Bitget bị hack 387,5 triệu USD — vụ lớn nhất ngành crypto năm 2026: Không mất private key, và vì sao Circle với Tether chỉ cứu lại được 0,09%

Ngày đăng: 26/09/2026

Lúc 18 giờ 31 phút UTC ngày 24/9/2026 (tức khoảng 1 giờ 31 phút sáng 25/9 giờ Việt Nam), hệ thống ví backend của sàn giao dịch tiền số Bitget bị xâm nhập. Trong vòng chưa đầy một giờ, các công cụ theo dõi on-chain đã ghi nhận khoảng 183 triệu USD tài sản rời khỏi ví nóng của sàn. Con số đó không dừng lại ở đó.

CEO Bitget, bà Gracy Chen, xác nhận chính thức thiệt hại 351,6 triệu USD ngay trong ngày. Đến 25/9, khi các công ty phân tích blockchain xác định thêm nhiều ví liên quan, tổng thiệt hại được nâng lên 387,5 triệu USD — vụ hack sàn giao dịch tập trung lớn nhất được ghi nhận trong năm 2026.

Nhưng số tiền bị mất không phải là phần đáng chú ý nhất của câu chuyện. Hai chi tiết khác mới là thứ đáng để nhà đầu tư Việt Nam dừng lại đọc kỹ: kẻ tấn công không hề đánh cắp private key, và khi Circle với Tether — hai tổ chức phát hành stablecoin lớn nhất thế giới — vào cuộc đóng băng tài sản, họ chỉ thu hồi được đúng 0,09% tổng thiệt hại.

Diễn biến vụ việc

Không phải private key — mà là hệ thống xác thực backend

Phần lớn các vụ hack sàn giao dịch tiền số lớn trong quá khứ, kể cả vụ Bybit mất 1,4 tỷ USD hồi tháng 2/2025, đều xoay quanh việc đánh cắp hoặc giả mạo quyền ký giao dịch — nói cách khác là chiếm được private key hoặc lừa người ký hợp lệ ký vào một giao dịch độc hại.

Bà Gracy Chen mô tả cơ chế của vụ Bitget khác hẳn: "Họ không giả mạo yêu cầu rút tiền của người dùng, cũng không có được private key của chúng tôi." Theo lời giải thích của Bitget, kẻ tấn công xâm nhập hệ thống backend quản lý ví, giả mạo dữ liệu giao dịch để đánh lừa quy trình xác thực nội bộ — khiến các khoản chi trả gian lận được hệ thống ghi nhận và xử lý như những giao dịch chuyển khoản thông thường, hợp lệ.

Đây là điểm khiến giới bảo mật crypto chú ý nhiều nhất. Nếu vụ Bybit là lời cảnh báo cho các sàn về rủi ro khi ký giao dịch qua giao diện ví lạnh bị giả mạo, thì vụ Bitget là lời cảnh báo cho một lớp rủi ro khác hoàn toàn: bảo mật vận hành và kiểm soát nội bộ của chính hệ thống backend — nơi mà việc "không lộ private key" không còn đủ để đảm bảo an toàn.

Tài sản đánh cắp đi đâu, và vì sao 63.000 ETH lại quan trọng hơn cả

Theo dữ liệu on-chain được các hãng phân tích tổng hợp, tài sản bị đánh cắp gồm khoảng 103 triệu XRP (tương đương khoảng 157 triệu USD), khoảng 63.000 ETH (tương đương khoảng 228 triệu USD theo giá hiện tại) cùng một lượng stablecoin trải trên năm blockchain khác nhau.

Một chi tiết đáng chú ý: một trong các ví nghi vấn đã chi 19,67 triệu USDT để mua 7.111 ETH với giá cao hơn thị trường, thực hiện xong chỉ trong vòng 6 phút. Đây là dấu hiệu điển hình của hành vi rửa tiền có chủ đích — chuyển đổi nhanh từ tài sản có thể bị đóng băng (stablecoin, do tổ chức phát hành trung tâm kiểm soát) sang tài sản phi tập trung không ai có quyền đóng băng (ETH).

0,09% — con số cho thấy giới hạn thật của "quyền lực đóng băng"

Đây mới là phần cốt lõi của câu chuyện. Circle và Tether là hai tổ chức duy nhất trên thế giới có khả năng "đóng băng" tài sản kỹ thuật số ở quy mô lớn, vì họ kiểm soát sổ cái trung tâm đứng sau USDC và USDT. Trong vụ Bitget, họ đã hành động rất nhanh: chưa đầy 24 giờ sau khi vụ hack được xác nhận, Circle đưa ví "Bitget Exploiter 8" vào danh sách đen.

Nhưng số tiền đóng băng được — 218.023 USDT và 99.990 USDC, tổng cộng khoảng 318.000 USD — chỉ tương đương 0,09% trong tổng thiệt hại 351,6 triệu USD được xác nhận tại thời điểm đó. Lý do rất đơn giản và mang tính cấu trúc: quyền đóng băng của Circle và Tether chỉ có hiệu lực với tài sản gốc do chính họ phát hành. Một khi kẻ tấn công đã chuyển đổi tài sản sang ETH hay XRP — những tài sản vận hành trên các mạng lưới phi tập trung không có cơ chế "danh sách đen" tập trung — khả năng thu hồi gần như bằng không.

