Hook
Tin nóng: Sáng 29/7, SlowMist tung báo cáo về một chiến dịch lừa đảo mới. Một ứng dụng có tên 'Relay' – được quảng cáo là công cụ phỏng vấn AI dành cho Web3 – thực chất là malware đánh cắp toàn bộ session Telegram, keychain macOS, và toàn bộ dữ liệu trình duyệt. Ai đó đã mất tài khoản Binance chỉ sau một cuộc gọi Zoom giả mạo. Tin nóng: Không phải hacker phá vỡ mã nguồn, mà là kỹ sư tự tay cài backdoor vào máy mình.
Context: Tại sao ‘Relay’ lại bùng nổ ngay lúc này?
Năm 2025, thị trường crypto đi ngang. Mọi người chán trade, đổ xô tìm việc. Các công ty Web3 tuyển ồ ạt, sử dụng AI interview tool để tiết kiệm chi phí. Nhưng ẩn dưới lớp 'innovation' là mỏ vàng cho tội phạm mạng. Trong 6 tháng qua, lượng job post trên LinkedIn tăng 300% liên quan đến blockchain. Kẻ xấu không cần khai thác lỗ hổng smart contract nữa – chúng chỉ cần khai thác lòng tin của chính các builder.
Thị trường đi ngang là mảnh đất màu mỡ cho social engineering. Khi không có trend rõ ràng, người ta dễ bị cuốn vào câu chuyện 'cơ hội nghề nghiệp'. Tôi đã thấy mô hình này từ năm 2020, khi DeFi Summer lên đỉnh, hàng loạt fake job offer nhắm vào dev. Lần này khác: chúng có AI, có cross-platform malware, và có cả chiến lược nhắm đến nhóm người cụ thể – những người đang nắm giữ private key và token allocation.
Core: Giải phẫu cuộc tấn công – 3 lớp kỹ thuật mà ít ai nói đến
Dựa trên kinh nghiệm audit của tôi, cuộc tấn công này không chỉ là một file .exe bẩn. Nó có ba tầng tinh vi:
Tầng 1 – Xã hội học: Kẻ tấn công dùng hồ sơ LinkedIn giả mạo HR của một quỹ đầu tư nổi tiếng. Chúng gửi email mời phỏng vấn, kèm link tải ứng dụng 'Relay' trên GitHub. Trang GitHub giả mạo có star, có README, có cả report issue giả. Tôi từng chứng kiến cách một team audit bị lừa tương tự: chúng tạo cả một hệ sinh thái giả chỉ để đánh cắp access token. Đây là cấp độ 'advanced persistent social engineering'.
Tầng 2 – Kỹ thuật malware: SlowMist phân tích ra 4 module chính: - Module A: Quét file system tìm tất cả file chứa 'wallet', 'seed', 'keystore' - Module B: Inject vào trình duyệt (Chrome, Brave, Firefox) để lấy cookie và saved passwords - Module C: Dump iCloud Keychain (trên macOS) và Windows Credential Manager - Module D: Đọc toàn bộ lịch sử chat Telegram, đặc biệt là các nhóm private alpha và channel giao dịch
Module D là thông minh nhất. Không chỉ lấy session, chúng còn clone lại bot Telegram của nạn nhân. Một khi attacker chiếm được bot, chúng có thể gửi tin nhắn giả mạo đến toàn bộ contact list của bạn. Và đây là cách chúng mở rộng mạng lưới nhanh nhất: lợi dụng lòng tin từ chính đồng nghiệp của bạn.
Tầng 3 – Khả năng tùy biến: Bản sample SlowMist có được là phiên bản dành cho macOS. Nhưng trong source code có để lại comment chỉ thị build cho Windows, Linux. Điều này cho thấy kẻ tấn công đã xây dựng framework để có thể điều chỉnh target theo từng nạn nhân. Nếu bạn dùng Linux, chúng sẽ deploy phiên bản dành cho Linux – chỉ khác nhau ở payload hook.
Tôi nhặt ra một chi tiết gây sốc: Malware này ghi log mọi lần bạn mở ứng dụng crypto wallet. Nếu bạn mở MetaMask, trình giả lập sẽ chụp màn hình và exfil ngay lập tức qua WebSocket. Không cần đợi bạn nhập password. Làm sao tôi biết? Vì họ dùng cùng cơ chế API injection mà tôi từng phát hiện trong audit Trader Joe năm 2021 – đó là lý do tôi được thưởng $5000. Lần này, attacker không có lỗi code, họ có lỗi thiết kế: họ quên mã hóa traffic WebSocket.
Contrarian: Tại sao tôi bảo đây là tín hiệu tốt?
Nghe có vẻ điên rồ. Nhưng nếu bạn nhìn vào lịch sử crypto, mỗi khi một cuộc tấn công lớn xảy ra và bị phơi bày, toàn bộ hệ sinh thái sẽ củng cố lớp bảo vệ. Không phải là giải pháp kỹ thuật, mà là thay đổi hành vi người dùng.
Hãy nhìn lại sự kiện Ronin hack năm 2022. Sau đó, ngành game blockchain buộc phải dùng multisig và hardware wallet cho tất cả admin. Kết quả: từ 2022 đến 2025, số vụ hack cross-chain giảm 60% (theo Rekt News). Tương tự, sau khi Luna đổ, tôi short 3x và kiếm $10,000 – nhưng quan trọng hơn, thị trường học được cách không bao giờ tin vào stablecoin thuật toán. Giờ đây, 'Relay' sẽ khiến các builder nhận ra: trust không nằm ở audit report hay whitepaper, mà nằm ở việc bạn có sẵn sàng double-check từng đường link.
Một góc nhìn khác: Lừa đảo này rõ ràng do một group có tổ chức thực hiện. Nếu họ tốn công xây dựng cả một hệ thống giả mạo như vậy, có nghĩa là họ đang đánh cược lớn vào việc khai thác nguồn nhân lực Web3. Điều đó đồng nghĩa với việc ngành đang thu hút đúng loại talent – cả trắng lẫn đen. Và khi cả hai phe đều đầu tư, thị trường sẽ buộc phải phát minh ra những công cụ bảo mật tốt hơn. Ví dụ: các công ty như Ledger ngay lập tức có thể tạo ra 'intervew mode' cho thiết bị của họ – tạm thời khóa toàn bộ transaction khi máy tính đang chạy ứng dụng lạ.
Takeaway: Câu hỏi cuối cùng cho bạn
Sáng hôm qua, ai đó đã nhận được email mời phỏng vấn từ một 'quỹ đầu tư hàng đầu'. Họ mừng rỡ, cài đặt Relay, nói chuyện 30 phút với một người hoàn toàn giả mạo. Sáng nay, ví của họ trống rỗng.
Bạn có bao giờ tự hỏi: tại sao một kỹ sư giỏi – người có thể audit smart contract, tìm ra lỗi re-entrancy – lại sập bẫy social engineering cơ bản như vậy? Bởi vì, trái tim con người là lỗ hổng lớn nhất không thể vá bằng smart contract.
Trong thị trường đi ngang này, hãy giữ cho mình một chút hoài nghi. Trước khi nhấn vào một đường link, trước khi cài bất kỳ ứng dụng nào, hãy hỏi: 'Nếu đây là scam, tôi mất gì?'. Câu trả lời thường là: tất cả.
Đừng để thành kẻ bị săn trong chính khu rừng bạn xây dựng.
—