DeFi · ✦ AI tổng hợp
Web3 mất 763,9 triệu USD trong Q2/2026 dù đã kiểm toán hợp đồng thông minh
Tổng cộng 763,9 triệu USD đã bị đánh cắp qua 67 sự cố trong quý 2/2026, đánh dấu giai đoạn nghiêm trọng nhất về bảo mật Web3 kể từ Q2/2025. Đáng chú ý, nhiều giao thức bị tấn công đã qua kiểm toán, phơi bày quan niệm sai lầm về vai trò của audit trong bảo mật blockchain.
Web3 chứng kiến quý tồi tệ nhất về bảo mật kể từ 2025
Quý 2/2026 ghi nhận 763,9 triệu USD bị đánh cắp thông qua 67 sự cố bảo mật riêng biệt, trở thành giai đoạn nghiêm trọng nhất đối với hệ sinh thái Web3 kể từ quý 2/2025. Số liệu này phản ánh mức độ leo thang đáng báo động của các cuộc tấn công nhắm vào cơ sở hạ tầng phi tập trung.
Kiểm toán hợp đồng thông minh không phải "tấm khiên" toàn diện
Một trong những điểm nổi bật đáng lo ngại nhất trong quý này là các vụ vi phạm xảy ra ngay tại các giao thức đã được kiểm toán (audited protocols). Điều này làm dấy lên cuộc tranh luận về một quan niệm phổ biến trong ngành: coi audit code tại một thời điểm nhất định là bằng chứng bảo mật đầy đủ và toàn diện.
Thực tế, theo các chuyên gia bảo mật blockchain, smart contract audit chỉ là ảnh chụp nhanh — đánh giá trạng thái mã nguồn tại một thời điểm cụ thể. Sau khi audit, giao thức có thể được nâng cấp, tích hợp thêm module mới, hoặc vận hành trong môi trường on-chain biến đổi liên tục, tạo ra các vector tấn công chưa được kiểm tra.
Bức tranh tổng thể Q2/2026
Các sự cố trong quý 2/2026 trải rộng trên nhiều lớp của hệ sinh thái:
- DeFi protocols tiếp tục là mục tiêu hàng đầu do giá trị thanh khoản tập trung cao
- Các cuộc tấn công khai thác logic lỗi nghiệp vụ và lỗ hổng oracle chiếm tỷ lệ đáng kể, thay vì chỉ nhắm vào lỗi code đơn thuần
- Cross-chain bridge và các cơ chế tương tác giữa các chuỗi vẫn là điểm yếu có tính hệ thống
Cần nhìn nhận lại mô hình bảo mật
Các nhà phân tích bảo mật cho rằng ngành Web3 cần chuyển từ tư duy "audit một lần, an toàn mãi mãi" sang mô hình bảo mật liên tục, bao gồm:
- Giám sát on-chain theo thời gian thực để phát hiện hành vi bất thường
- Chương trình bug bounty duy trì thường xuyên, không chỉ trước khi ra mắt
- Kiểm toán định kỳ sau mỗi lần nâng cấp giao thức hoặc thêm tính năng mới
- Tăng cường bảo hiểm phi tập trung (DeFi insurance) như một lớp bảo vệ bổ sung
Q2/2026 là lời nhắc nhở rõ ràng rằng bảo mật Web3 không thể là hành động một lần. Trong môi trường mà giá trị on-chain ngày càng lớn, các tác nhân độc hại cũng không ngừng tinh vi hơn, và chỉ một audit duy nhất là chưa đủ để bảo vệ người dùng lẫn giao thức.
/ Bài viết liên quan
Garden Finance tạm ngừng app sau sự cố khai thác 450.000 USD từ solver
Garden Finance đã tạm thời vô hiệu hóa ứng dụng sau khi Blockaid báo cáo một cuộc tấn công trị giá khoảng 450.000 USD. Kẻ tấn công xâm phạm cơ sở dữ liệu off-chain của một solver độc lập và chèn các bản ghi hoán đổi giả mạo. Phía dự án khẳng định không có quỹ người dùng hay hợp đồng thông minh nào bị ảnh hưởng.
DeFi Aggregator Odos Đóng Cửa, Người Dùng Có 5 Ngày Rút Tiền
Nhóm phát triển Odos, nền tảng tổng hợp giao dịch phi tập trung, thông báo ngừng hoạt động toàn bộ dịch vụ vào ngày 30 tháng 7 năm 2026. Người dùng chỉ còn 5 ngày để di chuyển tài sản trước khi ứng dụng chuyển sang chế độ chỉ đọc từ ngày 27 tháng 7.
Cá voi stake 32,87 triệu USD vào HYPE khi token đang giao dịch thấp hơn 25% so với đỉnh tháng 6
Một cá voi crypto vừa nhận 557.902 token HYPE trị giá 32,87 triệu USD từ nhà cung cấp thanh khoản tổ chức FalconX và lập tức stake toàn bộ số token này trên Hyperliquid. Động thái diễn ra trong bối cảnh HYPE đang giao dịch thấp hơn đáng kể so với mức đỉnh thiết lập hồi tháng 6.
Dango đóng cửa sàn giao dịch perp DEX chưa đầy 4 tháng sau khi ra mắt
Dango thông báo sẽ đóng cửa mạng lưới vào ngày 13/8, chưa đầy 4 tháng kể từ khi ra mắt. Đây là một trong loạt dự án crypto đình chỉ hoạt động gần đây, bên cạnh BitMEX, Odos và Satori Finance, phản ánh áp lực ngày càng tăng trong phân khúc giao dịch phi tập trung.