Một số vụ hack sàn tài sản mã hóa lớn: số liệu, bài học

Trong các vụ hack sàn tài sản mã hóa có số liệu công bố, vụ lớn nhất là vụ Bybit vào khoảng ngày 21/02/2025: khoảng 1,5 tỷ USD bị lấy khỏi sàn nước ngoài này, và FBI cho biết Triều Tiên chịu trách nhiệm. Xếp sau theo giá trị lúc xảy ra là cầu nối Ronin (620 triệu USD, 2022), Coincheck (khoảng 58 tỷ yên, 2018) và Mt. Gox (khoảng 850.000 BTC, 2014). Bảng dưới là một số vụ lớn, không phải danh sách đầy đủ; Vietnambit không xếp hạng sàn nào là an toàn.

Bảng một số vụ hack sàn lớn

Bảng gồm 9 vụ có số liệu từ cơ quan chức năng, thông cáo của chính sàn hoặc báo chí dẫn các nguồn đó, xếp theo giá trị tài sản bị lấy tại thời điểm xảy ra; đây không phải danh sách đầy đủ mọi vụ hack sàn. Ronin là cầu nối, không phải sàn, được đưa vào vì là vụ lớn thứ hai được FBI quy cho Triều Tiên. Giá trị hôm nay khác nhiều vì giá tài sản mã hóa thay đổi.

Vụ việc	Thời điểm	Tài sản bị lấy (giá lúc đó)	Cách bị tấn công, thủ phạm	Sau đó
Bybit (sàn, Dubai)	Khoảng 21/02/2025	Khoảng 1,5 tỷ USD, hơn 400.000 ETH và stETH	Giao dịch từ ví lạnh đa chữ ký bị tráo qua máy tính bị xâm nhập của nhà cung cấp ví; FBI: Triều Tiên	Sàn vẫn hoạt động, xử lý hơn 350.000 yêu cầu rút trong 12 giờ
Ronin (cầu nối, không phải sàn)	23/03/2022, phát hiện 29/03	173.600 ETH và 25,5 triệu USDC, FBI tính 620 triệu USD	Chiếm 5/9 khóa validator; FBI: Lazarus Group và APT38	Theo Ronin, người dùng được hoàn khi cầu mở lại 28/06/2022
Coincheck (sàn, Nhật)	26/01/2018	Khoảng 523 triệu NEM, khoảng 58 tỷ yên (532,6 triệu USD)	NEM để trong ví nóng	Hoàn khoảng 46,6 tỷ yên cho 260.000 khách
Mt. Gox (sàn, Nhật)	Công bố 28/02/2014	Khoảng 850.000 BTC (750.000 của khách), gần 480 triệu USD	Sàn cho là bị tấn công, “điểm yếu trong hệ thống”	Phá sản; sau tìm lại khoảng 200.000 BTC; trả nợ từ 2024, hạn 31/10/2027
DMM Bitcoin (sàn, Nhật)	Cuối 5/2024	4.502,9 BTC, 308 triệu USD	Nhân viên nhà cung cấp ví bị lừa qua lời mời tuyển dụng giả; FBI, Cảnh sát Nhật: TraderTraitor (Triều Tiên)	Công ty huy động khoảng 55 tỷ yên để bù; đóng cửa, chuyển tài khoản sang sàn khác
WazirX (sàn, Ấn Độ)	18/07/2024	235 triệu USD	Ví đa chữ ký dùng hạ tầng lưu ký bên thứ ba; Mỹ, Hàn Quốc: Triều Tiên	Chưa đối chiếu nguồn chính thức
Bitfinex (sàn)	2016	119.754 BTC, khoảng 71 triệu USD	Hệ thống sàn bị xâm nhập	2022: Mỹ thu giữ khoảng 3,6 tỷ USD bitcoin liên quan
Upbit (sàn, Hàn Quốc)	27/11/2019	Khoảng 58 tỷ won ETH	Điều tra sau đó kết luận sơ bộ: các đơn vị tin tặc Triều Tiên, gồm Lazarus	Chưa đối chiếu nguồn chính thức
Upbit (sàn, Hàn Quốc)	27/11/2025	Khoảng 44,5 tỷ won tài sản trên Solana	Ví nóng; nhà chức trách Hàn Quốc nghi Lazarus	Sàn nói sẽ hoàn đủ

