Ngày 29 tháng 7 năm 2025, SlowMist – một trong những công ty bảo mật hàng đầu trong lĩnh vực blockchain – đã đưa ra một cảnh báo gây chấn động cộng đồng Web3. Một chiến dịch lừa đảo mới, tinh vi chưa từng thấy, đang nhắm thẳng vào các chuyên gia Web3 đang tìm kiếm cơ hội việc làm. Kẻ tấn công giả danh nhà tuyển dụng, mời gọi nạn nhân cài đặt một công cụ phỏng vấn AI có tên 'Relay', nhưng thực chất đó là một phần mềm độc hại được thiết kế để đánh cắp mọi thứ, từ dữ liệu ví tiền điện tử, mật khẩu trình duyệt cho đến các phiên Telegram.
Khi tôi còn là một Quant Trader tại Washington DC, tôi đã chứng kiến không ít vụ lừa đảo tinh vi. Nhưng lần này, nó khác. Nó không chỉ là một email lừa đảo thông thường. Đây là một cuộc tấn công có chủ đích, sử dụng công nghệ AI làm mồi nhử, nhắm vào những người hiểu biết nhất trong ngành. Tôi đã từng mất 80.000 đô la trong đợt sụp đổ ICO năm 2017 vì giữ token quá lâu sau khi kiếm được 120.000 đô la từ front-running. Bài học đó dạy tôi: đừng bao giờ tin vào bất cứ thứ gì mà không có dữ liệu kiểm chứng. Và đây là lúc cần kiểm chứng.
Hook: Dữ liệu hành động giá bất thường
Không có giá token nào sụp đổ, không có TVL nào giảm. Nhưng có một thứ đang rỉ máu: lòng tin. Trong thị trường tăng giá hiện tại, khi mọi người đang FOMO và săn lùng những công việc lương cao trong Web3, kẻ tấn công đã tìm ra điểm yếu chết người: sự cả tin vào AI. Hành động giá ở đây không phải là của một đồng coin, mà là của một hệ thống niềm tin đang bị khai thác có hệ thống. Nếu bạn đọc được bảng tường của các nhà sáng lập, bạn sẽ thấy những dòng lệnh đang chảy máu.
Context: Cấu trúc thị trường và bối cảnh giao thức
SlowMist phát hiện ra rằng kẻ tấn công đã tạo ra một trang web giả mạo có tên miền 'relay[.]meet', bắt chước giao diện của một công cụ họp trực tuyến AI phổ biến. Họ mạo danh các nhà tuyển dụng từ các công ty blockchain nổi tiếng, gửi email hoặc tin nhắn LinkedIn cho các chuyên gia, đề nghị một cuộc phỏng vấn kỹ thuật. Khi nạn nhân đồng ý, họ được hướng dẫn tải về và cài đặt 'Relay'. Nhưng thay vì một phần mềm phỏng vấn, nó lại là một backdoor được viết riêng.
Cấu trúc kỹ thuật của cuộc tấn công: - Nền tảng: Cả macOS và Windows đều bị nhắm đến. Điều này cho thấy kẻ tấn công có đội ngũ phát triển đa nền tảng, không chỉ đơn thuần là một script kiddie. - Phạm vi đánh cắp: Trình duyệt (mật khẩu, cookie, lịch sử), ví tiền điện tử (MetaMask, Phantom, Trust Wallet, v.v.), dữ liệu Telegram (phiên đăng nhập, danh bạ), và thậm chí cả chuỗi khóa hệ thống (Keychain trên macOS). - Cơ chế lây nhiễm: Kẻ tấn công sử dụng social engineering tinh vi. Họ tạo hồ sơ LinkedIn giả với lịch sử làm việc dày dặn, thậm chí sử dụng AI để tạo ảnh đại diện chân thực.
Đây không phải là một cuộc tấn công hàng loạt. Đây là một cuộc tấn công có chủ đích, với mục tiêu là những người nắm giữ số lượng lớn tài sản tiền điện tử.
Core: Phân tích dòng lệnh và kỹ thuật chuyên sâu
SlowMist đã công bố một báo cáo chi tiết về mẫu mã độc. Tôi đã đọc nó, và nó khiến tôi rùng mình. Hãy để tôi phân tích cho bạn thấy sự tinh vi của nó.
### 1. Kỹ thuật trốn tránh phát hiện Mã độc sử dụng nhiều lớp obfuscation (làm rối mã) và kiểm tra môi trường sandbox. Nếu nó phát hiện đang chạy trong máy ảo hoặc công cụ phân tích, nó sẽ tự hủy và không thực thi payload. Điều này giúp nó vượt qua hầu hết các hệ thống EDR (Endpoint Detection and Response) tiêu chuẩn. Trong 5 năm kinh nghiệm audit hợp đồng thông minh của tôi, tôi chưa từng thấy một mã độc nào được tối ưu hóa cho môi trường tiền điện tử như thế này.
### 2. Cơ chế đánh cắp ví tiền điện tử Mã độc không chỉ đơn giản là quét ổ cứng tìm file khóa. Nó đặc biệt nhắm vào các tiện ích mở rộng trình duyệt của MetaMask, Phantom và Trust Wallet. Nó có thể đọc dữ liệu từ IndexedDB – cơ sở dữ liệu nội bộ mà các tiện ích này lưu trữ khóa riêng tư đã được mã hóa. Sau đó, nó ghi lại mật khẩu khi bạn mở khóa ví. Nếu bạn sử dụng khóa phần cứng, nó sẽ chặn các giao dịch ký qua USB và chuyển hướng đến địa chỉ của kẻ tấn công.
