Polymarket xác nhận bị hack ví nội bộ – Quỹ người dùng vẫn an toàn

Vào ngày 14 tháng 6 năm 2026, Polymarket xác nhận đã xảy ra một vụ hack ví nội bộ khiến cộng đồng thị trường dự đoán chấn động. Việc xâm nhập, lần đầu được cảnh báo bởi công ty phân tích chuỗi Bubblemaps, liên quan đến một loạt các chuyển khoản tự động đáng ngờ từ một ví hoạt động liên kết với hệ thống thưởng của nền tảng. Polymarket đã nhanh chóng làm rõ rằng quỹ người dùng vẫn an toàn, quy trách nhiệm vụ việc này cho việc mất khóa riêng tư chứ không phải lỗi trong các hợp đồng thông minh cốt lõi của nền tảng. Sự phân biệt này cực kỳ quan trọng: một lỗ hổng trong hợp đồng thông minh có thể đe dọa toàn bộ số tiền trên nền tảng, trong khi một ví hoạt động bị xâm phạm, dù nghiêm trọng, chỉ là một vấn đề hạn chế. Đối với những ai theo dõi các mối đe dọa an ninh mạng của nền tảng tài chính phi tập trung trong thời gian thực, vụ việc này cung cấp một bài học thực tế về cách các thị trường dự đoán hiện đại xử lý các sự cố an ninh, những điều đã làm đúng và những điều vẫn cần khắc phục.

Phát hiện: Cảnh báo của Bubblemaps và Chuyển khoản tự động

Dấu hiệu công khai đầu tiên không đến từ chính Polymarket mà từ Bubblemaps, một công cụ trực quan hóa chuỗi theo dõi các nhóm ví và luồng token trên nhiều mạng lưới. Hệ thống cảnh báo tự động của họ đã phát hiện ra một mẫu chuyển khoản ra khỏi một địa chỉ liên kết với Polymarket trên mạng Polygon, kích hoạt sự kiểm tra kỹ lưỡng hơn từ cộng đồng an ninh tiền mã hóa rộng lớn hơn.

Trong vòng vài giờ, các nhà nghiên cứu độc lập đã xác nhận phát hiện này. Ví bị xâm phạm đã bị rút sạch theo một loạt các giao dịch giống hệt nhau, mỗi lần chuyển một lượng POL cố định theo chu kỳ đều đặn. Sự chính xác về cơ khí của các giao dịch này là một dấu hiệu rõ ràng: không ai vận hành thủ công mà lại chuyển tiền theo một mẫu cứng nhắc, lặp đi lặp lại như vậy.

Nhận diện mẫu: Chuyển 5.000 POL lặp lại

Kẻ tấn công đã thực hiện các chuyển khoản chính xác 5.000 POL cứ khoảng 12 phút một lần trong vài giờ. Phương thức rút tiền nhỏ giọt này là một chiến thuật phổ biến. Thay vì rút toàn bộ ví trong một giao dịch lớn sẽ ngay lập tức kích hoạt cảnh báo hoặc bị xử lý trước, kẻ tấn công đã phân tán vụ trộm qua nhiều giao dịch nhỏ hơn.

Khi Bubblemaps phát hiện, khoảng 230.000 POL (tương đương khoảng 115.000 USD vào thời điểm đó) đã rời khỏi ví. Sự đồng nhất về số lượng và thời gian này cho thấy có thể là một script hoặc bot đang xử lý việc rút tiền, chứ không phải thao tác thủ công.

Theo dõi địa chỉ tấn công trên mạng Polygon

Các nhà điều tra chuỗi nhanh chóng truy tìm địa chỉ nhận. Địa chỉ của kẻ tấn công không có lịch sử giao dịch trước đó, điều này phổ biến đối với các ví mới tạo để thực hiện các vụ khai thác. Sự minh bạch của Polygon có nghĩa là mọi bước đều có thể xem được công khai, nhưng tốc độ rút tiền và việc che giấu sau đó khiến việc can thiệp trong thời gian thực trở nên khó khăn. Các công ty phân tích chuỗi như Chainalysis và Arkham Intelligence bắt đầu gắn thẻ các địa chỉ liên quan trong vòng 24 giờ.

Thông báo chính thức của Polymarket: Xâm phạm ví nội bộ

Phản hồi của Polymarket xuất hiện khoảng sáu giờ sau cảnh báo của Bubblemaps. Nền tảng đã phát hành một tuyên bố trên X (trước đây là Twitter) và blog chính thức xác nhận vụ việc và cung cấp các chi tiết ban đầu. Tuyên bố rõ ràng nhấn mạnh rằng không có số dư người dùng, vị trí thị trường hoặc cơ chế giải quyết nào bị ảnh hưởng. Polymarket mô tả vụ việc là “mất khóa riêng tư của ví nội bộ vận hành,” vạch rõ ràng sự khác biệt giữa vụ xâm phạm này và bất kỳ lỗ hổng hệ thống nào trong kiến trúc của nền tảng.

Rò rỉ khóa riêng tư so với lỗ hổng hợp đồng thông minh

Sự phân biệt này rất quan trọng và cần hiểu rõ ràng. Một lỗ hổng trong hợp đồng thông minh nghĩa là mã điều hành các chức năng cốt lõi của nền tảng (gửi tiền, rút tiền, tạo thị trường, giải quyết) có lỗi mà kẻ tấn công có thể khai thác. Loại lỗi này có thể làm rút sạch toàn bộ hệ thống. Chúng ta đã thấy điều này trong vụ hack Euler Finance năm 2023 và vụ khai thác Mango Markets năm 2022.

Trong khi đó, mất khóa riêng tư hoàn toàn khác biệt. Điều này có nghĩa là ai đó đã truy cập được vào chìa khóa mã hóa kiểm soát một ví cụ thể. Các hợp đồng thông minh của nền tảng hoạt động đúng như thiết kế; vấn đề là một bên trái phép đã có được thông tin xác thực của một địa chỉ cụ thể. Tưởng tượng như ai đó lấy trộm chìa khóa văn phòng của quản lý ngân hàng so với việc phát hiện ra lỗi trong cơ chế khóa của két sắt. Cả hai đều xấu, nhưng phạm vi thiệt hại khác nhau rất nhiều.

Phiên kiểm tra hợp đồng thông minh mới nhất của Polymarket, do Trail of Bits thực hiện đầu năm 2026, không phát hiện lỗ hổng nghiêm trọng nào. Kết quả này vẫn còn phù hợp vì nó xác nhận tính toàn vẹn của mã điều hành quỹ người dùng.

Vai trò của ví hoạt động trong việc chi trả thưởng

Ví bị xâm phạm này đảm nhiệm một chức năng cụ thể: phân phối phần thưởng khai thác thanh khoản và các ưu đãi quảng cáo cho các nhà giao dịch tích cực. Nó chứa các token POL dành riêng cho các chương trình này, không phải USDC hoặc các stablecoin khác dùng cho các vị trí thị trường.

Ví này hoạt động như một ví nóng, nghĩa là khóa riêng của nó được lưu trữ theo cách cho phép các giao dịch tự động, thường xuyên. An toàn của ví nóng so với ví lạnh là điều đã được hiểu rõ trong ngành: ví nóng cho phép tốc độ và tự động hóa nhưng đi kèm rủi ro cao hơn vì chìa khóa của chúng có thể truy cập qua các hệ thống trực tuyến. Ví lạnh an toàn hơn nhiều nhưng không phù hợp cho các khoản thanh toán tự động, tần suất cao. Tính chất cần thiết của ví này chính là lý do khiến nó dễ bị tấn công.

Đánh giá tác động và trấn an về an toàn của người dùng

Thiệt hại tài chính từ vụ việc này khá hạn chế. Khoảng 115.000 USD POL bị trộm chiếm một phần nhỏ trong tổng giá trị bị khóa của Polymarket, vốn vượt quá 480 triệu USD vào thời điểm xảy ra vụ xâm phạm. Khối lượng giao dịch hàng ngày của nền tảng không bị ảnh hưởng, và không có thị trường nào bị tạm dừng hoặc gián đoạn.

Kiến trúc của Polymarket đóng vai trò quan trọng trong việc hạn chế thiệt hại. Nền tảng tách biệt ví hoạt động khỏi hạ tầng hợp đồng thông minh giữ quỹ người dùng và quản lý kết quả thị trường. Việc phân tách này là một thiết kế có chủ đích, và đã phát huy tác dụng trong vụ việc này.

Phân tách quỹ người dùng và kết quả thị trường

Quỹ người dùng của Polymarket được giữ trong các hợp đồng thông minh trên Polygon, do mã của giao thức kiểm soát chứ không phải khóa riêng tư của một ví nào đó. Các khoản gửi, rút và giải quyết thị trường đều thực hiện qua các hợp đồng này. Ví hoạt động bị xâm phạm không có quyền kiểm soát các chức năng này.

Việc này theo nguyên tắc đã được các giao thức DeFi trưởng thành áp dụng ngày càng nhiều: giảm thiểu số lượng ví có quyền hạn rộng. Ví hoạt động chỉ có thể gửi POL để thưởng; không thể tương tác với số dư người dùng, thay đổi tham số thị trường hoặc kích hoạt giải quyết. Ngay cả khi kẻ tấn công muốn thao túng thị trường, ví này hoàn toàn không có quyền để làm điều đó.

Tình trạng hiện tại của hoạt động nền tảng và thanh khoản

Tại thời điểm viết bài, Polymarket hoạt động bình thường. Việc phân phối thưởng tạm thời bị dừng trong khi nhóm phát triển thay đổi khóa và triển khai ví thay thế. Nền tảng xác nhận rằng các phần thưởng còn nợ người dùng sẽ được thanh toán từ quỹ dự trữ riêng.

