DeBot, công cụ giao dịch DeFi và phân tích dựa trên AI, vừa bị tấn công khiến thiệt hại 255.000 USD, cho thấy làn sóng hack tiền điện tử đang tăng trở lại vào cuối năm 2025.
Nhiều vụ việc diễn ra trong bối cảnh hoạt động giao dịch hạ nhiệt và tâm lý “bear market”. Các báo cáo mới cũng chỉ ra ví và bot giao dịch DEX đang trở thành mục tiêu, buộc người dùng và nền tảng phải nâng cấp thiết kế bảo mật, đặc biệt với xác thực cục bộ như passkeys.
- DeBot mất 255.000 USD do sự cố bảo mật bắt nguồn từ máy chủ bị khai thác tại Nhật Bản.
- CEO OKX cảnh báo bot DEX và ví lưu ký là rủi ro mới, cần thiết kế bảo mật cấp tổ chức nhưng thân thiện người dùng.
- Chainalysis ghi nhận 3,4 tỷ USD bị đánh cắp trong năm 2025; nhóm liên quan Triều Tiên chiếm ít nhất 2,02 tỷ USD.
DeBot bị hack 255.000 USD và hứa bồi hoàn người dùng
DeBot cho biết đã ghi nhận thiệt hại 255.000 USD do một sự cố bảo mật truy vết tới máy chủ bị khai thác ở Nhật Bản, đồng thời cam kết bù đắp thiệt hại cho người dùng bị ảnh hưởng.
DeBot là một công cụ DeFi dùng AI cho giao dịch và cung cấp insight thị trường. Theo thông báo của dự án, vụ việc liên quan đến hạ tầng máy chủ, sau đó dẫn đến các giao dịch rủi ro khi người dùng chuyển tiền về những địa chỉ ví cũ đã bị đánh dấu “không an toàn”.
Thông báo chính thức được đăng trên X tại liên kết bài đăng của DeBot. Người dùng được khuyến nghị rà soát lại địa chỉ nhận tiền, lịch sử địa chỉ ví đã dùng trước đây và thực hiện các bước xác minh trước khi chuyển tài sản về các địa chỉ cũ.
“Tính đến hiện tại, các khoản lỗ đã được xác nhận bắt nguồn từ việc một số người dùng chuyển tiền trở lại các địa chỉ ví cũ vốn đã được đánh giá là không an toàn.”
– DeBot, thông báo trên X/2025
Trust Wallet cũng ghi nhận tổn thất 7 triệu USD trong cùng tuần Giáng Sinh
Trong cùng tuần Giáng Sinh, Trust Wallet được Binance hậu thuẫn cũng báo cáo thiệt hại 7 triệu USD từ một sự cố bảo mật liên quan đến tiện ích mở rộng Chrome.
Việc nhiều vụ tấn công xuất hiện trong thời gian ngắn cho thấy bề mặt tấn công đang mở rộng sang các điểm mà người dùng thường chủ quan, như trình duyệt và tiện ích mở rộng. Với ví cá nhân, chỉ một điểm chèn mã độc hoặc giả mạo cũng có thể dẫn đến thất thoát, đặc biệt khi người dùng ký giao dịch hoặc cấp quyền truy cập mà không kiểm tra kỹ.
CEO OKX cho rằng bot DEX và ví lưu ký là rủi ro mới cần xử lý bằng thiết kế
CEO OKX cảnh báo bot DEX và ví lưu ký đang trở thành mục tiêu và “điểm rủi ro mới”, khi nhiều giải pháp yêu cầu người dùng tải khóa riêng lên môi trường đám mây, làm tăng nguy cơ bị chiếm đoạt.
Star Xu nhận định các bot hiện nay thường cần người dùng cung cấp hoặc tải lên private key để vận hành tự động, kéo theo rủi ro cho ví và tài sản liên quan. Ông kêu gọi các thay đổi thiết kế nhằm giảm thiểu phụ thuộc vào lưu trữ khóa trên cloud và tăng kiểm soát cục bộ của người dùng.
Bài đăng liên quan được ông nêu trên X tại tuyên bố của Star Xu. Trọng tâm là đưa cơ chế bảo mật cấp tổ chức và kiểm soát rủi ro vào trải nghiệm phổ thông, thay vì đánh đổi giữa tiện lợi và an toàn.
“Bảo mật và khả dụng không loại trừ nhau: Bảo mật và kiểm soát rủi ro cấp tổ chức, cùng xác thực cục bộ do người dùng kiểm soát, chẳng hạn passkeys.”
– Star Xu, CEO OKX, bài đăng trên X/2025
Chainalysis: Thiệt hại do hack tiền điện tử năm 2025 đạt 3,4 tỷ USD
Theo báo cáo Chainalysis, tổng tiền bị mất do các vụ xâm nhập trong năm 2025 đã chạm 3,4 tỷ USD, trong đó các vụ xâm phạm ví cá nhân có xu hướng tăng mạnh trong 3 năm gần đây.
Ngoài DeBot và Trust Wallet, blockchain Flow cũng mất 3,9 triệu USD tài sản trong tháng 12. Chainalysis tổng hợp các vụ việc và nêu con số thiệt hại 3,4 tỷ USD trong năm 2025 trong báo cáo Chainalysis.
Báo cáo cũng cho biết vụ hack Bybit đầu năm 2025 chiếm một nửa tổng giá trị thất thoát của cả năm. Một điểm đáng chú ý là các sự cố “compromise” ví cá nhân, tương tự tình huống Trust Wallet, tăng đáng kể trong ba năm qua, phản ánh việc kẻ tấn công đang chuyển trọng tâm sang người dùng cuối.
