Ngày 24 tháng 9 năm 2026, Bitget phát hiện các giao dịch chuyển tiền mã hóa trái phép từ một phần hạ tầng ví nóng và ví ấm của mình. Đến đầu tháng 10, sàn cho biết tổng giá trị tài sản bị ảnh hưởng vào khoảng 388 triệu USD.
Quy mô sự cố đủ lớn để được gọi ngắn gọn là một vụ hack sàn crypto. Nhưng cách gọi đó che khuất nhiều câu hỏi khác nhau. Bản thân blockchain có bị xâm nhập hay không? Private key có bị đánh cắp không? Các kiểm soát rút tiền đã bị vượt qua như thế nào? Và sau khi tài sản rời khỏi ví, cuối cùng ai là người gánh tổn thất tài chính?
Theo giải thích mới nhất của Bitget, kẻ tấn công đã khai thác lỗ hổng zero-day trong một sản phẩm bảo mật của bên thứ ba, chiếm được thông tin xác thực có đặc quyền cao rồi chèn các lệnh rút tiền giả để vượt qua hệ thống kiểm soát rủi ro. Công ty khẳng định private key không bị xâm phạm và cold wallet không bị ảnh hưởng.
Các cập nhật từ SlowMist và Mandiant nhìn chung cũng phù hợp với kịch bản cuộc tấn công vượt qua ranh giới tin cậy giữa môi trường bảo mật bên ngoài và hạ tầng ví vận hành thực tế của Bitget. Cuộc điều tra khi đó vẫn đang tiếp diễn và một số chi tiết về nhà cung cấp chưa được công khai. Vì vậy, chuỗi nguyên nhân này nên được xem là bức tranh đáng tin cậy nhất tính đến ngày 6 tháng 10 năm 2026, chứ chưa phải kết luận pháp chứng cuối cùng.
Với người dùng, câu hỏi quan trọng hơn là điều gì xảy ra sau khi lớp kiểm soát kỹ thuật thất bại. Bitget cho biết số dư khách hàng không bị cắt giảm và tác động tài chính được hấp thụ thông qua Protection Fund của nền tảng. Hoạt động rút tiền được khôi phục theo từng giai đoạn, với các tài sản còn lại được hỗ trợ, rút tiền pháp định và P2P được lên lịch hoạt động trở lại đến ngày 2 tháng 10.
Điểm khác biệt này rất quan trọng: hệ thống bị xâm nhập và bên cuối cùng phải hấp thụ tổn thất không nhất thiết là một.
Điểm chính: Hỏi blockchain có an toàn hay không là chưa đủ khi đánh giá rủi ro của một sàn crypto. Nhà đầu tư còn phải biết ai kiểm soát khóa, ai có quyền phê duyệt giao dịch, hệ thống nào được tin cậy để phát lệnh, và nền tảng có đủ vốn hoặc cơ chế bảo vệ theo hợp đồng để hấp thụ tổn thất nếu tài sản biến mất hay không.
“Crypto bị hack” có thể là năm loại rủi ro rất khác nhau
Cụm từ “hack crypto” thường gộp nhiều dạng lỗi khác nhau vào cùng một nhãn. Tách từng lớp rủi ro giúp câu hỏi về an toàn trở nên rõ ràng hơn.
- Rủi ro blockchain hoặc giao thức tài sản – lỗ hổng trong giao thức, smart contract hoặc bridge có thể khiến quy tắc mạng bị khai thác theo cách nhà thiết kế không dự kiến.
- Rủi ro lưu ký – điểm yếu trong các hệ thống giữ private key hoặc kiểm soát ví thay cho người dùng.
- Rủi ro an ninh vận hành – lỗi ở giao diện ký, thông tin xác thực đặc quyền, quy trình rút tiền và phần mềm bên thứ ba kết nối với hệ thống lõi.
- Rủi ro đối tác – ngay cả khi cuộc tấn công đã dừng, người dùng vẫn chịu rủi ro nếu tài sản còn lại của nền tảng không đủ bù nghĩa vụ, dẫn đến căng thẳng thanh khoản, tái cơ cấu hoặc mất khả năng thanh toán.
- Rủi ro pháp lý và bảo vệ người tiêu dùng – quyền của khách hàng khác nhau giữa các khu vực pháp lý. Một số chế độ pháp luật yêu cầu tách biệt tài sản khách hàng và đặt nghĩa vụ rõ ràng hơn lên bên lưu ký.