Nói cách khác, 63.000 ETH còn lại trong các ví của kẻ tấn công đại diện cho phần lớn giá trị đã "thoát" hoàn toàn khỏi tầm với của mọi cơ chế đóng băng tập trung hiện có. Đây là lời nhắc rằng "quyền lực kiểm soát tập trung" mà nhiều người vẫn nhắc tới khi nói về stablecoin chỉ là một lớp phòng thủ rất mỏng, chỉ hiệu quả nếu hành động đủ nhanh — trước khi tài sản kịp đổi hình dạng.

Bitget xử lý ra sao, và so với các vụ hack lớn trước đây

Bitget cho biết toàn bộ 387,5 triệu USD thiệt hại sẽ được bù đắp bằng Quỹ Bảo vệ Người dùng (User Protection Fund) của sàn, hiện có quy mô hơn 464 triệu USD. Theo tuyên bố của CEO Gracy Chen, số dư tài khoản của người dùng không bị ảnh hưởng, hoạt động giao dịch trên sàn vẫn tiếp tục, riêng chức năng rút tiền bị tạm dừng ngay sau khi phát hiện sự cố.

Về quy mô, vụ Bitget vẫn nhỏ hơn nhiều so với vụ hack Bybit tháng 2/2025 — 1,4 tỷ USD, sau này được FBI xác nhận là do nhóm tin tặc Triều Tiên thực hiện. Dù vậy, giới phân tích bảo mật đã chỉ ra một số dấu hiệu tương đồng đáng lưu ý trong vụ Bitget: địa chỉ IP trùng khớp với các mẫu VPN từng được ghi nhận liên quan tới Triều Tiên, và chữ ký giao dịch on-chain có nét tương đồng với kỹ thuật từng được nhóm Lazarus sử dụng. Bản thân bà Gracy Chen cũng tiết lộ từng là mục tiêu tấn công cá nhân của cùng nhóm này trước đây, thiệt hại 80.000 USD. Đến thời điểm hiện tại, đây vẫn là nghi vấn chưa được cơ quan chức năng nào xác nhận chính thức.

Hàm ý cho nhà đầu tư Việt Nam

Với người dùng crypto tại Việt Nam, vụ việc này có ba điểm đáng cân nhắc thực tế.

Một là, việc một sàn "không lộ private key" không còn là thước đo an toàn đầy đủ. Rủi ro vận hành nội bộ — bảo mật hệ thống backend, quy trình xác thực giao dịch — nay là một lớp rủi ro riêng mà người dùng khó tự kiểm chứng, chỉ có thể đánh giá gián tiếp qua uy tín, lịch sử minh bạch và quy mô quỹ dự phòng của sàn.

Hai là, việc một sàn có quỹ bảo vệ người dùng đủ lớn để bù 100% thiệt hại — như Bitget tuyên bố lần này — là yếu tố nên được ưu tiên khi lựa chọn nơi lưu trữ tài sản, dù đây không phải sự đảm bảo tuyệt đối cho mọi tình huống trong tương lai.

Ba là, không nên hiểu lầm rằng vì stablecoin có "cơ chế đóng băng" nên chúng an toàn hơn tài sản khác trong mọi trường hợp bị đánh cắp. Cơ chế này chỉ hiệu quả nếu hành động diễn ra gần như tức thời — điều hiếm khi xảy ra trong thực tế, như con số 0,09% của vụ Bitget cho thấy.

Kết luận

387,5 triệu USD bốc hơi khỏi Bitget trong vài giờ, không qua một dòng private key nào bị lộ, chỉ qua một lỗ hổng trong hệ thống xác thực backend. Circle và Tether phản ứng trong chưa đầy 24 giờ nhưng chỉ giữ lại được 0,09% giá trị bị đánh cắp — phần còn lại đã kịp chuyển hình dạng sang những tài sản không ai có quyền đóng băng.

Câu chuyện Bitget vì vậy không chỉ là một vụ hack khác trong danh sách dài của ngành. Nó là bằng chứng cụ thể cho hai giới hạn cùng lúc: giới hạn của việc chỉ bảo vệ private key mà bỏ ngỏ hạ tầng backend, và giới hạn của "quyền lực tập trung" mà các nhà phát hành stablecoin vẫn thường được kỳ vọng có thể dùng để cứu vãn tình huống.

Miễn trừ trách nhiệm: Bài viết được thực hiện với mục đích cung cấp thông tin và phân tích, không phải lời khuyên đầu tư. Các số liệu được dẫn theo thông báo chính thức của Bitget và dữ liệu on-chain được các hãng phân tích công bố trong các ngày 24–25/9/2026; số liệu thiệt hại có thể tiếp tục được điều chỉnh khi điều tra tiếp diễn, và giá tài sản số biến động liên tục. Đầu tư và lưu trữ tài sản số trên các sàn giao dịch tập trung tiềm ẩn rủi ro mất vốn cao. Nhà đầu tư cần tự nghiên cứu và cân nhắc khả năng chịu rủi ro của bản thân trước khi ra quyết định.

Nguồn tham khảo: CoinDesk; Decrypt; PYMNTS; The Block; Gokhshtein; CryptoTimes; CoinMarketCap; tuyên bố chính thức của CEO Bitget Gracy Chen (24–25/9/2026).