Nhóm liên quan Triều Tiên chiếm ít nhất 2,02 tỷ USD tài sản bị đánh cắp
Chainalysis cho biết các tác nhân liên quan Triều Tiên đã đánh cắp ít nhất 2,02 tỷ USD trong năm 2025, tương ứng mức tăng 51% so với cùng kỳ năm trước và chiếm phần lớn trong tổng thiệt hại 3,4 tỷ USD.
Trong 3,4 tỷ USD bị mất năm 2025, các nhóm này chiếm hơn 2 tỷ USD. Báo cáo nhấn mạnh mức độ nghiêm trọng kỷ lục về giá trị bị đánh cắp và tỷ trọng trong các vụ xâm phạm dịch vụ.
“Trong năm 2025, các hacker Triều Tiên đã đánh cắp ít nhất 2,02 tỷ USD tiền điện tử (cao hơn 681 triệu USD so với năm 2024), tương đương tăng 51% theo năm.”
– Chainalysis, báo cáo/2026
“Đây là năm nghiêm trọng nhất từng ghi nhận đối với trộm cắp crypto của DPRK xét theo giá trị bị đánh cắp, đồng thời các cuộc tấn công của DPRK cũng chiếm mức kỷ lục 76% trong tất cả các vụ xâm phạm dịch vụ.”
– Chainalysis, báo cáo/2026
Kỹ thuật social engineering vẫn là phương thức tấn công chủ đạo
Một phương thức được nhắc đến là social engineering, khi kẻ tấn công xâm nhập thông qua việc đánh cắp quyền truy cập của nhân sự thuộc nền tảng mục tiêu, từ đó mở đường cho các hành vi chiếm đoạt.
Kiểu tấn công này thường không bắt đầu bằng việc “bẻ khóa” blockchain, mà nhắm vào con người và quy trình nội bộ: tài khoản nhân viên, quyền truy cập hệ thống, kho mã, hoặc quy trình phê duyệt. Khi đã có foothold, kẻ tấn công có thể leo thang đặc quyền, can thiệp luồng rút tiền, hoặc cấy mã độc vào kênh phân phối mà người dùng tin tưởng.
Cách giảm rủi ro khi dùng ví cá nhân và bot giao dịch DEX
Để giảm rủi ro, hãy kiểm tra kỹ liên kết web của ví để tránh phishing, hạn chế cấp quyền cho bot, và ưu tiên passkeys hoặc xác thực cục bộ khi có thể.
Khi một bot yêu cầu cung cấp private key hoặc tải key lên cloud, cần xem đây là tín hiệu rủi ro cao. Nếu buộc phải dùng, hãy cân nhắc tách ví: một ví dành cho giao dịch hạn mức nhỏ và một ví lưu trữ dài hạn không tương tác dApp. Đồng thời, rà soát quyền đã cấp (allowances), thu hồi quyền không cần thiết và theo dõi cảnh báo bảo mật từ nhà cung cấp ví.
Kết luận: Thiết kế bảo mật tốt phải đi cùng trải nghiệm sử dụng
Diễn biến cuối năm 2025 cho thấy thiệt hại do hack tiền điện tử vẫn tăng, trong khi bot DEX và ví cá nhân trở thành điểm nóng. Hướng đi được đề xuất là nâng cấp thiết kế bảo mật, kết hợp kiểm soát rủi ro cấp tổ chức với xác thực cục bộ như passkeys.
Dữ liệu của Chainalysis về 3,4 tỷ USD thất thoát và mức độ tham gia của các nhóm liên quan Triều Tiên củng cố nhu cầu cảnh giác liên tục. Với người dùng, việc tự bảo vệ bắt đầu từ những thao tác nhỏ như kiểm tra URL ví, tránh tiện ích mở rộng không rõ nguồn gốc, và không tái sử dụng các địa chỉ/thiết lập cũ đã bị đánh dấu không an toàn.
Những câu hỏi thường gặp
DeBot bị hack như thế nào?
DeBot cho biết sự cố được truy vết tới một máy chủ bị khai thác tại Nhật Bản. Thiệt hại xác nhận hiện tại đến từ việc một số người dùng chuyển tiền về các địa chỉ ví cũ đã bị coi là không an toàn.
Trust Wallet mất 7 triệu USD liên quan điều gì?
Trust Wallet báo cáo thiệt hại 7 triệu USD từ một sự cố bảo mật được liên kết với tiện ích mở rộng Chrome, cho thấy rủi ro có thể đến từ môi trường trình duyệt và các extension.
CEO OKX đề xuất giải pháp gì để giảm hack crypto?
CEO OKX nhấn mạnh cần thay đổi thiết kế: tránh việc bot yêu cầu tải private key lên cloud, đồng thời kết hợp bảo mật và kiểm soát rủi ro cấp tổ chức với xác thực cục bộ do người dùng kiểm soát như passkeys.
Tổng thiệt hại do hack tiền điện tử năm 2025 là bao nhiêu?
Theo báo cáo Chainalysis, tổng giá trị thất thoát do các vụ xâm nhập trong năm 2025 đạt 3,4 tỷ USD.
Vì sao các vụ xâm phạm ví cá nhân đang tăng?
Chainalysis ghi nhận các vụ xâm phạm ví cá nhân đã tăng đáng kể trong 3 năm qua. Các sự cố như tiện ích trình duyệt, phishing, cấp quyền bot và sai sót thao tác của người dùng có thể góp phần mở rộng bề mặt tấn công.
