Đồng sản xuất bởi Đội ngũ Bảo mật OKX Web3, SlowMist và OtterSec

Lời nói đầu

Trong nửa đầu năm 2026, nếu chỉ nhìn vào tổn thất công khai, con số đã giảm gần 60% so với năm ngoái, ngành công nghiệp tiền mã hóa dường như đang trở nên an toàn hơn. Nhưng thực tế, sự sụt giảm tổn thất gần như hoàn toàn đến từ việc một sự kiện lớn cùng kỳ năm trước không tái diễn, chứ không phải do hoạt động tấn công mạng suy yếu. Thậm chí, điều ngược lại mới đúng: tần suất tấn công đang gia tăng, thủ đoạn ngày càng tinh vi, và mục tiêu của kẻ tấn công đang chuyển từ "mã nguồn" sang "con người".

Trước đây, nhiều dự án chú trọng nhất vào kiểm toán hợp đồng và giám sát hoạt động on-chain. Nhưng trong nửa đầu năm nay, những tổn thất lớn thực sự thường không đến từ hợp đồng thông minh. Đó có thể là một giao dịch quản trị ký mù, một khóa đám mây bị rò rỉ, một máy tính của nhà phát triển bị cài phần mềm độc hại, hoặc thậm chí là một cuộc họp video trông rất thật.

Đối với OKX, bảo mật không chỉ là khẩu hiệu trong báo cáo, mà là rủi ro thực tế phải xử lý hàng ngày: địa chỉ độc hại, tên miền lừa đảo, chữ ký nguy hiểm, ủy quyền bất thường, rủi ro cross-chain, token lừa đảo, tấn công xã hội – tất cả đều liên tục xuất hiện. Báo cáo này muốn làm hai việc: thứ nhất, làm rõ những thay đổi đáng cảnh giác trong các cuộc tấn công nửa đầu năm; thứ hai, chia sẻ một số thực tiễn của OKX về ví, kiểm soát rủi ro, cross-chain và bảo mật Agent, để góp phần thảo luận trong ngành.

Chương 1 · Tình hình bảo mật nửa đầu năm 2026: Sự kiện phân tán, tổn thất tập trung

Giảm tổn thất không đồng nghĩa với giảm tấn công

Nửa đầu năm nay có một hiện tượng dễ bị hiểu sai: tổng số tiền bị đánh cắp giảm, nhưng thực tế số vụ bảo mật lại tăng lên. Theo thống kê chưa đầy đủ từ Cơ sở dữ liệu bị tấn công của SlowMist, nửa đầu năm xảy ra 182 vụ bảo mật công khai, gây thiệt hại khoảng 956 triệu USD; so với cùng kỳ năm 2025 với 121 vụ và thiệt hại khoảng 2,373 tỷ USD, số vụ tăng khoảng 50% so với cùng kỳ, trong khi tổn thất tài chính giảm khoảng 60%. Tổn thất giảm chủ yếu do cùng kỳ năm ngoái có một sự kiện cực lớn duy nhất. Năm nay không có sự kiện cực đoan tương tự, không có nghĩa là kẻ tấn công đã dừng tay. Sau khi loại bỏ các giá trị ngoại lệ, tổn thất so sánh năm nay thực tế không giảm mà còn tăng. Hoạt động tấn công không suy yếu, mà chuyển sang các đòn đánh tần suất cao hơn, phân tán hơn.

Để so sánh, các sự kiện bảo mật lớn nhất được công bố trong nửa đầu năm 2025 như sau:

（Dữ liệu Top10 tổn thất của các dự án trong nửa đầu năm 2025; Nguồn dữ liệu: OKX; Số tiền tổn thất được tính theo giá token tại thời điểm xảy ra sự kiện）

Ba thay đổi đáng chú ý nhất trong nửa đầu năm

Thứ nhất, các khoản tổn thất lớn ngày càng xảy ra bên ngoài mã hợp đồng. Những tổn thất nghiêm trọng nhất trong nửa đầu năm không đến từ các lỗ hổng như reentrancy hay sai số trong hợp đồng thông minh, mà đến từ sự thất thủ ở cấp độ vận hành — các giao dịch quản trị bị lừa ký mù, các nút xác thực đơn lẻ bị nhiễm độc, các khóa ký trên đám mây bị đánh cắp. Xét về số lượng sự kiện, lỗ hổng hợp đồng và logic vẫn là nguyên nhân tấn công chính (85 vụ); nhưng xét về số tiền tổn thất, tấn công chuỗi cung ứng đứng đầu với khoảng 298 triệu USD, tiếp theo là lỗ hổng hợp đồng (khoảng 152 triệu USD) và rò rỉ khóa riêng (khoảng 130 triệu USD). Điều này cho thấy: đối với một dự án, chỉ có báo cáo kiểm toán là hoàn toàn không đủ. Ngay cả khi hợp đồng không có lỗ hổng logic rõ ràng trên chuỗi, chỉ cần quy trình ký, khóa đám mây, xác thực cross-chain hoặc hệ thống vận hành có rủi ro điểm đơn, kẻ tấn công vẫn có thể vòng qua hợp đồng và tấn công vào điểm yếu nhất. Ranh giới bảo mật từ lâu đã mở rộng từ "mã có an toàn không" thành "ai có thể ký, khóa được lưu ở đâu, xác thực có phụ thuộc vào điểm đơn không, vận hành có đáng tin cậy không".

Thứ hai, người dùng thông thường đang trở thành mục tiêu chính của các cuộc tấn công. Khi chi phí tấn công giao thức tăng lên, kẻ tấn công chuyển hướng sang người dùng. Các trang web lừa đảo, tiện ích mở rộng trình duyệt độc hại, đầu độc quảng cáo tìm kiếm, giả mạo dịch vụ khách hàng, giả mạo tuyển dụng, phần mềm họp độc hại, chiếm quyền clipboard, xác thực 2FA giả là những phương thức tấn công phía người dùng lặp đi lặp lại trong nửa đầu năm. Những cuộc tấn công này không nhất thiết dựa vào công nghệ cao cấp; chúng thực sự khai thác thói quen và lòng tin của người dùng trong các thao tác hàng ngày — tin vào kết quả tìm kiếm đầu tiên, tin vào đánh giá cao trên cửa hàng ứng dụng, tin vào liên kết từ tài khoản bạn bè, tin vào "người thật" trong cuộc họp video, tin vào một trang web ghi "xác thực bảo mật". Và AI khiến mọi thứ trở nên rẻ hơn, chân thực hơn: kẻ tấn công có thể tạo hàng loạt nội dung lừa đảo, giả mạo danh tính, sao chép giọng nói, tạo video deepfake, biến những trò lừa đảo thô sơ thành thứ đủ sức đánh lừa cả người dùng có kinh nghiệm. Thành công của cuộc tấn công ngày càng ít phụ thuộc vào việc người dùng "có hiểu công nghệ hay không", mà phụ thuộc vào việc kẻ tấn công có thể nhắm chính xác vào điểm mù lòng tin của con người hay không.

