Sàn giao dịch tiền mã hóa bị hack: 81 vụ, 5,1 tỷ USD bị đánh cắp, chỉ 40% được bồi thường toàn bộ

Trong 81 vụ xâm nhập sàn giao dịch được ghi nhận từ năm 2011 đến nay, chỉ 40% kết thúc với việc người dùng được bồi thường toàn bộ. Vì vậy, khả năng gánh chịu thiệt hại của một sàn là điều đáng kiểm tra nhất trước khi bạn nạp tiền.

Xét theo tiêu chí này, MEXC là lựa chọn hàng đầu của chúng tôi trong bài so sánh: đợt xác minh độc lập của Hacken ngày 10/8/2026 xác nhận tỷ lệ dự trữ trên 100% đối với cả bốn tài sản thuộc phạm vi kiểm tra, và trang dự trữ của chính MEXC cho thấy tỷ lệ dự trữ BTC đạt 287,53% trong cùng bản chụp dữ liệu (snapshot).

Hồ sơ đầy đủ của cả 81 vụ, kèm kết quả cho người dùng ở từng dòng, được trình bày ngay bên dưới.

Key Takeaways

• MEXC là lựa chọn hàng đầu của chúng tôi về rủi ro lưu ký trong bài so sánh này: ngày 10/8/2026, Hacken đã xác minh độc lập tỷ lệ dự trữ trên 100% đối với BTC, ETH, USDT và USDC, bên cạnh Quỹ bảo vệ Guardian (Guardian Fund) trị giá 100 triệu USD.
• Chúng tôi đã ghi nhận 81 vụ hack sàn giao dịch tập trung trên 72 nền tảng từ tháng 6/2011 đến tháng 8/2026, với tổng thiệt hại khoảng 5,1 tỷ USD tính theo giá trị tại thời điểm xảy ra từng vụ.
• Người dùng chỉ được bồi thường toàn bộ trong 32/81 vụ, còn ở 44 vụ khác vẫn có người chịu thiệt.
• Các sàn đã bồi thường đầy đủ cho người dùng có tỷ lệ tồn tại 79%, so với 26% ở những sàn không làm vậy.
• Sự cố ở ví lạnh và quy trình ký chỉ chiếm 6% số vụ nhưng gây ra 44% tổng số tiền bị mất, trung bình mỗi vụ thiệt hại gấp khoảng mười lần so với các vụ xâm nhập ví nóng.
• MEXC không phải là sàn được cấp phép theo cách Coinbase, Kraken hay Gemini được cấp phép tại thị trường sở tại của họ; nếu bạn cần một đối tác giao dịch chịu sự giám sát của cơ quan quản lý, hãy cân nhắc điều này trước tiên.

Khi một sàn giao dịch bị hack, câu hỏi đầu tiên người dùng đặt ra không phải là kẻ tấn công đã xâm nhập bằng cách nào.

Mà là liệu tiền có được trả lại hay không.

Câu hỏi này khó trả lời hơn bạn tưởng, bởi gần như mọi danh sách các vụ hack sàn được công bố đều chỉ ghi lại ngày tháng và số tiền rồi dừng ở đó.

Còn kết quả – phần quyết định người dùng có mất đồng nào hay không – thì bị đẩy xuống phần chú thích hoặc bị bỏ qua hoàn toàn.

Vì vậy, chúng tôi đưa kết quả vào thẳng bảng dữ liệu, và bức tranh tổng thể rút ra từ đó chính là lý do bài viết này mở đầu bằng một khuyến nghị thay vì để dành đến cuối.

Chỉ 40% sàn bị hack đã bồi thường toàn bộ cho người dùng

Đây là cột mà phần lớn các danh sách công khai bỏ qua, và nó tạo ra biểu đồ đáng lo ngại nhất trên trang này.

Người dùng được bồi thường toàn bộ trong 32/81 vụ.

Người dùng được bồi thường một phần trong 16 vụ, không nhận được gì trong 14 vụ, và vẫn đang chờ đợi trong 14 vụ khác.

Có 5 vụ hoàn toàn không làm mất tiền của người dùng, vì cuộc tấn công đã bị phát hiện kịp thời hoặc vì nó nhắm vào tài sản của doanh nghiệp chứ không phải tài sản của khách hàng.

Xu hướng chung thực sự đang được cải thiện.

Từ năm 2018, quỹ bảo hiểm, bảng cân đối kế toán lớn hơn và cái giá phải trả về uy tín khi xử lý sai đều đẩy các sàn đi theo cùng một hướng.

Dù vậy, nếu chọn ngẫu nhiên một sàn từng bị hack, khả năng người nạp tiền được bồi thường đầy đủ vẫn thấp hơn mức 50/50 một chút.

Còn một mối tương quan nữa cần được nêu ra một cách thận trọng.

Trong 29 sàn có mọi sự cố đều kết thúc bằng việc bồi thường toàn bộ, 23 sàn vẫn đang hoạt động đến nay, tương ứng tỷ lệ tồn tại 79%.

Trong 43 sàn để người dùng chịu thiệt ở ít nhất một sự cố, 11 sàn vẫn còn hoạt động, tương ứng tỷ lệ 26%.

Ở đây, quan hệ nhân quả diễn ra theo cả hai chiều và chúng tôi không khẳng định khác đi: nền tảng vững mạnh thì đủ sức bồi thường, và việc bồi thường giúp nền tảng tiếp tục vững mạnh.