Điểm chính: Một giao dịch có thể hoàn toàn hợp lệ dưới góc nhìn của mạng lưới nhưng vẫn là giao dịch không được phép dưới góc nhìn của người dùng hoặc tổ chức. Blockchain có thể đơn giản thực thi một lệnh có chữ ký hợp lệ ngay cả khi quy trình tạo hoặc phê duyệt chữ ký đó đã bị kẻ tấn công chiếm quyền.
So sánh ba vụ xâm nhập sàn crypto
| Trường hợp | Dạng lỗi kỹ thuật | Giá trị bị ảnh hưởng được công bố | Điều xảy ra với người dùng |
|---|---|---|---|
| Bitget (2026) | Sản phẩm bảo mật của bên thứ ba bị xâm nhập, mở ra quyền truy cập đặc quyền và cho phép tạo lệnh rút tiền giả | Khoảng 388 triệu USD | Số dư người dùng không bị giảm; Bitget cho biết tác động được bù qua Protection Fund |
| Bybit (2025) | Quy trình ký của cold wallet multisig bị thao túng qua môi trường Safe trong một vụ xâm nhập chuỗi cung ứng phần mềm | Khoảng 1,46 tỷ USD | Sàn bù phần thiếu hụt tài sản và khôi phục mức bảo chứng 1:1 cho tài sản nằm trong phạm vi báo cáo |
| WazirX (2024) | Ví multisig bị xâm nhập, tạo ra thiếu hụt tài sản bảo chứng lớn | Hơn 230 triệu USD | Công ty bước vào tái cơ cấu; người dùng đủ điều kiện nhận đợt phân phối đầu tiên khoảng 85% Approved Claims theo phương án |
Hai câu hỏi luôn cần tách riêng: hệ thống hỏng ở đâu, và ai hấp thụ tổn thất? Câu hỏi đầu thuộc về kiến trúc bảo mật. Câu hỏi sau phụ thuộc vào vốn, thanh khoản, hợp đồng và pháp luật.
Bitget: kẻ tấn công không phá blockchain, mà chiếm quyền kiểm soát quanh các khóa
Trường hợp Bitget cho thấy sự khác nhau giữa việc sở hữu private key và kiểm soát quy trình xung quanh nó. Theo lời giải thích mới nhất của sàn, kẻ tấn công không trực tiếp đánh cắp private key của cold wallet. Thay vào đó, chúng xâm nhập một sản phẩm bảo mật của bên thứ ba và lấy được thông tin xác thực có đặc quyền cao.
Trên thực tế, kẻ tấn công có đủ thẩm quyền để giả mạo một người vận hành đáng tin cậy và tạo các lệnh rút tiền giả mà hệ thống nội bộ coi là hợp lệ. Bài học là bảo vệ bản thân khóa chưa đủ nếu các hệ thống xung quanh có quyền tác động đến khóa vẫn có thể bị xâm nhập.
Do đó, kiến trúc lưu ký hiện đại phải vượt ra ngoài cách chia đơn giản giữa hot wallet và cold wallet. Hệ thống còn phải quản lý quyền của signer, phân tách nhiệm vụ, chính sách giao dịch, giới hạn rút tiền và bảo mật của nhà cung cấp bên ngoài. Một tài sản chỉ an toàn bằng tuyến đặc quyền yếu nhất có khả năng di chuyển nó.
Khi các kiểm soát kỹ thuật thất bại, Bitget dùng bảng cân đối kế toán và Protection Fund làm lớp phòng thủ tiếp theo. Công ty cho biết số dư người dùng sẽ không bị ghi giảm. Không phải sàn nào cũng nhất thiết làm được như vậy, nhưng trường hợp này cho thấy năng lực hấp thụ tổn thất của một tổ chức trở thành lớp an toàn kinh tế sau khi lớp kỹ thuật bị phá vỡ.
Điểm chính: Câu hỏi trọng tâm không còn chỉ là “khóa có an toàn không?”, mà còn là “ai kiểm soát các hệ thống được phép hành động quanh khóa?”. Ngay cả khi blockchain và private key không bị xâm nhập trực tiếp, việc chiếm quyền quy trình xung quanh vẫn có thể tạo ra cùng một hậu quả kinh tế.
