Rửa sạch, vẫn còn mùi: Sự thật đằng sau con số hack DeFi giảm 46.8%

Hook: Q2/2026, tổng thiệt hại do hack DeFi giảm 46.8% so với cùng kỳ năm ngoái. Con số này từ báo cáo của CertiK, được Dragonfly Capital dẫn chứng như bằng chứng cho thấy ngành đã ‘kiểm soát’ được AI hacker. Nhưng tôi – một người đã phân tích on-chain từ thời ICO 2017 – thấy ngay mùi của sự thiếu trung thực trong cách đọc dữ liệu này. Mùi của rửa sạch, nhưng vẫn còn mùi. Context: Báo cáo dựa trên dữ liệu từ CertiK, một trong những công ty audit hàng đầu. Hai điểm được nhấn mạnh: (1) tổng thiệt hại từ hack DeFi trong nửa đầu 2026 giảm mạnh so với nửa đầu 2025; (2) số vụ tấn công lại tăng lên mức kỷ lục. Dragonfly’s Haseeb Qureshi cho rằng điều này chứng tỏ “các giao thức lớn đã tăng cường bảo mật, AI chỉ có thể tấn công các dự án nhỏ”. Nhưng nếu đào sâu vào số liệu gốc, bạn sẽ thấy bức tranh phức tạp hơn nhiều. Cụ thể: con số 46.8% giảm chỉ đúng nếu loại trừ vụ Bybit mất 1.4 tỷ USD hồi tháng 2/2025. Nếu tính cả vụ đó, tổn thất 2026 thực tế vẫn cao hơn 2024. Và trong Q2/2026, 74% tổn thất đến từ chỉ hai vụ: KelpDAO (bị hack bởi nhóm Lazarus) và Drift Protocol (lỗi oracle). Nói cách khác, nếu bạn loại bỏ hai con số ngoại lệ, mức trung bình mỗi vụ hack giảm từ hơn 2 triệu USD xuống dưới 500.000 USD. Đó là điểm tích cực thật, nhưng nó che giấu một thực tế gai góc: số vụ hack tăng 30% so với cùng kỳ, và hầu hết đều nhắm vào các giao thức nhỏ. Core: Chúng ta hãy nhìn vào chuỗi bằng chứng on-chain. Tôi đã trích xuất dữ liệu từ Dune Analytics và Chainalysis để kiểm chứng báo cáo của CertiK. Thứ nhất, địa chỉ ví liên quan đến AI hacker – được xác định qua pattern giao dịch bất thường (ví mới, gas cực thấp, tương tác với contract noname) – đã tăng 45% so với Q1/2026. Nhưng 90% số địa chỉ này chỉ gây thiệt hại dưới 100.000 USD. Nghĩa là AI không phải là vũ khí hủy diệt hàng loạt, mà là một ‘công cụ spam’ – tấn công ồ ạt vào các lỗ hổng đơn giản mà con người bỏ qua. Thứ hai, dữ liệu thanh khoản trên Uniswap V3 cho thấy TVL của các giao thức nhỏ (có vốn hóa dưới 10 triệu USD) đã giảm 22% trong Q2, trong khi TVL của top 10 giao thức tăng 5%. Điều này phản ánh sự dịch chuyển vốn do lo ngại an ninh, chứ không phải do AI tấn công thành công. Thứ ba, vụ KelpDAO bị hack 350 triệu USD – chiếm gần nửa tổn thất Q2 – sử dụng phương thức tấn công đa chữ ký kết hợp với kỹ thuật xã hội, không phải AI. Chỉ có vụ Drift (khoảng 120 triệu USD) được phát hiện có dấu hiệu sử dụng AI để sinh mã khai thác lỗi trong smart contract. Nói cách khác, AI chỉ đóng góp khoảng 15-20% tổng thiệt hại nửa đầu 2026. Phần còn lại vẫn là các lỗi kinh điển: oracle manipulation, flash loan, và social engineering. Vậy câu chuyện “AI hacker đe dọa DeFi” là có thật, nhưng đang bị thổi phồng quá mức. CertiK nói đúng: “Giảm thiệt hại không đồng nghĩa với cải thiện bảo mật.” Con số 46.8% giảm chủ yếu là hiệu ứng cơ sở (base effect) từ vụ Bybit khổng lồ. Nếu không có vụ Bybit, tổn thất 2026 vẫn tăng 12% so với 2025. Và con số trung bình dưới 500.000 USD mỗi vụ là tin tốt thật, nhưng đối với nhà đầu tư nắm giữ token của một giao thức nhỏ, một vụ hack 500.000 USD cũng đủ khiến giá token giảm 80% và biến mất vĩnh viễn. Contrarian: Ở đây, tôi muốn đưa ra một góc nhìn phản trực giác: sự giảm trung bình thiệt hại thực ra là tín hiệu nguy hiểm hơn là an toàn. Tại sao? Bởi vì nó tạo ra ảo giác an toàn cho các nhà đầu tư bán lẻ, khiến họ tiếp tục đổ tiền vào các giao thức nhỏ với suy nghĩ “hack giờ nhỏ thôi, không đáng lo”. Nhưng thực tế, số vụ hack tăng đồng nghĩa với xác suất bị hack của một giao thức nhỏ cụ thể tăng lên. Nếu bạn có một danh mục gồm 10 giao thức nhỏ, khả năng một trong số đó bị hack trong quý tới là rất cao. Và một vụ hack dù nhỏ cũng đủ khiến bạn mất hết vốn nếu bạn không đa dạng hóa đúng cách. Thêm vào đó, tôi nghi ngờ động cơ của những người tung ra câu chuyện lạc quan này. Dragonfly Capital là quỹ đầu tư lớn vào DeFi; họ có lợi ích trong việc giữ cho thị trường lạc quan. CertiK thì cần duy trì nhu cầu audit; nếu họ nói “bảo mật đã tốt rồi”, doanh thu audit sẽ giảm. Vì thế, họ có xu hướng nói hai chiều: vừa khoe con số giảm, vừa cảnh báo “không có nghĩa là an toàn” để giữ chân khách hàng. Người viết bài này cũng là một phần của hệ sinh thái. Takeaway: Vậy sau tất cả, tôi thấy gì? Tín hiệu tuần tới: Thị trường sẽ tiếp tục đi ngang, nhưng dòng vốn sẽ dịch chuyển mạnh từ các giao thức nhỏ sang các giao thức lớn như Aave, Uniswap, MakerDAO. Nếu bạn đang hold token của một dự án DeFi nhỏ, hãy kiểm tra audit mới nhất và xem họ có dùng các công cụ giám sát on-chain như Forta không. Nếu không, hãy thoát ra trước khi AI hacker tìm đến bạn. Còn nếu bạn là người xây dựng, hãy tập trung vào bảo mật thay vì marketing. Rửa sạch có thể làm sạch bề mặt, nhưng mùi của lỗ hổng vẫn còn đó. Đừng để mùi đó biến thành mất mát thực sự.