Nguồn từng dòng: FBI IC3 (26/02/2025), BleepingComputer (26/02/2025) và Khaleej Times (24/02/2025) cho Bybit; FBI theo BleepingComputer (14/04/2022) và thông báo của Ronin cho Ronin (chi tiết ở trang Ronin); Reuters (29/01/2018) và AFP (13/03/2018) cho Coincheck; NPR (28/02/2014) cho Mt. Gox, phần trả nợ ở bài các vụ sụp đổ lớn của crypto; FBI theo BleepingComputer (24/12/2024) và The Block cho DMM Bitcoin; tuyên bố chung của Mỹ, Nhật, Hàn ngày 14/01/2025 cho DMM Bitcoin và WazirX; MediaNama (19/07/2024) cho ngày xảy ra vụ WazirX; Bộ Tư pháp Mỹ theo Bloomberg (08/02/2022) cho Bitfinex; The Korea Herald (28/11/2025) cho cả hai vụ Upbit. Số liệu đối chiếu ngày 28/10/2026.

Vụ hack sàn lớn nhất là vụ nào?

Trong các vụ có số liệu ở bảng trên là vụ Bybit tháng 2/2025, khoảng 1,5 tỷ USD. FBI (thông báo 26/02/2025) cho biết Triều Tiên “was responsible for the theft of approximately $1.5 billion USD in virtual assets” từ sàn này “on or about February 21, 2025”, và gọi hoạt động này là “TraderTraitor”. Theo Chainalysis (18/12/2025), riêng vụ này chiếm 1,5 tỷ USD trong hơn 3,4 tỷ USD bị đánh cắp từ tháng 1 đến đầu tháng 12/2025.

Cách làm, theo BleepingComputer dẫn lời sàn và Safe Ecosystem Foundation: tài sản bị lấy trong lúc sàn chuyển tiền định kỳ từ ví lạnh đa chữ ký sang ví nóng. Máy tính của một lập trình viên phía nhà cung cấp ví bị xâm nhập, giao diện ký hiển thị một giao dịch bình thường trong khi giao dịch thật đã bị tráo. Cơ chế này giải thích ở bài ví đa chữ ký (multisig) là gì. Sàn không sụp đổ: Khaleej Times (24/02/2025) dẫn lời sàn rằng đã xử lý hơn 350.000 yêu cầu rút trong 12 giờ. Điều này dựa trên lời của chính sàn; Vietnambit chưa đối chiếu được với báo cáo kiểm toán độc lập.

Các sàn bị hack theo những cách nào?

Hầu hết các vụ lớn không phá được mật mã, mà lấy được quyền ký giao dịch qua con người, máy tính nhân viên hoặc bên thứ ba. Bốn kiểu lặp lại trong bảng:

1. Lấy khóa của ví nóng. Ví nóng nối mạng để xử lý rút tiền hằng ngày. Coincheck để NEM trong ví nóng (Reuters, 29/01/2018); vụ Upbit 2025 cũng từ ví nóng (The Korea Herald).
2. Đi qua nhà cung cấp, đối tác. Vụ Bybit qua máy tính lập trình viên của nhà cung cấp ví; vụ DMM Bitcoin, theo FBI, bắt đầu khi kẻ gian giả làm người tuyển dụng trên LinkedIn, gửi “bài kiểm tra trước tuyển dụng” chứa mã độc cho nhân viên một công ty phần mềm ví ở Nhật, rồi dùng quyền truy cập đó để sửa một giao dịch hợp lệ (BleepingComputer, 24/12/2024). Vụ WazirX xảy ra với ví đa chữ ký dùng hạ tầng lưu ký của bên thứ ba (MediaNama, 19/07/2024); đơn vị lưu ký nói ví bị tấn công được tạo bên ngoài hệ thống của họ.
3. Chiếm đủ số khóa duyệt. Cầu nối Ronin cần 5/9 chữ ký validator; kẻ tấn công chiếm được 5 khóa và rút tiền, 6 ngày sau mới bị phát hiện.
4. Mua chuộc người bên trong. Không phải mọi vụ đều lấy tiền: xem mục về các sàn hay được hỏi bên dưới.

Chainalysis (18/12/2025) nhận xét các dịch vụ tập trung “are experiencing increasingly large losses due to sophisticated attacks on private key infrastructure”, và các vụ xâm nhập dịch vụ tập trung chiếm 88% thiệt hại trong quý 1/2025.

Triều Tiên và nhóm Lazarus liên quan thế nào?