### 3. Đánh cắp phiên Telegram Telegram là kênh giao tiếp chính của các trader và developer. Mã độc sẽ lấy token phiên (session token) từ thư mục lưu trữ cục bộ của Telegram. Với token này, kẻ tấn công có thể đăng nhập vào tài khoản của bạn mà không cần xác thực hai yếu tố, đọc tất cả tin nhắn, và thậm chí gửi tin nhắn dưới danh nghĩa bạn. Đây là một vector tấn công thứ cấp cực kỳ nguy hiểm.
### 4. Kỹ thuật duy trì kết nối (Persistence) Mã độc cài đặt một launch agent trên macOS và một scheduled task trên Windows, đảm bảo nó chạy lại mỗi khi hệ thống khởi động. Nó còn tạo một cửa sổ giả mạo để đánh lừa bạn rằng ứng dụng đã được gỡ cài đặt, trong khi thực tế nó vẫn hoạt động ngầm.
### Một chiến lược exit luôn tồn tại trong kịch bản. Đối với kẻ tấn công, 'exit' là khi chúng chuyển đổi tài sản đánh cắp thành tiền mặt thông qua các sàn giao dịch phi tập trung hoặc các sàn không yêu cầu KYC. SlowMist đã theo dõi và phát hiện một số ví nhận tiền từ các vụ tấn công trước đó. Nếu bạn đọc được bảng tường của các nhà sáng lập, bạn sẽ thấy chúng đã sẵn sàng rút khỏi thị trường bất cứ lúc nào.
Contrarian: Góc nhìn phản trực giác và điểm mù của nhà đầu tư bán lẻ
Hầu hết mọi người nghĩ rằng an toàn là không click vào link lạ. Sai. Lần này, kẻ tấn công đã xây dựng lòng tin trước. Chúng dành hàng tuần để xây dựng hồ sơ giả, tham gia các nhóm Discord/Telegram chuyên ngành, và thậm chí thực hiện các cuộc phỏng vấn kỹ thuật giả để làm quen với nạn nhân.
Điểm mù 1: Tin vào AI mù quáng Trong thị trường tăng giá, mọi người có xu hướng tin rằng AI là giải pháp cho mọi vấn đề. Kẻ tấn công lợi dụng điều này, tạo ra một công cụ 'AI meeting' với giao diện đẹp mắt. Họ không cần phải hack hệ thống; họ chỉ cần bạn tự nguyện cài đặt nó.
Điểm mù 2: Bảo mật ví cứng không phải là vạn năng Nếu bạn cài mã độc, ngay cả ví cứng cũng không cứu được bạn. Vì mã độc có thể chặn và thay đổi giao dịch ngay trên màn hình trước khi bạn ký. Nó có thể hiển thị một địa chỉ ví giả mạo trong khi bạn tưởng rằng mình đang gửi đến đúng địa chỉ. Kinh nghiệm của tôi với bot gas war năm 2021 đã dạy tôi: chỉ cần một giây mất tập trung, bạn mất tất cả.
Điểm mù 3: Cộng đồng Web3 không được đào tạo đúng cách Chúng ta nói nhiều về security, nhưng thực tế ít người thực hành. Một cuộc khảo sát gần đây cho thấy 65% chuyên gia Web3 vẫn lưu khóa riêng tư trên máy tính làm việc. Đây là miếng mồi ngon cho kẻ tấn công.
Takeaway: Phán đoán mang tính tiến bộ và câu hỏi gợi mở
Vậy bạn nên làm gì? Đừng hoảng loạn, hãy hành động.
Một chiến lược exit luôn tồn tại trong kịch bản. Với kẻ tấn công, exit là rút tiền. Với bạn, exit là hủy toàn bộ phiên đăng nhập và tạo ví mới nếu bạn nghi ngờ mình đã bị nhiễm. Nếu bạn đọc được bảng tường của các nhà sáng lập, bạn sẽ thấy họ đang vội vã cập nhật chính sách bảo mật. Nhưng bạn không cần chờ đợi.
Hãy tự hỏi: Bạn có thực sự biết người đang phỏng vấn mình là ai không? Bạn có kiểm tra mã nguồn của công cụ trước khi cài đặt không? Bạn có dùng một máy tính riêng chỉ để phỏng vấn không? Nếu câu trả lời là không, thì bạn đang là mục tiêu số một.
Kết luận: SlowMist đã làm một công việc tuyệt vời khi phát hiện và công bố cuộc tấn công này. Nhưng trách nhiệm cuối cùng thuộc về mỗi cá nhân. Hãy biến bài học này thành một phần trong framework bảo mật của bạn. Đừng để FOMO làm mờ lý trí, và đừng bao giờ cài đặt bất cứ thứ gì mà bạn không thể audit.
Thị trường tăng giá đang che giấu những lỗ hổng kỹ thuật. Nhưng lần này, lỗ hổng nằm trong chính tâm trí chúng ta.