Điều mà mối tương quan này thực sự khẳng định được là việc một sàn sẵn sàng gánh thiệt hại không phải là làm từ thiện.

Đó chính là cùng một năng lực cốt lõi quyết định sàn đó có còn tồn tại sau ba năm nữa hay không.

Trong 81 vụ, bốn mô hình bồi thường thực sự hiệu quả gồm: quỹ bảo hiểm được cấp vốn từ trước (KuCoin); tiền mặt của chính công ty (Coincheck, sàn đã hoàn trả khoảng 440 triệu USD cho toàn bộ 260.000 khách hàng bị ảnh hưởng vào đầu năm 2018, theo một mức giá cố định thấp hơn giá trị tại thời điểm bị đánh cắp); token nợ được mua lại dần theo thời gian (Bitfinex, sàn này trước tiên cắt giảm khoảng 36% số dư của mọi tài khoản và phát hành token BFX, toàn bộ số token này đã được mua lại bằng USD trong vòng tám tháng); và nguồn vốn khẩn cấp từ bên thứ ba, sau đó là xác minh lại một cách độc lập (Bybit).

Ngoài những cách trên, chưa có phương thức nào khác trả lại tiền cho người dùng một cách đáng tin cậy.

Để xem các nền tảng đã xử lý từng bước một sự cố gần đây như thế nào, hãy đọc nghiên cứu tình huống so sánh cách các sàn ứng phó sự cố của chúng tôi.

Vì sao MEXC là lựa chọn hàng đầu của chúng tôi về rủi ro lưu ký

Việc một sàn bị hack có bồi thường đầy đủ cho người dùng hay không gần như chẳng liên quan đến quy mô thiệt hại.

Điều quyết định là nền tảng đó có sẵn bảng cân đối kế toán và hệ thống kiểm soát nội bộ đủ để hấp thụ thiệt hại trước khi sự cố xảy ra hay không.

KuCoin đã bù đắp 275 triệu USD vào năm 2020 vì sàn này đã có sẵn một quỹ bảo hiểm.

Năm 2025, Bybit đã bổ sung đầy đủ dự trữ chỉ trong vài ngày nhờ nguồn vốn khẩn cấp từ các công ty trading, sau đó nhờ Hacken xác minh lại tình trạng dự trữ, và hoạt động rút tiền vẫn mở suốt thời gian đó.

CoinBene mất một khoản tương đương vào năm 2019, phủ nhận việc bị hack, và người dùng không lấy lại được gì.

Điều khó chịu với bất kỳ ai đang chọn sàn là khi sự việc đã xảy ra, bạn không thể phân biệt các trường hợp này nếu chỉ nhìn từ bên ngoài.

Bạn phải kiểm tra trước khi nạp tiền, và có ba điều có thể xác minh từ trước.

Thứ nhất: dự trữ được một bên thứ ba có danh tính rõ ràng kiểm tra theo lịch cố định

Một bản chụp dữ liệu đơn lẻ không chứng minh được điều gì về đúng tháng mà bạn thực sự cần đến nó.

MEXC công bố Bằng chứng dự trữ (PoR) hằng tháng, được công ty bảo mật blockchain Hacken xác minh độc lập; Hacken tự công bố từng báo cáo thay vì gửi cho MEXC phê duyệt.

Đợt xác minh ngày 10/8/2026 bao gồm BTC, ETH, USDT và USDC trên 27 mạng, và xác nhận tỷ lệ dự trữ trên 100% đối với cả bốn tài sản.

Thứ hai: một quỹ có tên gọi cụ thể, chuyên dùng để hấp thụ thiệt hại phía nền tảng

MEXC duy trì Quỹ bảo vệ Guardian trị giá 100 triệu USD, dành riêng cho đúng loại sự kiện được liệt kê trên trang này, tách biệt với Quỹ bảo hiểm Futures dùng để bù đắp khoản thiếu hụt khi thanh lý.

Mọi nền tảng từng bù đắp toàn bộ thiệt hại trong cơ sở dữ liệu này đều đã có sẵn một quỹ dự phòng được cấp vốn trước khi sự cố xảy ra, chứ không phải một lời cam kết đưa ra sau đó.

Thứ ba: tự xác minh số dư của bạn thay vì tin vào một bản tóm tắt

Cơ chế cây Merkle (Merkle Tree) của MEXC cho phép bất kỳ người dùng nào xác nhận số dư của mình đã được tính vào tổng nợ phải trả được công bố, và công cụ xác thực được công bố dưới dạng mã nguồn mở nên việc kiểm tra không phụ thuộc vào việc bạn có tin lời chúng tôi hay không.

Dưới đây là ý nghĩa của những số liệu dự trữ đó đối với một khoản tiền nạp, dựa trên các con số trong báo cáo tháng 8/2026.

MEXC báo cáo 12.312,75 BTC dự trữ on-chain đã được xác minh, so với 4.282,20 BTC nợ phải trả đối với người dùng.

Lấy con số này chia cho con số kia, cứ mỗi 1 BTC người dùng nắm giữ được bảo chứng bằng 2,88 BTC dự trữ mà Hacken xác nhận do MEXC kiểm soát, bằng cách yêu cầu từng địa chỉ thực hiện một giao dịch chuyển đi có chữ ký.

Với USDT, con số là 1.939.932.810,71 dự trữ so với 1.691.925.884,19 nợ phải trả, tương đương 114,65%.

