SecondFi, ví Cardano trước đây được biết đến với tên Yoroi, vừa ghi nhận một sự cố bảo mật nghiêm trọng khiến khoảng 16 triệu ADA, tương đương gần 2,4 triệu USD, bị rút khỏi ví người dùng.
Theo thông tin ban đầu, vụ việc không xuất phát từ lỗi của mạng Cardano, mà liên quan đến phần mềm tạo ví độc quyền của SecondFi. Đây là điểm đáng chú ý nhất trong sự cố lần này: tài sản không bị mất vì người dùng tương tác với một smart contract rủi ro hay bị lừa bấm link phishing thông thường, mà vì một vấn đề nằm sâu hơn trong cách ví được tạo ra.
SecondFi cho biết sự cố đã được vá, đồng thời đội ngũ đã triển khai biện pháp khẩn cấp để bảo vệ thêm khoảng 129 triệu ADA trước khi hacker có thể tiếp cận.
As per our previous post:https://t.co/rZanyrVGWN
— SecondFi (@secondfiapp) June 24, 2026
We have identified the root cause and have since rolled out a patch for all unaffected wallets. This will allow us to resume normal operations soon.
—–
Regarding affected wallets, 4 distinct draining events occurred. 3 were…
Ba đợt tấn công, 374 ví bị ảnh hưởng
Theo SecondFi, vụ khai thác diễn ra qua ba đợt tấn công riêng biệt, ảnh hưởng đến 374 ví người dùng. Tổng thiệt hại được xác nhận ban đầu là khoảng 16 triệu ADA.
Điều khiến vụ việc trở nên nghiêm trọng hơn nằm ở bản chất của lỗ hổng. SecondFi cho biết rủi ro bảo mật tồn tại ở cấp độ địa chỉ ví. Nói cách khác, việc người dùng chỉ chuyển seed phrase sang một ứng dụng ví khác không đủ để loại bỏ nguy cơ.
Đây là điểm dễ gây hiểu nhầm với người dùng phổ thông. Trong nhiều sự cố ví crypto, lời khuyên quen thuộc thường là “khôi phục ví bằng seed phrase trên một ví khác”. Nhưng với trường hợp SecondFi, nếu địa chỉ ví đã nằm trong nhóm bị ảnh hưởng, thì bản thân seed phrase không phải là lớp bảo vệ cuối cùng.
Theo đội ngũ dự án, rủi ro phát sinh khi người dùng bị ảnh hưởng ký một giao dịch. Điều này khiến các ví liên quan cần được xử lý theo quy trình riêng, thay vì chỉ đơn giản là đổi ứng dụng ví.
129 triệu ADA được chuyển sang bên lưu ký độc lập
Trước khi hacker có thể rút thêm tài sản, SecondFi cho biết họ đã kích hoạt các biện pháp cứu hộ khẩn cấp. Khoảng 129 triệu ADA đã được định tuyến sang một bên lưu ký độc lập nhằm bảo vệ tài sản còn lại.
Đây là một động thái quan trọng, vì nếu con số này bị khai thác hoàn toàn, quy mô thiệt hại có thể lớn hơn rất nhiều so với mức 2,4 triệu USD ban đầu.
Tuy nhiên, việc chuyển tài sản sang một bên lưu ký thứ ba cũng đặt ra câu hỏi mới: tài sản đang được giữ như thế nào, ai kiểm soát quy trình hoàn trả, người dùng cần chứng minh quyền sở hữu ra sao và khi nào có thể nhận lại tài sản.
SecondFi cho biết một công ty kế toán độc lập đã được thuê để xác minh lượng tài sản được bảo vệ. Người dùng bị ảnh hưởng có thể gửi yêu cầu bồi hoàn hoặc xác nhận quyền sở hữu thông qua quy trình khiếu nại của SecondFi.
Ở thời điểm hiện tại, mức độ minh bạch của quy trình này sẽ là yếu tố quyết định cách cộng đồng đánh giá phản ứng khủng hoảng của SecondFi.
SlowMist ước tính thiệt hại có thể vượt 20 triệu USD
Bên cạnh con số thiệt hại được SecondFi xác nhận, công ty bảo mật blockchain SlowMist cho rằng tổng thiệt hại tiềm năng có thể vượt 20 triệu USD nếu tính cả toàn bộ các ví và tài sản có liên quan.
Con số này hiện chưa được xác nhận bởi kiểm toán độc lập. Vì vậy, cần phân biệt rõ giữa “thiệt hại đã được xác nhận” và “thiệt hại tiềm năng”.
