Hyperliquid có an toàn không? Đánh giá rủi ro thẳng thắn
Hyperliquid chưa từng mất tiền gửi của người dùng do hack giao thức, nhưng đã có một số vụ thao túng thị trường khiến vault HLP thua lỗ, một sự cố API kéo dài 37 phút, và bị chỉ trích vì nhóm validator nhỏ và tập trung. Đây là nơi giao dịch đòn bẩy rủi ro cao, và phần lớn thua lỗ của người dùng đến từ đòn bẩy và lừa đảo phishing.
Tóm tắt ngắn gọn
An toàn trên Hyperliquid có ba lớp: nền tảng (mã nguồn, validator, bridge), thiết kế thị trường (cách thanh lý và HLP hấp thụ áp lực) và chính bạn (đòn bẩy, bảo mật ví, phishing). Tính đến tháng 10/2026, chúng tôi không tìm thấy trường hợp nào tiền gửi của người dùng bị đánh cắp qua lỗ hổng trong giao thức lõi của Hyperliquid. Các sự cố dưới đây là sự kiện liên quan đến cấu trúc thị trường, sự cố ngừng hoạt động, hoặc vấn đề ở ứng dụng bên thứ ba.
Các sự cố đáng chú ý
Cá voi ETH, 12/3/2025
Một trader biến khoảng $10M thành vị thế long ETH có đòn bẩy khoảng $270M, sau đó rút tài sản thế chấp để vị thế bị thanh lý vào HLP thay vì được đóng trên thị trường. Trader thu về khoảng $1.8M và HLP gánh khoảng $4M. Hyperliquid cho biết đây không phải là khai thác lỗ hổng, và đã giảm đòn bẩy tối đa xuống 40x với BTC và 25x với ETH (Cointelegraph).
JELLYJELLY, 26/3/2025
Một trader mở vị thế short lớn trên token nhỏ JELLYJELLY và vị thế này rơi vào HLP qua thanh lý, sau đó giá token tăng vọt. Khoản lỗ chưa thực hiện của HLP lên tới khoảng $12M và Binance cùng OKX niêm yết perps JELLYJELLY trong khoảng một giờ. Các validator đã bỏ phiếu hủy niêm yết thị trường và tất toán vị thế, và Hyper Foundation cho biết sẽ bồi thường cho người dùng, trừ các địa chỉ bị gắn cờ (The Block). Nhiều người chỉ trích coi sự can thiệp này là bằng chứng cho thấy Hyperliquid có thể bị một nhóm nhỏ điều khiển; những người ủng hộ gọi đó là kiểm soát rủi ro. Sau đó Hyperliquid cho biết sẽ xem xét lại tiêu chuẩn niêm yết và tham số ký quỹ cho các tài sản nhỏ.
Sự cố API, 29/7/2025
Lưu lượng tăng đột biến khiến máy chủ API quá tải trong khoảng 37 phút. Hyperliquid cho biết đây không phải vụ hack và đã hoàn khoảng $2M cho các trader bị ảnh hưởng (Cointelegraph).
Sập thị trường, 10/10/2025
Trong cú sập xóa sổ hơn $19B vị thế đòn bẩy trên các sàn, Hyperliquid vẫn hoạt động nhưng cơ chế tự động giảm đòn bẩy đã đóng các vị thế short đang có lãi, khiến nhiều trader bức xúc. HLP được cho là đã kiếm hơn $40M (The Defiant).
POPCAT, tháng 11/2025
Một kẻ tấn công được cho là đã dùng khoảng $3M trên 19 ví để xây dựng vị thế long POPCAT $20M–$30M, đỡ giá bằng một bức tường lệnh mua lớn, rồi rút lệnh đó đi. HLP bị để lại khoảng $4.9M nợ xấu (CoinDesk).
FARTCOIN, 9/4/2026
PeckShield cảnh báo nghi vấn thao túng dùng khoảng $15M vị thế long trên bốn ví. HLP mất khoảng $1.5M trong 24 giờ và ADL đã được kích hoạt (Forklog).