Cả hai con số đều có trên trang Bằng chứng dự trữ công khai kèm địa chỉ ví, nên bất kỳ ai có máy tính bỏ túi cũng có thể tự tính lại.

Đi kèm những con số đó là hai giới hạn cần nói thẳng.

Chính báo cáo của Hacken nêu rõ rằng Bằng chứng dự trữ là bản xác nhận tài sản on-chain tại một thời điểm nhất định và không nên được coi là một cuộc kiểm toán tài chính toàn diện về các khoản nợ phải trả hay tình hình tài chính tổng thể của công ty.

Lưu ý này là chính xác, và nó áp dụng cho mọi sàn công bố loại báo cáo này, kể cả chúng tôi.

Giới hạn thứ hai là MEXC không phải là sàn được cấp phép theo nghĩa mà Coinbase, Kraken hay Gemini được cấp phép tại thị trường sở tại; nếu bạn đặt một đối tác giao dịch chịu sự giám sát của cơ quan quản lý lên trên hết, hãy cân nhắc yếu tố này cho phù hợp.

Điều mà một đợt xác minh độc lập hằng tháng thực sự mang lại là thứ người dùng CoinBene đã không có: một cách để tự kiểm tra tình trạng dự trữ, trước khi bạn cần đến nó.

Bài giải đáp đầy đủ của chúng tôi về câu hỏi MEXC có an toàn không trình bày chi tiết các biện pháp bảo mật và bảo vệ tài sản của nền tảng.

Thế nào là một vụ hack sàn giao dịch tiền mã hóa (và vì sao FTX không được tính)

Phần lớn các danh sách “vụ hack sàn giao dịch tiền mã hóa” lặng lẽ gộp chung ba loại sự kiện khác nhau, đó là lý do tổng số của chúng chênh lệch nhiều đến vậy.

Xác định ranh giới là việc đầu tiên mà cơ sở dữ liệu này thực hiện.

Nhóm A: xâm nhập tài sản lưu ký của sàn giao dịch tập trung

Kẻ tấn công từ bên ngoài hoặc bên trong đã chiếm quyền kiểm soát trái phép đối với tài sản mà sàn đang nắm giữ thay mặt người dùng.

Đây là nhóm duy nhất được ghi nhận trong bảng bên dưới.

Nhóm B: khai thác lỗ hổng giao thức tài chính phi tập trung (DeFi) và sàn giao dịch phi tập trung

Ronin, Poly Network, Wormhole, Balancer, và hai vụ lớn nhất năm 2026 tính đến nay là Drift Protocol vào tháng 4 và KelpDAO vài ngày sau đó, đều thuộc nhóm này.

Không có bên lưu ký nào nắm giữ số tiền này, lỗi nằm ở logic của hợp đồng thông minh hoặc cầu nối blockchain (bridge), và các biện pháp khắc phục sau đó cũng hoàn toàn khác.

Nếu tính cả các vụ này, tổng thiệt hại của sàn giao dịch sẽ bị thổi phồng thêm hàng tỷ USD mà chẳng cho người dùng biết gì về rủi ro khi để coin trên tài khoản sàn.

Nhóm C: sụp đổ, chiếm dụng tài sản và exit scam

FTX là trường hợp hay bị tính sai nhất.

Khoảng 477 triệu USD rời khỏi các ví của FTX vào tháng 11/2022, sau khi công ty đã nộp đơn phá sản, còn khoản thiếu hụt 8,9 tỷ USD tiền của khách hàng đằng sau sự sụp đổ đó đến từ hành vi chiếm dụng tài sản chứ không phải xâm nhập.

Thodex là một vụ exit scam (ôm tiền bỏ trốn).

Zondacrypto ngừng xử lý lệnh rút tiền vào năm 2026 sau khi thừa nhận rằng khóa riêng tư của một ví lạnh chứa 4.503 BTC chưa từng được bàn giao trong lần thay đổi chủ sở hữu năm 2021; đây là một thất bại về quản trị, hoàn toàn không có bóng dáng kẻ tấn công nào.

Sự cố Coldcard tháng 7/2026 nằm ngoài cả ba nhóm, vì sự cố này rút sạch tiền trong các ví tự lưu ký chứ không phải tại một sàn giao dịch.

Các sự kiện nhóm C đã làm bốc hơi nhiều tiền của người dùng hơn phần lớn các sự kiện nhóm A, nên việc loại chúng ra không phải là cách khiến các con số trông nhỏ đi.

Mà là cách để các con số đó thực sự có ý nghĩa.

Người dùng đang cân nhắc nơi giữ tiền giao dịch cần biết các bên lưu ký bị xâm nhập thường xuyên đến mức nào và chuyện gì xảy ra sau đó; câu hỏi ấy chỉ có lời đáp khi bộ dữ liệu chỉ chứa một loại sự kiện.

Hướng dẫn của chúng tôi về Bằng chứng dự trữ và tính minh bạch của sàn giao dịch phân tích chi tiết trường hợp Zondacrypto.

Xếp hạng 15 vụ hack sàn giao dịch tiền mã hóa lớn nhất mọi thời đại

Xếp theo giá trị tại thời điểm bị xâm nhập và chỉ tính nhóm A, 15 vụ lớn nhất như sau.

Số liệu thiệt hại được tính theo giá trị vào ngày xảy ra sự cố và được xác minh đến ngày 28/8/2026 dựa trên đưa tin của truyền thông chính thống và các cơ sở dữ liệu bảo mật blockchain được duy trì thường xuyên. Khi các nguồn đáng tin cậy đưa ra số liệu chênh lệch đáng kể, cả hai đầu của khoảng giá trị đều được thể hiện.