Bybit: cold wallet vẫn có thể gặp rủi ro nếu quy trình phê duyệt bị đánh lừa
Ngày 21 tháng 2 năm 2025, Bybit mất tài sản từ một cold wallet Ethereum multisig. Sàn ước tính thiệt hại khoảng 1,46 tỷ USD, trong khi FBI nêu con số khoảng 1,5 tỷ USD và quy trách nhiệm cho các tác nhân có liên hệ với Triều Tiên.
Vụ việc cho thấy nhãn “cold wallet” không xóa bỏ rủi ro. Nếu quy trình mà các signer dùng để kiểm tra và phê duyệt giao dịch có thể bị thao túng, ví vẫn có thể cho phép một giao dịch mà con người không hề có ý định thực hiện.
Bybit cho biết sự cố xảy ra trong quá trình giao dịch multisig qua Safe, khi thông tin hiển thị cho các signer không trùng với giao dịch cuối cùng được thực thi on-chain. Vì vậy, vấn đề kiểm soát không chỉ nằm ở số lượng signer mà còn ở toàn bộ lớp phần mềm, giao diện xác minh và khả năng kiểm tra độc lập địa chỉ đích cùng dữ liệu giao dịch.
Sau sự cố, Bybit cho biết đã lấp phần thiếu hụt ETH bằng vay ngắn hạn, mua OTC và các khoản nạp lớn. Một báo cáo proof of reserves sau đó cho biết tài sản khách hàng trong phạm vi báo cáo đã trở lại mức bảo chứng 1:1 trong khoảng 72 giờ.
Điểm chính: Lưu khóa offline không đảm bảo an toàn nếu quy trình ký có thể bị thao túng. Proof of reserves cho thấy bảo chứng 1:1 sau sự cố là bằng chứng hữu ích, nhưng tự nó không chứng minh được khả năng thanh toán dài hạn, việc tách biệt tài sản khách hàng về mặt pháp lý hay mức độ an toàn trong tương lai.
WazirX: khi tổn thất mạng biến thành vấn đề thanh khoản và chủ nợ
WazirX cho thấy một kết cục khác. Sau vụ tấn công ví multisig ngày 18 tháng 7 năm 2024, công ty cho biết hơn 230 triệu USD tài sản số đã bị đánh cắp và thừa nhận khoản mất mát ảnh hưởng trực tiếp đến khả năng duy trì tài sản bảo chứng ở mức 1:1.
Từ thời điểm đó, vấn đề không còn chỉ là ứng phó sự cố. Nó trở thành câu hỏi về bảng cân đối kế toán: nền tảng sẽ thực hiện nghĩa vụ như thế nào khi tài sản còn lại không còn tương ứng với số tiền nợ người dùng?
Năm 2025, Zettai, đơn vị vận hành WazirX, bước vào Scheme of Arrangement tại Singapore. Công ty cho biết phương án có hiệu lực vào tháng 10 năm 2025. Sau đó, người dùng đủ điều kiện nhận đợt phân phối đầu tiên tương đương khoảng 85% Approved Claims, tính theo phương pháp định giá tham chiếu của phương án, cùng Recovery Tokens có thể hưởng lợi từ các khoản thu hồi trong tương lai.
Vì vậy, con số 85% không nên được hiểu là “trả lại 85% số coin gốc theo giá thị trường hiện tại”. Đây là phân phối giá trị trong khuôn khổ tái cơ cấu pháp lý.
Đặt Bitget, Bybit và WazirX cạnh nhau cho thấy khác biệt kinh tế rất rõ. Những sự cố trông tương tự trên tiêu đề báo chí có thể tạo ra kết quả hoàn toàn khác đối với người dùng.
Nếu một sàn có đủ vốn, thanh khoản hoặc nguồn dự trữ, người dùng có thể tránh bị haircut trực tiếp. Nhưng nếu khoản lỗ xuyên qua bảng cân đối và khiến tài sản thấp hơn nghĩa vụ, vấn đề nhanh chóng chuyển sang mất khả năng thanh toán, thứ tự ưu tiên chủ nợ và luật sở hữu tài sản.
Điểm chính: Sự cố mạng không kết thúc khi lỗ hổng kỹ thuật được vá. Một khi khoản lỗ xuyên qua lớp phòng thủ tài chính của tổ chức, nó trở thành vấn đề cấu trúc nợ, và khả năng thu hồi của người dùng phụ thuộc lớn vào bảng cân đối của nền tảng cũng như khuôn khổ pháp lý áp dụng.