Thứ ba, AI Agent đang phát triển mạnh mẽ, nhưng đồng thời cũng dần trở thành con mồi mới của hacker. Khi Agent chuyển từ "có thể trò chuyện" sang "có thể thực thi" — gọi công cụ, đọc ngữ cảnh, kiểm soát tài sản, thực hiện giao dịch — năng lực nó nắm giữ càng lớn, hậu quả khi bị tấn công càng nghiêm trọng. Trước đây, prompt injection chủ yếu là một khái niệm trong lĩnh vực bảo mật mô hình, hậu quả tồi tệ nhất chỉ là khiến mô hình nói những điều không nên nói; nhưng khi một Agent có thể ký giao dịch, chuyển tiền, thì cùng một lệnh độc hại được ngụy trang thành đầu vào bình thường có thể trực tiếp biến thành một khoản tổn thất thực tế trên chuỗi. Các cuộc tấn công nhắm vào chuỗi "nhận thức - thực thi" của nó đang trở thành mối đe dọa nguy hiểm ngang với việc tấn công khóa riêng.

Chương 2 · Góc nhìn dự án: Tổn thất lớn nhất của dự án thường xảy ra bên ngoài hợp đồng

Đối với các dự án, điều đáng ghi nhớ nhất trong nửa đầu năm 2026 là: Sai sót trong khâu vận hành có hậu quả nghiêm trọng ngang ngửa, thậm chí còn hơn cả lỗ hổng hợp đồng.

Dưới đây là các sự kiện bảo mật lớn trong nửa đầu năm 2026 được OtterSec tổng hợp theo mức tổn thất. Chúng bao gồm một số bề mặt tấn công giá trị cao phổ biến nhất: cầu nối cross-chain, cơ sở hạ tầng xác thực, quy trình ký, khóa đám mây, thiết bị của nhà phát triển, oracle và kiểm soát truy cập.

(Dữ liệu Top 10 tổn thất của dự án trong nửa đầu năm 2026; Nguồn: OtterSec; Tổn thất được tính theo giá token tại thời điểm xảy ra sự kiện)

KelpDAO: Kẻ tấn công không động đến hợp đồng, mà phá vỡ đường dẫn xác thực

KelpDAO là tổn thất đơn lẻ lớn nhất trong nửa đầu năm. Điều đáng cảnh giác nhất ở đây là kẻ tấn công không trực tiếp tấn công logic hợp đồng, mà tấn công vào đường dẫn xác thực của tin nhắn cross-chain. Theo phân tích của OtterSec, kẻ tấn công đã làm ô nhiễm node RPC nội bộ của LayerZero, đồng thời thực hiện tấn công DDoS vào các node bên ngoài trung thực. Cuối cùng, DVN duy nhất mà cầu nối phụ thuộc chủ yếu thấy dữ liệu giả mạo do kẻ tấn công tạo ra, và đã ký xác nhận cho một giao dịch rút tiền không có burn thực tế. Khoảng 116.500 rsETH đã bị chuyển ra, trong đó khoảng 75 triệu USD sau đó đã bị đóng băng.

DVN đơn lẻ từ lâu đã được coi là cấu hình rủi ro cao. Nhưng trước đây, điều này chỉ là một cảnh báo rủi ro lý thuyết trong các cuộc thảo luận kiến trúc; sau sự kiện KelpDAO, nó đã trở thành một tổn thất thực tế gần 300 triệu USD. Lời nhắc nhở trực tiếp từ sự kiện này dành cho các dự án là: Đừng để một validator, một RPC, một nguồn giá hoặc một đường dẫn ký quyết định việc tiền có thể được rút ra hay không. Chỉ cần có một điểm xác thực duy nhất trên đường dẫn quan trọng, kẻ tấn công sẽ ưu tiên nghiên cứu nó.

Cầu nối cross-chain và oracle đặc biệt cần xác thực đa nguồn, node dự phòng, giới hạn rút tiền, giám sát bất thường và cơ chế dừng khẩn cấp. Nếu không, ngay cả khi hợp đồng không có lỗ hổng rõ ràng, kẻ tấn công vẫn có thể lấy tiền thông qua cơ sở hạ tầng off-chain.

Drift: Kẻ tấn công đã đợi nửa năm để có một chữ ký

Nếu như KelpDAO phơi bày sự yếu kém của cơ sở hạ tầng, thì Drift lại phơi bày sự yếu kém trong quy trình ký. Đây không phải là một vụ lừa đảo bộc phát, mà là một cuộc tấn công kỹ thuật xã hội được lên kế hoạch dài hạn. Kẻ tấn công đã dành khoảng nửa năm để xây dựng mối quan hệ, chờ đợi một người ký đa chữ ký, trong tình trạng không thể hiểu hoàn toàn tác động của giao dịch, ký vào một giao dịch quản lý quan trọng. Điều đáng cảnh giác nhất trong sự việc này là cơ chế durable-nonce của Solana đã bị lạm dụng. Kẻ tấn công đã dụ dỗ các bên liên quan ký trước các giao dịch ủy quyền đa chữ ký. Tại thời điểm ký, các giao dịch này trông như không có tác động ngay lập tức; nhưng sau khi Drift điều chỉnh ngưỡng đa chữ ký, kẻ tấn công mới phát tán các giao dịch đã ký sẵn, rút đi hơn 50% TVL trong một thời gian rất ngắn.

Loại tấn công này nhắc nhở các dự án: việc ký trông như "không có tác động" không có nghĩa là nó sẽ không bị lợi dụng trong tương lai. Ký mù, ký trước, các giao dịch quản lý không thể phân tích, đều nên được coi là thao tác rủi ro cao. Các giao dịch quan trọng phải có thể được phân tích, mô phỏng và kiểm tra lại một cách rõ ràng. Đối với nhóm đa chữ ký, bản thân quy trình ký phải được bảo vệ như một tài sản cốt lõi.