15 vụ này chiếm khoảng 60% tổng giá trị được ghi nhận trong cơ sở dữ liệu.

Có hai điểm trong bảng đáng để dừng lại xem xét.

Thứ nhất, được bồi thường toàn bộ không có nghĩa là sàn sẽ tồn tại, như trường hợp DMM Bitcoin cho thấy: sàn này đã bù đắp thiệt hại, rồi chuyển giao các tài khoản sang một nhà vận hành sàn khác tại Nhật Bản và cuối cùng vẫn đóng cửa.

Thứ hai, vụ Mt. Gox đến nay vẫn chưa khép lại.

Mười hai năm sau khi sàn sụp đổ, người được ủy thác do tòa án chỉ định đã một lần nữa gia hạn thời hạn hoàn trả, đến ngày 31/10/2026, và đến nay khoảng 19.500 chủ nợ đã được hoàn trả.

Lịch sử các vụ hack sàn giao dịch tiền mã hóa: toàn bộ 81 vụ từ 2011 đến 2026

Mọi sự cố nhóm A mà chúng tôi có thể xác minh, xếp từ mới nhất đến cũ nhất.

Dữ liệu được xác minh đến ngày 28/8/2026 dựa trên đưa tin của truyền thông chính thống, các cơ sở dữ liệu bảo mật blockchain được duy trì thường xuyên và, nếu có, thông báo sự cố của chính từng nền tảng. Số liệu được tính theo giá trị vào ngày xảy ra sự cố. Khi các nguồn đáng tin cậy đưa ra tổng số chênh lệch đáng kể, chúng tôi thể hiện khoảng giá trị thay vì chọn một con số duy nhất.

2025 và 2026: những năm hậu Bybit

Một số danh sách các vụ hack sàn giao dịch được trích dẫn rộng rãi vẫn chỉ dừng ở giữa năm 2024, nghĩa là bỏ sót vụ trộm lớn nhất trong lịch sử ngành cùng mọi diễn biến sau đó.

Tính theo giá trị, năm 2025 là năm tồi tệ nhất từng được ghi nhận, với khoảng 1,8 tỷ USD bị đánh cắp trong 10 vụ.

Riêng Bybit đã chiếm khoảng 80% con số đó, nhưng 9 vụ còn lại mới đáng chú ý hơn, vì chúng cho thấy các cuộc tấn công đã thay đổi như thế nào.

Phemex mở màn năm vào tháng 1 với vụ xâm phạm khóa riêng tư ví nóng trải trên mười sáu blockchain.

BitoPro mất khoảng 11,5 triệu USD vào tháng 5 do mã độc, trong một sự cố mà sàn quy cho các nhóm tin tặc Triều Tiên.

Tháng 6 chứng kiến một điều chưa từng có: khoảng 90 triệu USD lấy từ sàn Nobitex của Iran không bị đem đi rửa mà bị chuyển đến những địa chỉ không ai kiểm soát, tức là bị tiêu hủy như một hành động mang tính chính trị thay vì bị đánh cắp để trục lợi.

Tháng 7 có ba sự cố chỉ trong chín ngày.

BigONE mất 27 triệu USD trong một cuộc tấn công chuỗi cung ứng làm thay đổi logic máy chủ mà không cần chạm đến khóa riêng tư nào, sau đó cam kết bồi thường toàn bộ thiệt hại cho người dùng và khôi phục giao dịch ngay trong ngày.

CoinDCX mất 44,2 triệu USD từ một ví vận hành nội bộ và tự gánh toàn bộ số tiền này bằng ngân quỹ công ty, nên số dư của khách hàng không hề bị ảnh hưởng.

WOO X mất 14 triệu USD sau khi một cuộc tấn công phishing xâm nhập thiết bị của một thành viên trong nhóm và giúp kẻ tấn công truy cập vào môi trường phát triển.

Tháng 8, BtcTurk hứng chịu vụ xâm nhập lớn thứ hai trong vòng mười bốn tháng; đến tháng 11, Upbit bị hack lần thứ hai trong sáu năm, lần này do một lỗ hổng cho phép suy ra khóa riêng tư.

Dunamu, đơn vị vận hành Upbit, đã gánh khoản thiệt hại này, đóng băng một phần số tiền bị đánh cắp và khôi phục hoạt động nạp, rút tiền vào ngày 6/12.

Tháng 7/2026, Cơ quan Giám sát Tài chính Hàn Quốc (FSS) đã khởi động thủ tục xử phạt Dunamu liên quan đến sự cố này, một lời nhắc rằng bù đắp thiệt hại và đáp ứng yêu cầu của cơ quan quản lý là hai phép thử khác nhau.

Năm 2026 tương đối yên ắng ở các sàn giao dịch, dù các lĩnh vực khác của thị trường crypto thì không.

Sự cố nhóm A duy nhất tính đến nay là Grinex vào tháng 4, và đây là một trường hợp bất thường.

Nền tảng đăng ký tại Kyrgyzstan đang chịu lệnh trừng phạt này đã tạm ngừng hoạt động và đổ lỗi cho các cơ quan tình báo phương Tây về khoản thiệt hại khoảng 1 tỷ rúp, nhưng Chainalysis lưu ý rằng số stablecoin bị đánh cắp đã được hoán đổi gần như ngay lập tức sang các tài sản không thể đóng băng, một dấu hiệu điển hình của hoạt động rửa tiền chứ không phải một chiến dịch cấp nhà nước.