Vì sao tiền trên blockchain có thể truy vết nhưng không tự động đảo ngược
Một nghịch lý lớn của crypto là nhiều giao dịch được ghi trên sổ cái công khai, cho phép điều tra viên theo dõi dòng tiền, nhưng khả năng nhìn thấy đó không tạo ra nút hoàn tác.
Khi một giao dịch đã đáp ứng quy tắc của mạng, việc đảo ngược tác động kinh tế thường cần một điểm kiểm soát bên ngoài. Sàn tập trung nhận được tài sản có thể đóng băng chúng. Nhà phát hành stablecoin có thể có quyền đóng băng hoặc vô hiệu hóa một số token. Cơ quan thực thi pháp luật có thể tịch thu tài sản khi có thẩm quyền pháp lý và sự hợp tác của nhà cung cấp dịch vụ.
Vụ Bybit cho thấy một số ví dụ về đóng băng và tịch thu một phần. Tháng 3 năm 2025, T3 Financial Crime Unit thông báo đã đóng băng gần 9 triệu USD liên quan đến sự cố, còn Chainalysis sau đó mô tả một vụ tịch thu khác của cơ quan thực thi pháp luật Hy Lạp đối với tài sản liên quan đến vụ trộm.
Các trường hợp này cho thấy khả năng truy vết rất hữu ích cho thực thi pháp luật, nhưng không có nghĩa phần lớn tiền bị đánh cắp lúc nào cũng thu hồi được. Không phải tài sản số nào cũng có công tắc khẩn cấp tập trung.
Với các tài sản ở lớp cơ sở như Bitcoin hoặc Ether, không có nhà phát hành trung tâm có thể đóng băng hồi tố một giao dịch như một số nhà phát hành stablecoin có thể làm. Kẻ tấn công càng nhanh chóng phân tán tài sản qua nhiều blockchain, swap, bridge hoặc dịch vụ không hợp tác với điều tra viên thì việc thu hồi càng khó.
Vì vậy, sổ cái minh bạch giúp nhìn thấy dấu vết nhưng không biến blockchain thành hệ thống chargeback giống thẻ tín dụng.
Blockchain có thể minh bạch và có tính chung cuộc cùng lúc. Nhìn thấy tài sản bị đánh cắp chuyển đến đâu không tự động trao cho bất kỳ ai quyền kéo chúng trở lại.
Self-custody giảm rủi ro đối tác nhưng chuyển trách nhiệm sang người giữ khóa
Sau một vụ hack sàn, lời khuyên phổ biến là chuyển tài sản sang self-custody. Cách này có thể giảm một nhóm rủi ro vì người dùng, thay vì sàn, tự giữ private key. Rủi ro từ việc sàn phá sản, đóng băng rút tiền hoặc vận hành lưu ký sai vì thế giảm xuống.
Nhưng rủi ro không biến mất. Nó chuyển từ một tổ chức có đội ngũ an ninh, quy trình khôi phục sự cố và bảng cân đối sang người dùng cá nhân. Chủ sở hữu phải bảo vệ seed phrase, kiểm tra địa chỉ đích, chống phishing, tách thiết bị khi cần và lập kế hoạch khôi phục nếu mất quyền truy cập.
Chainalysis cho biết các vụ xâm nhập ví cá nhân chiếm 23,35% hoạt động liên quan đến tiền bị đánh cắp mà hãng theo dõi vào giữa năm 2025. Con số này không chứng minh self-custody nguy hiểm hơn lưu ký trên sàn vì định nghĩa và bộ dữ liệu khác nhau. Tuy vậy, nó cho thấy chuyển tài sản khỏi trung gian chỉ thay đổi bề mặt tấn công chứ không xóa nó.
Câu hỏi phù hợp hơn là người dùng sẵn sàng tự quản lý loại rủi ro nào và kỳ vọng năng lực gì từ bên lưu ký.
Đối với người dùng sàn, thẩm định an toàn không nên dừng ở tuyên bố về cold wallet hay proof of reserves. Cần xem cả quản trị signer, tách biệt tài sản khách hàng, kiểm soát rút tiền, quy trình đối soát và kiểm toán, bảo hiểm hoặc quỹ bảo vệ, điều khoản pháp lý và lịch sử ứng phó sự cố của nền tảng.
