Tại sao các Giao thức Cho vay vẫn là mục tiêu hàng đầu của các vụ hack DeFi: 67 vụ khai thác lịch sử được giải thích

Ngành cho vay DeFi đối mặt với những thách thức về an ninh kéo dài. Trong số 267 vụ việc DeFi được ghi nhận, các giao thức cho vay chiếm 67 vụ khai thác riêng biệt—đây là phân khúc bị tấn công nhiều nhất trong tài chính phi tập trung. Sự tập trung này phản ánh cả quy mô vốn đầu tư vào các ứng dụng cho vay và những phức tạp vốn có trong kiến trúc hoạt động của chúng.

Quy mô các vụ Hack DeFi trong thị trường cho vay

Các nền tảng cho vay thu hút sự chú ý đáng kể từ các tác nhân xấu do một số yếu tố cấu trúc. Những ứng dụng này thường giữ một lượng lớn dự trữ stablecoin hoặc tài sản thế chấp có giá trị cao như Ethereum và Bitcoin. Tính chất không cần phép của phần lớn các khoản vay trên chuỗi, kết hợp với việc dựa vào tự động hóa hợp đồng thông minh, tạo ra nhiều điểm tiềm năng để khai thác.

Cơ chế vay nhanh (flash loan), cho phép người dùng vay tài sản ngay lập tức trong một giao dịch duy nhất, đã nhiều lần bị lợi dụng như các phương thức tấn công. Tương tự, các lỗ hổng trong nguồn cấp dữ liệu oracle giá và cơ chế thanh lý đã chứng minh là những tuyến đường hiệu quả để trộm cắp quỹ. Một số nền tảng còn gia tăng rủi ro bằng cách phát hành token mới như phần thưởng lãi suất, vô tình tạo ra cơ hội khai thác từ việc tạo token. Với tổng giá trị bị khóa lên tới 53 tỷ USD trên các nền tảng cho vay, động lực tài chính để tấn công vẫn rất lớn.

Hợp đồng thông minh: điểm yếu chí tử của các giao thức DeFi

Những lỗi trong thực thi kỹ thuật chiếm phần lớn nguyên nhân gây thiệt hại trong lĩnh vực cho vay. Trong 12 tháng qua đến đầu năm 2026, các lỗi trong hợp đồng thông minh đã trực tiếp gây thiệt hại 526 triệu USD qua 48 vụ việc riêng biệt. Mô hình này nhấn mạnh rằng các cuộc kiểm tra an ninh, dù có giá trị, cũng không thể loại bỏ tất cả rủi ro vốn có của các ứng dụng blockchain.

Thứ hai là các lỗ hổng liên quan đến khóa riêng bị xâm phạm hoặc trộm ví multisig, mặc dù mức độ ảnh hưởng thấp hơn so với lỗi kỹ thuật. Ngay cả các dự án đã trải qua kiểm tra an ninh chuyên nghiệp cũng đã gặp phải các vụ vi phạm lớn—các giao thức đã được kiểm tra an ninh chung thiệt hại 515 triệu USD, trong khi các khai thác ngoài phạm vi kiểm tra đã rút sạch 193 triệu USD và các hợp đồng thông minh không được kiểm tra đã bị trộm 77 triệu USD trong 24 vụ việc.

Nhiều phương thức tấn công: Từ vay nhanh đến thao túng giá

Các chiến thuật thao túng giá đặc biệt gây thiệt hại, gây ra 13 vụ việc riêng biệt và thiệt hại ghi nhận được 65 triệu USD trong giai đoạn xem xét. Những cuộc tấn công này thường khai thác sự phụ thuộc của các giao thức cho vay vào nguồn cấp dữ liệu giá theo thời gian thực, làm tăng hoặc giảm giả tạo giá trị tài sản thế chấp để kích hoạt thanh lý hoặc vay mượn trái phép.

Các ví dụ thực tế minh họa rõ ràng về rủi ro liên tục. Giao thức Moonwell đã bị khai thác do thiếu sót trong kiến trúc oracle giá của nó. Trong số 30 vụ hack lịch sử lớn nhất, mã không được kiểm tra là nguyên nhân gốc rễ trong 58,4% các trường hợp, tuy nhiên, chỉ riêng việc có chứng nhận kiểm tra chuyên nghiệp vẫn không đủ để bảo vệ khỏi các chiến lược tấn công tinh vi.

Tình trạng kiểm tra an ninh không đảm bảo ngăn chặn hack DeFi

Việc các giao thức đã được kiểm tra vẫn gặp phải các vụ khai thác cho thấy rằng các ứng dụng blockchain đặt ra những thách thức về an ninh khác biệt cơ bản so với phần mềm truyền thống. Mỗi nền tảng DeFi đều có nhiều điểm đầu vào và tương tác với các nguồn dữ liệu bên ngoài, mở rộng bề mặt tấn công vượt ra ngoài phạm vi các phương pháp kiểm tra mã truyền thống thường áp dụng.

Các mối đe dọa song song còn xuất phát từ rủi ro ở cấp độ người dùng. Sự phổ biến của các sàn giao dịch phi tập trung clone, một số được tiếp thị gian lận là phi tập trung thực sự trong khi thực tế giữ tiền gửi của người dùng và áp đặt phí rút tiền, tạo ra cơ chế trộm cắp thay thế. Các nền tảng này khai thác môi trường không cần phép của DeFi trong khi vẫn giới thiệu các điểm kiểm soát tập trung.

Hiểu rõ các mô hình khai thác này—dù là lỗ hổng kỹ thuật, thất bại của Oracle hay các phương pháp xã hội kỹ thuật—là điều cần thiết để các nhà tham gia đánh giá an ninh nền tảng và quyết định phân bổ vốn trong lĩnh vực cho vay.