Khi ví lạnh bị chọc thủng: Bài 3: Cướp tiền ảo không cần hack

Trong suốt gần 2 ngày bị giam giữ, những kẻ bắt cóc đòi khoản tiền chuộc 10 triệu euro. Để gây sức ép, chúng đã cắt lìa một ngón tay của ông Balland. Cả hai sau đó được giải cứu, nhiều nghi phạm bị bắt giữ. Ông chủ hãng từng góp phần tạo ra một trong những thiết bị lưu trữ tiền số được xem là an toàn nhất thế giới, cuối cùng lại trở thành nạn nhân của một hình thức tấn công không cần đến bất kỳ dòng mã độc nào!

CỜ-LÊ 5 USD VÀ BỨC TƯỜNG MÃ HÓA

Giới bảo mật gọi đó là “wrench attack” - tấn công bằng cờ-lê. Thuật ngữ này bắt nguồn từ một bức tranh biếm họa trên mạng, minh họa rằng dù hệ thống mã hóa có tinh vi đến đâu, kẻ xấu vẫn có thể đơn gianã dùng một chiếc cờ-lê nặng giá 5USD để đe dọa cho đến khi nạn nhân tự khai ra mật khẩu. Trong thế giới tiền số, kịch bản ấy đã bước ra khỏi trang biếm họa. Thay vì cố phá vỡ các lớp bảo mật kỹ thuật của ví lạnh - vốn ngày càng khó khai thác - tội phạm chuyển hướng sang đe dọa, cưỡng ép hoặc bắt cóc chính người nắm giữ seed phrase (cụm từ hạt giống).

Khác với một cuộc tấn công mạng đòi hỏi kỹ năng, thời gian và khả năng tiếp cận hệ thống, một vụ wrench attack chỉ cần 3 thứ: sự gần gũi về vị trí, một vũ khí hoặc lời đe dọa và hiểu biết rằng mục tiêu đang nắm giữ tài sản số. Một khi giao dịch được ký dưới sự cưỡng ép, nó có hiệu lực vĩnh viễn - không có cơ chế nào trên blockchain đảo ngược một giao dịch chỉ vì người ký khi đó đang bị đe dọa tính mạng. Trường hợp của ông Balland không phải là cá biệt.

Vài tháng sau, tháng 5/2025, cha của một doanh nhân tiền số tại Paris bị bắt cóc, với mức tiền chuộc bị đòi dao động từ 5 đến 7 triệu euro. Kẻ bắt cóc cũng cắt một ngón tay của nạn nhân để gây áp lực buộc gia đình phải trả tiền. Cảnh sát Pháp đã giải cứu nạn nhân sau 58 giờ bị giam giữ và bắt 5 nghi phạm. Cũng trong tháng 5/2025, con gái và cháu trai của một CEO công ty tiền số nổi tiếng bị tấn công ngay giữa ban ngày ở quận 11 của Paris.

David Balland - đồng sáng lập hãng ví lạnh Ledger từng bị “tấn công cờ-lê”

Tại Mỹ, cuối tháng 5/2025, hai nghi phạm William Duplessie và John Woeltz bị buộc tội bắt cóc một du khách người Italy tại New York nhằm chiếm đoạt tài sản tiền số của nạn nhân. Một tháng trước đó, tại London, một du khách Mỹ (30 tuổi) bị một đối tượng giả danh tài xế Uber chuốc thuốc mê. Kẻ bắt cóc chỉ thả nạn nhân sau khi lấy được mã khóa ví tiền số. Cũng theo Slate, cuối tháng 11/2025, một nhà đầu tư tại Las Vegas vừa rời một hội nghị về tiền số đã bị 3 đối tượng có vũ trang, đeo mặt nạ bắt cóc ngay khi vừa về đến nhà. Chúng tống tiền anh 4,8 triệu USD token, rồi bỏ mặc nạn nhân giữa khu vực sa mạc cách biên giới bang Nevada 26 dặm. Tại Buenos Aires, hai lãnh đạo doanh nghiệp tiền số người Nga bị một nhóm người Chechnya bắt cóc, buộc phải trả 43.000USD tiền chuộc trước khi các đối tượng bỏ trốn.

Mức độ tàn bạo của những vụ việc này tiếp tục leo thang sang cuối năm 2025. Theo hồ sơ tòa án chỉ được công bố công khai vào tháng 11/2025, một vụ đột nhập nhà riêng tại Vancouver (Canada) xảy ra từ năm 2024 cho thấy, các đối tượng đã dùng vòi nước để mô phỏng hình thức tra tấn gây ngạt thở đối với một người đàn ông và vợ anh ta; đồng thời tấn công tình dục con gái của họ, nhằm chiếm đoạt lượng Bitcoin trị giá hơn 1,5 triệu USD.

