Mạo danh tòa soạn, đòi bitcoin: vũ khí tống tiền không cần một dòng mã

Tuần trước, một doanh nghiệp xuất nhập khẩu tại Hải Phòng nhận được email từ địa chỉ giả mạo một nhật báo kinh tế có trụ sở tại Bắc Kinh. Nội dung ngắn gọn: "Chúng tôi đã hoàn tất điều tra về hoạt động chuyển giá của quý công ty. 5 BTC để giữ bản thảo trong ngăn kéo." CFO của họ gọi cho tôi, không phải để hỏi về hợp đồng thông minh, mà để hỏi: "Có nên trả không?" Tôi im lặng vài giây, nhớ lại ICO 2018: lỗi đa ký, bài học nhức nhối. Tôi đã thấy hàng trăm vụ mất tiền do lỗi code, nhưng vụ này khác. Không có lỗ hổng trong EVM. Không có reentrancy. Không có flash loan. Chỉ có một kẻ lạ mặt lợi dụng nỗi sợ truyền thông và một giao thức thanh toán không bao giờ tha thứ. Tấn công tống tiền doanh nghiệp không mới. Nhưng sự kết hợp giữa mạo danh tòa soạn và yêu cầu bitcoin là một biến thể đáng chú ý. Kẻ tấn công không cần đột nhập hệ thống, không cần mã độc. Chúng chỉ cần một email được thiết kế tinh vi và hiểu rằng nhiều doanh nghiệp sẵn sàng trả tiền để tránh một bài báo tiêu cực. Về bản chất kỹ thuật, bitcoin có ba đặc tính khiến nó trở thành công cụ lý tưởng. Một: tính không thể đảo ngược. Một giao dịch bitcoin, khi đã được xác nhận, không thể bị hoàn lại nếu không có sự đồng thuận của người nhận. Không có tổ chức phát hành, không có ngân hàng trung gian để gọi điện khiếu nại. Hai: tính giả danh. Bitcoin không hoàn toàn ẩn danh, nhưng danh tính thực sự của người nắm khóa riêng không được xác định. Ba: tính thanh khoản xuyên biên giới. Kẻ tấn công có thể nhận bitcoin ở bất kỳ đâu trên thế giới và nhanh chóng chuyển qua các sàn giao dịch hoặc dịch vụ trộn coin. Ở Trung Quốc, nơi giao dịch tiền mã hóa đã bị cấm từ năm 2021, việc chuyển đổi bitcoin thành tiền pháp định thường phải thông qua kênh OTC ngầm. Điều đó khiến việc truy vết dòng tiền trở nên khó khăn hơn, vì thị trường OTC không có nghĩa vụ báo cáo giao dịch đáng ngờ. Theo dữ liệu từ Chainalysis, các địa chỉ ví liên quan đến hoạt động bất hợp pháp nhận về hàng chục tỷ đô la mỗi năm. Phần lớn trong số đó đến từ lừa đảo, tống tiền và ransomware. Tống tiền phi kỹ thuật — tức không dùng mã độc, chỉ dùng lời đe dọa — đang gia tăng vì chi phí gần như bằng không và xác suất bị truy tố thấp. Tôi dành hai tuần để phân tích kịch bản này từ góc nhìn của kẻ tấn công. Vì sao tôi làm vậy? Vì hiểu kẻ tấn công nghĩ gì quan trọng hơn hiểu nạn nhân nghĩ gì. Đây là cách chúng vận hành. Bước một, chọn mục tiêu. Không phải doanh nghiệp nào cũng bị nhắm đến. Kẻ tấn công chọn các công ty có doanh thu lớn, hoạt động trong lĩnh vực nhạy cảm như bất động sản, xuất nhập khẩu, sản xuất, hoặc các công ty từng có lùm xùm truyền thông. Chúng tìm kiếm "điểm yếu danh tiếng" — một vụ kiện, một cuộc thanh tra, một tin đồn sáp nhập. Nỗi sợ bị phanh phui chính là đòn bẩy. Bước hai, xây dựng uy tín giả. Mạo danh một tòa soạn có uy tín khai thác sự bất cân xứng thông tin. Doanh nghiệp không thể xác minh một email có thật hay không trong vài giờ. Họ nhìn thấy logo, tên tòa soạn, và phản ứng