3% số sự cố trong năm 2026 nhưng lại tương ứng với 76% giá trị bị đánh cắp, cho thấy mức độ tập trung rất cao của thiệt hại.
Cách tấn công đang nghiêng về thao túng con người
Các báo cáo cho thấy phần lớn vụ việc không bắt đầu từ lỗi phần mềm đơn thuần mà từ social engineering và các thủ đoạn đánh vào người trong tổ chức.
CertiK cho biết nhiều chiến dịch lớn của DPRK khởi đầu bằng lời mời việc làm giả, giả mạo quỹ đầu tư mạo hiểm hoặc đưa mã độc vào kho lưu trữ.
Trong vụ Drift, TRM Labs nói các bên liên quan của Triều Tiên đã có gặp trực tiếp với nhân viên trước khi xảy ra sự cố. Kẻ tấn công sau đó lợi dụng tính năng durable nonce của Solana để khiến các bên ký đa chữ ký chấp thuận giao dịch trước.
Đến ngày 1/4, giao thức bị rút sạch trong 31 giao dịch chỉ kéo dài khoảng 12 phút.
Đường rút tiền sau khi đánh cắp cũng khá giống nhau
Các khoản tiền bị đánh cắp thường được chuyển qua mixer, cầu nối cross-chain, sàn phi tập trung và môi giới OTC trước khi đổi sang Bitcoin.
CertiK cho biết trong vòng một tháng sau vụ Bybit, 86,29% lượng ETH bị lấy cắp đã được chuyển thành Bitcoin thông qua các công cụ này.
TRM Labs cũng nói THORChain đã xử lý phần lớn dòng tiền từ cả vụ Bybit lẫn KelpDAO, với quy mô chuyển đổi hàng trăm triệu USD ETH bị đánh cắp sang BTC mà không có bên vận hành nào chặn giao dịch.
Rủi ro lớn nhất với dự án crypto hiện nay
Điểm chung mà các báo cáo nhấn mạnh là rủi ro không còn nằm riêng ở smart contract. Hệ thống ký duyệt, đối tác thứ ba, nhân sự nội bộ và quy trình xác thực đều có thể trở thành điểm bị khai thác.
Bybit từng bị hack 1,5 tỷ USD vào tháng 2/2025, vụ tấn công lớn nhất từng được ghi nhận trong lĩnh vực crypto. CertiK cho rằng vụ này cho thấy ngay cả ví đa chữ ký cấp tổ chức vẫn có thể bị xâm nhập nếu kẻ tấn công nhắm vào hạ tầng bên thứ ba đáng tin cậy thay vì trực tiếp vào hợp đồng thông minh.
Dữ liệu hiện có chưa cho thấy tốc độ tấn công đang giảm. Ngược lại, các báo cáo đều cho thấy nhóm liên quan đến Triều Tiên đang chuyển sang cách đánh chính xác hơn, ít vụ hơn nhưng gây thiệt hại lớn hơn.
Tổng kết
Các số liệu mới nhất cho thấy thiệt hại do các cuộc tấn công liên quan đến Triều Tiên vẫn ở mức rất lớn và đang tập trung vào những vụ khai thác tinh vi hơn, đặc biệt là nhắm vào con người, quy trình và hạ tầng liên quan.