Nhiều vụ lớn gần đây trong bảng được cơ quan chức năng Mỹ, Nhật, Hàn quy cho các nhóm tin tặc gắn với nhà nước Triều Tiên. Tuyên bố chung ngày 14/01/2025 của ba nước ghi các nhóm này, “including the Lazarus Group”, nhắm vào “exchanges, digital asset custodians, and individual users”, và nêu riêng năm 2024 ba chính phủ đã quy cho Triều Tiên các vụ trộm DMM Bitcoin 308 triệu USD, Upbit 50 triệu USD và Rain Management 16,13 triệu USD (tuyên bố không ghi năm xảy ra từng vụ); Mỹ và Hàn Quốc quy thêm vụ WazirX 235 triệu USD và Radiant Capital 50 triệu USD cho Triều Tiên, “based on detailed industry analysis”. Theo Chainalysis, năm 2025 tin tặc Triều Tiên lấy “at least $2.02 billion”.

Tài sản bị lấy thường được chuyển qua nhiều chuỗi, cầu nối và dịch vụ trộn để làm mờ dấu vết; cách các dịch vụ này hoạt động và bị trừng phạt ra sao ở bài crypto mixer là gì. FATF (26/06/2025) ghi chỉ 3,8% số tài sản trong vụ trộm lớn nhất năm 2025 được thu hồi, tính đến thời điểm báo cáo 6/2025.

Sàn Coinbase, OKX, Upbit có bị hack không?

Ba tên này hay được tìm cùng chữ “bị hack”, nhưng chỉ Upbit có vụ tin tặc lấy tài sản của sàn trong các nguồn Vietnambit đã đọc.

• Coinbase (5/2025): dữ liệu khách hàng bị lấy, không phải tiền. Báo cáo 8-K của công ty nộp SEC (ngày báo cáo 14/05/2025) cho biết kẻ gian trả tiền cho một số nhân viên, nhà thầu hỗ trợ khách hàng ngoài nước Mỹ để lấy thông tin khách, rồi đòi tiền chuộc. Công ty ghi sự cố “did not involve the compromise of passwords or private keys”, nhân viên bị mua chuộc không tiếp cận được tiền của khách, và ước tính chi phí khắc phục, hoàn tiền tự nguyện cho khách bị lừa khoảng 180–400 triệu USD. Rủi ro với người dùng là bị kẻ gian dùng dữ liệu đó để gọi điện, nhắn tin giả danh.
• OKX (10/2020): tạm dừng rút tiền, không phải bị hack. Theo CoinDesk (16/10/2020), sàn dừng rút tiền vì một người giữ khóa riêng không liên lạc được do đang hợp tác điều tra với cơ quan công an, và nói tài sản của người dùng không bị ảnh hưởng. Việc rút tiền mở lại cuối tháng 11/2020. Vietnambit chưa tìm thấy thông báo của cơ quan chức năng về một vụ tin tặc lấy tài sản khách hàng quy mô lớn từ ví của sàn này.
• Upbit: hai vụ, cùng ngày 27/11 của năm 2019 và 2025, như trong bảng.

Các sàn này đều là sàn nước ngoài, chưa được cấp phép tại Việt Nam; người Việt giao dịch trên sàn nước ngoài có bị phạt không, xem giao dịch trên sàn nước ngoài có bị phạt không.

Sàn bị hack thì người dùng có được đền không?

Tùy sàn: có sàn bù bằng tiền của công ty, có sàn phá sản và khách chờ hàng chục năm. Với sàn nước ngoài, không có cơ chế bảo đảm chung nào cho người Việt. Trong bảng: Coincheck hoàn khoảng 46,6 tỷ yên cho 260.000 khách (AFP, 13/03/2018); DMM Bitcoin huy động khoảng 55 tỷ yên để bù rồi đóng cửa (The Block); Upbit 2025 nói sẽ hoàn đủ. Ngược lại, khách của Mt. Gox thành chủ nợ trong thủ tục phá sản, chờ từ 2014 đến 2024 mới bắt đầu được trả, và ngày 16/10/2026 hạn trả nợ lại lùi tới 31/10/2027 (chi tiết ở bài các vụ sụp đổ lớn của crypto).

Khi sàn không còn đủ tài sản, số dư trên màn hình chỉ còn là một khoản đòi nợ. Tài sản của người dùng được xử lý thế nào khi sàn phá sản theo luật Việt Nam ở trang sàn phá sản thì tài sản người dùng ra sao.

