Tháng 2/2026 ghi nhận mức thiệt hại hàng tháng thấp nhất do lừa đảo, tấn công và khai thác trong lĩnh vực tiền điện tử kể từ tháng 3/2025, chỉ 37,7 triệu USD, dù các vụ “đầu độc địa chỉ” (address poisoning) lại gia tăng.
Bức tranh an ninh crypto đang dịch chuyển: tổng tiền bị đánh cắp giảm vì thiếu sự cố “khổng lồ”, nhưng các hình thức tấn công nhắm vào người dùng cá nhân như phishing và address poisoning xuất hiện dày đặc hơn, khiến rủi ro thực tế vẫn cao.
- Tháng 2/2026 chỉ mất 37,7 triệu USD, thấp nhất gần 1 năm, do không có sự cố lớn kéo tổng tăng vọt.
- Các vụ việc đáng chú ý gồm SOF token (10,5 triệu USD) và hack cầu nối IoTeX/ioTube (khoảng 8,9 triệu USD).
- Address poisoning tăng mạnh; khuyến nghị dùng sổ địa chỉ, whitelist, kiểm tra đầy đủ ký tự hoặc dùng ENS.
Tháng 2/2026 có mức thiệt hại crypto thấp nhất kể từ tháng 3/2025
Tháng 2/2026 kết thúc với tổng thiệt hại 37,7 triệu USD do scam, tấn công mạng và exploit, là mức thấp nhất kể từ tháng 3/2025, dù các chiến thuật lừa đảo như address poisoning có xu hướng tăng.
Khu vực tiền điện tử thường là mục tiêu của social engineering và phishing, đặc biệt ở các môi trường giàu thanh khoản như DeFi và sàn giao dịch. Tuy vậy, theo cập nhật tổng hợp tháng của CertiKAlert về số liệu tháng 2/2026, tổng thiệt hại đã giảm đáng kể so với nhiều tháng trước.
Một nguyên nhân tổ chức mẫu số liệu tháng thấp là không xuất hiện “siêu sự cố” đủ lớn để kéo tổng thiệt hại tăng đột biến. Điều này không đồng nghĩa rủi ro biến mất, mà phản ánh cơ cấu tấn công đang phân mảnh hơn, với nhiều vụ nhỏ nhắm vào từng dự án hoặc từng người dùng.
Các vụ exploit lớn nhất tháng 2/2026 tập trung vào SOF token và cầu nối IoTeX
Trong tháng 2/2026, thiệt hại 37,7 triệu USD đến từ nhiều sự cố, lớn nhất là SOF token mất 10,5 triệu USD, tiếp theo là vụ hack cầu nối IoTeX/ioTube làm thất thoát khoảng 8,9 triệu USD do lộ private key.
Vụ IoTeX bridge được các nhà phân tích bảo mật tại Halborn và PeckShield mô tả là sự cố liên quan đến việc bị xâm phạm khóa riêng của cầu nối cross-chain ioTube. Thiệt hại on-chain được xác nhận cao hơn ước tính ban đầu của đội ngũ sáng lập IoTeX.
Ban đầu, phía IoTeX ước tính thiệt hại thấp hơn, khoảng 2 triệu USD. Tuy nhiên, dữ liệu on-chain xác nhận mức thất thoát lớn hơn và diễn ra trên nhiều tài sản khác nhau, bao gồm USDC và WBTC.
Các sự cố đáng chú ý khác trong tháng gồm Foom (2,2 triệu USD), Ploutos (2,1 triệu USD) và CrossCurve (1,4 triệu USD). Riêng các vụ phishing cộng dồn chiếm khoảng 8,5 triệu USD trong tổng thiệt hại tháng.
Tổng tiền bị đánh cắp giảm nhưng tần suất tấn công nhắm người dùng lại tăng
Tổng thiệt hại theo USD giảm một phần vì năm 2026 chưa ghi nhận vụ mất mát quy mô “tỷ USD”, nhưng tần suất các hình thức lừa đảo nhắm người dùng như address poisoning lại tăng và có dấu hiệu chạm mức kỷ lục.
Năm 2025, mức trung bình thiệt hại theo tháng bị chi phối mạnh bởi các sự cố cá biệt cực lớn. Ví dụ, vụ tấn công Bybit vào tháng 2/2025 khiến khoảng 1,5 tỷ USD Ethereum bị đánh cắp, được quy cho nhóm Lazarus có liên quan Triều Tiên.
Sang năm 2026, khi không có khoản thiệt hại “cỡ tỷ USD” làm méo số liệu, bề mặt rủi ro của hệ sinh thái DeFi và sàn giao dịch có vẻ ổn định hơn về tổng giá trị thiệt hại. Dù vậy, các vụ tấn công nhỏ, có mục tiêu rõ ràng vẫn liên tục gây tổn thất cho người dùng cá nhân.
Trong khi tổng tiền bị lấy cắp giảm, address poisoning lại tăng mạnh. Có trường hợp một trader mất 600.000 USD vào ngày 17/02/2026 vì dính đúng thủ thuật này.
Address poisoning hoạt động bằng cách “đánh lừa” lịch sử giao dịch bằng địa chỉ giống thật
Address poisoning là kiểu lừa đảo tạo giao dịch giá trị gần như bằng 0 từ một “vanity address” giống địa chỉ quen thuộc, nhằm đánh lừa người dùng khi họ sao chép địa chỉ từ lịch sử giao dịch thay vì kiểm tra kỹ.