Thực tiễn của OKX: Từ phân tích giao dịch đến bảo vệ rủi ro ký

Từ thực tiễn của OKX, việc bảo vệ rủi ro ký không thể chỉ dừng lại ở lớp "giao dịch có phải do chính người dùng khởi tạo hay không". Quan trọng hơn là liệu người dùng có thực sự hiểu hậu quả của giao dịch này trước khi ký hay không. Xoay quanh các tình huống rủi ro cao như Solana durable nonce, thay đổi quyền sở hữu tài khoản, khởi tạo nonce account, OKX đã thiết lập khả năng nhận diện, cảnh báo, chặn và cách ly trong nhiều quy tắc rủi ro như solana_assign_account_owner, solana_init_nonce_account, nonce_account_risk, và trong nửa đầu năm 2026 đã chặn/cảnh báo hơn 4 triệu thao tác rủi ro cao liên quan, bảo vệ tổng số tiền khoảng 526 triệu USD, giúp người dùng nhận diện và tránh xa các rủi ro này trước khi ký.

Đồng thời, OKX cũng đang liên tục thúc đẩy xây dựng năng lực phân tích giao dịch. Mục tiêu của chúng tôi là làm cho các giao dịch trên chuỗi trở nên minh bạch và dễ đọc hơn, cố gắng đạt được "ký những gì bạn thấy": người dùng không nên nhìn thấy một chuỗi calldata hoặc lệnh khó hiểu, mà nên thấy giao dịch này thực sự muốn làm gì, sẽ ảnh hưởng đến tài sản nào, sẽ cấp quyền gì, có tồn tại rủi ro bất thường hay không. Tính đến nay, OKX đã phân tích và đối chiếu hơn 50.000 phương thức trên chuỗi, giúp người dùng hiểu rõ hơn về giao dịch mà họ đang ký.

Chương 3 · Góc nhìn người dùng: Lòng tin, trở thành vũ khí sắc bén nhất

Rủi ro phía người dùng tiếp tục gia tăng trong nửa đầu năm. Nhiều cuộc tấn công không còn bắt đầu từ các liên kết lạ, mà từ những lối vào quen thuộc, nơi người dùng dễ lơ là cảnh giác: cửa hàng ứng dụng, kết quả tìm kiếm, tài khoản bạn bè, phần mềm hội họp, quy trình tuyển dụng, email dịch vụ khách hàng.

Lừa đảo bắt đầu mượn vỏ bọc của các nền tảng thực

Lừa đảo vẫn là phương thức hàng đầu khiến tài sản người dùng bị đánh cắp, nhưng hình thức của nó đang ngày càng nâng cấp.

Một cách phổ biến là các tiện ích mở rộng trình duyệt độc hại. Kẻ tấn công thường giả mạo các công cụ ví nổi tiếng, sao chép tên thương hiệu, biểu tượng và nội dung trang, sau đó thông qua việc tăng điểm đánh giá, tăng lượt tải xuống, khiến tiện ích trông giống như một sản phẩm bình thường. Người dùng nhìn thấy nó trong cửa hàng ứng dụng chính thức, dễ dàng giảm cảnh giác và nghĩ rằng đó là plugin mà họ biết. Các plugin này thường áp dụng chiến lược "giữ vỏ tại chỗ, đầu độc từ đám mây". Chiến lược này khiến bản thân nó không trực tiếp chứa logic độc hại, do đó dễ dàng vượt qua quá trình kiểm tra tĩnh của cửa hàng. Các trang lừa đảo thực sự nguy hiểm được gửi xuống theo thời gian thực từ máy chủ từ xa, kẻ tấn công có thể thay đổi trang, thay đổi tên miền bất cứ lúc nào, thậm chí hiển thị nội dung khác nhau cho từng người dùng. Một khi bạn nhập cụm từ khôi phục hoặc khóa riêng tư, quyền kiểm soát tài sản đã bị giao nộp.

Một loại khác là lừa đảo qua quảng cáo trên công cụ tìm kiếm. Kẻ tấn công mua vị trí quảng cáo cho các từ khóa phổ biến, đặt trang giả mạo lên đầu kết quả tìm kiếm. Trong một trường hợp điển hình nửa đầu năm, một người dùng sau khi mua máy tính mới đã tìm kiếm công cụ phát triển, nhấp vào quảng cáo đầu tiên, sau đó làm theo hướng dẫn trên trang để thực thi một "lệnh cài đặt" trong terminal. Lệnh này thực tế đã triển khai một loại trojan chiếm quyền điều khiển clipboard, cho phép kẻ tấn công thay đổi trang của người dùng. Sau đó, khi người dùng chuyển khoảng 20.000 đô la, địa chỉ nhận đã bị tự động thay thế, dẫn đến việc chuyển nhầm tiền. Điều khó phòng ngừa của loại tấn công này là người dùng không làm điều gì rõ ràng nguy hiểm. Họ chỉ đang tìm kiếm trang web chính thức, tải công cụ, sao chép lệnh, và những hành động này vốn là một phần công việc hàng ngày.

Kỹ thuật xã hội: Hoạt động mạnh nhất, phá hoại nhất

Chìa khóa của kỹ thuật xã hội không phải là công nghệ, mà là khiến nạn nhân mất cảnh giác ở bước quan trọng.

Cách phổ biến nhất là giả mạo một người mà nạn nhân đã quen biết. Trong một trường hợp thực tế, nạn nhân nhận được lời mời tham gia sự kiện từ một người bạn đã tin tưởng lâu năm. Đối phương kiên quyết yêu cầu tải xuống một phần mềm họp cụ thể, nạn nhân dù có chút do dự, nhưng vì tin tưởng người bạn này, cuối cùng đã cài đặt. Vài giờ sau, ví bị rỗng. Sau đó mới phát hiện, tài khoản của người bạn đã bị kẻ tấn công kiểm soát từ lâu. Các KOL có ảnh hưởng lớn cũng là khu vực trọng điểm, kẻ tấn công tạo các tài khoản giả mạo chất lượng cao, lợi dụng uy tín của nhân vật công chúng để dụ dỗ người hâm mộ vào các nhóm sự kiện giả, airdrop giả, đầu tư giả. Đối với người dùng thông thường, khó khăn không phải là đánh giá một người lạ có đáng tin hay không, mà là đánh giá xem một tài khoản "trông giống người quen hoặc người nổi tiếng" đã bị kiểm soát hoặc giả mạo hay chưa.

