Quý đầu tiên của năm 2025 nhấn mạnh những lỗ hổng dai dẳng trong hệ sinh thái tiền điện tử, với tin tặc, kẻ lừa đảo và các lỗi giao thức khai thác điểm yếu trên khắp tài chính phi tập trung (DeFi), các sàn giao dịch và ví người dùng. Tổng thiệt hại từ tháng 1 đến tháng 3 vượt quá 1,629 tỷ đô la, tăng đáng kinh ngạc 131% so với cùng kỳ năm trước so với Q1 năm 2024. Mặc dù tháng 1 chứng kiến sự sụt giảm tương đối về thiệt hại, nhưng vụ trộm trị giá 1,78 tỷ đô la chưa từng có của tháng 2—do một vụ vi phạm sàn giao dịch thảm khốc duy nhất gây ra—chiếm ưu thế trong quý. Tháng 3 đã chứng minh những nỗ lực phục hồi một phần nhưng làm nổi bật những rủi ro đang diễn ra. Dưới đây là phân tích chi tiết về các sự cố chính, vectơ tấn công và xu hướng mới nổi.

Tháng 1 năm 2025: Tạm ngưng

Tháng 1 đánh dấu mức giảm 56% giảm so với tháng trước về thiệt hại (98 triệu đô la so với 23,58 triệu đô la của tháng 12 năm 2024) và giảm 44,6% so với cùng kỳ năm trước so với tháng 1 năm 2024. Mặc dù vậy, 28 vụ tấn công và các chương trình lừa đảo đã tiết lộ những lỗ hổng mang tính hệ thống.

Các sự cố chính

1. Khai thác Orange Finance ($800.000)

Vào ngày 8 tháng 1, những kẻ tấn công đã xâm phạm các khóa quản lý của giao thức DeFi dựa trên Arbitrum, cho phép nâng cấp hợp đồng độc hại để rút tiền từ ví người dùng bằng các quyền mã thông báo đã được phê duyệt.
Nguyên nhân gốc rễ: Thực hành bảo mật khóa kém.

2. Rò rỉ khóa riêng tư của Moby Protocol (Đã cứu được 1,47 triệu đô la)

Một khóa riêng tư proxy bị đánh cắp đã cho phép tin tặc nâng cấp hợp đồng thông minh của Moby. Các tin tặc mũ trắng đã can thiệp, khai thác các lỗ hổng triển khai UUPS để thu hồi 1,47 triệu USDC.
Bài học rút ra: Giám sát chủ động và phản ứng nhanh chóng đã giảm thiểu thiệt hại.

3. Khai thác UniLend ($197.000) và Sorra ($41.000)

Tính toán tài sản thế chấp bị lỗi của UniLend đã cho phép những kẻ tấn công rút mã thông báo stETH. Cơ chế rút phần thưởng của Sorra cho phép yêu cầu mã thông báo vô hạn.
Nguyên nhân gốc rễ: Xác thực không đầy đủ các đầu vào của người dùng và logic hợp đồng.

4. Vi phạm ví nóng của Phemex Exchange ($70 triệu)

Những kẻ tấn công đã xâm nhập vào ví nóng của sàn giao dịch có trụ sở tại Singapore, làm nổi bật những rủi ro của các hệ thống lưu ký tập trung.

5. Làn sóng lừa đảo ($10,25 triệu)

Mười vụ lừa đảo đã rút hàng triệu đô la thông qua các giao dịch "phê duyệt" lừa đảo (ví dụ: chữ ký "Uniswap Permit2"). Khoản lỗ mã thông báo RLB trị giá 1 triệu đô la là một ví dụ điển hình về kỹ thuật xã hội tinh vi.

Xu hướng tháng 1

Giảm thiệt hại : Kiểm toán bảo mật được cải thiện và các biện pháp can thiệp của tin tặc mũ trắng đã góp phần làm giảm thiệt hại.
Sự phát triển của lừa đảo : Những kẻ tấn công đã chuyển từ các chiến dịch hàng loạt sang các phê duyệt có giá trị cao, được nhắm mục tiêu.

Tháng 2 năm 2025: Thảm họa kỷ lục

Tháng 2 đã phá vỡ kỷ lục với 1,782 tỷ đô la thiệt hại , do một vụ vi phạm sàn giao dịch duy nhất và các lỗ hổng DeFi mang tính hệ thống gây ra.