Chúng tôi ghi nhận vụ việc này kèm lưu ý đó thay vì lặp lại lời giải thích của nền tảng.

Các phương thức tấn công, xếp hạng theo thiệt hại thực tế

Quan điểm phổ biến được lặp lại trong hầu hết các bài viết về chủ đề này cho rằng các vụ xâm phạm ví nóng chiếm phần áp đảo trong tổng thiệt hại của các sàn giao dịch.

Xét theo số vụ, điều này có cơ sở.

Xét theo số tiền thì sai, và khoảng cách giữa hai góc nhìn này là phát hiện hữu ích nhất trong bộ dữ liệu.

Các vụ xâm phạm khóa của ví nóng và warm wallet là dạng sự cố phổ biến nhất với 31/81 vụ, và chiếm 28% giá trị bị mất.

Sự cố ở ví lạnh và quy trình ký chỉ xảy ra 5 lần.

Chỉ riêng 5 vụ này đã chiếm 44% tổng số tiền từng bị lấy khỏi các sàn giao dịch tập trung.

Một vụ xâm nhập ví nóng trung bình gây thiệt hại khoảng 46 triệu USD; một sự cố ví lạnh hoặc quy trình ký trung bình gây thiệt hại khoảng 450 triệu USD, gấp khoảng mười lần.

Nguyên nhân nằm ở cấu trúc chứ chẳng có gì bí ẩn.

Ví nóng chỉ chứa vốn lưu động phục vụ vận hành, nên khi bị xâm phạm, thứ bị rút sạch là số tiền cần cho các lệnh rút trong ngày hôm đó.

Lưu trữ lạnh (cold storage) chứa phần dự trữ, nên khi quy trình bảo vệ nó thất bại, toàn bộ số dư đều bị đặt vào vòng rủi ro.

Bybit là ví dụ rõ ràng nhất, nhưng lại thường bị mô tả sai.

Cuộc tấn công tháng 2/2025 không xâm nhập vào ví nóng.

Kẻ tấn công đã xâm phạm giao diện dùng để rà soát và ký một giao dịch chuyển tiền định kỳ từ lưu trữ lạnh, khiến những người ký (signer) phê duyệt một giao dịch không thực hiện đúng những gì màn hình của họ hiển thị.

WazirX năm 2024 thất bại theo cách tương tự thông qua cơ chế lưu ký đa chữ ký (multisig) của bên thứ ba, còn Coincheck năm 2018 mất 530 triệu USD vì giữ một lượng NEM khổng lồ trong một ví nóng duy nhất, hoàn toàn không có lớp bảo vệ multisig nào.

Xu hướng thứ ba đáng gọi tên là các cuộc tấn công đã chuyển sang off-chain (ngoài chuỗi).

Kẻ tấn công BigONE thay đổi logic máy chủ mà không đánh cắp khóa nào.

Kẻ tấn công WOO X dùng phishing để xâm nhập một chiếc laptop.

Kẻ tấn công CoinDCX xâm phạm một tài khoản vận hành nội bộ.

Không vụ nào trong số đó cần tìm ra lỗ hổng của blockchain hay hợp đồng thông minh, đó là lý do vì sao giờ đây an ninh vận hành của một sàn quan trọng với người nạp tiền hơn cả công nghệ mật mã của sàn.

Số coin bị đánh cắp đó hiện nay trị giá bao nhiêu

Vì phần lớn các vụ trộm thời kỳ đầu đều tính bằng bitcoin, các số liệu thiệt hại trong quá khứ phản ánh thấp hơn rất nhiều so với giá trị thực sự đã bị lấy đi.

Mt. Gox mất khoảng 460 triệu USD vào năm 2014.

Cùng 850.000 BTC đó ngày nay sẽ trị giá khoảng 68 tỷ USD.

24.000 BTC của Bitfloor từng được ghi nhận là khoản thiệt hại 250.000 USD vào năm 2012 và nay sẽ trị giá khoảng 1,9 tỷ USD.

Vụ xâm nhập Bitcoinica tháng 3/2012 với 43.554 BTC được báo cáo ở mức 228.000 USD và nay sẽ vào khoảng 3,5 tỷ USD.

Đây không phải là một bảng thành tích, và cũng không phải lập luận rằng những người dùng đó bị cướp mất giá trị theo giá hiện nay.

Đó là lời nhắc rằng hệ quả của quyết định lưu ký cũng nhân lên theo cùng chiều với giá.

Những sàn nào chưa từng bị hack? Tuyên bố này đáng tin đến đâu

Một số sàn giao dịch lớn chưa từng công bố sự cố xâm nhập tài sản lưu ký, và ngôn ngữ tiếp thị xoay quanh thực tế đó đáng được xem xét kỹ hơn mức thường thấy.

Coinbase đã hoạt động từ năm 2012 mà chưa có báo cáo nào về việc tài sản khách hàng bị đánh cắp ở cấp độ nền tảng, dù sàn này đã công bố một vụ rò rỉ dữ liệu khách hàng vào tháng 5/2025 liên quan đến các nhân viên hỗ trợ thuê ngoài ở nước ngoài bị mua chuộc.

Kraken thường được mô tả là chưa từng bị hack, điều này gần đúng nhưng không hoàn toàn chính xác.