Các trò lừa đảo tuyển dụng và phỏng vấn cũng có tính nhắm mục tiêu cao hơn. Kẻ tấn công sẽ tiếp cận nạn nhân thông qua các hình thức như "phỏng vấn kỹ thuật", "phỏng vấn vận hành", "phỏng vấn tình nguyện viên", yêu cầu họ chia sẻ màn hình, mở ví, thể hiện kinh nghiệm sử dụng DeFi. Bề ngoài, đây là quy trình phỏng vấn; thực tế, kẻ tấn công đang ghi lại địa chỉ ví, số dư, các giao thức thường dùng và thói quen thao tác. Trong một trường hợp thực tế mà chúng tôi quan sát được, kẻ tấn công thông qua phỏng vấn đã biết được giao thức tương tác gần đây và sở thích của nạn nhân, sau đó giả mạo trang airdrop dựa trên giao thức mà nạn nhân thực sự đã sử dụng, gửi thông tin lừa đảo được tùy chỉnh cao, cuối cùng lừa được khoảng 88.000 đô la.

Hai thủ đoạn mới đáng cảnh giác

Loại thứ nhất là lừa đảo "xác minh bảo mật 2FA" giả mạo

Kẻ tấn công gửi email giả mạo chính thức từ ví, sử dụng tên miền giả chỉ khác một ký tự, kết hợp với đồng hồ đếm ngược để tạo cảm giác cấp bách, dụ dỗ người dùng nhập cụm từ khôi phục (seed phrase) để "hoàn tất xác minh". Cần nhấn mạnh nhiều lần một điều: bất kỳ trang nào yêu cầu nhập cụm từ khôi phục để xác minh, xác thực, khôi phục hoặc nâng cấp đều là lừa đảo. Cụm từ khôi phục không phải mã xác thực, nó chính là quyền kiểm soát tài sản. Không có ví chính thống nào yêu cầu người dùng cung cấp qua trang web vì bất kỳ lý do gì.

Loại thứ hai là lừa đảo quy trình công việc.

Loại tấn công này trông không giống lừa đảo (phishing) mà giống như công việc bình thường. Kẻ tấn công sử dụng các tình huống công việc như "xác nhận tên pháp lý của công ty", "kiểm toán bên ngoài", "xác nhận phân bổ token", "bổ sung tài liệu hợp tác" làm mồi nhử, gửi các tệp đính kèm độc hại giả dạng Word, PDF hoặc tài liệu cộng tác. Khi mở ra, phần mềm độc hại sẽ giả dạng bản cập nhật hệ thống, dụ dỗ người dùng nhập mật khẩu hệ thống và yêu cầu các quyền như camera, ghi màn hình, theo dõi bàn phím. Mục tiêu của loại tấn công này không chỉ là ví cá nhân. Nhiều khi, kẻ tấn công thực sự muốn lấy quyền truy cập vào thiết bị làm việc, phiên trình duyệt, trình quản lý mật khẩu, dịch vụ đám mây và hệ thống nội bộ của dự án.

Thực tiễn của OKX: Đưa bảo vệ người dùng lên trước thiết bị và điểm truy cập

Từ sự thay đổi trong các cuộc tấn công từ phía người dùng, chỉ bảo vệ trên chuỗi (on-chain) là không đủ. Nhiều tổn thất không bắt đầu từ một giao dịch trên chuỗi, mà từ một điểm sớm hơn: người dùng tải ứng dụng độc hại, cài plugin giả mạo, nhấp vào trang lừa đảo, hoặc tiếp tục ký và chuyển tiền trên thiết bị đã bị xâm nhập. Do đó, OKX đang đưa việc bảo vệ người dùng từ giao dịch trên chuỗi lên trước thiết bị, ứng dụng và điểm truy cập. OKX đã ra mắt Trợ lý quét bảo mật, giúp người dùng xác định các ứng dụng rủi ro ẩn trong thiết bị, giảm thiểu rủi ro mất tài sản do phần mềm độc hại, ứng dụng giả mạo, công cụ điều khiển từ xa hoặc chương trình chiếm quyền clipboard. Tính đến thời điểm đăng bài, OKX đã thực hiện hơn 200.000 lần kiểm tra rủi ro, phát hiện hơn 60.000 ứng dụng có rủi ro cao và hướng dẫn người dùng gỡ cài đặt hoặc xử lý. Hiện đã hỗ trợ hệ thống Windows, Android, phiên bản MacOS sắp ra mắt.

Đồng thời, đối với các trang lừa đảo và DApp độc hại, OKX cũng thực hiện nhận diện và cảnh báo rủi ro trong các tình huống quan trọng như người dùng truy cập URL nghi ngờ rủi ro, kết nối ví hoặc thực hiện tương tác. Tính đến thời điểm đăng bài, OKX đã chặn hơn 7 triệu lượt truy cập trang web rủi ro, giúp người dùng tránh rủi ro lừa đảo trước khi nhập cụm từ khôi phục, kết nối ví hoặc ký giao dịch. Đối với người dùng, lời nhắc bảo mật tốt nhất không phải là thông báo sau khi tổn thất xảy ra, mà là chặn thêm một bước trước khi rủi ro thực sự rơi xuống chuỗi. OKX hy vọng thông qua kiểm tra rủi ro thiết bị, nhận diện rủi ro URL, cảnh báo rủi ro DApp và phân tích giao dịch trên chuỗi, để chặn nhiều cuộc tấn công hơn trước khi ký và chuyển tiền.

Chương 4 · AI Định Hình Lại Các Cuộc Tấn Công Như Thế Nào: Từ Giả Mạo Nội Dung Đến "Thực Tế Tổng Hợp"

Sự thay đổi mà AI mang lại cho bối cảnh an ninh là một trong những thay đổi cấu trúc sâu sắc nhất trong nửa đầu năm. Tác động của nó không chỉ đơn lẻ. Một mặt, AI giúp kẻ tấn công dễ dàng tạo ra email lừa đảo, trang web giả mạo, kịch bản hỗ trợ khách hàng giả và mã độc; mặt khác, nó cũng khiến việc giả mạo giọng nói, video, danh tính và môi trường cộng đồng trở nên dễ dàng hơn. Xa hơn nữa, khi các AI Agent bắt đầu sở hữu quỹ hoặc gọi các công cụ giao dịch, chính chúng cũng trở thành mục tiêu tấn công mới.

