Những lỗ hổng Hợp đồng thông minh lớn nhất nào đã dẫn đến các vụ hack Tiền điện tử trong năm 2025?

Các lỗ hổng hợp đồng thông minh đã dẫn đến 500 triệu đô la trong các vụ hack tiền điện tử vào năm 2025

Vào năm 2025, tội phạm mạng đã khai thác các lỗ hổng hợp đồng thông minh để đánh cắp khoảng 500 triệu cryptocurrency, mặc dù điều này chỉ đại diện cho một phần nhỏ trong tổng thiệt hại tiền điện tử. Theo báo cáo của công ty an ninh Hacken, tổng thiệt hại do hack tiền điện tử đã vượt qua 3,1 tỷ đô la vào giữa năm 2025, với các lỗi hợp đồng thông minh chỉ là một phần trong bối cảnh mối đe dọa rộng lớn hơn.

Các chuyên gia an ninh đã nhận thấy một sự thay đổi đáng kể trong chiến thuật của những kẻ tấn công trong giai đoạn này. Trong khi các lỗ hổng kỹ thuật vẫn là vấn đề, tội phạm mạng ngày càng nhắm vào những điểm yếu trong hành vi con người thông qua các cuộc tấn công lừa đảo và kỹ thuật xã hội, như được báo cáo bởi công ty bảo mật Web3 CertiK.

| Kênh Tấn Công | Thiệt Hại Ước Tính vào Năm 2025 | |---------------|--------------------------| | Lỗ hổng hợp đồng thông minh | $500 triệu | | Lỗi Kiểm Soát Truy Cập | $1.5+ tỷ ( bao gồm vi phạm Bybit ) | | Lừa đảo/ Kỹ thuật xã hội | 600 triệu USD+ | | Các cuộc khai thác khác | $500+ triệu |

Vụ vi phạm Bybit trong Quý 1 năm 2025 đã gây thiệt hại lên tới 1,5 tỷ đô la, chiếm gần một nửa tổng số tài sản mã hóa bị đánh cắp trong giai đoạn này. Sự cố này đã phơi bày những lỗ hổng nghiêm trọng trong bảo mật truy cập thay vì các lỗ hổng hợp đồng thông minh. Các nhà nghiên cứu bảo mật từ cả CertiK và Hacken đã nhấn mạnh rằng nhiều vụ vi phạm lớn là do quy trình ký kết bị xâm phạm và các thực tiễn bảo mật hoạt động yếu kém thay vì do lỗi mã trong chính các hợp đồng.

Các cuộc tấn công tái nhập vẫn là vector khai thác hàng đầu, chiếm 40% tổn thất

Theo báo cáo BB 2025, các cuộc tấn công tái nhập vẫn tiếp tục thống trị bối cảnh an ninh blockchain, chiếm 40% tổng số thiệt hại tiền điện tử. Những cuộc tấn công tinh vi này nhắm vào các lỗ hổng trong quy trình thực thi hợp đồng thông minh, cho phép kẻ tấn công gọi lại các hàm một cách đệ quy trước khi các cập nhật trạng thái hoàn thành. Sự tồn tại của vector tấn công này làm nổi bật một xu hướng đáng lo ngại trong các thực hành phát triển hợp đồng.

Một phân tích so sánh các loại khai thác cho thấy mức độ nghiêm trọng của tình hình:

| Vector Tấn Công | Tỷ Lệ Mất Mát | Số Tiền Trộm Trung Bình | |---------------|---------------------|----------------------| | Tấn công tái nhập | 40% | Cao gấp 10 lần so với các loại khác | | Lỗi Kiểm Soát Truy Cập | 30% | Đáng kể nhưng thấp hơn | | Thỏa hiệp phía trước | 20% | Mối quan ngại ngày càng tăng | | Các lỗ hổng khác | 10% | Các tác động khác nhau |

Cuộc tấn công Paraluni năm 2022 vào Binance Smart Chain là ví dụ điển hình về tác động tàn phá, với các kẻ tấn công đã đánh cắp 1,7 triệu đô la bằng cách khai thác các lỗ hổng tái nhập. Mặc dù đã được ghi lại rõ ràng trong các khung bảo mật như OWASP Smart Contract Top 10, nhưng những lỗ hổng này vẫn tồn tại do thực tiễn triển khai kém và quy trình kiểm toán không đủ. Các chuyên gia bảo mật từ nhiều công ty đã ghi nhận rằng các nhà phát triển thường xuyên không thực hiện các biện pháp bảo vệ tái nhập và quy trình quản lý trạng thái đúng cách, khiến các hợp đồng dễ bị thao túng ngay cả sau khi nhiều sự cố nổi bật đã chứng minh mô hình tấn công.

Các vụ hack sàn giao dịch tập trung làm nổi bật rủi ro giám hộ, với 200 triệu đô la bị đánh cắp

Cuộc tấn công vào sàn giao dịch Bybit năm 2025 là một lời nhắc nhở rõ ràng về những điểm yếu vốn có trong các nền tảng tiền điện tử tập trung. Những kẻ tấn công đã thành công trong việc đánh cắp khoảng 200 triệu đô la trong vụ vi phạm bảo mật nghiêm trọng này, với các quỹ sau đó được rửa tiền thông qua một dịch vụ tối tăm có liên kết với những kẻ hack được nhà nước Triều Tiên tài trợ, được gọi là Nhóm Lazarus. Sự cố này đã phơi bày những rủi ro bảo quản đáng kể mà người dùng phải đối mặt khi giao phó tài sản của họ cho các nền tảng bên thứ ba.

| Khía cạnh | Chi tiết Hack Bybit | |--------|-------------------| | Năm | 2025 | | Số tiền bị đánh cắp | $200+ triệu | | Tác nhân đe dọa | Bắc Triều Tiên (Nhóm Lazarus) | | Phương pháp rửa tiền | Dịch vụ tối (eXch) |

Sự vi phạm này cho thấy ngay cả những sàn giao dịch đã được thiết lập với hàng triệu người dùng vẫn có thể bị tấn công tinh vi. Sau khi lấy trộm tiền, các hacker đã sử dụng các kỹ thuật rửa tiền phức tạp, trao đổi các token bị đánh cắp cho ETHer thông qua các sàn giao dịch phi tập trung và phân phối chúng qua hơn 50 ví khác nhau để làm phức tạp thêm nỗ lực truy vết. Mặc dù bản chất minh bạch của blockchain, nhưng những chiến thuật che giấu này tạo ra những thách thức lớn cho các điều tra viên đang cố gắng thu hồi tài sản bị đánh cắp.

Sự cố Bybit nhấn mạnh câu mantra an ninh tiền điện tử "không có chìa khóa của bạn, không có đồng coin của bạn," làm nổi bật sự đánh đổi an ninh cơ bản mà người dùng thực hiện khi chọn các sàn giao dịch tập trung vì sự tiện lợi với cái giá phải trả là kiểm soát tài sản trực tiếp. Khi các khung pháp lý tiếp tục phát triển để đối phó với những mối đe dọa này, người dùng phải đánh giá cẩn thận các giải pháp lưu ký cân bằng giữa khả năng truy cập và an ninh.