Thua lỗ từ bên thứ ba và phía người dùng
Giao thức cho vay Hyperdrive trên HyperEVM bị khai thác khoảng $782K vào tháng 9/2025, và các chiến dịch phishing dùng trang Hyperliquid giả, airdrop giả và quảng cáo tìm kiếm đã rút sạch ví của nhiều cá nhân trong năm 2025 và 2026. Không vụ nào là lỗ hổng của chính Hyperliquid, nhưng tiền vẫn mất như thường.
Validator và tính tập trung
L1 của Hyperliquid chạy trên đồng thuận HyperBFT với tập hoạt động giới hạn ở 27 validator hàng đầu theo lượng stake. Giới chỉ trích nêu nhiều điểm: tập này nhỏ so với các L1 trưởng thành, một phần lớn stake nằm ở vài validator, bao gồm các validator do Foundation vận hành, phần mềm node chỉ có một bản triển khai và không hoàn toàn mã nguồn mở, và vụ JELLYJELLY cho thấy validator có thể hành động nhanh để thay đổi kết quả. Những người ủng hộ đáp lại rằng tập validator đã mở rộng kể từ khi ra mắt và việc trở thành validator là permissionless với 10,000 HYPE tự stake. Cả hai điều đều có thể đúng.
Bridge và USDC
Trong phần lớn thời gian hoạt động, Hyperliquid dựa vào một bridge từ Arbitrum, nơi các lệnh rút được validator ký. Logic của bridge đã được Zellic kiểm toán. Sau đó Circle đã đưa USDC gốc và CCTP lên Hyperliquid, và tài liệu cho biết bridge Arbitrum cũ hiện giữ ít hơn 10% lượng USDC trên HyperCore. Bridge vẫn là một trong những bề mặt tấn công lớn nhất của crypto: nếu đủ khóa validator bị xâm phạm, tiền đã bridge có thể gặp rủi ro.
Sẵn sàng giao dịch? Hãy kiểm tra Hyperliquid có được phép ở nơi bạn sống không, rồi đăng ký với mã POLYGOLD để được giảm 4% phí giao dịch.
Mở HyperliquidCách giữ an toàn
- Lưu dấu trang app.hyperliquid.xyz và không bao giờ dùng liên kết từ quảng cáo, tin nhắn riêng hay bài đăng "airdrop".
- Dùng ví cứng hoặc một ví riêng chỉ để giao dịch, và không bao giờ chia sẻ seed phrase.
- Chỉ giữ vốn giao dịch trên sàn. Rút phần bạn không dùng đến.
- Dùng đòn bẩy thấp và ký quỹ isolated, và đặt stop-loss (xem tránh bị thanh lý).
- Cẩn thận với các thị trường mỏng, mới niêm yết, nơi thao túng thường xảy ra.
- Coi HLP và vault người dùng là khoản đầu tư rủi ro, không phải tiền tiết kiệm.
- Thu hồi các quyền chi tiêu token (approval) cũ nếu bạn dùng ứng dụng HyperEVM.
- Kiểm tra bạn có được phép sử dụng ở nơi bạn sống (xem Hyperliquid có hợp pháp không).
Câu hỏi thường gặp
Hyperliquid đã từng bị hack chưa?
Tính đến tháng 10/2026, chúng tôi không tìm thấy trường hợp nào tiền gửi của người dùng bị đánh cắp qua lỗ hổng trong giao thức lõi của Hyperliquid. Đã có các vụ thao túng khiến vault HLP thua lỗ, một sự cố API, và các vụ khai thác ứng dụng HyperEVM của bên thứ ba.
Chuyện gì đã xảy ra với JELLYJELLY trên Hyperliquid?
Tháng 3/2025, một vị thế short JELLYJELLY bị thao túng khiến HLP chịu khoản lỗ chưa thực hiện khoảng $12M. Các validator đã hủy niêm yết thị trường và tất toán vị thế, và Hyper Foundation đã bồi thường cho người dùng, trừ các địa chỉ bị gắn cờ.
Hyperliquid có phi tập trung không?
Một phần. Nó chạy trên chuỗi proof-of-stake riêng, nhưng tập validator hoạt động bị giới hạn ở 27 và giới chỉ trích cho rằng stake và phần mềm đang tập trung.