Các sự cố chính

1. Hack ví lạnh Bybit ($1,5 tỷ)

Vào ngày 21 tháng 2, những kẻ tấn công đã rút 401.346 ETH, 90.375 stETH và các tài sản khác từ ví lạnh của Bybit— vụ trộm tiền điện tử lớn nhất trong lịch sử.
Biện pháp giảm thiểu: Các nỗ lực hợp tác đã đóng băng 43,65 triệu đô la, nhưng hầu hết các khoản tiền vẫn chưa được thu hồi.
Nguyên nhân gốc rễ: Nghi ngờ thỏa hiệp nội bộ hoặc các giao thức lưu trữ lạnh bị lỗi.

2. Rò rỉ khóa riêng tư Infini Earn ($49,5 triệu)

Một tin tặc đã khai thác các quyền hợp đồng quá mức và việc tiết lộ khóa riêng tư để đánh cắp 49,5 triệu đô la, sau đó được chuyển đổi thành ETH thông qua DAI.

3. Khai thác zkLend ($8,5 triệu)

Một lỗ hổng trong hợp đồng thông minh zkLend đã cho phép rút tiền trái phép từ các nhóm thanh khoản.

4. Các cuộc tấn công Ionic Money ($8,5 triệu) và Four.meme ($15.000)

Việc triển khai mã thông báo giả mạo và các đường cong liên kết bị thao túng đã cho phép các hành vi khai thác này, làm nổi bật những rủi ro trong các thiết kế giao thức không cần cấp phép.

5. Vi phạm giao diện người dùng Cardex ($400.000)

Các khóa API bị rò rỉ đã xâm phạm 9.000 ví thông qua các chữ ký phiên được chia sẻ.

Xu hướng tháng 2

Rủi ro của sàn giao dịch tập trung : Vụ vi phạm của Bybit đã phơi bày những thiếu sót trong các hệ thống lưu trữ lạnh "an toàn".
Kỹ thuật xã hội tinh vi : Các tác nhân liên kết với Lazarus Group đã sử dụng các cuộc gọi Zoom giả mạo và các công cụ trộn tiền như Tornado Cash để rửa tiền.

Tháng 3 năm 2025: Nỗ lực phục hồi giữa các mối đe dọa dai dẳng

Thiệt hại trong tháng 3 lên tới 38,71 triệu đô la , với việc phục hồi một phần bù đắp thiệt hại.

Các sự cố chính

1. Lỗ hổng 1inch Fusion v1 ($5 triệu, đã phục hồi 90%)

Một lỗi hợp đồng trình phân tích cú pháp đã cho phép đánh cắp 5 triệu đô la, nhưng phản ứng nhanh chóng của 1inch đã thu hồi 90% số tiền.

2. Khai thác Abracadabra.money ($13 triệu)

Một cuộc tấn công tái nhập vào sản phẩm gmCauldrons đã rút 6.000 ETH. Kho bạc DAO đã hấp thụ 50% thiệt hại, với các cuộc đàm phán đang diễn ra cho phần còn lại.

3. Hack cơ sở hạ tầng Wemix ($6,22 triệu)

Những kẻ tấn công đã xâm nhập vào nền tảng NFT Nile thông qua các khóa giám sát bị đánh cắp, thực hiện 13/15 nỗ lực rút tiền.

4. Hoạt động của Tập đoàn Lazarus Triều Tiên

Các cuộc gọi Zoom giả mạo nhắm mục tiêu đến những người sáng lập tiền điện tử, trong khi Tornado Cash rửa 750.000 đô la ETH.

5. Khai thác Zoth RWA (Đã đánh cắp 4.223 ETH)

Một lỗi hợp đồng thông minh đã dẫn đến khoản tiền thưởng công khai trị giá 500.000 đô la cho các manh mối phục hồi.

Xu hướng tháng 3

Hợp tác White Hat : Các nỗ lực phục hồi của 1inch và Zoth đã thể hiện giá trị của các giải pháp do cộng đồng thúc đẩy.
Các mối đe dọa dai dẳng nâng cao (APT) : Các nhóm do nhà nước tài trợ như Lazarus đã tăng cường các cuộc tấn công vào cơ sở hạ tầng.

Phân tích vectơ tấn công

1. Lỗi hợp đồng thông minh (50% thiệt hại)

Xác thực đầu vào không đầy đủ, kiểm soát truy cập không đúng cách và lỗi logic đã gây khó khăn cho các giao thức như UniLend và zkLend.

