DeFi · ✦ AI tổng hợp
Web3 mất 763,9 triệu USD trong Q2/2026 dù đã kiểm toán hợp đồng thông minh
Tổng cộng 763,9 triệu USD đã bị đánh cắp qua 67 sự cố trong quý 2/2026, đánh dấu giai đoạn nghiêm trọng nhất về bảo mật Web3 kể từ Q2/2025. Đáng chú ý, nhiều giao thức bị tấn công đã qua kiểm toán, phơi bày quan niệm sai lầm về vai trò của audit trong bảo mật blockchain.
Web3 chứng kiến quý tồi tệ nhất về bảo mật kể từ 2025
Quý 2/2026 ghi nhận 763,9 triệu USD bị đánh cắp thông qua 67 sự cố bảo mật riêng biệt, trở thành giai đoạn nghiêm trọng nhất đối với hệ sinh thái Web3 kể từ quý 2/2025. Số liệu này phản ánh mức độ leo thang đáng báo động của các cuộc tấn công nhắm vào cơ sở hạ tầng phi tập trung.
Kiểm toán hợp đồng thông minh không phải "tấm khiên" toàn diện
Một trong những điểm nổi bật đáng lo ngại nhất trong quý này là các vụ vi phạm xảy ra ngay tại các giao thức đã được kiểm toán (audited protocols). Điều này làm dấy lên cuộc tranh luận về một quan niệm phổ biến trong ngành: coi audit code tại một thời điểm nhất định là bằng chứng bảo mật đầy đủ và toàn diện.
Thực tế, theo các chuyên gia bảo mật blockchain, smart contract audit chỉ là ảnh chụp nhanh — đánh giá trạng thái mã nguồn tại một thời điểm cụ thể. Sau khi audit, giao thức có thể được nâng cấp, tích hợp thêm module mới, hoặc vận hành trong môi trường on-chain biến đổi liên tục, tạo ra các vector tấn công chưa được kiểm tra.
Bức tranh tổng thể Q2/2026
Các sự cố trong quý 2/2026 trải rộng trên nhiều lớp của hệ sinh thái:
- DeFi protocols tiếp tục là mục tiêu hàng đầu do giá trị thanh khoản tập trung cao
- Các cuộc tấn công khai thác logic lỗi nghiệp vụ và lỗ hổng oracle chiếm tỷ lệ đáng kể, thay vì chỉ nhắm vào lỗi code đơn thuần
- Cross-chain bridge và các cơ chế tương tác giữa các chuỗi vẫn là điểm yếu có tính hệ thống
Cần nhìn nhận lại mô hình bảo mật
Các nhà phân tích bảo mật cho rằng ngành Web3 cần chuyển từ tư duy "audit một lần, an toàn mãi mãi" sang mô hình bảo mật liên tục, bao gồm:
- Giám sát on-chain theo thời gian thực để phát hiện hành vi bất thường
- Chương trình bug bounty duy trì thường xuyên, không chỉ trước khi ra mắt
- Kiểm toán định kỳ sau mỗi lần nâng cấp giao thức hoặc thêm tính năng mới
- Tăng cường bảo hiểm phi tập trung (DeFi insurance) như một lớp bảo vệ bổ sung
Q2/2026 là lời nhắc nhở rõ ràng rằng bảo mật Web3 không thể là hành động một lần. Trong môi trường mà giá trị on-chain ngày càng lớn, các tác nhân độc hại cũng không ngừng tinh vi hơn, và chỉ một audit duy nhất là chưa đủ để bảo vệ người dùng lẫn giao thức.
/ Bài viết liên quan
Cầu nối Verus-Ethereum bị khai thác lần 2 trong 66 ngày, tổng thiệt hại lên 19,1 triệu USD
Cầu nối Verus-Ethereum tiếp tục bị tấn công lần thứ hai chỉ trong vòng 66 ngày, với kẻ tấn công rút đi từ 7,3 đến 7,5 triệu USD tài sản kỹ thuật số. Lỗ hổng trong logic hợp đồng thông minh được xác định là nguyên nhân chính, đẩy tổng thiệt hại lũy kế lên đến 19,1 triệu USD.
Curve Finance Tuần 30/2026: TVL ổn định 1,53 tỷ USD, crvUSD tăng đúc 5,6%
Trong tuần 30 năm 2026, tổng TVL của Curve Finance gần như đi ngang ở mức 1,535 tỷ USD. Khối lượng DEX giảm 21,8% xuống 684 triệu USD song số lượng giao dịch swap lại tăng 3,6%. Lượng crvUSD được đúc mới tăng 5,6% lên 33,9 triệu USD trong bối cảnh lãi suất vay bình quân tiếp tục hạ nhiệt.
Uniswap ra mắt pool giao dịch có kiểm soát để mở rộng sang tài sản token hóa
Uniswap vừa giới thiệu framework pool giao dịch có kiểm soát (permissioned trading pools), phát triển cùng Superstate, Securitize và Dowgo. Cơ chế này cho phép các quỹ được quản lý và chứng khoán giao dịch trên Uniswap trong khi vẫn đảm bảo tuân thủ các quy định pháp lý cần thiết cho tổ chức tài chính.
Lo ngại AI gây bùng phát hack DeFi: Chưa đến mức báo động nhưng rủi ro đang lớn dần
Giới chuyên gia bảo mật nhận định nỗi lo về làn sóng tấn công DeFi do AI dẫn dắt hiện chưa trở thành thực tế, nhưng công nghệ này đang âm thầm khuếch đại mọi điểm yếu sẵn có trong hệ sinh thái. Câu hỏi đặt ra là liệu đây chỉ là khoảng lặng trước cơn bão.