Tháng 12/2025 tại Vienna (Áo), Danylo Kuzmin - con trai 21 tuổi của một chính trị gia Ukraine - bị dụ vào một cái bẫy, bị tra tấn để ép giao quyền truy cập ví tiền số. Sau khi lấy được khoảng 200.000USD, các đối tượng đã sát hại nạn nhân và nghi phạm sau đó bị bắt giữ. Cũng theo BeInCrypto, tại Các Tiểu vương quốc Ả Rập Thống nhất, doanh nhân tiền số Roman Novak và vợ bị sát hại sau khi bị phục kích trong một cuộc gặp được dàn dựng như một buổi làm việc kinh doanh thông thường. Những kẻ tấn công tìm cách chiếm đoạt tài sản được cho là trị giá hàng trăm triệu USD, nhưng đã ra tay giết hại cả hai vợ chồng khi ví tiền số không mang lại số tiền như kỳ vọng.

NĂM “BẠO LỰC NHẤT” TRONG LỊCH SỬ TIỀN SỐ

Những vụ việc riêng lẻ nói trên không phải là ngẫu nhiên, mà nằm trong một xu hướng đã được các tổ chức giám sát an ninh mạng thống kê. Theo báo cáo Skynet Wrench Attacks của Công ty bảo mật CertiK, thế giới ghi nhận 72 vụ tấn công dạng này trong năm 2025 - tăng 75% so với năm 2024, trong đó riêng số vụ tấn công thể xác trực tiếp tăng tới 250%. Tổng thiệt hại từ các vụ việc này vượt 40,9 triệu USD chỉ trong năm 2025, và CertiK lưu ý con số thực tế có thể còn cao hơn nhiều do phần lớn nạn nhân không trình báo với cơ quan chức năng. Châu Âu là khu vực nguy hiểm nhất, chiếm hơn 40% tổng số vụ trên toàn cầu, riêng nước Pháp ghi nhận tần suất trung bình cứ 2 đến 3 ngày lại xảy ra một vụ bắt cóc liên quan đến tiền số.

Các tổ chức khác đưa ra những con số thống kê khác nhau tùy phương pháp. TRM Labs ghi nhận khoảng 55 vụ trong năm 2025, trong khi nhà phát triển Bitcoin Jameson Lopp - người duy trì một cơ sở dữ liệu riêng theo dõi loại tội phạm này - đếm được hơn 70 vụ. Tình trạng trên chưa có dấu hiệu chững lại. Chỉ riêng tháng 01/2026, thế giới đã ghi nhận 11 vụ wrench attack mới và TRM Labs dự báo con số sẽ tiếp tục tăng trong những năm tới. Một trong những nguyên nhân là do năng lực xử lý của cơ quan thực thi pháp luật với loại tội phạm này còn hạn chế, trong khi số người tham gia đầu tư tài sản số ngày một đông, tạo ra nhiều mục tiêu tiềm năng hơn. Trước thực trạng trên, một số công ty bảo hiểm lớn, trong đó có Lloyd’s of London, đã bắt đầu triển khai các gói bảo hiểm dành riêng cho rủi ro bị tấn công kiểu wrench attack hoặc bắt cóc liên quan đến tài sản số.

Số vụ tấn công bạo lực để cướp Bitcoin trên thế giới (thống kê của CertiK)

David Balland từng dựng nên “vành đai” bảo mật vững chắc nhất ngành công nghiệp tiền số - ví lạnh. Thế rồi chính ông lại trở thành nạn nhân của thứ mà không một bản vá firmware nào có thể ngăn chặn. Đây là lời nhắc rằng, an toàn tài sản số không chỉ dừng lại ở việc chọn đúng loại ví hay cập nhật đúng phiên bản phần mềm.

Một yếu tố khiến làn sóng wrench attack ngày càng tinh vi là các vụ rò rỉ dữ liệu từ chính những công ty trong ngành tiền số, vốn vô tình cung cấp cho tội phạm danh tính, nơi ở và ước tính giá trị tài sản của các nạn nhân tiềm năng. Theo một đơn vị tư vấn an ninh chuyên theo dõi loại tội phạm, các vụ rò rỉ dữ liệu từ những sàn giao dịch và công ty tiền số lớn đã giúp tội phạm có tổ chức, kể cả các băng nhóm xuyên quốc gia, dễ dàng xác định và theo dõi những người sở hữu tài sản số có giá trị cao. Đây cũng là lý do vì sao giới chuyên gia khuyến cáo người sở hữu tài sản số cần đặc biệt thận trọng với việc công khai thông tin cá nhân, danh tính hay mức độ giàu có của mình trên không gian mạng.

Trong giới nghiên cứu bảo mật, kiểu tấn công nhắm thẳng vào con người thay vì hệ thống mã hóa được gọi bằng một thuật ngữ có từ năm 1990: “rubber-hose cryptanalysis” - phá mã bằng dùi cui cao su. Nguyên tắc đằng sau nó không thay đôií suôtë hơn 3 thập niên qua: bất kể phương thức tấn công là gì, mục tiêu luôn là con người, không phải thuật toán. Một hacker cần kỹ năng, thời gian và khả năng tiếp cận hệ thống để khai thác một lỗ hổng phần mềm. Một kẻ tấn công kiểu wrench attack chỉ cần biết mục tiêu là ai, ở đâu và tin rằng người đó đang giữ tài sản số có giá trị.