Chiến Trường Mới: Khi Agent Tiếp Cận Quỹ và Thực Thi Giao Dịch

Theo quan điểm của OKX, AI Agent không chỉ là nguồn rủi ro mới mà còn có thể trở thành cửa ngõ quan trọng để Web3 tiếp cận nhiều người dùng hơn. OKX đang thúc đẩy Agentic Wallet, cho phép người dùng thông qua Agent để hiểu chiến lược, quản lý các thao tác trên chuỗi và hoàn thành các tương tác DeFi phức tạp hơn dưới sự ủy quyền và xác nhận.

Bằng cách kết nối các plugin dự án DeFi đã được sàng lọc, Agentic Wallet có thể tích hợp các thao tác trên chuỗi vốn cần nhiều bước như Swap, cho vay, quản lý lợi nhuận, cross-chain vào một quy trình tương tác tự nhiên hơn. Đối với nhiều người dùng phổ thông, điều này có thể hạ thấp rào cản hiểu và sử dụng tài chính trên chuỗi, đồng thời giúp các dịch vụ Web3 gần gũi hơn với trải nghiệm sản phẩm mà họ quen thuộc. Nhưng cũng chính vì Agent bắt đầu tiếp cận tài sản, quyền hạn và thực thi giao dịch, yêu cầu bảo mật của nó sẽ cao hơn so với các ứng dụng thông thường. Một Agent có thể giúp người dùng hoàn thành các thao tác DeFi không chỉ cần quan tâm đến "có thể thực thi hay không", mà còn phải trả lời "có nên thực thi hay không", "người dùng có thực sự hiểu hậu quả của việc thực thi hay không", "các công cụ được gọi có bị giới hạn trong phạm vi an toàn hay không".

Sự kiện Bankr gần đây đã làm cho rủi ro của AI Agent trở nên rất cụ thể. Theo tiết lộ của SlowMist và các tổ chức khác, sau khi kích hoạt quyền thành viên Agent nào đó, kẻ tấn công đã gửi một tin nhắn chèn prompt được mã hóa bằng mã Morse tới Grok của xAI. Grok giải mã nội dung và chuyển tiếp tới bot trên chuỗi @bankrbot, bot này coi lệnh đó là đầu vào đáng tin cậy và thực thi, cuối cùng đã chuyển khoảng 150.000 đến 200.000 USD trên chuỗi Base.

Mặc dù khoảng 80% số tiền bị mất sau đó đã được thu hồi, nhưng điều này đủ để cho thấy, chèn prompt không còn chỉ là một khái niệm trong các cuộc thảo luận về bảo mật mô hình. Khi Agent có thể gọi ví, giao dịch, chuyển tiền hoặc các công cụ nhạy cảm khác, một đầu vào độc hại có thể biến thành một giao dịch thực tế.

Điều đáng suy ngẫm không chỉ là Agent đã thực thi lệnh gì, mà là chúng ta nên quản lý quyền thực thi của Agent như thế nào. Đối với bất kỳ Agent nào có thể nắm giữ quỹ hoặc khởi tạo các thao tác trên chuỗi, lọc đầu vào, sandbox gọi công cụ, phân cấp quyền hạn, xác nhận lại các thao tác nhạy cảm và xác minh trước khi thực thi đều phải là yêu cầu cơ bản; và làm thế nào để tất cả những điều này trở nên minh bạch, liền mạch, chính là trọng tâm mà các sản phẩm Agent thế hệ tiếp theo cần suy nghĩ.

Công nghiệp hóa: Dây chuyền hóa quy trình tấn công

AI đã giảm đáng kể chi phí sản xuất nội dung và giả mạo danh tính, giúp kẻ lừa đảo dễ dàng tạo hàng loạt trang web, email, kịch bản trò chuyện và danh tính giả; trong các cuộc tấn công có độ phức tạp cao, AI được tích hợp vào các khâu then chốt như kỹ thuật xã hội, tạo mã nguồn và ngụy trang môi trường.

Một ví dụ điển hình là tổ chức con HexagonalRodent của Lazarus (Triều Tiên): Họ tiếp cận các nhà phát triển bằng cách dụ dỗ với các vị trí từ xa lương cao, tuyển dụng dự án nổi tiếng, và dụ dỗ họ chạy mã có chứa backdoor; điều tra cho thấy tổ chức này sử dụng rộng rãi ChatGPT, Cursor để hỗ trợ tạo mã nguồn và kịch bản kỹ thuật xã hội, dùng công cụ xây dựng trang web AI để giả mạo trang web công ty và danh tính giám đốc điều hành hư cấu, thậm chí còn dùng AI để "tự kiểm tra" mã độc của mình nhằm tránh bị phát hiện. Chỉ trong quý 1 năm 2026, tổ chức này đã đánh cắp dữ liệu ví từ hơn 2.700 hệ thống của nhà phát triển.

Bản thân mã nguồn do AI tạo ra cũng mang đến những vấn đề mới. Theo OtterSec trích dẫn, Viện Công nghệ Georgia đã quy 35 trong số 74 CVE tháng 3 cho mã nguồn do AI tạo ra; một lần quét khoảng 1.400 ứng dụng "vibe-coded" đã phát hiện 2.038 lỗ hổng nghiêm trọng, hơn 400 khóa bị lộ và 175 vụ rò rỉ thông tin cá nhân.

Những con số này cũng tiết lộ: Mã nguồn do AI tạo ra không thể được đưa vào môi trường sản xuất chỉ vì "chức năng khả thi". Kiểm toán mã nguồn, quét khóa, kiểm tra quyền và phạm vi kiểm thử thay vào đó cần phải nghiêm ngặt hơn.

Kết cục: Từ "giả mạo nội dung" đến "thực tế tổng hợp"

Và thay đổi lớn nhất mà AI mang lại cho kịch bản lừa đảo là việc lừa đảo đã nâng cấp từ giả mạo nội dung đơn lẻ thành một môi trường giả mạo hoàn chỉnh, tự nhất quán và có thể vận hành bền vững – "Thực tế tổng hợp" (Synthetic Reality).

