Kịch bản không ai ngờ vụ hack 100 triệu USD ví tiền số tại Đông Nam Á

Ảnh chụp màn hình

Nhìn số dư tài khoản về con số 0 tròn trĩnh ngay trên chiếc ví lạnh vừa bóc tem, nhiều nhà đầu tư tại Malaysia và Indonesia rơi vào trạng thái bàng hoàng. Toàn bộ chuỗi tài sản tích lũy qua nhiều năm biến mất hoàn toàn mà không xuất hiện bất kỳ thông báo đăng nhập lạ, không lộ cụm từ khôi phục bảo mật hay thao tác duyệt lệnh rút tiền nào từ phía chủ sở hữu.

Các nhà phân tích blockchain cho biết, tài sản bị rút khỏi những ví liên quan đến vụ việc gồm Bitcoin, Ethereum, Tron và nhiều token khác.

Cơn ác mộng bắt đầu khi một nhóm người dùng đồng loạt lên tiếng trên các diễn đàn công nghệ lớn như Reddit và X, chia sẻ cùng một kịch bản mất tiền đầy khó hiểu. Điểm chung duy nhất giữa các nạn nhân là họ đều mới mua thiết bị lưu trữ phần cứng thông qua CryptoBilis, một nhà phân phối ủy quyền có tiếng tại thị trường Đông Nam Á, theo Cointelegraph.

Những chiếc ví phần cứng từ lâu vốn được coi là giải pháp trú ẩn an toàn nhất cho tài sản số nhờ cơ chế lưu trữ khóa riêng tư tách biệt hoàn toàn khỏi không gian mạng. Tuy nhiên, trong vụ việc lần này, lá chắn được tin tưởng nhất lại trở thành cánh cửa mở ra thảm họa cho người nắm giữ.

Một vụ xâm nhập tinh vi vào chuỗi cung ứng được xác định là nguyên nhân cốt lõi khiến rủi ro xuất hiện ngay từ trước khi sản phẩm đến tay người tiêu dùng. Kẻ tấn công đã can thiệp trực tiếp vào thiết bị vật lý hoặc cài cắm mã độc trong quá trình vận chuyển, biến chiếc ví lạnh nguyên niêm phong thành một cái bẫy được lập trình sẵn.

Theo các chuyên gia phân tích an ninh mạng từ SlowMist, kẻ tấn công đã khéo léo thay thế bo mạch chính và cấy thêm một vi điều khiển độc hại vào bên trong thiết bị trước khi đóng gói lại nguyên niêm phong. Vi điều khiển này tự động ghi nhận cụm từ khôi phục khi người dùng khởi tạo ví và âm thầm truyền dữ liệu về máy chủ điều khiển ngay khi thiết bị kết nối với máy tính.

Dữ liệu theo dõi on-chain từ Chainalysis cho thấy hơn 87,5 triệu USD tài sản mã hóa (bao gồm 14.200 ETH và hơn 450 BTC) đã bị rút sạch chỉ trong vòng 48 giờ. Toàn bộ dòng tiền lập tức được chia nhỏ và chuyển qua các giao thức trộn tiền ẩn danh như Tornado Cash nhằm xóa sạch dấu vết giao dịch, gây khó khăn cực lớn cho công tác truy vết của cơ quan chức năng.

Sự cố lập tức tạo ra làn sóng hoảng loạn trên khắp các cộng đồng đầu tư tiền số trong khu vực, khi ranh giới giữa an toàn và rủi ro bị xóa mờ chỉ bởi một thiết bị phần cứng bị can thiệp. Nhà sản xuất Ledger sau đó đã phải ra lệnh tạm dừng khẩn cấp toàn bộ hoạt động phân phối của đối tác CryptoBilis để tiến hành khoanh vùng điều tra.

Lỗ hổng này giáng một đòn mạnh vào niềm tin của cộng đồng đầu tư, chứng minh rằng công nghệ mã hóa dù tối tân đến đâu cũng có thể bị vô hiệu hóa bởi những sơ hở trong khâu phân phối truyền thống. Rủi ro mất an toàn giờ đây không còn nằm ở thói quen sử dụng của cá nhân, mà xuất hiện ngay từ hành vi mua sắm thiết bị.

Tổ chức An ninh Mạng Đông Nam Á (SEAC) đưa ra nhận định rằng đây là cuộc tấn công chuỗi cung ứng phần cứng tài sản số có quy mô lớn nhất từng ghi nhận tại khu vực. Các chuyên gia khuyến cáo người dùng cần thực hiện quy trình kiểm tra mã bằng phần mềm hệ thống (firmware hash check) độc lập trước khi chuyển bất kỳ tài sản có giá trị lớn nào vào ví mới.

Tại Việt Nam, nơi dòng lưu chuyển và nhu cầu sở hữu ví phần cứng luôn ở mức rất cao, thói quen mua hàng xách tay hoặc qua các cửa hàng bán lẻ không chính thức đang ẩn chứa rủi ro tương tự. Bài học từ thị trường lân cận là lời cảnh báo trực tiếp cho các nhà đầu tư nội địa trong việc kiểm tra nguồn gốc thiết bị và thắt chặt quy trình quản trị rủi ro tài sản.