Hook
Bạn có nhớ lần cuối cùng mình tải một ứng dụng ví crypto từ một link Google không rõ nguồn gốc không? Hay lần bạn đăng nhập Telegram trên một máy tính lạ mà không bật xác thực hai yếu tố? Nếu câu trả lời là “có”, thì bạn đang nằm trong tầm ngắm của một làn sóng tấn công mới vừa được SlowMist – một trong những công ty bảo mật hàng đầu Web3 – công bố.
Malware nhắm vào macOS, không phải Windows hay Linux, và mục tiêu của nó không chỉ là tiền mã hóa trong ví, mà còn chiếm quyền điều khiển tài khoản Telegram của bạn. Một khi kẻ tấn công có Telegram, chúng có thể giả danh bạn trong các nhóm giao dịch, kêu gọi đầu tư, hoặc thậm chí chiếm luôn các token NFT quý giá. Đây không còn là chuyện đùa.
Context
macOS từ lâu được xem là “pháo đài” bảo mật so với Windows. Nhưng thực tế, không có hệ điều hành nào là bất khả xâm phạm. Những năm gần đây, các nhóm tấn công có tổ chức ngày càng nhắm vào người dùng Mac, đặc biệt là trong cộng đồng crypto, bởi đây là nhóm có tài sản giá trị cao và thường chủ quan về bảo mật.
SlowMist, trong báo cáo mới nhất, tiết lộ rằng malware không chỉ đơn thuần là keylogger hay trojan. Nó sử dụng hai phương thức chính: (1) chiếm đoạt session cookie của Telegram để đăng nhập tài khoản mà không cần mật khẩu, và (2) tạo ra các ứng dụng ví giả mạo – giống hệt giao diện của MetaMask, Phantom hay Trust Wallet – để lừa người dùng nhập seed phrase. Một khi có seed phrase, tài sản trong ví biến mất vĩnh viễn.
Tôi nhớ lại năm 2017, khi mới thành lập nhóm học tập Ethereum tại Buenos Aires, có một bạn trẻ đã khóc vì mất 2 ETH chỉ vì tải nhầm bản cài đặt “crack” trên một forum. Bây giờ, kịch bản đó lặp lại nhưng với quy mô lớn hơn, tinh vi hơn.
Core
Hãy đi sâu vào kỹ thuật. Malware này hoạt động như thế nào?
Đầu tiên, nó lợi dụng một lỗ hổng phổ biến trên macOS: quyền truy cập “Accessibility” hoặc “Screen Recording”. Khi người dùng vô tình cấp quyền (thường qua một cửa sổ pop-up giả mạo yêu cầu cập nhật phần mềm), malware sẽ âm thầm ghi lại mọi thao tác bàn phím, chuột và nội dung màn hình. Từ đó, nó có thể đọc được session token của Telegram được lưu trong thư mục ~/Library/Application Support/Telegram.
Session token là gì? Nó giống như chìa khóa vạn năng. Bạn không cần mật khẩu, không cần mã OTP, chỉ cần token là có thể đăng nhập tài khoản từ bất kỳ thiết bị nào. Telegram có cơ chế “active sessions”, nhưng ít người kiểm tra thường xuyên. Kẻ tấn công có thể duy trì session trong nhiều ngày, lặng lẽ theo dõi tin nhắn, lấy thông tin về các dự án đầu tư, thậm chí spam đường link độc hại vào các group.
Phương thức thứ hai – giả mạo ứng dụng ví – còn nguy hiểm hơn. Tôi đã từng audit code cho một dự án NFT vào năm 2021 và thấy rằng việc tạo ra một bản sao giao diện của ví phổ biến không hề khó. Chỉ cần sao chép HTML/CSS của MetaMask, thay đổi một vài dòng JavaScript để redirect seed phrase về server của hacker. Người dùng không hề hay biết gõ 12 từ quý giá vào một ô input không an toàn.
Dựa trên kinh nghiệm nhiều năm làm bảo mật, tôi nhận thấy điểm yếu cốt lõi không nằm ở code blockchain mà nằm ở lớp ứng dụng (application layer). Các giao thức phi tập trung như Ethereum, Solana đều an toàn về mặt đồng thuận, nhưng smartphone và laptop là biên giới yếu nhất. Một ví dụ điển hình: năm 2022, tôi tổ chức chuỗi webinar “Tâm lý vững vàng trong crypto” và phát hiện ra rằng hơn 60% người tham gia vẫn lưu seed phrase dưới dạng text file trên máy tính.
Bạn có tự hỏi vì sao hacker lại chọn macOS không? Đơn giản: vì người dùng Mac thường có thu nhập cao, sở hữu nhiều crypto và ít cập nhật bảo mật hơn so với người dùng Windows. Ngoài ra, macOS có cộng đồng người dùng nhỏ, các công ty bảo mật ít chú trọng phát triển công cụ diệt virus cho Mac, tạo ra một “lỗ hổng bảo mật tâm lý” – ai cũng nghĩ Mac là an toàn.
Contrarian
Nhưng có một góc nhìn phản trực giác: thay vì đổ lỗi cho hacker, chúng ta nên tự hỏi vì sao mình vẫn phụ thuộc vào các ứng dụng tập trung? Telegram, dù mã hóa đầu cuối, vẫn là một dịch vụ tập trung do một công ty kiểm soát. Session token được lưu trên máy người dùng, nhưng nếu chính giao thức Telegram có lỗ hổng, mọi nỗ lực bảo mật cá nhân đều vô ích.
Điều tôi muốn nói ở đây là: chúng ta đang quá tập trung vào “phi tập trung hóa blockchain” nhưng quên mất rằng các lớp trung gian – trình duyệt, hệ điều hành, ứng dụng nhắn tin – vẫn hoàn toàn tập trung. MiCA (quy định stablecoin châu Âu) hay các chính sách khác có thể mang lại “sự rõ ràng”, nhưng chúng không thể bảo vệ bạn khỏi một ứng dụng giả mạo. Thậm chí, chi phí tuân thủ cao còn giết chết các dự án nhỏ, khiến người dùng phải tìm đến các sản phẩm không được kiểm duyệt, vô tình làm tăng rủi ro.
Hãy nhìn vào lớp layer2: sequencer tập trung là nút thắt cổ chai. “Decentralized sequencing” đã được hứa hẹn suốt hai năm nhưng vẫn chỉ là PowerPoint. Tương tự, bảo mật máy tính cá nhân cũng là một layer tập trung mà chúng ta không thể kiểm soát hoàn toàn. Chỉ có một cách duy nhất: thay đổi thói quen.
Takeaway
Vậy chúng ta làm gì? Đừng chờ đợi một bản vá nào từ Apple hay Telegram. Ngay bây giờ, hãy làm ba việc: (1) Kích hoạt xác thực hai yếu tố trên Telegram và kiểm tra “Active Sessions” trong cài đặt, xóa bất kỳ session nào bạn không nhận ra. (2) Không bao giờ nhập seed phrase vào bất kỳ ứng dụng nào ngoại trừ phần cứng như Ledger hay Trezor. (3) Sử dụng một máy tính riêng biệt (có thể là máy cũ chạy Linux) cho các giao dịch crypto lớn.
Hành trình phi tập trung hóa không chỉ là về công nghệ, mà còn về trách nhiệm cá nhân. Bạn có dám đặt cược toàn bộ tài sản của mình vào một chiếc MacBook chưa được kiểm tra không? Câu trả lời sẽ quyết định tương lai tài chính của bạn trong kỷ nguyên số.
