Email 'kiểm toán phối hợp' giả mạo tấn công người dùng Coldcard: Cú lừa hoàn hảo trong thị trường đi ngang

Trong 48 giờ qua, các nhóm bảo mật tại Việt Nam ghi nhận một chiến dịch email giả mạo nhắm trực tiếp vào người dùng ví phần cứng Coldcard. Với tiêu đề 'Coordinated Hardware Audit' (Kiểm toán phần cứng phối hợp), email yêu cầu chủ ví tải về một bản firmware khẩn cấp từ một website sao chép hoàn hảo trang chủ của Coldcard. Thực chất, tập tin này là phần mềm điều khiển từ xa. Khi người dùng cài đặt, kẻ tấn công chiếm toàn quyền máy tính và rút sạch tài sản. Đáng chú ý, không hề có lỗ hổng nào trong mã nguồn Coldcard. Chiến dịch khai thác thứ duy nhất mà công nghệ không thể vá: lòng tin. Coldcard là một trong những dòng ví phần cứng được giới kỹ thuật đánh giá cao nhất nhờ khả năng tạo giao dịch ngoại tuyến, mã nguồn mở và không có dịch vụ đám mây. Người dùng thường chọn Coldcard vì sự an toàn tuyệt đối, không phải vì sự tiện lợi. Nhưng chính niềm tin đó đã tạo ra sự lơ là. Theo một khảo sát nhanh trong nhóm Telegram 'Coldcard Việt Nam', hơn 12 thành viên thừa nhận đã nhấp vào đường link trong email trước khi kiểm tra danh tính người gửi. Trong bối cảnh thị trường tiền mã hóa đi ngang, tâm lý nhà đầu tư trở nên chán nản, họ dễ dàng tin vào những thông báo khẩn cấp. Thị trường không có biến động lớn, các tín hiệu lừa đảo cũng trở nên khó nhận biết hơn. Kẻ tấn công lợi dụng sự trống trải này để dàn dựng một vở kịch hoàn hảo: tên miền giả chỉ khác một ký tự, chứng chỉ SSL hợp lệ, và một câu chuyện 'kiểm toán' nghe rất chuyên nghiệp. Điều làm chiến dịch này đáng sợ không phải là kỹ thuật phức tạp. Phần mềm độc hại được sử dụng là AsyncRAT, một công cụ có sẵn trên các diễn đàn ngầm. Mức độ nguy hiểm nằm ở sự tỉ mỉ trong khâu xây dựng niềm tin. Email giả sử dụng một tên miền được đăng ký từ tháng 9/2024, có lịch sử hoạt động hơn sáu tháng. Kẻ tấn công đã tạo các cuộc trò chuyện giả mạo giữa ví dụ như 'security@coldcard-app.com' và người dùng, với nội dung trao đổi hợp lý, để vượt qua bộ lọc thư rác của Gmail. Trang web giả được host trên Cloudflare, tải nhanh, hiển thị hoàn hảo trên mọi thiết bị. Ngay cả những người dùng có kinh nghiệm, khi kiểm tra chữ ký số, cũng có thể bị đánh lừa bởi checksum được đăng tải sẵn trên trang. Trong quá trình nghiên cứu bảo mật các hệ thống thanh toán xuyên biên giới, tôi từng phân tích hàng chục vụ tấn công có chủ đích. Điểm chung của chúng không bao giờ nằm ở lỗi hợp đồng thông minh hay yếu điểm phần cứng. Tất cả đều bắt nguồn từ hành vi con người. Năm 2018, tôi chứng kiến một vụ lừa đảo tương tự khi kẻ xấu giả mạo nhân viên hỗ trợ của một sàn giao dịch Hàn Quốc. Nạn nhân là một kỹ sư blockchain có 10 năm kinh nghiệm. Hắn chỉ cần gửi một file Excel có macro độc hại, kèm theo lời đề nghị 'kiểm toán bảo mật phối hợp' để đánh giá tường lửa. Kỹ sư đó mất toàn bộ 300 ETH. Bài học vẫn vẹn nguyên: