SecondFi ra tối hậu thư cho hacker: 16,1 triệu ADA và bóng ma Lazarus Group

16,1 triệu ADA – một con số không nhỏ đối với bất kỳ giao thức nào, và là một mất mát lớn đối với SecondFi, một nền tảng tài chính phi tập trung (DeFi) hoạt động trên Cardano. Vụ tấn công diễn ra hồi tháng 6, nhưng đến nay, câu chuyện vẫn chưa khép lại. Mới đây, SecondFi tuyên bố đưa ra tối hậu thư cuối cùng cho hacker, khiến số tiền thưởng vẫn còn hiệu lực lên đến 16,1 triệu ADA – toàn bộ số tiền bị đánh cắp. Đáng chú ý, các nhà điều tra đã chỉ ra dấu vết của Lazarus Group, tổ chức tội phạm mạng khét tiếng có liên hệ với chính phủ Triều Tiên. SecondFi là một giao thức cho phép người dùng vay, cho vay và cung cấp thanh khoản trên mạng lưới Cardano, vốn nổi tiếng với triết lý phát triển hàn lâm và an toàn. Tuy nhiên, vào ngày 17 tháng 6 vừa qua, giao thức này đã bị tấn công thông qua một lỗ hổng trong hợp đồng thông minh. Kẻ tấn công đã nhanh chóng rút sạch 16,1 triệu ADA khỏi các pool thanh khoản chỉ trong vài chục phút. Số tiền sau đó được chuyển qua nhiều địa chỉ trung gian, khiến việc truy vết trở nên cực kỳ khó khăn. Điều khiến vụ việc trở nên nghiêm trọng hơn là sự xuất hiện của Lazarus Group. Đây là một tổ chức tội phạm mạng do Cục Tổng trạm trưởng Triều Tiên hậu thuẫn, có trách nhiệm thực hiện nhiều vụ trộm tiền mã hóa lớn nhất lịch sử, từ vụ hack ngân hàng Bangladesh năm 2016 đến vụ tấn công cầu nối Ronin năm 2022. Họ được biết đến với các cuộc tấn công có tổ chức, sử dụng kỹ thuật xã hội học để tiếp cận các nhà phát triển, sau đó khai thác các lỗ hổng kỹ thuật. Với nguồn lực nhà nước, họ có khả năng rửa tiền qua nhiều lớp tài sản, khiến việc thu hồi gần như không thể. Ngay sau vụ tấn công, SecondFi đã đăng tải một thông điệp công khai, gọi kẻ tấn công là "đồng nghiệp" và đề nghị trả 2 triệu ADA nếu trả lại số tiền còn lại. Họ cũng kêu gọi hacker liên hệ để đàm phán. Lúc đầu, cộng đồng cho rằng đây là một cách tiếp cận hợp lý. Nhưng khi thông tin về Lazarus Group được xác nhận, hi vọng trở về với con số không. Tối hậu thư mới nhất của SecondFi đặt ra thời hạn cuối cùng, nếu hacker không trả lại tiền, họ sẽ chuyển toàn bộ thông tin về vụ việc cho các cơ quan thực thi pháp luật toàn cầu, bao gồm Interpol và FBI. Từ góc độ của một người làm quản lý quỹ, tôi đã chứng kiến nhiều vụ hack trong sự nghiệp của mình. Điều tôi muốn nhấn mạnh là, khi một giao thức bị tấn công, điều quan trọng nhất không phải là đối thoại với hacker mà là kiểm soát thiệt hại và bảo vệ người dùng. SecondFi đã chọn một hướng đi khác. Họ công khai toàn bộ địa chỉ ví của hacker, treo thưởng cho bất kỳ ai cung cấp thông tin hữu ích, và hợp tác với các công ty phân tích chuỗi. Đây là một chiến lược truyền thông thông minh, nhưng về mặt thực tế, xác suất nhận lại tiền là cực kỳ thấp. Phân tích kỹ thuật cho thấy các địa chỉ ví nhận tiền đều là các địa chỉ mới được tạo ra ngay trước vụ tấn công. Điều này cho thấy kẻ tấn công đã có sự chuẩn bị kỹ lưỡng và hiểu rõ cách thức vận hành của hệ sinh thái Cardano. Họ không hề để lộ dấu vết trước đó. Sau khi chiếm được ADA, họ liên tục hoán đổi sang các loại tài sản khác như Bitcoin và một phần đi qua các dịch vụ trộn tiền. Đây là một đặc điểm chung của các vụ hack do Lazarus Group thực hiện – họ luôn sử dụng các phương pháp xóa dấu vết phức tạp, vượt ngoài khả năng của các công cụ truyền thống. Nghịch lý thay, chính tối hậu thư của SecondFi có thể sẽ phản tác dụng. Khi một con thú