Trong chiến dịch "Thế giới Truman" do Check Point tiết lộ, kẻ tấn công đưa nạn nhân vào một nhóm đầu tư riêng tư. Trong nhóm có "chuyên gia đầu tư" do AI tạo ra, cũng như nhiều "nhà đầu tư" do AI đóng vai. Những nhân vật này liên tục đăng phân tích, khoe lợi nhuận và tương tác theo thời gian thực dựa trên ngôn ngữ của nạn nhân. Nạn nhân không đối mặt với một kẻ lừa đảo, mà là một môi trường hoàn chỉnh trông như có người trò chuyện, có người kiếm tiền, có người bảo lãnh, có người theo dõi.

Một vụ án do cảnh sát Singapore tiết lộ còn cực đoan hơn: Băng nhóm lừa đảo giả mạo quan chức chính phủ cấp cao, đưa nạn nhân vào một cuộc họp Zoom được dàn dựng tinh vi, trong cuộc họp đồng thời xuất hiện nhiều hình ảnh ảo do AI tạo ra của Thủ tướng, Tổng thống, đại diện Cơ quan Quản lý Tiền tệ Singapore, kết hợp với thỏa thuận bảo mật và sắp xếp tài chính tiếp theo, xây dựng một kịch bản hoàn chỉnh đầy uy quyền, cuối cùng khiến nạn nhân thiệt hại khoảng 4,9 triệu đô la Singapore.

Điều này đánh dấu sự thay đổi căn bản trong mục tiêu tấn công: kẻ tấn công không còn lừa dối phán đoán của bạn về một thông tin cụ thể, mà là nhận thức của bạn về tính xác thực của toàn bộ môi trường. Trong thời đại như vậy, phương pháp phòng thủ truyền thống "xác định thông tin đáng ngờ" đang dần mất hiệu quả.

Thực tiễn của OKX: Đặt bảo mật Agent trước khi tích hợp plugin và thực hiện giao dịch

Lấy sự kiện Bankr gần đây làm ví dụ, kẻ tấn công đã sử dụng một thông điệp mã Morse được mã hóa để đánh lừa phán đoán của Agent, cuối cùng thúc đẩy nó thực hiện một giao dịch chuyển tiền thực tế trên chuỗi. Những sự kiện như vậy tiết lộ một thực tế: "bộ não" của Agent có thể bị lừa dối. Nó có thể bị đánh lừa bởi các cuộc tấn công tiêm nhiễm prompt, có thể gọi các plugin có vấn đề, hoặc đơn giản là logic của nó không đủ chặt chẽ. Chính vì lý do đó, OKX không đặt toàn bộ gánh nặng bảo mật lên phán đoán của chính Agent. Dù một giao dịch trên chuỗi được tạo ra như thế nào, OKX sẽ thực hiện một cuộc kiểm tra rủi ro độc lập trước khi nó được ký và phát sóng. Bằng cách này, ngay cả khi phán đoán của Agent bị chiếm đoạt bởi các cuộc tấn công tiêm nhiễm prompt hoặc plugin độc hại, giao dịch cũng không thể chuyển tài sản mà người dùng không biết. Tuyến phòng thủ cuối cùng không nên phụ thuộc vào việc Agent có đủ thông minh hay không, mà phải được đảm bảo tại thời điểm giao dịch thực sự được đưa lên chuỗi.

Để làm cho tuyến phòng thủ này có thể tái sử dụng, OKX cũng đang mô-đun hóa khả năng nhận diện rủi ro trên chuỗi mà họ đã tích lũy. Xoay quanh những câu hỏi quan trọng nhất khi Agent thực hiện các thao tác trên chuỗi—"Giao dịch này sẽ thay đổi những tài sản nào", "Hợp đồng mục tiêu và token có rủi ro không", "Phạm vi ủy quyền có bất thường không", "Kết quả mô phỏng giao dịch có phù hợp với ý định của người dùng không"—OKX tổng hợp các khả năng như phân tích thay đổi tài sản cơ bản, mô phỏng bảo mật giao dịch, phân tích rủi ro token, nhận diện rủi ro địa chỉ thành các skill bảo mật có thể tái sử dụng và mở cho các nhà phát triển. Nếu bất kỳ kiểm tra nào trong số đó xác định có rủi ro, OKX sẽ yêu cầu người dùng xác nhận lại hoặc trực tiếp chặn giao dịch đó.

Đồng thời, chúng tôi cũng hiểu rằng bảo mật của Agentic Wallet không thể chỉ diễn ra ở bước cuối cùng của việc thực hiện giao dịch. Miễn là Agent có thể tích hợp plugin, đọc ngữ cảnh, gọi công cụ và tổ chức các giao dịch trên chuỗi, nó có thể đối mặt với các rủi ro như tiêm nhiễm prompt, đầu độc ngữ cảnh, plugin độc hại, gọi công cụ vượt quyền và tấn công chuỗi cung ứng. Bất kỳ khâu nào bị nhiễm độc cũng có thể được khuếch đại thành tổn thất tài sản thực tế. Do đó, OKX đã thiết lập cơ chế kiểm duyệt đầu vào và kiểm tra định kỳ cho việc tích hợp plugin của Agentic Wallet. Đối với các plugin DeFi tích hợp vào Agentic Wallet, OKX sẽ kiểm tra từ nhiều khía cạnh như bảo mật mã, phạm vi quyền hạn, ranh giới gọi công cụ và phụ thuộc bên ngoài, nhằm giảm thiểu rủi ro từ mã độc, quyền hạn bất thường và đầu độc chuỗi cung ứng. Sau khi plugin được đưa lên, OKX cũng sẽ tiếp tục kiểm tra và giám sát rủi ro, tránh việc plugin giới thiệu các vấn đề bảo mật mới trong các bản cập nhật phiên bản sau này.

Chúng tôi hy vọng nhiều nhà phát triển hơn nữa, khi xây dựng các ứng dụng Agent, sẽ không cần phải bắt đầu từ con số không để thiết lập khả năng bảo mật trên chuỗi. Agent có thể tổ chức giao dịch một cách thông minh hơn, nhưng nó cũng phải thực thi giao dịch một cách thận trọng hơn. Chỉ khi quy trình kiểm soát plugin, gọi công cụ, mô phỏng giao dịch, phân tích rủi ro và xác nhận của người dùng tạo thành một vòng khép kín hoàn chỉnh, thì Agentic Wallet mới thực sự có thể mang các thao tác DeFi phức tạp đến với nhiều người dùng hơn, thay vì mang theo cả những rủi ro phức tạp.