Ở Việt Nam, sàn được cấp phép phải đáp ứng gì về an toàn?

Theo Nghị quyết 05/2025/NQ-CP, tổ chức được cấp phép phải đạt an toàn hệ thống cấp độ 4, quản lý tách biệt tài sản khách hàng, chịu trách nhiệm cả với bên thứ ba và bồi thường khi khách mất tài sản do bị xâm nhập. Các điều khoản (đối chiếu 28/10/2026):

Yêu cầu	Nội dung	Căn cứ (Nghị quyết 05)
An toàn hệ thống	Đạt “tiêu chuẩn cấp độ 4 an toàn hệ thống công nghệ thông tin” trước khi vận hành; Bộ Công an thẩm định hồ sơ đề xuất	Điều 8 khoản 7, Điều 9 khoản 7
Tách biệt tài sản	“quản lý tách biệt tiền, tài sản mã hóa của khách hàng”	Điều 15 khoản 2 điểm a
Bồi thường	Bồi thường theo quy định pháp luật khi nhà đầu tư mất tiền, tài sản mã hóa “do hệ thống bảo mật mất an toàn, bị xâm nhập, bị lừa đảo”	Điều 15 khoản 2 điểm m
Bên thứ ba	Dùng bên thứ ba phải bảo đảm bên đó đạt chuẩn an ninh mạng, phòng chống rửa tiền; “không miễn trừ trách nhiệm” của tổ chức	Điều 15 khoản 2 điểm p
Công bố sự cố	Công bố thông tin bất thường trong 24 giờ, gồm sự cố công nghệ	Điều 15 khoản 3

Yêu cầu về bên thứ ba đáng chú ý vì hai vụ lớn gần đây (Bybit, DMM Bitcoin) đi qua nhà cung cấp ví; vụ WazirX xảy ra với ví đa chữ ký dùng hạ tầng của một đơn vị lưu ký, dù đơn vị này nói nền tảng của họ không bị xâm nhập. Các yêu cầu này không có nghĩa sàn được cấp phép không thể bị tấn công; chúng xác định ai chịu trách nhiệm khi bị tấn công.

Tính đến 28/10/2026, chưa có tổ chức nào được cấp phép. Ba hồ sơ đã công bố được Cục An ninh mạng (Bộ Công an) thẩm định, đồng ý hồ sơ đề xuất cấp độ 4 (22–23/10/2026); đây là một tài liệu trong hồ sơ, không phải giấy phép. Toàn bộ điều kiện ở trang điều kiện cấp phép sàn tài sản mã hóa.

Bài học cho người dùng ở Việt Nam

Vụ hack là rủi ro của bên giữ tài sản, nên câu hỏi quan trọng nhất là ai đang giữ khóa riêng của bạn và nếu mất thì ai chịu.

1. Hiểu số dư trên sàn là gì. Gửi tài sản lên sàn là giao khóa riêng cho sàn giữ; khi sàn bị hack hay phá sản, bạn chỉ còn quyền đòi. Khác biệt giữa hai cách giữ ở bài ví lưu ký và ví không lưu ký.
2. Không để tất cả ở một nơi. Phần dùng để giao dịch thường xuyên và phần giữ lâu nên tách ra. Phần giữ lâu, giá trị lớn, nhiều người dùng ví lạnh để khóa riêng không nối mạng.
3. Tự giữ cũng có rủi ro riêng. Theo Chainalysis, các vụ xâm nhập ví cá nhân chiếm 20% giá trị bị đánh cắp năm 2025. Mất cụm từ khôi phục hay ký nhầm giao dịch thì không có ai bù.
4. Sau tin sàn bị hack, cảnh giác lừa đảo lần hai. Kẻ gian giả danh sàn mời “nhận bồi thường”, hoặc giả “đơn vị thu hồi tài sản” hứa lấy lại tiền; xem lừa đảo lấy lại tiền bị lừa.
5. Biết vị trí pháp lý của sàn bạn dùng. Sàn nước ngoài không chịu các nghĩa vụ ở Nghị quyết 05 với người Việt. Sau mốc 6 tháng kể từ giấy phép đầu tiên, nhà đầu tư trong nước giao dịch ngoài tổ chức được cấp phép có thể bị phạt 15–25 triệu đồng (Nghị định 284/2026/NĐ-CP Điều 9 khoản 1, Điều 4 khoản 2); nắm giữ không phải hành vi bị phạt.