Thanh khoản của các thị trường chính, bao gồm các dự đoán chính trị Mỹ và các hợp đồng sự kiện toàn cầu, vẫn ổn định. Không có đợt rút tiền lớn nào xảy ra trong 48 giờ sau khi công bố, cho thấy cộng đồng phần lớn chấp nhận lời giải thích của Polymarket và tính hạn chế của vụ xâm phạm.

Ảnh hưởng an ninh đối với các thị trường dự đoán phi tập trung

Vụ hack này đặt ra các câu hỏi rộng hơn về cách các thị trường dự đoán, và các nền tảng DeFi nói chung, quản lý mâu thuẫn giữa phi tập trung và tiện ích vận hành. Polymarket hoạt động theo mô hình lai: các cơ chế thị trường cốt lõi chạy trên hợp đồng thông minh, nhưng các chức năng hỗ trợ (thưởng, phân tích, hỗ trợ khách hàng) dựa trên hạ tầng truyền thống, tập trung hơn.

Mô hình lai này phổ biến trong DeFi năm 2026. Các hoạt động hoàn toàn phi tập trung vẫn còn chưa thực tế đối với các nền tảng cần thu hút người dùng chính thống, tuân thủ các quy định như MiCA ở châu Âu, và duy trì trải nghiệm người dùng cạnh tranh. Thay vào đó, các thành phần tập trung tạo ra các điểm yếu tập trung.

Rủi ro của ví hoạt động tập trung

Bất kỳ ví nào do một khóa riêng kiểm soát đều là mục tiêu. Các quy trình an ninh của các thị trường dự đoán quản lý hợp đồng thông minh không mở rộng đến các ví hoạt động trừ khi nhóm thiết kế chúng theo cách đó. Các phương thức tấn công phổ biến bao gồm:

• Máy móc hoặc môi trường đám mây của nhà phát triển bị xâm phạm, nơi lưu trữ khóa
• Các cuộc tấn công lừa đảo nhắm vào thành viên nhóm có quyền truy cập ví
• Các mối đe dọa nội bộ từ nhân viên hiện tại hoặc cựu nhân viên
• Các cuộc tấn công chuỗi cung ứng phần mềm quản lý khóa

Vụ việc của Polymarket chưa được quy trách nhiệm cho một phương thức tấn công cụ thể nào, mặc dù nền tảng đã cho biết đang điều tra cùng các công ty an ninh bên ngoài.

Các thực hành tốt nhất để giảm thiểu rủi ro ví nóng

Một số thực hành có thể giảm thiểu rủi ro và tác động của việc ví nóng bị xâm phạm:

• Sử dụng ví multisig cho bất kỳ địa chỉ nào giữ giá trị lớn, kể cả ví hoạt động
• Thiết lập giới hạn chi tiêu để hạn chế số tiền có thể chuyển trong một giao dịch hoặc trong một khoảng thời gian
• Thay đổi khóa định kỳ và sau các thay đổi nhân sự
• Lưu trữ khóa ví nóng trong các thiết bị phần cứng bảo mật thay vì phần mềm
• Giám sát các luồng ra ngoài theo thời gian thực với cảnh báo tự động được hiệu chỉnh để phát hiện các mẫu bất thường

Polymarket đã cho biết sẽ áp dụng một số biện pháp này cho ví hoạt động thay thế của mình, bao gồm yêu cầu multisig và giới hạn chi tiêu theo từng giao dịch.

Giám sát liên tục và các bước khắc phục trong tương lai

Phản ứng của Polymarket đối với việc mất khóa riêng của ví crypto này đã khá minh bạch, tạo tiền đề tích cực. Nền tảng cam kết công bố báo cáo phân tích toàn diện trong vòng 30 ngày, bao gồm nguyên nhân gốc rễ của việc rò rỉ khóa, dòng thời gian chi tiết và các biện pháp khắc phục đang được thực hiện.

Cộng đồng dự đoán rộng lớn hơn cần chú ý. Khi các nền tảng như Polymarket, Kalshi và các đối thủ mới cạnh tranh thị phần, các sự cố an ninh sẽ ngày càng ảnh hưởng đến niềm tin của người dùng và nhận thức về quy định. Một vụ xâm phạm được xử lý tốt, với việc tiết lộ nhanh chóng, truyền thông rõ ràng và khả năng kiểm soát, thậm chí còn có thể nâng cao uy tín của nền tảng. Ngược lại, xử lý kém, trì hoãn, che giấu hoặc mất mát người dùng có thể gây hậu quả nghiêm trọng.

Đối với người dùng, bài học rõ ràng là: hãy hiểu rõ nơi quỹ của bạn thực sự nằm. Nếu chúng nằm trong hợp đồng thông minh đã được kiểm toán và không có quyền quản trị bằng khóa đơn, bạn đang ở trong một rủi ro khác biệt hoàn toàn so với khi chúng nằm trong ví do một người kiểm soát. Hãy đặt câu hỏi. Đọc các báo cáo kiểm toán. Và chú ý khi các nhà phân tích chuỗi như Bubblemaps cảnh báo, vì họ thường phát hiện ra vấn đề trước chính các nền tảng.