Đã theo dõi tình hình an ninh DeFi diễn biến trong năm nay và thành thật mà nói, nó trông khá ảm đạm. Chúng ta còn chưa đến giữa năm 2026 và số liệu đã gây sốc - hơn 137 triệu đô la bị đánh cắp qua 15 giao thức khác nhau chỉ trong vài tháng đầu tiên. Điều tồi tệ hơn? Chỉ có 9 triệu đô la đã được thu hồi. Đó là tỷ lệ phục hồi mà hầu hết mọi người sẽ không chấp nhận ở một ngân hàng truyền thống, huống hồ gì trong một ngành công nghiệp vốn dĩ phải là không tin cậy và minh bạch.

Thiệt hại phân bổ đều cho một số tên tuổi lớn. Step Finance chịu thiệt hại lớn nhất với 27,3 triệu đô la sau khi một khoá riêng bị xâm phạm. Truebit không kém với 26,2 triệu đô la bị mất do lỗ hổng hợp đồng thông minh. Tiếp theo là Resolv mất hơn 25 triệu đô la qua lỗi đúc token, và SwapNet mất 13,4 triệu đô la qua khai thác gọi tùy ý. Những dự án này không phải nhỏ - chúng là các giao thức mà người dùng thực sự sử dụng.

Điều gây bực bội là hầu hết các cuộc tấn công này lẽ ra không nên xảy ra. Rò rỉ khoá riêng? Đó là kiến thức an ninh vận hành cơ bản, không phải là khai thác đột phá. Thao túng oracle và lỗi reentrancy? Những lỗ hổng đó đã có các biện pháp phòng vệ rõ ràng từ nhiều năm trước. Việc chúng vẫn còn hiệu quả cho thấy ngành công nghiệp này chưa học hỏi đủ nhanh từ những sai lầm của mình. Có lỗi logic, thất bại trong xác thực, vấn đề giới hạn cung - những thứ mà các nhà nghiên cứu an ninh đã cảnh báo từ thời kỳ đầu của DeFi.

YieldBlox DAO thực sự đã thu hồi được 7,2 triệu đô la trong số 11 triệu đô la thiệt hại của họ, là giao thức duy nhất lấy lại được một phần đáng kể. Những người còn lại trong danh sách - SagaEVM với 7 triệu đô la, Makina 5 triệu đô la, IoTeX 4,4 triệu đô la, Aperture Finance và Venus Protocol mỗi cái 3,7 triệu đô la - gần như không còn hy vọng.

Nếu đà này tiếp tục, năm 2026 có thể trở thành một trong những năm tồi tệ nhất về an ninh DeFi trong lịch sử. Các giao thức mới liên tục ra mắt mà không qua kiểm toán đúng cách, mở rộng bề mặt tấn công nhanh hơn bất kỳ ai có thể phòng thủ. Với 137 triệu đô la thiệt hại chỉ trong ba tháng và tỷ lệ thu hồi chỉ 6,5%, thật khó để lập luận rằng hạ tầng an ninh của ngành đã đạt đến mức cần thiết. Đối với một hệ thống dựa trên lời hứa về các hệ thống không tin cậy, đó là một vị trí khá khó chịu để phải đối mặt.