Tháng 4/2026 chứng kiến hơn 625 triệu USD bị đánh cắp trong khoảng 20 đến 30 vụ tấn công crypto riêng lẻ.
Con số này khiến mức tổn thất trong tháng tăng mạnh so với các tháng trước, với tần suất gần như một vụ mỗi ngày theo biểu đồ mà DefiLlama đăng trên X. Điểm đáng chú ý không chỉ nằm ở tổng thiệt hại, mà còn ở việc phần lớn số tiền bị lấy đi xuất phát từ rất ít vụ tấn công có quy mô lớn.
Hai vụ tấn công lớn chiếm phần lớn thiệt hại
Trong tháng 4, hai sự cố đã tạo ra phần lớn tổn thất. Ngày 1/4/2026, Drift Protocol mất 285 triệu USD. Nhóm tấn công được cho là từ Triều Tiên đã xây dựng lòng tin với nhân viên Drift trong khoảng sáu tháng trước khi dùng các lệnh rút tiền đã ký sẵn để lấy tiền chỉ trong 12 phút.
Ngày 18/4, KelpDAO tiếp tục bị thiệt hại 293 triệu USD khi kẻ tấn công lừa hệ thống phát hành token không có tài sản bảo chứng thực sự. Cả hai vụ đều bị quy cho các tác nhân có liên hệ với Triều Tiên, nhưng cách thức thực hiện khác nhau, cho thấy hướng tấn công đã chuyển từ lỗi kỹ thuật đơn thuần sang cả thao túng con người và lừa hệ thống nội bộ.
Vì sao một vụ hack lại tạo ra hiệu ứng dây chuyền trên DeFi
Sau vụ KelpDAO, nhóm tấn công đã gửi số token đánh cắp vào Aave làm tài sản thế chấp rồi vay gần 190 triệu USD bằng Ethereum thật. Điều này khiến Aave phải chấp nhận các token vô giá trị làm bảo đảm cho khoản vay có giá trị thật.
Trong 48 giờ, tiền gửi trên Aave giảm từ 26,4 tỷ USD xuống còn khoảng 17,9 tỷ USD. Các pool stablecoin trên nền tảng này chạm mức sử dụng 100%, còn Galaxy Research ước tính nợ xấu của Aave tăng lên khoảng 123,7 triệu USD đến 230 triệu USD. Dòng tiền rời khỏi các giao thức DeFi cũng vượt 13 tỷ USD trong vài ngày sau vụ việc, khi người dùng đồng loạt rút tiền. Một số nền tảng như Morpho, Spark, Lido, Yearn, Beefy và cả Ethereum đã phải tạm dừng một số hoạt động do dòng tiền biến động quá mạnh.
Triều Tiên tiếp tục là nhóm bị nhắc đến nhiều nhất
TRM Labs cho biết các đơn vị tấn công có hậu thuẫn từ Triều Tiên chịu trách nhiệm cho 75% tổng thiệt hại do hack crypto tính đến tháng 4/2026, tương đương 577 triệu USD trong tổng số 759 triệu USD. Tổ chức này cũng nói rằng Triều Tiên đã đánh cắp hơn 6 tỷ USD crypto kể từ năm 2017.
Theo các tài liệu của Liên Hợp Quốc, Bộ Tài chính Mỹ và nhiều công ty phân tích blockchain, số tiền này được dùng để tài trợ cho hoạt động của chính phủ và các chương trình vũ khí trong bối cảnh nước này chịu trừng phạt quốc tế. Ari Redbord, Giám đốc chính sách và quan hệ chính phủ toàn cầu của TRM Labs, nói rằng các chiến dịch của Triều Tiên đang “nhanh hơn và chính xác hơn bao giờ hết”.
“Điều chúng tôi đang chứng kiến không phải là một chiến dịch của Triều Tiên rộng hơn, mà là một chiến dịch sắc hơn. Triều Tiên đang di chuyển nhanh hơn và chính xác hơn bao giờ hết.”
– Ari Redbord, Giám đốc Chính sách và Quan hệ Chính phủ Toàn cầu tại TRM Labs
Các vụ việc khác trong tháng 4
Ngoài hai vụ lớn nhất, tháng 4 còn ghi nhận nhiều sự cố khác. Rhea Finance mất 18,4 triệu USD vào ngày 10/4, trong đó Tether đã kịp đóng băng 3,29 triệu USD. Theo mô tả, kẻ tấn công dùng flash loan để thao túng giá và rút phần còn lại khỏi pool.
Ngày 15/4, sàn Grinex tại Kyrgyzstan mất 13,74 triệu USD USDT sau khi hacker chia nhỏ số tiền qua 54 ví rồi chuyển qua SunSwap để làm khó việc truy vết. Hyperbridge cũng thiệt hại 2,5 triệu USD trên mạng Polkadot, còn CoW Swap mất 1,2 triệu USD vào ngày 14/4. Đến ngày 29/4, nhà phân tích on-chain Wazz cho biết hàng trăm ví, nhiều ví đã không hoạt động hơn 7 năm, vừa bị rút sạch bởi cùng một địa chỉ trên Ethereum mainnet. Cuối tháng, Wasabi Protocol tiếp tục mất khoảng 5 triệu USD khi kẻ tấn công dùng khóa triển khai bị lộ để khai thác hệ thống.
Phản ứng của ngành đã nhanh hơn, nhưng rủi ro vẫn đổi kiểu
Sau vụ KelpDAO, hơn 14 tổ chức đã cam kết hơn 300 triệu USD cho quỹ cứu trợ DeFi United. Arbitrum Security Council cũng đã dùng quyền khẩn cấp để đóng băng 71 triệu USD của tài sản bị đánh cắp. Những động thái này cho thấy khả năng phản ứng của hệ sinh thái đã tốt hơn trước.
Tuy vậy, các vụ tấn công lớn trong tháng 4 lại tập trung vào thao túng con người và quy trình, thay vì chỉ khai thác lỗi trong hợp đồng thông minh như trước đây. Dữ liệu hiện có chưa đủ để kết luận xu hướng này sẽ kéo dài bao lâu, nhưng các số liệu trong tháng cho thấy rủi ro của DeFi không còn nằm riêng ở mã nguồn. Nó còn nằm ở con người, quyền truy cập và cách tài sản bị chuyển vòng sau khi bị đánh cắp.
Tổng kết
Tháng 4/2026 là một tháng có thiệt hại lớn bất thường đối với crypto, khi chỉ vài vụ tấn công đã tạo ra phần lớn tổng tổn thất. Hai sự cố tại Drift Protocol và KelpDAO chiếm tỷ trọng lớn nhất, đồng thời kéo theo hiệu ứng lan truyền lên Aave và nhiều giao thức DeFi khác. Dữ liệu hiện có cho thấy hệ sinh thái đã phản ứng nhanh hơn, nhưng mức độ tinh vi của các vụ tấn công cũng tăng lên, nhất là ở khâu thao túng con người và tận dụng tài sản đánh cắp làm đòn bẩy tiếp theo.
