Hồi đầu tuần, tôi có một phát hiện nhỏ từ dòng log của bot giám sát Telegram cá nhân. Một địa chỉ ví lạ, chưa từng xuất hiện trong danh sách theo dõi của tôi, đột nhiên chuyển gần 20 ETH về sàn Binance. Giao dịch diễn ra lúc 3 giờ sáng, không có dấu hiệu FOMO hay bán tháo. Tôi lần theo dấu vết, và thứ tôi tìm thấy không phải là một trader tỉnh táo, mà là một dấu hiệu cho thấy kẻ trộm đang tẩu tán tài sản từ một nạn nhân của thứ mà báo chí đang gọi là SparkKitty.
Từ dòng log vô tri, tôi lần ra vết nứt hợp đồng. Nhưng lần này, vết nứt không nằm trên chuỗi, mà nằm trong chiếc điện thoại thông minh của bạn.
Context: Khi Kho Ảnh Trở Thành Chiến Trường
Trong 20 năm quan sát thị trường, tôi thấy rõ một quy luật: kẻ tấn công luôn tìm đến điểm yếu nhất. Dù các giao thức DeFi ngày càng an toàn, dù các audior ngày càng kỹ lưỡng, thì điểm yếu nhất vẫn là người dùng và thiết bị họ dùng. SparkKitty là một minh chứng hoàn hảo.
Theo thông tin ban đầu, SparkKitty là một họ mã độc mới, được phát tán thông qua các ứng dụng giả mạo trên cả App Store của Apple và Google Play. Điểm khác biệt của nó so với các mã độc clipboard truyền thống là nó không ăn cắp dữ liệu từ clipboard, mà nó nhắm vào kho ảnh trên điện thoại của nạn nhân. Nó sử dụng công nghệ OCR (Quang học nhận dạng ký tự) để quét toàn bộ ảnh trong máy, tìm kiếm các cụm từ 12 hoặc 24 từ - đó chính là seed phrase của ví tiền điện tử.
Một bot biết im lặng hơn một triệu tweet. Trong khi cả thế giới đang bàn tán về một bản nâng cấp nào đó, thì bot của tôi phát hiện một dòng thanh khoản bất thường rút khỏi một nạn nhân. Sự im lặng của bot là tín hiệu đầu tiên.
Core Insight: Chuỗi Bằng Chứng Trên Chuỗi
Khi tôi bắt đầu phân tích, tôi không tin ngay vào các báo cáo bảo mật. Tôi muốn nhìn thấy dòng tiền. Tôi mở Etherscan và bắt đầu lần theo dấu vết của 20 ETH mà bot tôi phát hiện.
Bằng Chứng #1: Sự Bất Thường Trong Hành Vi Rút Tiền
Địa chỉ ví nạn nhân (tạm gọi là Victim A) là một địa chỉ cũ, được tạo từ năm 2020. Lịch sử giao dịch cho thấy họ là một người dùng bình thường: giao dịch lẻ, chủ yếu là tương tác với Uniswap và Aave. Đột nhiên, vào lúc 3 giờ sáng (giờ UTC), họ chuyển toàn bộ 20 ETH sang một địa chỉ mới toanh (Attacker 1). Giao dịch này không có dấu hiệu bị ép giá hay panic sell. Nó rất... sạch sẽ.
Điều này trái ngược hoàn toàn với hành vi của một nạn nhân bị hack thông thường. Khi một địa chỉ bị lộ private key, bạn sẽ thấy một loạt giao dịch gấp gáp: swap sang stablecoin, chuyển qua nhiều ví trung gian, sử dụng Tornado Cash. Ở đây, không có gì cả. Một giao dịch duy nhất, gửi toàn bộ đến một địa chỉ trung gian.
Giả thuyết của tôi: Kẻ tấn công không cần vội vàng. Chúng đã có seed phrase, chúng kiểm soát hoàn toàn ví. Hành vi rút tiền này giống như một người dùng đang tự động chuyển tiền từ ví lạnh sang sàn giao dịch, nhưng thực chất là kẻ trộm đang kiểm tra nước. Chúng sẽ gom tất cả các nạn nhân khác rồi mới tẩu tán hàng loạt. [Độ tin cậy: Cao]
Bằng Chứng #2: Địa Chỉ Trung Gian - Chiếc Hộp Đen
Địa chỉ Attacker 1 (0xfd4...b3e) nhận ETH từ Victim A, và sau 12 giờ, nó chuyển toàn bộ lên một sàn giao dịch tập trung (CEX). Không có bước nhảy qua các giao thức DeFi, không có swap, không có cố gắng che giấu.