Điểm đáng nói là trong các vụ khai thác ví, thiệt hại thực tế thường không chỉ nằm ở lượng token đã bị rút. Nếu khóa riêng tư, địa chỉ ví hoặc quy trình tạo ví bị nghi ngờ có vấn đề, rủi ro có thể kéo dài cho đến khi người dùng hoàn tất di chuyển tài sản sang cấu trúc ví mới an toàn hơn.
Nói cách khác, 2,4 triệu USD là con số đã thấy trên bề mặt. Còn phần rủi ro chưa được xử lý triệt để có thể nằm ở các ví chưa bị rút tiền nhưng vẫn thuộc nhóm có nguy cơ.
Sự cố không phải lỗi của mạng Cardano
Một điểm cần làm rõ: sự cố SecondFi không đồng nghĩa với việc blockchain Cardano bị hack.
Theo các thông tin hiện có, nguyên nhân nằm ở phần mềm tạo ví của SecondFi, không phải ở cơ chế đồng thuận, mạng lưới Cardano hay giao thức ADA gốc.
Điều này rất quan trọng với nhà đầu tư, vì một vụ tấn công vào ví hoặc ứng dụng hạ tầng thường khác với một lỗi ở layer nền tảng. Tuy vậy, về mặt tâm lý thị trường, người dùng phổ thông thường không phân biệt quá sâu giữa “ví Cardano bị khai thác” và “Cardano có vấn đề”.
Đó là lý do các sự cố như SecondFi vẫn có thể gây tổn hại đến niềm tin của hệ sinh thái, ngay cả khi blockchain gốc không bị xâm phạm.
Charles Hoskinson: “Thực tế đáng tiếc của crypto”
Nhà sáng lập Cardano Charles Hoskinson đã lên tiếng về vụ việc. Ông thừa nhận quy mô thiệt hại bằng USD có thể không lớn nếu so với nhiều vụ hack crypto khác, nhưng điều đó không làm giảm nỗi đau của những người dùng bị mất tài sản.
Theo Hoskinson, bất kỳ khoản mất mát nào cũng gây tổn thương cho người bị ảnh hưởng. Ông gọi đây là một thực tế đáng tiếc của thị trường crypto.
Phát biểu này phản ánh một vấn đề lớn hơn: trong crypto, người dùng có quyền tự quản lý tài sản, nhưng đi kèm với đó là mức độ rủi ro rất cao khi hạ tầng ví, quy trình ký giao dịch hoặc công cụ lưu trữ gặp sự cố.
Self-custody chỉ thực sự an toàn khi toàn bộ chuỗi bảo mật phía sau hoạt động đúng. Nếu phần mềm tạo ví có lỗi, người dùng cuối gần như không có khả năng tự phát hiện trước khi sự cố xảy ra.
ADA đang ở vùng giá thấp, áp lực niềm tin càng lớn
Sự cố xảy ra trong bối cảnh ADA đang giao dịch quanh 0,15 USD, vùng thấp nhất trong nhiều năm. Điều này khiến tâm lý cộng đồng Cardano vốn đã chịu áp lực từ giá token lại càng nhạy cảm hơn với các tin tức tiêu cực.
Về mặt giá trị USD, 16 triệu ADA hiện chỉ tương đương khoảng 2,4 triệu USD. Nhưng nếu nhìn từ góc độ hệ sinh thái, con số ADA bị ảnh hưởng lớn hơn nhiều so với cảm giác mà giá USD thể hiện.
Khi một token giảm mạnh, thiệt hại tính bằng USD có thể trông “nhỏ” hơn. Nhưng với người nắm giữ lâu dài, số lượng coin bị mất vẫn là tài sản thật, niềm tin thật và tổn thất thật.
Đây cũng là lý do các vụ hack trong giai đoạn thị trường xấu thường gây tác động tâm lý lớn hơn. Nhà đầu tư không chỉ nhìn vào số tiền bị mất, mà còn đặt câu hỏi: nếu một ví lâu đời trong hệ sinh thái cũng gặp lỗi, thì tiêu chuẩn an toàn thực sự đang nằm ở đâu?
Bài học lớn: ví không chỉ là giao diện
Vụ SecondFi cho thấy ví crypto không đơn giản chỉ là một ứng dụng để gửi và nhận tài sản. Ví là lớp hạ tầng bảo mật trực tiếp giữa người dùng và blockchain.
Một ví tốt không chỉ cần giao diện dễ dùng, hỗ trợ nhiều tài sản hoặc có tính năng staking tiện lợi. Điều quan trọng hơn là cách ví tạo khóa, quản lý địa chỉ, xử lý chữ ký giao dịch và phản ứng khi xảy ra sự cố.
