Có một câu chuyện ít ai ngờ: một con cá voi đã mất 26 triệu USD chỉ vì một chiếc chìa khóa. Nghe thì có vẻ giống như một bộ phim về tội phạm mạng, nhưng thực tế lại là một bài học đau đớn về quản lý tài sản trong thế giới DeFi.
Hook
Từ một lần tôi thấy một dòng tweet từ Lookonchain: 'Một địa chỉ ví cá voi đã mất 26 triệu USD do rò rỉ private key.' Tôi lập tức mở Blockaid và PeckShield để kiểm tra. Và rồi, tôi nhận ra một điều: vụ việc này không chỉ là một câu chuyện về một con cá voi bất cẩn, mà còn là một tín hiệu cảnh báo cho toàn bộ hệ sinh thái DeFi. Điều gì xảy ra khi một người dùng đã từng bị hack vào năm 2024, mất 24 triệu USD, lại tiếp tục bị hack vào năm 2026? Câu trả lời không nằm ở lỗi của các giao thức, mà nằm ở chính cách chúng ta – những người dùng – quản lý private key của mình.
Context
Vào ngày 13 tháng 8 năm 2026, một địa chỉ ví được gắn nhãn TLBL đã bị tấn công. Kẻ tấn công đã chiếm quyền kiểm soát private key và chuyển toàn bộ tài sản. Tài sản bị đánh cắp bao gồm aWBTC (khoảng 6,3 triệu USD), DAI (5,1 triệu USD), WBTC (4,7 triệu USD), ETH (2,6 triệu USD), và các tài sản DeFi khác như aUSDC, sDAI, USDS, cbBTC (tổng cộng khoảng 6,9 triệu USD). Tổng thiệt hại theo PeckShield là 26 triệu USD, trong khi Lookonchain báo cáo 25,6 triệu USD – sự khác biệt nhỏ này là do phạm vi định giá tài sản khác nhau, điều này hoàn toàn bình thường và cho thấy tính chính xác của dữ liệu.
Điều đáng chú ý là TLBL không phải là một người mới. Họ đã từng bị tấn công vào năm 2024 qua một cuộc tấn công phishing, mất 24 triệu USD. Vậy mà, chỉ hai năm sau, họ lại bị hack một lần nữa. Điều này cho thấy một vấn đề cốt lõi: ngay cả những người dùng DeFi kỳ cựu cũng không thể tránh khỏi rủi ro từ private key nếu không áp dụng các biện pháp bảo mật tiên tiến.
Core
Về mặt kỹ thuật, đây là một vụ rò rỉ private key, không phải là một cuộc tấn công vào smart contract. Kẻ tấn công không cần sự tương tác từ nạn nhân – họ đã có private key và có thể chuyển tài sản ngay lập tức. Điều này khác biệt hoàn toàn với các cuộc tấn công phishing, nơi nạn nhân phải ký một giao dịch độc hại. Ở đây, kẻ tấn công đã có được private key, có thể là do seed phrase bị lộ qua cloud storage, ảnh chụp màn hình, hoặc thiết bị bị nhiễm malware. Từ kinh nghiệm audit của tôi, tôi thấy rằng TLBL rất có thể không sử dụng ví đa chữ ký (multi-sig) hoặc ví MPC (Multi-Party Computation). Nếu họ sử dụng các giải pháp này, kẻ tấn công sẽ cần nhiều hơn một chữ ký để chuyển tài sản, và vụ việc có thể đã được ngăn chặn.
Kẻ tấn công đã chuyển đổi phần lớn tài sản (khoảng 97,6%) thành DAI (20 triệu) và ETH (3.000 ETH). Đây là một chiến thuật rửa tiền chuyên nghiệp: chuyển đổi tài sản DeFi phức tạp thành stablecoin và ETH – những tài sản có tính thanh khoản cao và dễ dàng chuyển qua các cầu nối cross-chain, DEX, hoặc sàn tập trung. Kẻ tấn công đã phân tán tiền qua 4 địa chỉ khác nhau, làm tăng độ khó cho việc truy vết.
Dữ liệu từ Blockaid cho thấy một xu hướng đáng báo động: trong nửa đầu năm 2026, tổng số tiền bị đánh cắp trong các vụ tấn công crypto đã lên tới 1,1 tỷ USD, trong đó 75% (790 triệu USD) đến từ việc lạm dụng đặc quyền – bao gồm rò rỉ private key. Số vụ việc tăng từ 18 vụ vào tháng 1 lên 57 vụ vào tháng 6. Điều này cho thấy rằng, trong khi cộng đồng tập trung vào việc nâng cấp smart contract, kẻ tấn công đang chuyển hướng sang tấn công vào lớp người dùng – nơi yếu nhất.
Contrarian
Giờ đây, hãy nói về điều mà ít ai nghĩ tới: vụ việc này không phải là một thất bại của DeFi, mà là một thất bại của sự tự mãn. TLBL đã từng bị hack vào năm 2024, nhưng họ vẫn tiếp tục sử dụng cùng một phương pháp quản lý private key. Điều này cho thấy một điểm mù trong cộng đồng: chúng ta thường nghĩ rằng một khi đã bị hack, chúng ta sẽ học được bài học. Nhưng thực tế, nhiều người dùng vẫn tiếp tục sử dụng các biện pháp bảo mật lỗi thời, như lưu trữ seed phrase trên cloud hoặc sử dụng ví nóng (hot wallet) cho các khoản đầu tư lớn. Tôi tin rằng sự thật phản trực giác ở đây là: không phải các giao thức phức tạp mới là nguyên nhân chính, mà chính là thói quen quản lý private key đơn giản nhất.
Một điểm khác: cộng đồng thường đổ lỗi cho các nạn nhân, nhưng tôi cho rằng đây là một vấn đề mang tính hệ thống. Ngành công nghiệp crypto đã quá tập trung vào việc xây dựng các giao thức phi tập trung, nhưng lại bỏ quên việc xây dựng các công cụ bảo mật thân thiện với người dùng. Các ví như MetaMask hay Trust Wallet vẫn dựa trên EOA (Externally Owned Account) – một private key duy nhất kiểm soát toàn bộ tài sản. Trong khi đó, các giải pháp như ví đa chữ ký (Safe), ví MPC (Fireblocks, ZEUS), hoặc ví phần cứng (Ledger, Trezor) vẫn còn quá phức tạp đối với người dùng phổ thông. Sự thật là: thị trường đang thiếu các giải pháp bảo mật đơn giản nhưng hiệu quả, và điều này đang khiến những người dùng giàu có trở thành mục tiêu.
Takeaway
Vậy, câu hỏi đặt ra là: liệu chúng ta có đang xây dựng một hệ sinh thái chỉ dành cho những người kỹ thuật cao, hay chúng ta sẽ tạo ra những công cụ bảo mật mà bất kỳ ai cũng có thể sử dụng? Vụ việc của TLBL là một lời nhắc nhở: DeFi không chỉ là về smart contract, mà còn về cách chúng ta bảo vệ private key của mình. Nếu không, những câu chuyện như thế này sẽ tiếp tục lặp lại. Và khi đó, ai sẽ là người chịu trách nhiệm?