Ba giao thức tiền điện tử riêng biệt đã bị tấn công trong vòng 24 giờ, với tổng tổn thất vượt quá 35,5 triệu USD. Các nạn nhân trải dài trên ba chuỗi khác nhau, ba vectơ tấn công khác nhau và một câu chuyện rất quen thuộc: các cầu nối vẫn là điểm yếu dễ bị tổn thương nhất của tài chính phi tập trung.
Cuộc tấn công lớn nhất nhằm vào AFX, một giao thức dựa trên Arbitrum, đã mất khoảng 24,15 triệu USD trong USDC thông qua lỗ hổng cầu nối vào ngày 22 tháng Bảy. BSquaredNetwork trên BNB Chain bị rút cạn 3,86 triệu đô la B2. Và cầu nối chéo chuỗi Verus trên ethereum bị mất 7,55 triệu đô la, một tổn thất càng trầm trọng hơn khi Verus đã từng bị khai thác trước đó vào tháng Năm với khoản thiệt hại khoảng 11,58 triệu đô la.
Cách từng vụ khai thác diễn ra
Vi phạm AFX là sự kiện nổi bật nhất. Những kẻ tấn công đã rút 24,15 triệu USD từ cơ sở hạ tầng cầu của giao thức trên Arbitrum, sau đó chuyển số tiền này sang ethereum và đổi thành khoảng 12.467,5 ETH.
Vụ khai thác lỗ hổng của BSquaredNetwork có quy mô nhỏ hơn về mặt đô la nhưng có thể gây hỗn loạn hơn cho các chủ sở hữu. Số B2 bị đánh cắp trị giá 3,86 triệu đô la đã được trao đổi thành hơn 5.000 WBNB, sau đó được chuyển đổi thành khoảng 1.128 ETH. Áp lực bán ra từ việc bán tháo đã khiến giá B2 giảm hơn 15%.
Sau đó là Verus. Tổn thất 7,55 triệu USD vào ngày 23 tháng Bảy đã đáng lo ngại, nhưng bối cảnh làm tình hình trở nên tệ hơn. Đây chính là cầu liên chuỗi từng bị khai thác khoảng 11,58 triệu USD vào tháng 5 năm 2026. Điều đó có nghĩa là Verus đã mất hơn 19 triệu USD trong khoảng hai tháng do những lỗ hổng bảo mật có vẻ liên quan.
PeckShield, công ty bảo mật blockchain, là một trong những đơn vị đầu tiên phát hiện từng sự cố trên blockchain.
Một quý đầy khó khăn đối với bảo mật tiền điện tử
Ba lỗ hổng này không xảy ra trong chân không. Theo dữ liệu từ TRM Labs, nửa đầu năm 2026 ghi nhận kỷ lục 207 sự cố bảo mật. Riêng quý II đã ghi nhận 764 triệu USD bị đánh cắp qua 67 sự cố riêng biệt, với các điểm yếu vận hành được chỉ ra là bề mặt tấn công chính.
Vitalik Buterin đã cảnh báo về các rủi ro bảo mật của cầu nối ngay từ năm 2022, cho rằng các hợp đồng giao sau đa chuỗi sẽ không được bảo vệ bởi cùng các giả định niềm tin như các ứng dụng đơn chuỗi.
Điều này có nghĩa gì đối với nhà đầu tư
Sự sụt giảm giá hơn 15% của B2 là ví dụ trực tiếp nhất về tác động thị trường ngay lập tức. Khi ba giao thức bị khai thác trong cùng một ngày, nó khiến tâm lý ưa thích rủi ro trên toàn bộ hệ sinh thái DeFi trở nên lạnh đi.
Số tiền 764 triệu USD bị đánh cắp riêng trong quý 2 năm 2026 đại diện cho vốn thực tế bị loại bỏ vĩnh viễn khỏi hệ sinh thái. Đó là số tiền đã tài trợ cho phát triển, cung cấp thanh khoản và hỗ trợ các thị trường cho vay.
Đối với các nhà đầu tư cá nhân, tình huống Verus đặc biệt mang tính bài học: một giao thức bị khai thác một lần và không khắc phục hoàn toàn các lỗ hổng bảo mật trước khi bị tấn công lần nữa đang truyền tải một thông điệp quan trọng về tư thế bảo mật của nó. Cuộc tấn công đầu tiên có thể là do may mắn xấu, nhưng cuộc tấn công thứ hai là thông tin.