Điểm chính: Self-custody không phải thuốc chữa mọi rủi ro. Nó thay rủi ro của nền tảng bằng trách nhiệm vận hành cá nhân. Nếu tài sản vẫn nằm ở một bên trung gian, nhà đầu tư cần nhìn vượt qua thông điệp tiếp thị kỹ thuật để đánh giá quản trị, tách biệt tài sản và khả năng hấp thụ tổn thất của tổ chức.
Tương lai của tiền số có lẽ không nằm ở việc xóa bỏ niềm tin, mà ở việc biết mình đang tin vào điều gì
Lời hứa ban đầu của công nghệ blockchain thường bắt đầu từ giảm thiểu nhu cầu tin cậy: giảm phụ thuộc vào trung gian thông qua các quy tắc có thể kiểm chứng và khóa do người dùng kiểm soát. Tuy nhiên trong nền kinh tế thực, phần lớn người dùng vẫn dựa vào sàn giao dịch, bên lưu ký, nhà phát hành stablecoin, phần mềm ví, hạ tầng đám mây, nhà cung cấp an ninh mạng và hệ thống pháp luật.
Niềm tin không biến mất. Nó được phân bổ lại qua nhiều lớp của hệ sinh thái.
Bitget, Bybit và WazirX cho thấy an toàn của tiền số là vấn đề xã hội – kỹ thuật, chứ không chỉ là bài toán mật mã. Một giao thức mạnh vẫn phụ thuộc vào kỷ luật vận hành, xác minh độc lập, tách biệt tài sản, ứng phó sự cố, dự trữ thanh khoản và quy tắc rõ ràng về cách phân bổ tổn thất.
Điều ngược lại cũng đúng: một bên trung gian mạnh không thể loại bỏ rủi ro giao thức hoặc sai sót của chính người dùng.
Với người dùng, câu hỏi nên chuyển từ “sàn này từng bị hack chưa?” sang “nếu một lớp kiểm soát thất bại, lớp tiếp theo có thể ngăn thiệt hại lan rộng hay không?”. Điều đó đòi hỏi xem xét quyền của signer, giới hạn rút tiền, xác minh độc lập, tách biệt tài sản khách hàng, khả năng bảng cân đối hấp thụ cú sốc và quyền pháp lý của khách hàng trong kịch bản xấu nhất.
Bài học này vượt ra ngoài crypto. Ngày càng nhiều dạng tiền và tài sản tài chính phụ thuộc vào phần mềm và hạ tầng lưu ký, từ tài sản token hóa, stablecoin đến các hệ thống thanh toán số mới.
Vì vậy, độ tin cậy không đến từ việc chọn “tin blockchain” hay “tin tổ chức”. Nó đến từ việc thiết kế các lớp có thể kiểm tra lẫn nhau và hấp thụ thất bại mà không tự động đẩy toàn bộ chi phí sang người dùng cuối.
Các điểm cần nhớ
- Sàn bị hack không nhất thiết có nghĩa blockchain đã thất bại. Tổn thất có thể bắt nguồn từ hệ thống lưu ký, quy trình ký, quyền truy cập đặc quyền, kiểm soát rút tiền hoặc phần mềm bên thứ ba trong khi blockchain vẫn thực thi các lệnh hợp lệ.
- Nơi xảy ra lỗ hổng và bên phải trả tiền là hai câu hỏi khác nhau. Bitget và Bybit cho biết họ đã hấp thụ phần thiếu hụt, trong khi WazirX bước vào tái cơ cấu sau khi khoản lỗ tạo ra thiếu hụt tài sản.
- Truy vết không đồng nghĩa với khả năng đảo ngược. Sổ cái công khai giúp theo dõi tài sản bị đánh cắp, nhưng việc đóng băng hoặc thu hồi thường cần một điểm kiểm soát tập trung, sự hợp tác của nhà cung cấp dịch vụ hoặc thẩm quyền pháp lý.
- Self-custody chuyển rủi ro chứ không xóa rủi ro. Nó giảm rủi ro đối tác từ sàn nhưng khiến người dùng chịu trách nhiệm quản lý khóa, chống phishing và lập kế hoạch khôi phục.
- Tương lai của tiền số cần cả an toàn giao thức lẫn khả năng chống chịu của tổ chức. Khóa an toàn phải hoạt động trong các hệ thống có quản trị tốt, tách biệt tài sản, kiểm soát rủi ro, thanh khoản và quyền khách hàng rõ ràng khi khủng hoảng xảy ra.
