Ngày 29 tháng 7 năm 2025, công ty bảo mật SlowMist đã phát đi cảnh báo về một chiến dịch tấn công có chủ đích đang nhắm vào các chuyên gia Web3 trên toàn cầu. Kẻ tấn công mạo danh nhà tuyển dụng, dụ dỗ nạn nhân cài đặt một phần mềm phỏng vấn AI có tên 'Relay' – thực chất là mã độc đánh cắp thông tin đa nền tảng. Chỉ trong vài ngày, SlowMist đã phân tích mẫu mã độc và xác nhận khả năng gây thiệt hại nghiêm trọng đến tài sản số của người dùng. Bài viết này sẽ đi sâu vào cơ chế tấn công, phân tích kỹ thuật, đánh giá rủi ro và đưa ra các biện pháp phòng vệ cần thiết cho cộng đồng blockchain Việt Nam.
Bối cảnh: Làn sóng tấn công xã hội hóa mới trong thị trường đi ngang
Thị trường tiền số đang trong giai đoạn tích lũy với thanh khoản thấp, khiến các dự án phải đẩy mạnh tuyển dụng để chuẩn bị cho chu kỳ tăng trưởng tiếp theo. Lợi dụng xu hướng này, nhóm tấn công đã xây dựng kịch bản tinh vi: tạo hồ sơ giả trên các nền tảng tuyển dụng (LinkedIn, Telegram), tiếp cận ứng viên có hồ sơ kỹ thuật cao, sau đó gửi link tải phần mềm phỏng vấn AI. Khác với các chiêu trò phishing truyền thống, cuộc tấn công này yêu cầu nạn nhân chủ động tải và chạy mã độc trên máy tính cá nhân, khiến nó trở nên nguy hiểm hơn do người dùng thường tin tưởng vào quy trình tuyển dụng.
Chi tiết kỹ thuật: Mã độc 'Relay' hoạt động thế nào?
SlowMist đã công bố báo cáo phân tích chi tiết về mẫu mã độc. Dựa trên các phát hiện, tôi sẽ mổ xẻ từng lớp kỹ thuật để độc giả hiểu rõ mức độ nghiêm trọng.
1. Đa nền tảng: Windows và macOS đều bị tấn công
Mã độc được biên dịch riêng cho cả hai hệ điều hành, cho thấy kẻ tấn công có đội ngũ kỹ thuật vững. Trên Windows, tệp thực thi sử dụng kỹ thuật obfuscation cơ bản để tránh Windows Defender. Trên macOS, ứng dụng được ký bằng certificate giả mạo để vượt qua Gatekeeper – một rào cản bảo mật thường bị người dùng Mac chủ quan.
2. Cơ chế đánh cắp dữ liệu
Sau khi được cài đặt, phần mềm 'Relay' thực hiện các bước sau: - Quét trình duyệt: Thu thập cookie, lịch sử, mật khẩu đã lưu, đặc biệt là các extension ví tiền số (MetaMask, Phantom, Rabby). - Trích xuất dữ liệu ví: Tìm kiếm các file cấu hình, seed phrase, private key trong thư mục mặc định của các ví phổ biến. - Keychain/mật khẩu hệ thống: Trên macOS, mã độc cố gắng đọc keychain thông qua các lỗ hổng quyền; trên Windows, nó truy cập Credential Manager. - Telegram session: Đánh cắp file lưu trữ phiên đăng nhập Telegram (tdata), cho phép kẻ tấn công chiếm quyền kiểm soát tài khoản mà không cần mật khẩu.
3. Kênh liên lạc C2 và tránh phát hiện
Mã độc giao tiếp với máy chủ điều khiển (C2) qua WebSocket được mã hóa, gửi dữ liệu đánh cắp dưới dạng JSON nén. Để tránh bị phát hiện bởi phần mềm EDR, nó kiểm tra xem có đang chạy trong môi trường sandbox (VirtualBox, VMware) hay không trước khi thực thi hành vi độc hại. Đây là dấu hiệu của một nhóm tấn công có tổ chức, không phải script kiddie.
Phân tích rủi ro: Ai dễ bị nhắm đến và thiệt hại có thể là bao nhiêu?
Dựa trên kinh nghiệm audit và quan sát các cuộc tấn công trước đây, tôi đánh giá nhóm đối tượng có nguy cơ cao nhất bao gồm: - Lập trình viên blockchain: Thường xuyên nhận lời mời phỏng vấn, dễ mở file lạ. - Nhân viên bảo mật: Có quyền truy cập vào private key của dự án. - Nhà đầu tư mạo hiểm: Lưu nhiều tài sản trong hot wallet để giao dịch nhanh.
