Vào ngày 29/10, chỉ trong khoảng 20 phút, 6.3 tỷ USD đã bị rút khỏi ví của Binance. Đây là vụ trộm tiền điện tử lớn nhất lịch sử, lớn gấp hơn bốn lần so với vụ hack Bybit vào tháng 02/2025.
Theo chính sàn giao dịch này, điểm xâm nhập của hacker là từ máy tính của một kỹ sư, bị dính mã độc sau một buổi phỏng vấn xin việc giả mạo.
Hai ngày sau, Binance thông báo đã hoàn trả 98% tài sản bằng nguồn quỹ của chính mình; và ngày kế tiếp, sàn đã mở lại chức năng rút tiền.
Hãy nhớ kỹ điều này. Đây là chi tiết quan trọng nhất nhưng lại ít người nhắc tới.
Khi chỉ có cây búa trong tay, mọi thứ đều trở thành cái đinh
Mt. Gox, 2014. QuadrigaCX, 2019. FTX, 2022. Bybit, 2025. Binance, 2026, chỉ kể vài cái tên nổi bật nhất. Các sự cố thì khác nhau nhưng phản ứng thì giống nhau: Tự giữ tài sản, vì “không giữ private key, không phải tiền của bạn”.
Nhận định này đúng về mặt kỹ thuật. Nếu bạn không cầm private key, bạn không sở hữu tài sản: bạn chỉ có quyền yêu cầu với người giữ key mà thôi.
Tuy nhiên, không phải lúc nào kết luận rút ra là việc tự nắm giữ luôn an toàn hơn.
Nơi những người thua cuộc an nghỉ rất yên tĩnh, trừ khi thiệt hại quá lớn
Khi một sàn giao dịch bị tấn công, cả thế giới đều biết. Vụ việc liên quan đến hàng tỷ USD, có thông báo chính thức, báo chí quốc tế đưa tin rầm rộ.
Khi một cá nhân mất sạch tài sản, hầu như chẳng ai để ý. Ngay cả khi mất mát xảy ra trên chuỗi, hoàn toàn công khai, có mấy ai trong cộng đồng theo dõi điều tra blockchain? Đa phần mọi người chỉ xem tin tức từ báo chí.
Rất nhiều nạn nhân thậm chí không trình báo công an, vì xấu hổ hoặc không tin sẽ lấy lại được.
Ở phía các điều tra viên, cảnh tượng này khá quen thuộc: nạn nhân xuất hiện cùng các mã giao dịch và hy vọng ai đó sẽ “đóng băng bitcoin” giúp mình.
Và nếu không có sự may mắn (nạn nhân khai báo nhanh, chính xác, cơ quan chức năng có chuyên môn, tài sản bị rút về sàn hoặc là những token có thể đóng băng), kết quả thường rất tệ.
Những cuộc tấn công vào sàn lớn không phải là loại tấn công xảy ra nhiều nhất. Người ta chỉ thấy chúng vì chúng bị phơi bày công khai mà thôi.
Một số rủi ro đặc biệt khi tự giữ tài sản
Tiết lộ seed cho kẻ xấu. Ngày 10/01/2026, một nhà đầu tư đã đọc mã khôi phục (seed) của ví cứng cho kẻ giả danh hỗ trợ Trezor. Anh ta mất 1,459 BTC và 2.05 triệu LTC, tổng giá trị hơn 282 triệu USD. Chiếc ví hoạt động bình thường; sai lầm nằm ở chủ ví.
Lộ seed ngoài ý muốn. Chụp ảnh seed lưu trên điện thoại, ghi vào cloud, gửi email cho chính mình. Chẳng ai hỏi nhưng seed vẫn tự rò rỉ ra ngoài.
Bị lừa ký xác nhận (signature phishing). Bạn ký một tin nhắn ngoài chuỗi cho phép bên thứ ba rút token, và họ có thể mang đi bất cứ lúc nào. Giống như ký sẵn một tờ séc trắng rồi bỏ quên trong ngăn kéo nhà người lạ. Riêng tháng 01/2026 đã có tổng giá trị thất thoát 6.3 triệu USD vì kiểu lừa đảo này.
Điều trớ trêu là: vụ hack Binance cũng liên quan đến chữ ký. Hệ thống của sàn bị đánh lừa ký cùng lúc 50 lệnh xác nhận, chỉ một đã đủ giúp hacker chiếm quyền kiểm soát một ví bị mất 2.2 tỷ USD chỉ trong một giao dịch.
Bị cướp, uy hiếp (wrench attack). Tên gọi xuất phát từ chiếc cờ lê. Mã hóa nào cũng vô dụng khi bạn hoặc người thân bị đe dọa bằng bạo lực. Nửa đầu năm 2026, CertiK ghi nhận 52 vụ với tổng số tiền 124 triệu USD; riêng ở Pháp đã có 33 vụ.
Lừa đảo địa chỉ (address poisoning). Kẻ lừa đảo để lại trong lịch sử một địa chỉ gần giống với địa chỉ hợp lệ. Lần chuyển tiền sau, bạn vô tình copy nhầm địa chỉ giả. Chỉ một trường hợp trong tháng 01 đã gây thiệt hại tới 12.25 triệu USD.
Lỗi thiết bị. Ngày 29/07, người dùng ColdCard dù chưa từng kết nối thiết bị với internet vẫn bị mất tiền do lỗi ngẫu nhiên trong quá trình tạo key. Hơn một nghìn bitcoin đã bị lấy mất. Tôi từng phân tích vụ việc này trong bài “Không giữ key, không giữ coin – bạn có thật sự biết seed và key được tạo như thế nào?“.
