Quyền quản trị cũng có thể trở thành cửa hậu
Vụ hack crypto là hành vi khai thác điểm yếu trong mã nguồn, quy trình vận hành hoặc quyền kiểm soát để chiếm đoạt tài sản số hay làm gián đoạn hoạt động của một dự án. Trường hợp X 100 Global cho thấy lỗ hổng không nhất thiết nằm trong hợp đồng thông minh: chính cấu trúc quản trị có thể trao cho kẻ tấn công quyền rút kho bạc. Ngày 24/10, kẻ này được cho là đã vay khoảng 1,94 triệu USDT bằng flash loan, mua token X rồi chiếm hai trong ba ghế Thượng viện của dự án. Cơ chế thiếu ảnh chụp số dư tại thời điểm biểu quyết, thời gian nắm giữ tối thiểu và độ trễ thi hành đã cho phép quyền kiểm soát đổi chủ rồi lập tức phê duyệt đề xuất độc hại. Đây là một dạng tấn công quản trị mà ngành tiền số khó thể xem nhẹ: quy trình biểu quyết được thiết kế để nhanh và mở có thể biến thành công cụ rút tài sản.
Các phân tích onchain xác định khoảng 4,85 triệu USDT tiền thu được cùng khoảng 550.000 token X bị rút qua ba giao dịch. Token X sau đó giảm hơn 96%, trong khi thanh khoản trên sàn phi tập trung có lúc chỉ còn vài đô la, khiến lệnh bán đáng kể dễ chịu trượt giá cực lớn. Vì vậy, thiệt hại không dừng ở kho bạc: người nắm giữ cũng có thể mắc kẹt trong thị trường gần như mất thanh khoản. Bảo mật tiền số phải bao gồm cả thiết kế quyền lực, không chỉ kiểm tra mã.
Quy mô tài sản lớn không đồng nghĩa cùng một kiểu rủi ro
Danh sách những sự cố lớn còn cho thấy một con số thiệt hại cần được đọc đúng ngữ cảnh. Trong thông báo ngày 30/10/2026, Binance ước tính tài sản bị ảnh hưởng khoảng 6,3 tỷ USD, nhưng chưa xác nhận toàn bộ số này đã bị đánh cắp hoặc trở thành tổn thất cuối cùng. Điều tra ban đầu cho rằng sự cố có thể bắt nguồn từ máy tính xách tay của một kỹ sư DevOps bị xâm nhập, sau đó kẻ tấn công truy cập container dịch vụ và gửi giao dịch rút tiền trái phép. Đây là rủi ro vận hành và quyền truy cập, khác với vụ X 100 Global, nơi quyền biểu quyết bị thao túng. Binance cho biết chưa tìm thấy bằng chứng khóa riêng tư ví người dùng bị lộ; sàn phối hợp phong tỏa tài sản, tạm dừng nạp rút và cam kết dùng quỹ SAFU cùng nguồn vốn công ty để bù đắp tổn thất.
Bybit lại minh họa rủi ro trong quy trình ký ví đa chữ ký: mã độc can thiệp giao diện Safe khiến người ký tưởng đang duyệt giao dịch thường lệ, nhưng thực tế phê duyệt thay đổi quyền kiểm soát ví. So với tấn công quản trị ở X 100 Global, cả hai đều lợi dụng quyền được cấp hợp lệ trên bề mặt, nhưng một bên thao túng cơ chế biểu quyết còn bên kia đánh lừa người ký. Những biện pháp như trì hoãn thực thi, xác minh giao dịch trên thiết bị độc lập và kiểm soát quyền truy cập có thể giảm rủi ro; song chúng không xóa được giới hạn của con người và hệ thống.
Ronin và Poly Network: điểm yếu ở cửa nối và cơ chế xác thực
Ronin Network cho thấy một cầu nối blockchain có thể trở thành điểm tập trung rủi ro. Năm 2022, tin tặc chiếm khóa riêng tư của năm trong chín nút xác thực; ngưỡng năm chữ ký đủ để thông qua giao dịch đã cho phép rút tài sản khỏi cầu nối. Vụ việc xảy ra ngày 23/3 nhưng chỉ được phát hiện sáu ngày sau, khi người dùng không thể rút ETH. Thời gian phát hiện muộn làm tăng nguy cơ, bởi giám sát bất thường và phản ứng khẩn cấp cũng quan trọng như thiết kế khóa. Sky Mavis đóng cầu nối để điều tra và triển khai biện pháp bảo mật; sau đó, người dùng bị ảnh hưởng được hoàn trả đầy đủ. Trường hợp này khác X 100 Global ở phương thức chiếm quyền, nhưng cùng phơi bày một vấn đề: khi một nhóm nhỏ quyền kiểm soát đủ để duyệt giao dịch, thất bại tại một số điểm có thể gây hậu quả trên toàn hệ thống.
Poly Network từng bị khai thác lỗ hổng liên quan cơ chế mật mã của giao thức chuyển tài sản giữa các blockchain; tài sản bị chuyển đến ví do hacker kiểm soát, rồi gần như toàn bộ được trả lại. Sự kiện ấy nhắc rằng việc thu hồi tài sản sau tấn công không thể là kế hoạch bảo mật. So sánh các vụ việc cho thấy các lớp rủi ro khác nhau nhưng thường gặp nhau ở điểm kiểm soát quá tập trung, xác thực thiếu độc lập hoặc giám sát chậm. Ngành tiền số cần đánh giá cả mã nguồn, cơ chế biểu quyết, quy trình ký, bảo vệ thiết bị nhân viên và phương án ứng phó. Không có một biện pháp đơn lẻ nào bảo đảm an toàn; giới hạn quyền, trì hoãn thực thi và kiểm tra liên tục phải phối hợp với nhau.
Bài học: bảo mật phải đi cùng quản trị và minh bạch
Các vụ hack lớn không thể so sánh chỉ bằng quy mô tài sản được nêu: một con số có thể là ước tính tài sản bị ảnh hưởng, một con số khác là tài sản đã bị rút, còn tổn thất cuối cùng có thể chưa được xác nhận. Với Binance, điều tra vẫn đang tiếp diễn và báo cáo kỹ thuật chi tiết được hứa công bố sau khi xác minh dữ kiện. Cách tính khoản bồi thường trong một số vụ việc cũng từng gây tranh chấp và xuất hiện trong hồ sơ kiện tụng. Vì thế, độc giả và người dùng nên phân biệt rõ tài sản bị ảnh hưởng, số bị chiếm đoạt và số đã được bù đắp, thay vì xem mọi thống kê ban đầu là thiệt hại chốt sổ.
Kết luận đáng chú ý nhất không phải là hệ thống nào bất khả xâm phạm, mà là quyền lực càng dễ tập trung thì hậu quả của một sai sót càng lớn. X 100 Global phơi bày rủi ro trong quản trị; Binance và Bybit cho thấy thiết bị, quyền truy cập và quy trình ký có thể trở thành mắt xích yếu; Ronin nhấn mạnh nguy cơ từ ngưỡng xác thực và phát hiện chậm. Muốn hạn chế mất tiền điện tử, dự án cần thiết kế cơ chế chống chiếm quyền, kiểm soát quyền truy cập theo nguyên tắc tối thiểu và chuẩn bị sẵn quy trình đình chỉ, điều tra, thông báo. Bảo mật tiền số không thể chỉ là lời hứa sau sự cố: nó phải được kiểm chứng trong chính cách dự án phân quyền và vận hành.