Thiệt hại tiềm tàng không chỉ dừng lại ở tài sản cá nhân. Nếu kẻ tấn công chiếm được Telegram session của một core developer, chúng có thể mạo danh để yêu cầu chuyển tiền từ treasury DAO. SlowMist ước tính giá trị trung bình mỗi nạn nhân trong các vụ tương tự vào khoảng $50,000-$200,000, tùy vào danh mục đầu tư.
Góc nhìn phản biện: Vì sao cộng đồng vẫn chưa cảnh giác đủ?
Mặc dù SlowMist đã cảnh báo, tôi nhận thấy một điểm mù nguy hiểm: đa số người dùng Web3 vẫn tin rằng chỉ cần sử dụng hardware wallet là an toàn. Sai lầm này xuất phát từ việc họ nghĩ private key không bao giờ rời khỏi thiết bị. Nhưng thực tế, khi bạn cài một phần mềm độc hại, nó có thể đọc bộ nhớ của Ledger Live, ghi lại giao dịch giả mạo, hoặc thậm chí thay đổi địa chỉ nhận trong clipboard (clipboard hijacking). Hardware wallet chỉ bảo vệ private key khi bạn ký giao dịch đúng địa chỉ, nhưng nếu màn hình hiển thị sai, bạn vẫn có thể ký một giao dịch chuyển toàn bộ tài sản cho kẻ tấn công.
Thêm vào đó, nhiều công ty Web3 vẫn chưa có chính sách phỏng vấn an toàn. Họ không yêu cầu ứng viên sử dụng máy ảo hoặc trình duyệt riêng. Điều này tạo ra lỗ hổng quy trình: ngay cả khi bạn không bị lừa, đồng nghiệp của bạn có thể là nạn nhân, và kẻ tấn công sẽ dùng tài khoản của họ để gửi link độc hại đến bạn. Đây là vector tấn công gián tiếp rất khó phát hiện.
Tác động thị trường và chuỗi cung ứng
Về mặt vĩ mô, thông tin này không trực tiếp ảnh hưởng đến giá token nào, nhưng nó làm tăng FUD về an ninh mạng. Trong ngắn hạn, tôi dự đoán: - Doanh số hardware wallet tăng nhẹ do nỗi lo. - Các dự án bảo mật như SlowMist, Certik, Hacken nhận được nhiều hợp đồng audit hơn. - Các nền tảng tuyển dụng (LinkedIn, CryptoJobs) sẽ phải cập nhật chính sách xác minh tài khoản.
Trong dài hạn, nếu các cuộc tấn công tương tự tiếp diễn, chúng ta có thể chứng kiến sự ra đời của 'phòng phỏng vấn ảo an toàn' – một môi trường sandbox chạy trong container mà ứng viên chỉ cần truy cập qua trình duyệt, không cần cài đặt bất kỳ phần mềm nào. Đây có thể là cơ hội kinh doanh cho các startup bảo mật.
Khuyến cáo hành động ngay lập tức
Dựa trên các phát hiện, tôi đề xuất các bước cụ thể cho cá nhân và doanh nghiệp:
Đối với cá nhân: 1. Kiểm tra lịch sử tin nhắn Telegram, LinkedIn xem có lời mời phỏng vấn từ người lạ với phần mềm lạ không. Nếu có, đổi ngay mật khẩu và vô hiệu hóa session cũ. 2. Chỉ sử dụng ví cứng (Ledger/Trezor) và KHÔNG BAO GIỜ nhập seed phrase vào bất kỳ phần mềm nào, kể cả phần mềm quản lý ví. 3. Tạo một user riêng trên máy tính dành cho phỏng vấn, không cài ví, không đăng nhập Telegram. 4. Sử dụng trình duyệt Firefox với container isolation để tách biệt hoàn toàn session làm việc và session crypto.
Đối với doanh nghiệp tuyển dụng: 1. Xác minh danh tính nhà tuyển dụng qua video call trực tiếp, không chỉ qua chat. 2. Không yêu cầu ứng viên tải phần mềm từ link không rõ nguồn gốc. Nếu cần test kỹ thuật, sử dụng nền tảng coding online như HackerRank hoặc CoderPad không cần cài đặt. 3. Cảnh báo toàn bộ nhân viên về chiêu trò này trong buổi họp sáng.
Kết luận: Câu hỏi để lại cho cộng đồng
SlowMist đã làm tốt vai trò cảnh báo, nhưng trách nhiệm cuối cùng vẫn thuộc về mỗi người dùng. Liệu bạn có đủ tỉnh táo để từ chối một cơ hội việc làm hấp dẫn chỉ vì nó yêu cầu cài một phần mềm lạ? Trong bối cảnh thị trường khó khăn, áp lực tìm việc có thể khiến ngay cả những người kỹ tính nhất cũng mắc bẫy. Hãy luôn nhớ: một private key an toàn hơn bất kỳ offer nào.