bị dồn vào chân tường, nó sẽ trở nên nguy hiểm hơn. Lazarus Group không có lý do gì để trả lại tiền. Số tiền này được dùng để tài trợ cho chương trình tên lửa của Triều Tiên, điều này có nghĩa là chính phủ nước này đang theo dõi sát sao từng bước đi của số tiền. Việc trả lại tiền, dưới bất kỳ hình thức nào, đều sẽ làm tổn hại đến danh tiếng của họ, thứ đã tạo nên sức mạnh của nhóm. Vậy nên, SecondFi có thể kéo dài thời gian nhưng không thể thay đổi kết quả. Một câu hỏi lớn hơn được đặt ra: liệu cộng đồng tiền mã hóa đã thực sự sẵn sàng đối phó với những kẻ tấn công có chủ quyền quốc gia? Hầu hết các giao thức hiện nay đều chỉ tập trung vào phát triển sản phẩm, bỏ qua yếu tố bảo mật vận hành. Họ thuê một công ty kiểm toán mã nguồn, nhận được một tờ giấy chứng nhận “an toàn”, rồi nghĩ rằng mọi thứ sẽ ổn. Thực tế đã chứng minh điều ngược lại. Các cuộc tấn công ngày càng tinh vi hơn, và các lỗ hổng không chỉ nằm ở mã nguồn mà còn ở con người và quy trình. Trong bối cảnh thị trường giảm như hiện tại, việc xảy ra một vụ hack có thể là giọt nước tràn ly đối với một dự án. Nhà đầu tư đã mất niềm tin, họ sẽ rút vốn và chuyển sang các nền tảng khác. Do đó, các giao thức không có sự chuẩn bị ứng phó khủng hoảng sẽ nhanh chóng bị đào thải. SecondFi có thể sẽ sống sót, nhờ cách xử lý thông tin minh bạch, nhưng không phải không có sẹo. Tuy nhiên, tôi nhận thấy rằng việc công khai địa chỉ ví của hacker là một bước đi có thể giúp ích về lâu dài. Bởi vì các cơ quan thực thi pháp luật có thể sử dụng những thông tin này để đóng băng tài sản tại các sàn giao dịch tập trung nếu hacker cố gắng bán. Điều đó đã từng xảy ra trong vụ hack Axie Infinity – một phần số tiền đã được thu hồi sau khi FBI tham gia và sử dụng các công cụ phân tích chuỗi để truy vết. Dù vậy, trong vụ này, nghi phạm là một tổ chức nhà nước, nên sức mạnh của pháp luật sẽ bị hạn chế. Vậy, chúng ta có thể rút ra điều gì từ câu chuyện SecondFi? Trước hết, các giao thức DeFi cần phải coi trọng an ninh hơn nữa, không chỉ ở lớp hợp đồng thông minh mà còn ở lớp vận hành. Thứ hai, họ nên có bảo hiểm cho tài sản của người dùng, tương tự như bảo hiểm tiền gửi trong ngân hàng truyền thống. Thứ ba, cộng đồng cần có một quỹ hỗ trợ khi có sự cố xảy ra, để giảm thiểu thiệt hại cho người dùng cá nhân – những người không có khả năng tự bảo vệ mình. Câu chuyện của SecondFi cũng nhắc nhở chúng ta rằng tiền mã hóa không phải là một thiên đường an toàn như nhiều người vẫn tưởng. Nó cũng có những rủi ro, đặc biệt là khi các tác nhân nhà nước tham gia. Và thay vì dựa vào sự hào phóng của hacker, chúng ta nên tự trang bị kiến thức và công cụ để bảo vệ tài sản của mình. Cuối cùng, tối hậu thư của SecondFi có thể sẽ chìm vào quên lãng, nhưng bài học về sự mong manh của hệ sinh thái phi tập trung thì vẫn còn nguyên giá trị. Nhìn xa hơn, vụ việc này là một phần của xu hướng đáng lo ngại trong năm 2025. Các cuộc tấn công do nhà nước bảo trợ vào lĩnh vực tiền mã hóa không chỉ dừng lại ở các sàn giao dịch lớn, mà đã lan sang các giao thức nhỏ, nơi bảo mật thường ít được chú trọng. Điều này gợi nhớ đến những ngày đầu của DeFi, khi tổng giá trị khóa (TVL) tăng nhanh nhưng các lỗ hổng cũng xuất hiện nhiều không kém. Chúng ta từng nghĩ rằng Cardano an toàn hơn Ethereum vì quy trình kiểm toán gắt gao hơn. Nhưng thực tế cho thấy, không có blockchain nào miễn nhiễm với sự khai thác thông minh. Theo thống kê từ Chainalysis, tổng số tiền bị đánh cắp từ các