Đây là dấu hiệu cho thấy kẻ tấn công không phải là một nhóm tinh vi. Chúng có thể đã mua seed phrase từ một nguồn khác, hoặc chúng tự khai thác và bán lại cho các băng nhóm rửa tiền chuyên nghiệp. Hành vi chuyển thẳng lên CEX là một hành vi cực kỳ liều lĩnh và thiếu kinh nghiệm trong mắt tôi. [Độ tin cậy: Trung bình]
Bằng Chứng #3: Tín Hiệu Từ Các Ví Nhỏ Hơn
Tôi không chỉ theo dõi Victim A. Tôi mở rộng phạm vi tìm kiếm, dựa trên phương pháp "giám sát dữ liệu on-chain và off-chain" mà tôi đã phát triển cho BlackRock. Tôi tìm kiếm các giao dịch tương tự trong cùng khung thời gian: chuyển toàn bộ ETH đến một địa chỉ mới không có lịch sử, và sau đó chuyển lên sàn trong vòng 24 giờ.
Kết quả: Tôi tìm thấy thêm 5 địa chỉ ví với cùng khuôn mẫu. Tổng số tiền lên đến 150 ETH. Tất cả đều có điểm chung là chúng đều là các ví cũ, không hoạt động trong nhiều tháng, bỗng nhiên bị "đánh thức" và rút sạch. Đây là dữ liệu mạnh mẽ ủng hộ giả thuyết rằng một vụ tấn công quy mô đang diễn ra, và SparkKitty là thủ phạm. [Độ tin cậy: Cao]
Dựa trên kinh nghiệm audit của tôi, tôi phải nói rằng: Kẻ tấn công không cần phải xâm nhập vào hợp đồng thông minh. Chúng chỉ cần một lỗ hổng trong chiếc điện thoại của bạn.
Contrarian: Tương Quan Không Phải Nhân Quả
Đây là điểm mà tôi nghĩ nhiều người sẽ hiểu sai. Họ sẽ nghĩ: "Thế là xong, DeFi không an toàn, tự quản lý là rủi ro." Không. Sai lầm.
Vấn đề không nằm ở công nghệ blockchain. Vấn đề nằm ở hành vi của người dùng và sự lỏng lẻo trong chính sách kiểm duyệt của các ông lớn công nghệ (Apple, Google).
Hãy nhìn vào bức tranh lớn. SparkKitty là một dạng tấn công xã hội (social engineering) được hỗ trợ bởi kỹ thuật. Nó không khai thác lỗ hổng trong mã nguồn của Uniswap hay Aave. Nó chỉ đơn giản là lợi dụng thói quen xấu của con người: chụp ảnh seed phrase và lưu trong máy.
Tôi từng viết trong một bài báo cáo về sự sụp đổ của Terra. Ở đó, tôi chỉ ra rằng dòng tiền rút khỏi Anchor Protocol đã bắt đầu từ tháng 3, nhưng không ai để ý. Ở đây, cũng vậy. Các nạn nhân của SparkKitty có thể đã cài ứng dụng độc hại từ nhiều tháng trước. Mã độc nằm im trong máy, chờ đến ngày chúng quét ảnh và tìm thấy seed phrase. Đây là một quả bom hẹn giờ.
Quan điểm phản trực giác của tôi: Sự kiện SparkKitty không làm suy yếu niềm tin vào self-custody. Ngược lại, nó củng cố lý do tại sao self-custody là cần thiết, nhưng phải đi kèm với giáo dục người dùng và các giải pháp cứng (hardware wallet). Những ai chuyển tiền lên sàn giao dịch tập trung vì sợ hãi có thể sẽ là những người thiệt thòi nhất trong dài hạn.
Takeaway: Tín Hiệu Cho Tuần Tới
Đây là câu hỏi mà tôi đặt ra cho các bạn, thay vì một kết luận khô khan.
Điều gì sẽ xảy ra khi một "bot biết im lặng" của tôi phát hiện ra một mô hình, và tôi công bố nó? Hàng trăm người đã tránh được tổn thất trong vụ YFI/ETH năm 2020 nhờ bài viết của tôi. Nhưng tuần này, tôi không thể cứu được những nạn nhân của SparkKitty. Tiền của họ đã đi.
Tín hiệu cho tuần tới: Hãy kiểm tra lại tất cả các ứng dụng trên điện thoại của bạn. Nếu bạn có bất kỳ ứng dụng nào yêu cầu quyền truy cập vào ảnh mà bạn không chắc chắn về độ tin cậy, hãy gỡ ngay lập tức. Đây không phải là một lời khuyên mơ hồ. Đây là một hành động cụ thể.
Tôi đã mất một thời gian dài để theo dõi dòng tiền của kẻ trộm. Tôi có thể viết báo cáo 20 trang như tôi đã làm cho Terra. Nhưng có một câu hỏi lớn hơn đang chờ chúng ta: Liệu một người dùng bình thường có thể tự bảo vệ mình trước những mối đe dọa từ chính chiếc máy tính bỏ túi của họ không? Hay chúng ta sẽ phải chấp nhận rằng sự tiện lợi của công nghệ đi kèm với cái giá là sự an toàn của tài sản?
Câu trả lời, như mọi khi, nằm trong dữ liệu. Và tôi sẽ tiếp tục lắng nghe tiếng nói của những dòng log vô tri.