đầu tiên là sợ hãi. Bước ba, đe dọa mơ hồ. "Chúng tôi có báo cáo điều tra" — không nói rõ nội dung, không cần cung cấp bằng chứng. Sự mơ hồ chính là vũ khí. Nó kích hoạt trí tưởng tượng của nạn nhân về những gì tòa soạn có thể đào bới được. Bước bốn, yêu cầu bitcoin. Vì sao không phải chuyển khoản ngân hàng? Vì chuyển khoản có thể bị truy vết và đóng băng ngay lập tức. Bitcoin cho phép kẻ tấn công nhận tiền mà không cần lộ diện, và quan trọng hơn, không ai có thể hủy giao dịch. Bước năm, rửa tiền. Sau khi nhận bitcoin, kẻ tấn công không giữ nguyên trong cùng một địa chỉ. Chúng chuyển qua nhiều địa chỉ trung gian, dùng dịch vụ trộn coin để cắt đứt liên kết, rồi đẩy qua các sàn giao dịch có quy trình KYC lỏng lẻo hoặc qua OTC. Địa chỉ ví thường được tạo từ một ví HD — hierarchical deterministic — cho phép tạo hàng nghìn địa chỉ mới mà không cần sao lưu phức tạp. Với mỗi nạn nhân, chúng dùng một địa chỉ riêng. Điều này khiến cơ quan điều tra khó kết nối các vụ với nhau, trừ khi chúng mắc sai lầm trong khâu rửa tiền. Cửa sổ để đóng băng tài sản thường chỉ vài giờ sau khi giao dịch được xác nhận. Tôi thử nghiệm thêm một giả định: nếu tôi là kẻ tấn công, tôi sẽ không gửi email từ một tên miền giả mạo dễ phát hiện. Tôi sẽ dùng một tên miền trông giống thật, thêm một ký tự lạ, hoặc dùng dịch vụ email có cấu hình SPF hợp lệ. Tôi sẽ nghiên cứu thói quen của CFO qua LinkedIn, tìm hiểu xem công ty đó từng có quan hệ với tòa soạn nào. Nếu họ từng trả lời phỏng vấn, tôi sẽ viện dẫn đúng tên phóng viên, đúng chủ đề. Và tôi sẽ không đưa ra thời hạn cụ thể, để tạo áp lực tâm lý kéo dài. Với cách làm đó, xác suất nạn nhân mắc câu cao hơn nhiều. Về mặt kỹ thuật, không có gì mới ở đây. Không có zero-day trong Bitcoin Core. Không có lỗ hổng trong giao thức. Đây là một cuộc tấn công xã hội có hỗ trợ kỹ thuật — social engineering với lớp thanh toán tiền mã hóa. Nhưng điều đáng chú ý là kẻ tấn công đã tận dụng một trong những đặc tính cốt lõi của blockchain: tính không thể đảo ngược. EVM không tha thứ cho sự cẩu thả. Bitcoin cũng vậy. Nhưng ở đây, sự cẩu thả không nằm ở code, mà nằm ở quy trình vận hành của doanh nghiệp. Hầu hết các công ty chưa có quy trình ứng phó với tống tiền điện tử. Họ không biết nên gọi cho ai, có nên trả tiền hay không, và làm thế nào để bảo toàn bằng chứng. Trong một vụ audit điển hình, tôi có thể mở mã nguồn, kiểm tra từng dòng, chạy fuzzing, viết PoC. Nhưng với vụ này, tôi không có gì để đào sâu. Mặt trận tấn công nằm ở nhận thức của con người. Và vũ khí duy nhất của chúng ta là quy trình. Trong trường hợp tôi xử lý, điểm mù đầu tiên chính là việc kiểm tra địa chỉ ví. Tôi yêu cầu CFO kiểm tra địa chỉ bitcoin trong email. Đó là một địa chỉ mới, chưa từng có giao dịch nào. Không một tòa soạn nào, kể cả một phóng viên tự do, lại dùng một địa chỉ ví mới để nhận tiền từ người lạ. Đó là tín hiệu đỏ đầu tiên. Tiếp theo, tôi kiểm tra tiêu đề email. Tên miền gửi đến được đăng ký cách đó 48 giờ. Nếu đội ngũ vận hành chú ý đến cấu hình SPF/DKIM/DMARC, họ có thể phát hiện giả mạo chỉ trong vài phút. Nhưng họ không làm vậy. Họ nhìn thấy logo của tòa soạn và hoảng sợ. Điều phản trực giác ở đây: bitcoin minh bạch hơn tiền mặt. Mọi giao dịch đều nằm trên sổ cái công khai. Vậy tại sao tội phạm vẫn dùng nó? Vì sự minh bạch chỉ hữu ích khi có người theo dõi. Trong hầu hết các vụ tống tiền, nạn nhân không báo cáo với cơ quan chức năng. Họ sợ tổn hại danh tiếng, sợ bị điều tra ngược. Và khi nạn nhân im lặng, sổ cái công khai trở thành một mê cung không lối thoát. Có dữ liệu, nhưng không có ai điều tra. Điểm mù thứ hai: cuộc tấn công này không nhắm vào công nghệ, mà nhắm vào tâm lý sợ mất thể diện. Trong môi trường mà các mối quan hệ truyền thông có thể ảnh hưởng trực tiếp đến huy động vốn và giá cổ phiếu, nỗi sợ bị bôi nhọ là một lỗ hổng lớn hơn bất kỳ lỗ hổng smart contract nào. Tôi đã từng chứng kiến một công ty chi hàng chục nghìn đô la để "dọn dẹp danh tiếng" sau một bài báo tiêu cực. Nếu họ sẵn sàng trả tiền để dọn dẹp, họ sẽ sẵn sàng trả tiền để ngăn một bài báo xuất hiện. Tôi từng audit hợp đồng chứa lỗi reentrancy trong một sàn NFT. Lỗi đó có thể khiến sàn mất toàn bộ NFT trong một giao dịch. Nhưng vụ tống tiền này còn nguy hiểm hơn. Vì nó tấn công vào thứ mà không một framework bảo mật nào đo lường được: danh tiếng. Điểm mù thứ ba: đây không phải hiện tượng nhất thời. Tôi dự đoán loại hình tội phạm này sẽ gia tăng trong 12-24 tháng tới, đặc biệt tại các thị trường có nền kinh tế ngầm dùng tiền mã hóa nhưng giao dịch chính thức bị cấm. Khi một kịch bản tống tiền thành công, nó sẽ được nhân bản. Kẻ tấn công không cần viết mã, không cần kiến thức sâu về blockchain. Chúng chỉ cần một kịch bản đã được kiểm chứng. Và bitcoin sẽ tiếp tục là công cụ được lựa chọn vì tính không thể đảo ngược. Vậy điều gì xảy ra với vị CFO kia? Tôi khuyên anh ta không trả tiền. Lưu toàn bộ email, chụp màn hình, ghi lại thời gian. Báo cáo ngay cho cơ quan công an. Và quan trọng nhất, kiểm tra hộp thư xem có dấu hiệu bị theo dõi hay không. Hai ngày sau, anh ta gọi lại: một doanh nghiệp khác trong cùng khu công nghiệp cũng nhận được email tương tự, nhưng với số tiền lớn hơn — 12 BTC. Kẻ tấn công đang mở rộng mục tiêu. Câu hỏi đặt ra không phải là "có nên trả bitcoin?" mà là "tại sao doanh nghiệp của bạn không có kịch bản ứng phó?" Tấn công tống tiền không nhắm vào sàn giao dịch hay hợp đồng thông minh. Nó nhắm vào một người ngồi trong phòng họp, đang đọc một email đe dọa. Lỗ hổng nằm ở quy trình, không nằm trên chain. Trong quy trình ứng phó, bước đầu tiên luôn là dừng lại. Không trả lời, không chuyển tiền, không thương lượng. Bước thứ hai, gọi cho người có trách nhiệm trong công ty và cơ quan công an. Bước thứ ba, lưu trữ bằng chứng. Bước thứ tư, kiểm tra hộp thư và hệ thống. Bước thứ năm, chuẩn bị phương án truyền thông nếu thông tin bị lộ. Và một khi bạn hiểu điều đó, bạn sẽ thấy việc trang bị một SOP ứng phó sự cố còn quan trọng hơn việc mua thêm một phần mềm bảo mật. EVM không tha thứ cho sự cẩu thả. Chúng ta cũng không nên tha thứ cho sự cẩu thả trong quy trình của chính mình.