Tuần trước, một người bạn trong DAO của tôi nhắn tin: "Cậu ơi, có một công ty Web3 nổi tiếng mời phỏng vấn. Họ bảo dùng phần mềm AI họp tên Relay, nhưng sao mình thấy lạ quá. Cài vào máy xong thì mọi thứ chậm hẳn."
Tim tôi thắt lại. Tôi biết câu chuyện này sẽ kết thúc thế nào. SlowMist vừa công bố báo cáo về một chiến dịch tấn công có chủ đích: kẻ xấu giả danh nhà tuyển dụng, gửi link tải "AI meeting tool" — thực chất là một Trojan đánh cắp thông tin, nhắm thẳng vào ví crypto, mật khẩu trình duyệt, và thậm chí cả session Telegram. Và nó hoạt động hoàn hảo trên cả macOS lẫn Windows.
Cuộc săn mồi tinh vi
Hãy tưởng tượng bạn là một kỹ sư smart contract đang tìm việc. Một hồ sơ LinkedIn rất chuyên nghiệp, với lịch sử làm việc tại các dự án lớn, gửi lời mời. Họ nói về văn hóa remote, về stack công nghệ mới nhất. Đề nghị bạn cài một phần mềm họp có tính năng AI — "Relay" — vì nó "tối ưu cho phỏng vấn kỹ thuật". Bạn tải về, chạy file .dmg hoặc .exe. Và thế là toàn bộ vương quốc crypto của bạn lọt vào tay kẻ xấu.
Chi tiết kỹ thuật mà SlowMist phát hiện thực sự đáng sợ: mã độc có khả năng quét Chrome profile, lấy tất cả cookie và mật khẩu đã lưu. Nó đào sâu vào thư mục ví tiền điện tử phổ biến như MetaMask, Phantom, Keplr. Nó trích xuất toàn bộ iCloud Keychain trên macOS. Và nó chiếm quyền điều khiển Telegram — nơi mà hầu hết chúng ta đều dùng để giao dịch OTC hoặc trao đổi với team dự án.
Đây không phải là một vụ phishing đơn thuần. Đây là một cuộc tấn công có tổ chức, đòi hỏi kiến thức sâu về hệ sinh thái Web3 và thói quen của những người làm trong ngành. Kẻ tấn công biết rằng chúng ta thường dùng máy tính cá nhân cho cả công việc lẫn quản lý tài sản. Chúng biết rằng lòng tin vào "cơ hội việc làm" là điểm yếu nhất trong chuỗi bảo mật của chúng ta.
Hợp tác là mã nguồn mở của trái tim. Nhưng khi lòng tin bị khai thác, nó trở thành vector tấn công nguy hiểm nhất.
Từ góc nhìn của một kẻ từng bỏ lỡ tín hiệu
Tôi nhớ lại năm 2017, khi còn là một nhà phân tích trẻ tại một dự án ICO. Một đồng nghiệp từng nói: "Con gái có hiểu nổi Proof-of-Stake không?" Tôi đã dành ba tháng để nghiên cứu Casper, và cuối cùng tổ chức seminar cho cả team. Bài học tôi rút ra: đừng bao giờ đánh giá thấp kẻ thù. Cũng như đừng bao giờ đánh giá thấp những kẻ lừa đảo.
Trong thị trường tăng hiện tại, FOMO đang che mờ mọi cảnh báo. Mọi người đều muốn nhảy vào dự án mới, nhận offer từ quỹ đầu tư danh tiếng, tham gia những cuộc phỏng vấn hứa hẹn mức lương 6-7 con số. Và chính sự nóng vội đó tạo ra khoảng trống cho mã độc xâm nhập.
Dựa trên kinh nghiệm audit DAO của tôi, tôi thấy pattern này lặp lại: bất kỳ khi nào có một công cụ mới được quảng cáo rầm rộ (AI meeting tool, ví đa chuỗi, bridge mới), kẻ xấu sẽ copycat và tạo phiên bản độc hại. Lần này, chúng chọn ngành tuyển dụng vì nó là cổng vào tự nhiên cho bất kỳ ai muốn gia nhập Web3.
Nghịch lý: Phi tập trung không bảo vệ bạn khỏi lòng tin mù quáng
Có một điều trớ trêu. Chúng ta dành hàng giờ để nghiên cứu smart contract, kiểm tra audit report, so sánh tokenomics. Nhưng khi nhận một email từ "HR@polygon-ventures.io", chúng ta lại click vào link mà không hề kiểm tra domain có thật hay không.
Ngành của chúng ta đã xây dựng một hệ thống đồng thuận phi tập trung vĩ đại cho giao dịch. Nhưng với các tương tác ngoài chuỗi — như phỏng vấn việc làm — chúng ta vẫn dựa vào lòng tin mù quáng giống như thời Internet 1990.
Counter-Intuitive Discovery: Điểm yếu lớn nhất của Web3 không nằm ở code, mà nằm ở văn hóa “trust first, verify later” trong giao tiếp giữa người với người. Chúng ta đã quá quen với việc tin vào danh tính ẩn danh, tin vào những cái tên giả trên Discord, và quên mất rằng không có oracle nào kiểm chứng được ý định thực sự của đối phương.
Bài học từ thị trường gấu: Khi niềm tin sụp đổ, chỉ còn lại kỹ thuật
Năm 2022, sau sự kiện FTX, tôi đã viết một ebook nhỏ tên "Sống sót trong thị trường gấu". Trong đó tôi kể lại câu chuyện về một người bạn mất 200 ETH vì tin vào một "cộng đồng riêng tư" do một KOL nổi tiếng tổ chức. Kẻ đó đã dùng phishing email giả mạo công ty audit.
Bài học vẫn còn nguyên giá trị: Không bao giờ chạy file .dmg hoặc .exe từ bất kỳ ai mà bạn chưa từng gặp trực tiếp hoặc chưa xác thực qua nhiều kênh. Nếu một nhà tuyển dụng thực sự muốn phỏng vấn bạn, họ sẽ dùng Google Meet, Zoom, hoặc Discord — không có lý do gì để yêu cầu cài một phần mềm lạ.
Tôi đã hướng dẫn bạn tôi từ đầu câu chuyện: quét máy bằng Malwarebytes, thay đổi tất cả mật khẩu, revoke tất cả session Telegram, và chuyển toàn bộ tài sản sang ví cứng trong 24 giờ. May mắn là cô ấy phát hiện sớm, chưa kịp nhập seed phrase.
Takeaway: Tương lai của bảo mật nằm ở sự hợp tác cộng đồng
SlowMist không chỉ phát hiện và công bố mẫu mã độc. Họ còn chia sẻ IOC (Indicators of Compromise) để cộng đồng bảo vệ lẫn nhau. Đó chính là tinh thần mã nguồn mở: không ai an toàn cho đến khi tất cả đều an toàn.
Hợp tác là mã nguồn mở của trái tim. Và lần này, trái tim đó cần cảnh giác. Trong thị trường tăng, đừng để FOMO làm mờ lý trí. Hãy dành 5 phút để kiểm tra domain của nhà tuyển dụng, gọi video thực tế, hỏi ý kiến cộng đồng. Mạng lưới bảo vệ phi tập trung mạnh nhất vẫn là những người xung quanh bạn.
Bạn có dám chia sẻ bài viết này với team của mình? Hay bạn sẽ giữ im lặng vì sợ người khác nghĩ mình yếu kém? Hãy nhớ: trong Web3, lòng tin là tài sản quý giá nhất — và cũng là thứ dễ bị đánh cắp nhất.