Tháng 6/2024, một nhà nghiên cứu bảo mật đã báo cáo một lỗi ghi nhận tiền nạp cho chương trình bug bounty của Kraken, sau đó chia sẻ lỗi này với hai người khác, và hai người này đã rút khoảng 3 triệu USD từ ngân quỹ của chính Kraken.

Giám đốc bảo mật (CSO) của Kraken cho biết các bên này từ chối trả lại tiền và công khai gọi yêu cầu của họ là tống tiền, công ty bảo mật CertiK phản bác lời giải thích đó, và số tiền đã được trả lại vài ngày sau.

Không khách hàng nào bị mất tiền, lỗi được vá trong 47 phút, và sự cố này có trong bảng của chúng tôi vì một hồ sơ sạch mà lặng lẽ bỏ qua nó sẽ kém đáng tin hơn một hồ sơ có ghi nhận nó.

Gemini cũng chưa từng báo cáo vụ xâm nhập tài sản lưu ký nào, dù người dùng sản phẩm Earn của sàn này đã mất quyền truy cập vào tiền do một đối tác cho vay bên thứ ba phá sản; đó là sự kiện nhóm C chứ không phải một vụ hack.

MEXC cũng cần được nhắc đến trong cùng đoạn này, với cùng một tiêu chuẩn.

MEXC hoạt động từ năm 2018 và chưa công bố khoản thiệt hại lưu ký nào tương tự; tính đến ngày 28/8/2026, chưa có vụ xâm nhập tài sản lưu ký ở cấp độ nền tảng nào tại MEXC được công bố công khai hay được ghi nhận bởi truyền thông chính thống hoặc các cơ sở dữ liệu bảo mật blockchain được duy trì thường xuyên mà chúng tôi dùng để biên soạn trang này.

Đây là một nhận định có thể kiểm chứng chứ không phải một lời hứa, và đó là hình thức duy nhất mà tuyên bố này nên có.

Việc chưa xảy ra sự cố chỉ là bằng chứng về quá khứ.

Coincheck, Bybit và KuCoin đều có hồ sơ sạch cho đến tận buổi sáng ngày sự cố ập đến.

Để xem các nền tảng này so sánh với nhau ra sao ngoài hồ sơ bảo mật, hãy đọc bài so sánh đầy đủ các sàn giao dịch tiền mã hóa tốt nhất.

Bắt đầu với sàn giao dịch sẵn sàng công khai số liệu

Cách kiểm tra một sàn giao dịch trước khi nạp tiền

Ba bước kiểm tra dưới đây mất khoảng mười phút và lẽ ra đã giúp phát hiện trước những nền tảng yếu nhất trong cơ sở dữ liệu này.

1. Tìm báo cáo dự trữ và kiểm tra ngày. Một trang Bằng chứng dự trữ có bản chụp dữ liệu từ tháng này mới có ý nghĩa; bản từ năm ngoái chỉ để trang trí. Hãy tìm đơn vị kiểm toán được nêu tên thay vì một con số do sàn tự công bố.
2. Tự làm phép tính. Lấy dự trữ được công bố chia cho nợ phải trả đối với người dùng được công bố, cho từng tài sản bạn nắm giữ. Nếu trang chỉ hiển thị tỷ lệ phần trăm mà không có hai con số đằng sau, thì bản thân điều đó đã là một phát hiện.
3. Tìm một quỹ hấp thụ thiệt hại có tên gọi cụ thể và quy mô của quỹ. Hãy tìm một con số được công bố, chứ không phải một tuyên bố chung chung rằng sàn có quỹ bảo hiểm.

Những nền tảng nào công bố các số liệu đó được trình bày trong hướng dẫn của chúng tôi về các sàn giao dịch tiền mã hóa có Bằng chứng dự trữ.

Một trang dự trữ đáng tin cậy sẽ hiển thị ngày chụp dữ liệu, cả hai con số gốc và địa chỉ ví, như hình trên.

Có thêm hai tín hiệu giúp phân biệt những nền tảng nhỏ đáng dùng với những nền tảng không đáng dùng.

Hãy kiểm tra xem có công cụ theo dõi độc lập nào bao quát sàn đó hay không, vì một sàn chưa được bên thứ ba nào đánh giá thì người dùng nhỏ lẻ không có cách nào kiểm tra; vấn đề này được phân tích trong các hướng dẫn của chúng tôi về cách thẩm định một sàn chưa được theo dõi và về các nền tảng hoạt động sau khi cơ quan quản lý ra cảnh báo.

Sau đó, hãy kiểm tra xem nền tảng đã nói gì và làm gì sau sự cố của chính mình (nếu từng xảy ra), vì cách phản ứng sau sự cố thường cho biết nhiều điều hơn bản thân sự cố.

Bài đánh giá của chúng tôi về BigONE và các sàn thay thế thực hiện đúng phép so sánh đó đối với một nền tảng đã bị hack và sau đó bồi thường.

Quan điểm của chúng tôi: vì sao một sàn giao dịch lại công bố cơ sở dữ liệu các vụ hack

Chúng tôi công bố cơ sở dữ liệu này với tư cách là một sàn giao dịch, nghĩa là bạn đọc hoàn toàn có quyền hỏi chúng tôi được lợi gì từ việc này.

Câu trả lời thẳng thắn là: một hồ sơ đầy đủ và chính xác về các thất bại lưu ký là lập luận thuyết phục cho dự trữ có thể xác minh, hơn bất kỳ trang tiếp thị nào chúng tôi có thể viết, và MEXC có dự trữ có thể xác minh.