Chương 5 · Khuyến nghị bảo mật

Nhìn lại các sự kiện tấn công trong nửa đầu năm 2026, sẽ thấy nhiều tổn thất trông có vẻ khác nhau về đường hướng, nhưng cuối cùng đều rơi vào một vài khoảnh khắc quan trọng: có người đã ký một giao dịch mà họ không hiểu, có hệ thống đã cấp quyền quá lớn, có đội ngũ đã tin tưởng vào nguồn dữ liệu sai lệch, có người dùng đã tin tưởng một kẻ đã ngụy trang đủ tinh vi.

Vì vậy, các khuyến nghị bảo mật không chỉ đơn giản là bốn chữ "nâng cao cảnh giác". Đối với các dự án và người dùng, điều hữu ích hơn là di chuyển tuyến phòng thủ về phía trước: trước khi ký, trước khi ủy quyền, trước khi thực thi, trước khi tin tưởng đối phương, hãy thêm một bước xác minh.

OKX khuyến nghị cô đọng những bài học nửa đầu năm thành ba câu:

Hiểu rõ rồi hãy ký, tránh rủi ro tập trung, kiểm tra rồi hãy tin tưởng.

Thứ nhất, hiểu rõ rồi hãy ký

Nhiều cuộc tấn công không phải vì người ký không tham gia, mà vì người ký không thực sự hiểu mình đã ký cái gì. Sự kiện Drift là một trường hợp điển hình. Kẻ tấn công không trực tiếp đánh cắp private key, mà dụ dỗ nạn nhân ký các giao dịch quản lý có thể bị lợi dụng trong tương lai. Khi ký, trông có vẻ không ảnh hưởng ngay lập tức, nhưng không có nghĩa là sẽ không gây tổn thất trong tương lai. Đặc biệt là các giao dịch như durable nonce, giao dịch ký trước, ủy quyền đa chữ ký, nâng cấp hợp đồng, thay đổi Owner, quyền Minter, thao tác Delegate, một khi bị ký nhầm, hậu quả có thể vượt xa một giao dịch chuyển tiền thông thường.

Đối với các dự án, các giao dịch quan trọng không chỉ xem "ai đã ký", mà còn phải xem "người ký có hiểu hay không". Các thao tác như đa chữ ký, quản trị, nâng cấp hợp đồng, cấu hình cross-chain, sửa đổi oracle, đều cần có phân tích giao dịch rõ ràng, kết quả mô phỏng và quy trình kiểm tra lại. Đối với các thao tác như rút tài sản lớn, thay đổi quyền hạn, điều chỉnh ngưỡng, cần thiết lập timelock, xác nhận lần hai và cảnh báo bất thường. Đối với người dùng, cũng cần hình thành thói quen: không hiểu thì đừng ký. Nếu trang ví không thể giải thích giao dịch này sẽ chuyển đi tài sản nào, cấp quyền gì, gọi hợp đồng nào, có tồn tại ủy quyền vô hạn hay rủi ro bất thường hay không, thì nên dừng lại. Một chữ ký thực sự an toàn, không chỉ là một chuỗi hash hoặc một đoạn calldata khó hiểu, mà phải giúp người dùng biết mình đang làm gì.

Đây cũng là lý do OKX liên tục đầu tư vào phân tích giao dịch. Chúng tôi muốn người dùng nhìn thấy không chỉ nút "Xác nhận", mà còn là ý định thực sự đằng sau giao dịch.

Thứ hai, tránh rủi ro điểm đơn lẻ

Nhiều tổn thất lớn trong nửa đầu năm, về bản chất không phải do một lỗi nào đó bị khai thác, mà là do một khâu nào đó có quyền hạn quá lớn, quá tập trung, một khi bị tấn công, đủ để tự quyết định dòng tiền đi đâu.

KelpDAO bộc lộ rủi ro điểm đơn lẻ của đường dẫn xác thực, Resolv Labs bộc lộ rủi ro điểm đơn lẻ của khóa đám mây; nhiều vụ rò rỉ khóa riêng tư và xâm nhập thiết bị càng cho thấy, chỉ cần quyền hạn quan trọng tập trung vào một số ít tài khoản, một số ít thiết bị hoặc một số ít dịch vụ, kẻ tấn công thường chỉ cần phá vỡ mắt xích yếu nhất là có thể lấy đi một lượng lớn tài sản. Đối với các dự án, thiết kế đường dẫn quan trọng nên mặc định là bảo thủ, nguyên tắc cốt lõi là: không để bất kỳ một khâu đơn lẻ nào có thể tự quyết định việc tài sản có thể ra ngoài hay không. Đừng để một RPC, một DVN, một nguồn giá, một khóa đám mây, một địa chỉ quản trị viên trở thành công tắc duy nhất quyết định dòng tiền. Các thao tác quan trọng như thay đổi quyền hạn, đúc tiền, rút tiền, nâng cấp, đều nên phân tách quyền hạn, đặt ngưỡng, thêm giới hạn tốc độ và giám sát bất thường, để bất kỳ sự bất thường nào cũng cần vượt qua nhiều lớp kiểm soát độc lập, thay vì thông suốt một đường. Khóa đám mây, chứng chỉ CI/CD, nút MPC, ví nóng, cũng nên được quản lý phân cấp dựa trên quyền kiểm soát tài sản của chúng, chứ không phải coi như cấu hình kỹ thuật thông thường.

Đối với người dùng, logic tương tự cũng được áp dụng. Đừng dùng cùng một ví để lưu trữ toàn bộ tài sản và lại thường xuyên tương tác với các DApp khác nhau – tài sản lớn và ví tương tác hàng ngày nên được tách riêng, để phạm vi ảnh hưởng của một sai lầm duy nhất được kiểm soát ở mức tối thiểu. Các ủy quyền không còn sử dụng nên được thu hồi định kỳ; đặc biệt thận trọng khi gặp các thao tác như ủy quyền không giới hạn, ủy quyền toàn bộ NFT, Permit / Permit2, ủy thác, v.v. Nhiều cuộc tấn công không chuyển tài sản ngay từ đầu, mà lấy ủy quyền trước, đợi người dùng lơ là rồi mới hành động.