vụ hack tiền mã hóa trong năm 2025 đã vượt 2,1 tỷ USD, và khoảng 40% trong số đó liên quan đến các nhóm tin tặc liên kết với chính phủ Triều Tiên. Họ không dừng lại ở việc tấn công sàn giao dịch. Họ còn nhắm vào các nhà phát triển cá nhân, chiếm đoạt ví phần cứng và thậm chí phát tán mã độc qua các gói phần mềm mã nguồn mở. Đây là một cuộc chiến phi đối xứng, nơi các giao thức phi tập trung không thể trông cậy vào một đội quân bảo vệ chuyên nghiệp. Tư cách của một người quản lý quỹ khiến tôi phải luôn đặt câu hỏi về khả năng phục hồi của các giao thức mà tôi đầu tư. Khi đánh giá SecondFi, tôi chú ý đến các yếu tố như: họ có quỹ dự phòng hay không, họ đã ký hợp đồng với các công ty điều tra chuỗi khối nào, và liệu họ có minh bạch trong việc xử lý sự cố. SecondFi đã làm khá tốt phần minh bạch, nhưng điều đó không giúp họ lấy lại được tiền. Nó chỉ giúp họ giữ được uy tín trong mắt cộng đồng – một thứ vô cùng quý giá trong mùa đông tiền mã hóa. Trên các diễn đàn, nhiều người dùng đã chia sẻ sự thất vọng của họ. Có người mất toàn bộ số tiền tiết kiệm, có người chửi rủa đội ngũ phát triển vì sự bất cẩn. Nhưng sâu xa hơn, họ hiểu rằng rủi ro là một phần không thể tránh khỏi khi tham gia vào một hệ sinh thái chưa trưởng thành. Không có một tổ chức tập trung nào đứng ra bồi thường. Đây chính là điểm mù mà thị trường thường bỏ qua: chúng ta luôn ca ngợi tính phi tập trung, nhưng khi xảy ra sự cố, lại khao khát một cơ quan trung ương để cứu giúp. Một điều ít ai để ý là, sau vụ tấn công, giá ADA trên sàn giao dịch phi tập trung của Cardano đã có những biến động bất thường trong vài giờ đầu. Một số cá nhân có thể đã tận dụng thông tin nội bộ để bán khống ADA, kiếm lời từ sự hoảng loạn. Nếu điều này được xác nhận, nó sẽ làm dấy lên nghi ngờ về tính công bằng của thị trường. Nhưng chúng ta sẽ không bao giờ biết, bởi vì không có đơn vị nào đủ thẩm quyền để điều tra các giao dịch trên chuỗi một cách triệt để. Trong khi đó, SecondFi đã sử dụng mọi kênh truyền thông để kêu gọi hacker trả lại tiền. Họ thậm chí còn đăng tải một đoạn video dài 15 phút giải thích lý do vì sao số tiền này quan trọng với các nhà đầu tư nhỏ lẻ. Nhưng với Lazarus Group, đây chỉ là một chiến dịch tâm lý. Họ không có cảm xúc, không có sự đồng cảm. Họ chỉ tuân theo mệnh lệnh từ Bình Nhưỡng. Điều đó khiến cho tối hậu thư của SecondFi trở nên đơn độc, giống như một người gọi vào số máy đã tắt. Tôi chợt nhớ đến bài học từ vụ sụp đổ LUNA năm 2022, khi tôi mất 180.000 USD vì tin vào một câu chuyện không có nền tảng. Lúc đó, tôi đã tranh luận với nhiều người rằng các giao thức thuật toán cần có cơ chế kiểm soát rủi ro tự động. Nhưng không ai nghe. Giờ đây, cũng vậy, chúng ta nói về bảo mật, nhưng hành động vẫn chậm. Có lẽ, chỉ khi những vụ hack như SecondFi trở nên phổ biến, ngành công nghiệp này mới thực sự thay đổi. Kết lại, tối hậu thư của SecondFi có thể sẽ không mang lại kết quả như mong đợi. Nhưng nó đã tạo ra một diễn ngôn mới về trách nhiệm của các giao thức phi tập trung. Chúng ta có thể tiếp tục đổ lỗi cho hacker, hoặc cũng có thể tự hỏi: liệu nền tảng của mình đã đủ an toàn để chống chọi với một cuộc tấn công có chủ đích từ một quốc gia sẽ làm mọi cách để tồn tại? Câu trả lời chắc chắn không nằm trong những tối hậu thư, mà nằm ở sự đầu tư bài bản vào an ninh mạng, quản trị rủi ro và sự hợp tác giữa các bên trong ngành. Và đó là điều duy nhất có thể đưa tiền mã hóa thoát khỏi vòng xoáy của tội phạm có tổ chức.