2. Lừa đảo & Kỹ thuật xã hội (23,82 triệu đô la trong Q1)

Lừa đảo "phê duyệt" chiếm ưu thế, với những kẻ tấn công bắt chước các nền tảng hợp pháp (ví dụ: Uniswap Permit2).

3. Rò rỉ khóa riêng tư (1,55 tỷ đô la)

Các sàn giao dịch tập trung (Bybit) và các giao thức DeFi (Infini Earn) đã phải hứng chịu các vụ xâm phạm nghiêm trọng do quản lý khóa kém.

4. APT và các Tác nhân Cấp Quốc gia

Sự kết hợp giữa kỹ thuật xã hội và rửa tiền dựa trên mixer của Lazarus Group đã làm nổi bật các rủi ro địa chính trị.

Lời khuyên Chống Gian lận cho Nhà đầu tư Tiền điện tử:

Sử dụng Ví Cứng : Một trong những phương pháp đáng tin cậy nhất để bảo mật tài sản tiền điện tử là thông qua ví cứng, nơi lưu trữ khóa riêng tư ngoại tuyến, giảm đáng kể khả năng bị hack.
Bật Xác thực Hai yếu tố (2FA) : Luôn sử dụng 2FA để tăng cường một lớp bảo mật bổ sung cho tất cả các tài khoản liên quan đến tiền điện tử, giúp bảo vệ chống lại truy cập trái phép.
Cảnh giác với Lừa đảo Trực tuyến (Phishing) : Sự cảnh giác là chìa khóa. Luôn kiểm tra kỹ URL, tránh nhấp vào các liên kết đáng ngờ và xác minh tính xác thực của email và thông tin liên lạc từ các nền tảng nơi bạn nắm giữ tài sản.
Cập nhật Phần mềm Thường xuyên : Đảm bảo rằng tất cả phần mềm liên quan đến an ninh mạng của bạn đều được cập nhật. Điều này bao gồm phần mềm ví, phần mềm chống vi-rút và thậm chí cả hệ điều hành của thiết bị.
Sử dụng Các Nền tảng Đáng tin cậy và Đã được Kiểm toán : Chọn các nền tảng đã trải qua các cuộc kiểm toán bảo mật nghiêm ngặt bởi các công ty có uy tín. Tính minh bạch trong các hoạt động bảo mật là một dấu hiệu tốt về sự an toàn của một nền tảng .
Tìm hiểu về Các Chiêu trò Lừa đảo Tiền điện tử : Làm quen với các chiến thuật lừa đảo phổ biến , chẳng hạn như ICO giả mạo, bán token và lừa đảo mạo danh. Nhận thức là tuyến phòng thủ đầu tiên của bạn.
Phân tán Khoản Đầu tư của Bạn : Tránh giữ tất cả các khoản đầu tư của bạn trong một ví hoặc nền tảng duy nhất. Việc đa dạng hóa các điểm lưu trữ làm giảm rủi ro.
Báo cáo Hoạt động Đáng ngờ : Nếu bạn gặp phải hoặc trở thành nạn nhân của một vụ lừa đảo, điều quan trọng là phải báo cáo điều này cho cả nhà cung cấp dịch vụ liên quan và các cơ quan có thẩm quyền.
Thường xuyên Giám sát Tài khoản : Theo dõi chặt chẽ lịch sử giao dịch và số dư tài khoản của bạn. Phát hiện sớm các hoạt động đáng ngờ có thể ngăn ngừa những tổn thất lớn hơn.
Nhận thức về Pháp lý : Hiểu các quy định và khuôn khổ pháp lý về tiền điện tử trong phạm vi quyền hạn của bạn. Tuân thủ đôi khi có thể cung cấp các lớp bảo mật bổ sung.

Quý đầu tiên của năm 2025 đóng vai trò như một lời nhắc nhở rõ ràng về bản chất dễ biến động của bảo mật blockchain. Bằng cách áp dụng các biện pháp bảo mật thận trọng và luôn cập nhật thông tin về các mối đe dọa tiềm ẩn, các nhà đầu tư có thể tự bảo vệ mình khỏi những tổn thất đáng kể trong thế giới tiền điện tử đầy biến động.

Sự Kiện Bảo Mật Crypto Quý 1 Năm 2025: Rủi Ro & Hướng Dẫn An Toàn cho Nhà Đầu Tư