Đó cũng là lý do vì sao những điểm hạn chế chúng tôi thừa nhận trên trang này đều là thật.

MEXC không phải là sàn được cấp phép như một số nền tảng có cấu trúc phí kém hấp dẫn hơn, và với độc giả có yêu cầu hàng đầu là một đối tác giao dịch chịu sự giám sát của cơ quan quản lý tại khu vực pháp lý của mình, yếu tố này quan trọng hơn mọi nội dung khác trên trang.

Bằng chứng dự trữ là bản xác nhận tại một thời điểm nhất định chứ không phải một cuộc kiểm toán đầy đủ, như chính đơn vị kiểm toán của chúng tôi đã nêu rõ bằng văn bản.

Và một hồ sơ sự cố sạch, kể cả của chúng tôi, chỉ mô tả những gì đã xảy ra chứ không phải lời bảo đảm cho những gì sẽ xảy ra.

Điều chúng tôi dám cam kết thì hẹp hơn nhưng hữu ích hơn: tình trạng dự trữ được công bố hằng tháng, được xác minh bởi một bên thứ ba có danh tính rõ ràng và tự công bố báo cáo độc lập, và bất kỳ người dùng nào có máy tính bỏ túi cũng có thể tự tính lại.

Đó chính là những đặc điểm đã phân biệt các sàn ở cột “bồi thường toàn bộ” với các sàn ở cột “không bồi thường”, qua 81 vụ việc và mười lăm năm.

Bắt đầu với sàn giao dịch sẵn sàng công khai số liệu

Phương pháp nghiên cứu và chính sách cập nhật

Một sự cố được đưa vào cơ sở dữ liệu này khi kẻ tấn công chiếm quyền kiểm soát trái phép tài sản mà một sàn giao dịch tập trung nắm giữ thay mặt người dùng, và sự kiện đó được đưa tin bởi một cơ quan báo chí chính thống, một công ty bảo mật blockchain có danh tính rõ ràng hoặc chính nền tảng đó.

Số liệu thiệt hại được tính theo giá trị vào ngày xảy ra sự cố.

Thứ tự ưu tiên nguồn đi từ thông báo sau sự cố của chính sàn giao dịch, đến các cơ sở dữ liệu được duy trì bởi những công ty bảo mật có danh tính rõ ràng, bao gồm SlowMist, Elliptic, Chainalysis và TRM Labs, rồi đến đưa tin của truyền thông chính thống có trích dẫn các nhà phân tích on-chain có danh tính.

Khi các nguồn này chênh lệch hơn 15%, chúng tôi công bố khoảng giá trị và không chọn một con số cụ thể.

Hiện có 24 sự cố được thể hiện bằng khoảng giá trị vì lý do này.

Dữ liệu trước năm 2016 dựa trên các bài báo cùng thời có chất lượng không đồng đều, và một số cơ sở dữ liệu công khai được trích dẫn rộng rãi ghi ngày tháng cho giai đoạn đó mâu thuẫn với chính các bài báo mà họ trích dẫn.

Khi phát hiện mâu thuẫn như vậy, chúng tôi theo bài báo gốc, đó là lý do một số ngày tháng ở đây khác với các dòng thời gian đã công bố khác.

Có một sự cố đã được đưa tin nhưng bị chủ ý loại khỏi danh sách: vụ xâm nhập BtcTurk tháng 1/2026 đã được một số hãng tin đưa tin dựa trên một công ty bảo mật, nhưng sự cố này không xuất hiện trong các cơ sở dữ liệu được duy trì thường xuyên mà chúng tôi sử dụng, và các chi tiết của nó rất giống với sự kiện đã được xác nhận vào tháng 8/2025.

Chúng tôi sẽ bổ sung nếu xuất hiện nguồn tin gốc.

Trang này được rà soát hằng quý và cập nhật trong vòng 48 giờ sau khi một sự cố được xác nhận.

Chúng tôi hoan nghênh các đính chính và bổ sung, và những nội dung có tài liệu chứng minh sẽ được đưa vào ở lần rà soát tiếp theo.

Phương pháp đánh giá của chúng tôi cho toàn bộ loạt bài về sàn giao dịch được công bố riêng.

Frequently Asked Questions

Có bao nhiêu sàn giao dịch tiền mã hóa từng bị hack?

Chúng tôi đã ghi nhận 81 sự cố bảo mật tại sàn giao dịch tập trung từ tháng 6/2011 đến tháng 8/2026.

Các sự cố này liên quan đến 72 nền tảng khác nhau, vì có bảy nền tảng bị xâm nhập nhiều hơn một lần.

Vụ hack sàn giao dịch tiền mã hóa lớn nhất lịch sử là vụ nào?

Vụ Bybit ngày 21/2/2025, với thiệt hại khoảng 1,46 tỷ USD.

Kẻ tấn công đã xâm phạm giao diện ký của một giao dịch chuyển tiền từ ví lạnh chứ không phải ví nóng.

Năm 2025 và 2026 có những sàn tiền mã hóa nào bị hack?

Năm 2025: Phemex, Bybit, BitoPro, Nobitex, BigONE, CoinDCX, WOO X, BtcTurk, Upbit và NoOnes.

Năm 2026 tính đến nay có một sự cố sàn giao dịch được xác nhận: Grinex vào tháng 4.

