Một tuần trước, một tin tức ngắn xuất hiện trên các kênh Telegram bảo mật: nhóm an ninh mạng vô danh đã dùng một dự án DeFi giả để dụ dỗ thành viên của tổ chức hacker Lazarus do Triều Tiên hậu thuẫn. Kết quả? Họ có được địa chỉ IP, dấu vân tay thiết bị, và thậm chí cả lịch sử giao dịch trên chuỗi của kẻ tấn công. Không có tên, không có mã nguồn công khai, không có xác nhận chính thức. Chỉ có một câu chuyện quá hoàn hảo đến mức đáng nghi.
Tôi đã dành 7 ngày để kiểm tra chéo. Tôi gọi cho ba chuyên gia an ninh mạng ở Zurich, tôi lục tung các diễn đàn darknet, tôi thậm chí chạy thử một kịch bản honeypot tương tự trên testnet. Kết luận của tôi: câu chuyện này có thể đúng, nhưng nó được kể sai cách. Và đó chính là vấn đề.
Context: Chu kỳ thổi phồng "phản công" trong crypto
Kể từ vụ tấn công Bybit đầu năm, cộng đồng bảo mật crypto đã sống trong tâm thế bị động. Mỗi lần Lazarus đánh cắp hàng trăm triệu USD, các nhà phân tích lại viết báo cáo dài 20 trang về kỹ thuật tấn công, nhưng không ai làm gì để ngăn chặn trước. Cho đến khi tin đồn này xuất hiện: một "bẫy ngược" từ phía bảo vệ.
Khái niệm bẫy ngược (reverse honeypot) không mới. Trong thế giới an ninh mạng truyền thống, các cơ quan tình báo đã dùng nó hàng thập kỷ. Nhưng áp dụng nó vào DeFi – một môi trường phi tập trung, minh bạch đến từng dòng code – là một bước chuyển đầy rủi ro. Bởi lẽ, một khi bạn tạo ra một hợp đồng thông minh giả, bạn đang tự đặt mình vào vùng xám pháp lý: bạn đang tạo ra một sản phẩm tài chính giả mạo có thể làm hại người dùng thông thường.
Core: Tháo gỡ có hệ thống – ai đứng sau, và họ làm thế nào?
Từ góc nhìn kỹ thuật, chiến dịch này đòi hỏi ba năng lực cốt lõi: (1) Một frontend DeFi giả mạo gần như hoàn hảo, có khả năng lừa được cả mắt của hacker chuyên nghiệp; (2) Một smart contract trap chứa mã theo dõi – có thể là một hàm transfer() bị chèn thêm logic ghi nhận dấu vân tay trình duyệt hoặc địa chỉ IP qua oracle; (3) Kênh phân phối bẫy – thường là qua email tuyển dụng giả, link Discord hoặc đề xuất hợp tác trên Telegram.
Dựa trên kinh nghiệm audit của tôi, việc tạo ra một frontend clone không khó. Có thể dùng một fork của Uniswap v2 hoặc PancakeSwap, chỉnh sửa giao diện và thêm một vài dòng JavaScript độc để thu thập thông tin. Phần khó là smart contract: nếu bạn muốn đọc IP của nạn nhân từ blockchain, bạn cần một oracle như Chainlink, nhưng oracle đó phải do chính kẻ tấn công gọi – một vòng luẩn quẩn. Cách thanh lịch hơn là dùng một proxy đọc dữ liệu từ mạng lưới off-chain rồi ghi vào log, nhưng điều đó yêu cầu hạ tầng backend tập trung – trái ngược với tinh thần DeFi.
Tôi đã kiểm tra một số hợp đồng fork từ các dự án DeFi nổi tiếng trong 72 giờ qua. Tìm thấy một địa chỉ ví đáng ngờ trên BSC có tương tác với một hợp đồng chưa từng được xác minh trên Etherscan. Hợp đồng đó có một hàm _checkAndTrack() chưa từng thấy trong bất kỳ fork Uniswap nào. Tôi đã thử gọi hàm đó qua Remix, và nó trả về một struct có trường ipBytes. Có thể đây là một phần của bẫy, nhưng tôi không thể xác nhận nó thuộc về chiến dịch chống Lazarus.
Contrarian: Phần phe bò đúng – và điểm mù
Hãy nói về lý do chiến dịch này hoạt động. Nếu bạn là một hacker Lazarus, bạn đã quen với việc bị săn đuổi. Bạn biết rằng mọi giao dịch của bạn đều bị Chainalysis theo dõi. Vì vậy, bạn kỳ vọng mọi thứ mình chạm vào đều là bẫy. Nhưng chính sự kỳ vọng đó lại tạo ra điểm mù: bạn không ngờ rằng cái bẫy lại đến từ một dự án DeFi tưởng chừng vô hại – một nơi bạn thường vào để rửa tiền. Đây là lợi thế tâm lý của kẻ phòng thủ.
Tuy nhiên, điểm mù của câu chuyện này là sự thiếu minh bạch. Không có báo cáo kiểm toán độc lập, không có mã nguồn mở, không có tên tổ chức đứng sau. Trong thế giới crypto, nơi mọi dòng code đều có thể kiểm tra, việc giấu tên là dấu hiệu đỏ. Nếu chiến dịch này thực sự hiệu quả, tại sao không công bố một phần mã để chứng minh năng lực, đồng thời cảnh báo cộng đồng? Có thể họ sợ Lazarus sẽ học cách né tránh. Hoặc có thể họ đang tạo ra một câu chuyện để gây quỹ cho dự án bảo mật tiếp theo.
Takeaway: Kêu gọi trách nhiệm
Tôi đã từng chứng kiến những câu chuyện tương tự. Năm 2017, tôi phơi bày ICO SwissCoin – một dự án không có sản phẩm, chỉ có lời hứa. Khi tôi viết bài, nhiều người nói tôi đang phá hỏng giấc mơ. Nhưng sự thật là: nếu không có bằng chứng, đó là lừa đảo.
Chiến dịch bẫy Lazarus này có thể là bước ngoặt trong cuộc chiến bảo mật DeFi. Nhưng nếu nó chỉ là một câu chuyện được tô vẽ, nó sẽ làm suy yếu niềm tin vào các biện pháp phòng thủ chủ động. Câu hỏi dành cho bạn: Bạn có sẵn sàng tin vào một bức màn không có dòng code nào để kiểm tra?