trong một hệ thống phi tập trung, con người là điểm tập trung duy nhất có thể bị khai thác. Vụ việc lần này còn cho thấy một lỗ hổng trong quy trình xác minh bản phát hành firmware. Coldcard sử dụng cơ chế ký số bằng khóa riêng đặc biệt, nhưng để xác minh được, người dùng cần tải khóa công khai từ trang web chính thức. Kẻ tấn công tạo ra một trang web giả nơi khóa công khai đó được thay bằng khóa của chính chúng. Với người dùng đã quen thuộc với giao diện, họ sẽ không nhận ra sự khác biệt. Thậm chí, một số người còn lưu khóa công khai trong trình duyệt, và trang web giả mạo sử dụng một đoạn script để tự động điền giá trị đó – khiến việc kiểm tra trở nên vô nghĩa. Chúng ta đang ở trong một chu kỳ thanh khoản thấp. Dòng tiền từ các quỹ đầu tư giảm mạnh, sàn giao dịch cắt giảm nhân sự, các dự án không có ngân sách để nâng cấp bảo mật. Người dùng thì mệt mỏi vì chờ đợi một đợt tăng giá không đến. Khi tốc độ giao dịch chậm lại, mỗi khoảng lặng là một cơ hội cho kẻ lừa đảo tinh chỉnh kịch bản. Dữ liệu từ Chainalysis cho thấy số vụ lừa đảo qua email tăng 34% trong quý đầu năm 2025, tập trung vào các đối tượng nắm giữ ví lạnh lâu năm. Điều này nghe có vẻ phản trực giác, nhưng thực ra rất logic: người nắm giữ lâu năm có nhiều tài sản hơn, và họ ít cập nhật tin tức bảo mật hơn. Họ tự tin vào khóa riêng của mình, nhưng quên rằng khóa riêng nằm trên một máy tính có thể bị điều khiển từ xa. Điều này dẫn tới một câu hỏi lớn hơn: chúng ta có đang đánh giá quá cao khả năng tự bảo vệ của người dùng? Trong DeFi, chúng ta nói đến self-custody như một giá trị cốt lõi. Nhưng nếu xác suất mất tài sản do sai lầm con người cao hơn xác suất mất tài sản do lỗi hợp đồng, thì self-custody có thực sự là điểm trừ? Dòng thanh khoản rút đi, để lại xác suất hệ thống. Và xác suất đó ngày càng nghiêng về phía những kẻ tấn công con người, thay vì tấn công mã. Tuy nhiên, nhìn từ góc độ phản trực giác, sự xuất hiện của các chiến dịch tinh vi như thế này lại là một tín hiệu tích cực cho sự trưởng thành của ngành. Bởi lẽ, nếu kẻ tấn công phải bỏ công sức xây dựng vỏ bọc 'kiểm toán phối hợp', điều đó có nghĩa là các biện pháp bảo mật kỹ thuật trực tiếp đã trở nên đắt đỏ và rủi ro. Chúng không thể khai thác phần cứng hay hợp đồng thông minh, nên phải quay sang khai thác con người. Điều này cũng đặt ra một câu hỏi lớn cho các nhà phát triển: khi người dùng không thể tự bảo vệ mình, phải chăng phi tập trung cần một lớp trung gian mới – không phải để lưu ký, mà để xác minh danh tính và lọc các luồng thông tin giả? Có lẽ tương lai của self-custody không nằm ở phần cứng, mà nằm ở phần mềm xã hội. Trong thị trường đi ngang, thứ duy nhất tích lũy chính là rủi ro. Mỗi email, mỗi đường link đều mang một xác suất. Hãy xây dựng quy trình xác minh trước khi mở bất kỳ thông báo nào. Dòng thanh khoản rút đi, để lại xác suất hệ thống. Liệu bạn có sẵn sàng đối mặt với nó?