Trong một phân tích về cơ chế address poisoning, kẻ gian theo dõi blockchain để tìm ví hoạt động, sau đó gửi một giao dịch “siêu nhỏ/không đáng giá” đến ví nạn nhân bằng địa chỉ được tạo để trông gần như trùng khớp với địa chỉ mà nạn nhân vừa sử dụng.
Nhiều người dùng chỉ kiểm tra vài ký tự đầu và cuối của địa chỉ. Kẻ tấn công có thể sử dụng công cụ mã nguồn mở như Profanity để tạo địa chỉ có 5 ký tự đầu và 5 ký tự cuối trùng với địa chỉ quen thuộc trong danh bạ/nội dung giao dịch của nạn nhân.
Do nhiều ví rút gọn phần giữa bằng dấu “…” nên địa chỉ giả có thể nhìn “đúng” khi lướt nhanh. Mục tiêu là “đầu độc” lịch sử giao dịch để lần sau người dùng copy địa chỉ từ lịch sử, họ vô tình copy nhầm địa chỉ của kẻ gian.
Các công ty bảo mật ước tính có hơn một triệu lần thử address poisoning mỗi ngày chỉ riêng trên mạng Ethereum. Một yếu tố thúc đẩy là phí giao dịch rẻ hơn sau các nâng cấp mạng, khiến việc spam hàng loạt giao dịch “đầu độc” đến nhiều ví trở nên ít tốn kém hơn.
Tháng 12/2025, một trader khác mất 50 triệu USD USDT sau khi copy nhầm địa chỉ giả từ lịch sử giao dịch chỉ vài phút sau khi họ gửi thành công một giao dịch test 50 USD.
Giải pháp giảm rủi ro address poisoning tập trung vào phát hiện địa chỉ độc và xác minh trước khi gửi
Các biện pháp phòng vệ hiệu quả gồm: ví tự cảnh báo/khóa “địa chỉ độc”, mô phỏng giao dịch trước khi ký, dùng sổ địa chỉ thay vì copy từ lịch sử, bật whitelist trên sàn và xác minh đầy đủ từng ký tự hoặc dùng ENS.
CZ, cựu CEO Binance, đề xuất ví crypto nên có tính năng tự động kiểm tra địa chỉ nhận có phải “poison address” đã biết hay không và chặn người dùng gửi tiền đến đó. Hướng tiếp cận này phù hợp với mục tiêu giảm lỗi “copy-paste” trong thao tác phổ biến của người dùng.
Một nhóm nhà phát triển khác đang hướng đến “đánh giá rủi ro trước thực thi”, tức mô phỏng giao dịch và hiển thị bản tóm tắt dễ đọc về nơi tiền sẽ đi đến trước khi người dùng xác nhận gửi. Cách này giúp người dùng phát hiện bất thường ngay từ lớp giao diện.
Với người dùng phổ thông, khuyến nghị thực hành gồm lưu địa chỉ thường dùng vào address book của ví thay vì sao chép từ lịch sử giao dịch. Trên sàn giao dịch, nên bật whitelist để chỉ cho phép rút về các địa chỉ đã phê duyệt trước.
Ngoài ra, người dùng được khuyến khích kiểm tra toàn bộ ký tự của địa chỉ khi chuyển khoản hoặc sử dụng Ethereum Name Service (ENS) để giảm rủi ro nhầm lẫn do địa chỉ dài và dễ bị làm giả phần đầu/cuối.
Những câu hỏi thường gặp
Thiệt hại crypto tháng 2/2026 là bao nhiêu và vì sao thấp?
Tổng thiệt hại tháng 2/2026 là 37,7 triệu USD, thấp vì không có sự cố quy mô rất lớn làm tăng vọt tổng số, dù vẫn có nhiều vụ việc nhỏ và các chiến dịch lừa đảo nhắm người dùng.
Vụ exploit lớn nhất tháng 2/2026 là gì?
Vụ lớn nhất được xác nhận liên quan đến SOF token với mức thiệt hại 10,5 triệu USD. Đứng sau là vụ hack cầu nối IoTeX/ioTube khoảng 8,9 triệu USD do xâm phạm private key.
Address poisoning là gì?
Address poisoning là thủ thuật gửi giao dịch giá trị rất nhỏ từ một địa chỉ “giống” địa chỉ quen thuộc, nhằm làm “bẩn” lịch sử giao dịch để nạn nhân copy nhầm địa chỉ của kẻ gian khi chuyển tiền.
Vì sao address poisoning dễ thành công?
Nhiều người chỉ kiểm tra vài ký tự đầu và cuối của địa chỉ, trong khi ví thường rút gọn phần giữa bằng “…”. Kẻ gian tạo vanity address có chuỗi ký tự đầu/cuối trùng, khiến địa chỉ giả khó phân biệt khi nhìn nhanh.
Cách giảm rủi ro dính address poisoning là gì?
Nên dùng sổ địa chỉ trong ví, bật whitelist trên sàn, kiểm tra đầy đủ từng ký tự trước khi gửi, hoặc dùng ENS. Các giải pháp nâng cao gồm mô phỏng giao dịch trước khi ký và hệ thống nhận diện/chặn “poison address”.