Điểm mấu chốt là, đừng để sự thất thủ của một khâu đơn lẻ có thể trực tiếp quyết định số phận của toàn bộ tài sản của bạn. Kẻ tấn công càng cần vượt qua nhiều lớp kiểm soát độc lập để thành công, thì mức độ thiệt hại sau khi một điểm đơn lẻ bị phá vỡ càng nhỏ. Đây không phải là chủ nghĩa sạch sẽ về bảo mật, mà là kiểm soát rủi ro cơ bản nhất trong Web3.

Thứ ba, kiểm chứng trước rồi mới tin tưởng

Trong nửa đầu năm 2026, những kẻ tấn công ngày càng ít phụ thuộc vào "các liên kết giả mạo thô sơ", mà bắt đầu lợi dụng những thứ người dùng đã tin tưởng: tài khoản bạn bè, kết quả tìm kiếm, cửa hàng ứng dụng, phần mềm hội họp, quy trình tuyển dụng, danh tính KOL, thậm chí cả "người thật" trong video.

AI khiến điều này trở nên nguy hiểm hơn. Giọng nói có thể bị sao chép, video có thể bị làm giả, giọng điệu trò chuyện có thể bị bắt chước, toàn bộ nhóm đầu tư, phòng họp, quy trình chăm sóc khách hàng đều có thể được dựng lên. Trong tương lai, nhiều trò lừa đảo sẽ không giống như lừa đảo, nó sẽ giống như một buổi phỏng vấn bình thường, một cuộc trao đổi hợp tác, một lần xác minh bảo mật, một lời mời từ bạn bè, hoặc một cuộc họp dự án.

Đối với các dự án, bất kỳ yêu cầu nào liên quan đến tiền, quyền hạn, thực thi mã và quy trình triển khai đều không nên chỉ được xác nhận qua một kênh duy nhất. Cuộc họp video không phải là bằng chứng nhận dạng, tài khoản quen biết cũng không phải là bằng chứng nhận dạng. Các thao tác quan trọng phải được kiểm tra lại thông qua các kênh ngoại tuyến đáng tin cậy, chẳng hạn như số điện thoại đã biết, hệ thống nội bộ, quy trình ký phần cứng, cơ chế xác nhận nhiều người, thay vì chỉ tin tưởng vào người xuất hiện trong cửa sổ trò chuyện.

Đối với người dùng, cũng cần ghi nhớ một số nguyên tắc cơ bản. Bất kỳ trang nào yêu cầu nhập cụm từ khôi phục đều là lừa đảo. Bất kỳ yêu cầu nào về điều khiển từ xa, chia sẻ màn hình, cài đặt phần mềm họp lạ, thực thi lệnh terminal đều nên dừng lại trước. Bất kỳ thao tác nào liên quan đến chuyển tiền, ủy quyền, nhận airdrop, khôi phục tài khoản, xác minh bảo mật đều nên được xác nhận lại từ kênh chính thức, thay vì tiếp tục theo liên kết mà người khác đưa ra.

Trong thời đại AI, bảo mật không chỉ là nhận biết "thông tin này có giống giả hay không", mà trước tiên phải xác nhận "người này, cổng vào này, quy trình này có thật hay không".

Đặt bảo mật trước khi tổn thất xảy ra

Đằng sau ba lời khuyên này, thực chất là cùng một hướng đi: đừng đợi đến khi tiền đã được chuyển đi mới bắt đầu coi trọng bảo mật.

Các dự án cần đưa kiểm soát rủi ro vào trước các quy trình ký, ủy quyền, triển khai, cross-chain và quản lý khóa. Người dùng cần đưa phán đoán vào trước khi kết nối ví, nhập cụm từ khôi phục, cài đặt phần mềm, ký ủy quyền. Ví, nền tảng và các sản phẩm bảo mật cũng nên chịu trách nhiệm nhiều hơn, dịch các rủi ro phức tạp trên chuỗi thành các cảnh báo mà người dùng có thể hiểu, chặn lại một bước trước khi rủi ro thực sự xảy ra trên chuỗi.

OKX cũng sẽ tiếp tục đầu tư theo hướng này: thông qua phân tích giao dịch, giúp người dùng hiểu rủi ro trước khi ký; thông qua bảo vệ bảo mật thiết bị và nhận diện rủi ro URL, chặn phishing và phần mềm độc hại trước khi tương tác trên chuỗi; thông qua khả năng KYS, nhận diện địa chỉ bất thường, token độc hại, ủy quyền rủi ro cao và giao dịch đáng ngờ; thông qua cơ chế kiểm soát plugin, sandbox gọi công cụ và mô phỏng giao dịch của Agentic Wallet, để Agent hỗ trợ người dùng thực hiện các thao tác phức tạp mà không mang lại rủi ro phức tạp cho người dùng.

Bảo mật không yêu cầu mọi người dùng đều trở thành chuyên gia bảo mật. Một sản phẩm bảo mật thực sự tốt, nên ở bước mà người dùng dễ mắc lỗi nhất, giải thích rõ rủi ro, chặn đứng nguy hiểm, và trao quyền lựa chọn lại cho người dùng.

Lời cảm ơn và nguồn dữ liệu

Dữ liệu ngành và các trường hợp trong báo cáo này nhận được sự hỗ trợ từ các đối tác sau: SlowMist, OtterSec.

Tuyên bố miễn trách nhiệm: Báo cáo này chỉ mang tính tham khảo trong ngành, không cấu thành bất kỳ lời khuyên đầu tư, pháp lý hay tuân thủ nào. Dữ liệu tổn thất được trích dẫn dựa trên ước tính giá tài sản tại thời điểm xảy ra sự kiện, do các yếu tố như tiết lộ không đầy đủ, tổn thất thực tế có thể khác với các con số được liệt kê.

Bài viết này là bài gửi từ cộng tác viên, không đại diện cho quan điểm của BlockBeats.

Chào mừng bạn tham gia cộng đồng chính thức của BlockBeats:

Nhóm Telegram đăng ký: https://t.me/theblockbeats

Nhóm Telegram thảo luận: https://t.me/BlockBeats_App

Tài khoản Twitter chính thức: https://twitter.com/BlockBeatsAsia