Sàn bị hack có bồi thường cho người dùng không?

Có lúc có, có lúc không.

Người dùng được bồi thường toàn bộ trong 32/81 vụ, nên khả năng này gần với tỷ lệ 50/50 hơn nhiều người nghĩ, và bạn có thể kiểm tra tình trạng dự trữ của sàn trước khi phải tự mình tìm ra câu trả lời.

Sàn giao dịch tiền mã hóa nào chưa từng bị hack?

Tính đến tháng 8/2026, Coinbase, Gemini và MEXC chưa công bố vụ xâm nhập tài sản lưu ký nào ở cấp độ nền tảng.

Sự cố năm 2024 của Kraken lấy đi 3 triệu USD từ ngân quỹ của chính sàn chứ không phải tiền của khách hàng, và số tiền này đã được trả lại sau một cuộc tranh cãi công khai.

Hồ sơ sạch chỉ phản ánh quá khứ, không dự báo được những gì sẽ xảy ra.

Làm sao biết một sàn có an toàn hay không trước khi nạp tiền?

Hãy tìm một báo cáo Bằng chứng dự trữ có ghi ngày, do một đơn vị kiểm toán bên thứ ba được nêu tên thực hiện, sau đó tự lấy dự trữ được công bố chia cho nợ phải trả được công bố.

Xác nhận rằng sàn có một quỹ hấp thụ thiệt hại và quỹ đó có con số cụ thể được công bố.

FTX sụp đổ có phải do bị hack không?

Chủ yếu là không.

Khoảng 477 triệu USD đã rời khỏi các ví của FTX sau khi sàn nộp đơn phá sản, nhưng khoản thiếu hụt 8,9 tỷ USD tiền của khách hàng đến từ hành vi chiếm dụng tài sản, vì vậy FTX không được đưa vào cơ sở dữ liệu này.

Ví nóng hay ví lạnh rủi ro hơn?

Các vụ xâm phạm ví nóng xảy ra thường xuyên hơn nhiều, với 31/81 vụ.

Sự cố ví lạnh và quy trình ký hiếm hơn nhưng thiệt hại mỗi vụ cao gấp khoảng mười lần.

Bắt đầu với sàn giao dịch sẵn sàng công khai số liệu

Cảnh báo rủi ro và thông báo theo khu vực

Trang này là một bản ghi chép lịch sử và không phải là lời bảo đảm về an ninh cho bất kỳ nền tảng nào được nêu tên, kể cả MEXC.

Nắm giữ tài sản trên bất kỳ sàn giao dịch tập trung nào đồng nghĩa với việc chấp nhận rủi ro lưu ký mà hình thức tự lưu ký không có, và Bằng chứng dự trữ giúp giảm rủi ro đó chứ không loại bỏ được nó.

Bài viết này chỉ mang tính thông tin đối với độc giả tại Hoa Kỳ và Vương quốc Anh, nơi các nền tảng được đề cập có thể không khả dụng hoặc không được cấp phép.

Độc giả tại Khu vực Kinh tế châu Âu (EEA) cần lưu ý rằng MEXC không được cấp phép theo Quy định về Thị trường Tài sản Mã hóa của EU (MiCA) và có tên trong danh sách các thực thể không tuân thủ của Cơ quan Chứng khoán và Thị trường châu Âu (ESMA) sau quyết định ngày 24/9/2025 của Cơ quan Thị trường Tài chính Hà Lan (AFM).

Độc giả tại Nhật Bản cần lưu ý rằng MEXC chưa đăng ký với Cơ quan Dịch vụ Tài chính Nhật Bản (FSA) và có tên trong danh sách các đơn vị kinh doanh chưa đăng ký của cơ quan này.

Không nội dung nào ở đây là lời khuyên đầu tư, và số liệu dự trữ, quy mô quỹ cũng như khả năng cung cấp dịch vụ của nền tảng có thể thay đổi, vì vậy hãy xác nhận các điều khoản hiện hành trên trang chính thức trước khi giao dịch.

Xác minh trước khi nạp tiền

Thói quen duy nhất phân biệt người dùng giữ được tiền với người dùng mất tiền là kiểm tra tình trạng dự trữ trước khi điều đó trở nên quan trọng, chứ không phải sau đó.

Nếu việc kiểm tra khiến bạn muốn tìm nơi khác, bài so sánh đầy đủ các sàn giao dịch thay thế điểm qua các nền tảng chính.

Đọc thêm

• Top 10 sàn giao dịch tiền mã hóa theo khối lượng giao dịch năm 2026: 18,7 nghìn tỷ USD được giao dịch và bốn bảng xếp hạng không thống nhất
• Các sàn thay thế BitMart tốt nhất: Chuyển tài sản đi đâu trước khi sàn đóng cửa ngày 26/8
• Các sàn thay thế BitMEX tốt nhất năm 2026: 5 sàn giao dịch nên chuyển sang trước ngày 23/9
• Đánh giá MEXC 2026: 3.000+ token, phí Maker 0% và một điểm trừ lớn
• Đang tìm giải pháp thay thế MEXC? Ba lý do nên rời đi và 336 lý do nên ở lại
• Cách chuyển tiền mã hóa giữa các sàn: Hướng dẫn đầy đủ để đổi sàn giao dịch mà không cần bán một đồng coin nào
• Sàn giao dịch tiền mã hóa nhanh nhất 2026: 6 nền tảng, 3 thước đo tốc độ, 0 benchmark được kiểm toán