Với người dùng, bài học không phải là hoảng loạn rút khỏi toàn bộ hệ sinh thái. Bài học đúng hơn là không nên xem ví là một công cụ “cài rồi quên”. Những tài khoản chứa tài sản lớn nên được quản lý thận trọng hơn, tách biệt với ví dùng để tương tác thường xuyên.
Với các dự án ví, sự cố này là lời nhắc rằng niềm tin trong self-custody rất khó xây dựng nhưng có thể bị phá vỡ chỉ sau một lỗ hổng.
Cardano không bị hack, nhưng Cardano vẫn bị ảnh hưởng về niềm tin
Điểm cần tách bạch trong sự cố SecondFi là: blockchain Cardano không bị hack.
Mạng lưới Cardano vẫn hoạt động bình thường. Cơ chế đồng thuận, giao thức ADA và hạ tầng blockchain gốc không phải nguyên nhân trực tiếp khiến tài sản người dùng bị rút. Theo thông tin hiện có, vấn đề nằm ở phần mềm tạo ví của SecondFi, tức là ở lớp ứng dụng phía trên, không phải ở bản thân Cardano.
Nhưng với người dùng phổ thông, ranh giới này không phải lúc nào cũng rõ ràng.
Khi họ nghe tin “ví Cardano bị khai thác”, phản ứng đầu tiên thường không phải là phân tích xem lỗi nằm ở wallet generation, address-level risk hay layer ứng dụng. Điều họ cảm nhận trước tiên là: tài sản trong hệ sinh thái Cardano có thể không an toàn như họ nghĩ.
Đây là thiệt hại mềm nhưng rất đáng chú ý.
Một blockchain có thể an toàn về mặt kỹ thuật, nhưng niềm tin của người dùng lại được xây dựng từ toàn bộ trải nghiệm xung quanh nó: ví, staking, dApp, giao diện ký giao dịch, hỗ trợ khách hàng, cảnh báo rủi ro và cách đội ngũ xử lý khủng hoảng. Nếu một mắt xích quan trọng trong hệ sinh thái gặp sự cố, người dùng khó có thể giữ cái nhìn hoàn toàn tách biệt rằng “chain vẫn ổn, chỉ ví có vấn đề”.
Với Cardano, tác động này càng nhạy cảm hơn vì SecondFi không phải một ví vô danh. Đây là sản phẩm từng được biết đến với tên Yoroi, một cái tên quen thuộc với nhiều người dùng ADA. Khi một ví có lịch sử lâu năm gặp lỗi, câu hỏi đặt ra không chỉ là “bao nhiêu tiền đã mất?”, mà còn là “những công cụ mình từng tin tưởng có thật sự được kiểm tra đủ kỹ chưa?”.
Điều này không có nghĩa Cardano mất đi giá trị kỹ thuật chỉ vì một sự cố ở ví. Nhưng trong thị trường crypto, niềm tin không chỉ đến từ whitepaper, uptime hay thiết kế giao thức. Niềm tin đến từ cảm giác người dùng có thể lưu trữ, di chuyển và bảo vệ tài sản của mình mà không phải luôn sống trong trạng thái lo lắng.
Sự cố SecondFi vì vậy không phải là một cú đánh trực tiếp vào blockchain Cardano, nhưng vẫn là một vết xước lên trải nghiệm người dùng của hệ sinh thái.
Và đôi khi, trong crypto, vết xước về niềm tin có thể khó sửa hơn một dòng code.
Kết luận
SecondFi đã vá lỗ hổng và cho biết đang phối hợp với bên thứ ba để xác minh, bảo vệ và xử lý tài sản bị ảnh hưởng. Tuy nhiên, vụ việc vẫn để lại nhiều câu hỏi về phạm vi thiệt hại thực tế, quy trình hoàn trả và mức độ an toàn của các ví từng được tạo bằng phần mềm có lỗi.
Điểm đáng lo nhất không chỉ là 2,4 triệu USD đã bị rút, mà là niềm tin của người dùng vào một lớp hạ tầng vốn được xem là cửa ngõ chính để tiếp cận Cardano.
Trong crypto, blockchain có thể vẫn hoạt động bình thường, nhưng chỉ cần ví gặp lỗi, người dùng vẫn có thể mất tiền. Và đó chính là khoảng cách lớn nhất giữa lý thuyết “tự quản lý tài sản” và thực tế khắc nghiệt của thị trường.