Lưu ý: ở mỗi trường hợp, nạn nhân đều đặt niềm tin vào thứ gì đó. Đường dây hỗ trợ, lưu trữ đám mây, website, cảm tính của bản thân, lịch sử giao dịch, hoặc firmware. Và trên hết, họ tin vào khả năng của chính mình.
Tự giữ hay gửi sàn? Một lựa chọn tưởng như đối lập
Mỗi hình thức lưu ký tài sản đều tiềm ẩn rủi ro. Nếu để tài sản trên sàn giao dịch, bạn đang đặt niềm tin vào cách họ quản lý và khả năng tài chính của họ. Nếu tự lưu ký tài sản, bạn phải tin tưởng chính mình, thiết bị, phần mềm và cả những ai biết bạn sở hữu bitcoin. Vấn đề là nhiều người chỉ nhận ra rủi ro khi để tiền trên sàn, mà lại quên rủi ro khi tự lưu trữ.
Không có lựa chọn nào là hoàn toàn không cần tin tưởng. Chỉ là bạn biết mình đang tin ai, hay phớt lờ đi. Và rủi ro lớn nhất là rủi ro bạn không nhận ra.
Không ai nên giữ toàn bộ tài sản dưới gối, cũng như không nên để hết tiền trong một ngân hàng duy nhất.
Với tài sản crypto, cách làm hợp lý cũng như vậy: một phần trên sàn uy tín (hoặc ba sàn khác nhau), một phần tự lưu ký thật cẩn thận, một phần dùng ETF — ví dụ 30%, 40% và 30%.
Tỷ lệ phân bổ như thế nào còn tùy vào kiến thức, tính cách và mục tiêu của mỗi người. Trách nhiệm này không thể giao phó cho ai khác. Xin lỗi nếu điều này khiến bạn thất vọng, nhưng biết trước vẫn hơn hứng chịu hậu quả về sau.
Ngày mai sẽ ra sao?
Chủ động bảo vệ tài sản giúp giảm rủi ro, nhưng không thể loại bỏ hoàn toàn. Vì thế, bạn đừng chỉ hỏi “cách nào an toàn nhất?” mà nên suy nghĩ “Nếu điều xấu xảy ra, mình sẽ thế nào?”
Khi tự lưu ký, bạn sẽ không thể nhờ ai giúp nếu mất tiền. Vụ hack tháng 01 vừa rồi lấy đi 282 triệu USD, kẻ tấn công đã nhanh chóng chuyển đổi sang Monero (BTC, BTC, LTC). Chỉ khi tiền bị chuyển lên stablecoin hoặc đưa vào sàn mới có khả năng bị phong tỏa. Phục hồi tài sản gần như là điều hiếm có.
Còn khi để trên sàn, bạn còn hi vọng có bên chịu trách nhiệm. Ví dụ, Bybit đã bồi hoàn cho khách hàng chỉ sau 3 ngày. Bitget dùng quỹ bảo vệ để trả lại 388 triệu USD bị lấy đi vào tháng 09 vừa qua.
Binance cũng nhận toàn bộ tổn thất và đã hoàn trả 98% cho khách hàng, thông tin này bạn có thể kiểm chứng trong bằng chứng dự trữ của sàn.
Tất nhiên, sàn chỉ có thể hoàn trả khi họ còn đủ khả năng tài chính. Và không phải lúc nào bạn cũng nhận lại đúng số lượng tài sản của mình.
Các chủ nợ ở Mt. Gox đã chờ cả 10 năm và chỉ nhận lại khoảng 15% số bitcoin mà họ từng có. Tuy nhiên, nhờ giá bitcoin tăng mạnh trong thời gian ấy nên số tiền đó lại lớn hơn nhiều so với tổng tài sản họ đầu tư hồi 2014.
Các chủ nợ FTX nhận được tiền mặt, chứ không phải crypto trong tài khoản: khoảng 120% giá trị tài sản tại thời điểm FTX sụp đổ tháng 11/2022, khi giá bitcoin chỉ gần 16,000 USD. Số tiền này cao hơn so với lúc đó, nhưng thấp hơn nhiều so với giá trị nếu giữ tới hôm nay.
Vì thế, ở Brazil có các Nghị quyết 519, 520 và 521 của Ngân hàng Trung ương (BCB) vào năm 2025 đóng vai trò rất quan trọng.
Với nhà đầu tư nhỏ lẻ, điều quan trọng không phải là sàn có bị quản lý bởi Ngân hàng Trung ương hay không, mà là họ bắt buộc phải thực hiện: tài sản của khách hàng được tách biệt hoàn toàn với tài sản của công ty, ví riêng, có báo cáo bằng chứng dự trữ và kiểm toán độc lập, không được phép dùng tài sản khách hàng cho hoạt động riêng của công ty.
Kết luận
Not your keys, not your coins là câu nói về sự kiểm soát, chứ không hoàn toàn về sự an toàn.
Khi ai đó rút hết tài sản khỏi sàn giao dịch, họ chưa hẳn đã bớt tin tưởng người khác, mà chỉ chuyển niềm tin ấy sang cho chính mình, đôi khi mà chưa tự hỏi có xứng đáng để tin hay không.
Lưu ký tài sản không phải là tìm ai để không tin tưởng, mà là ý thức và chủ động chọn ai mình muốn gửi gắm niềm tin, với lý do rõ ràng.
