Tôi nhận được tin nhắn từ một người bạn cũ trong ngành. Anh ấy bảo: “Mày có nghe vụ game trên Steam cài malware không? Tụi nó quét sạch ví crypto của tao mất 2 ETH.” Tôi im lặng. Không phải vì bất ngờ, mà vì tôi đã thấy quá nhiều câu chuyện tương tự – chỉ khác nhau ở cái tên nền tảng.
Lần này là Steam. Lần trước là Google Play. Lần tới có thể là App Store. Chúng ta luôn nghĩ rằng “official platform” là bức tường thành, nhưng thực ra nó chỉ là một lớp sơn mỏng phủ lên cái hố sâu của lòng tin.
Context: Vụ trộm 22.000 đô la và tám trò chơi ma
Tháng 2/2025, FBI công bố một bản cáo trạng: Zyaire Wilkins, 21 tuổi, bị bắt vì phát tán Vidar – một loại malware chuyên đánh cắp thông tin – thông qua tám tựa game giả mạo trên Steam. Cái tên nổi bật nhất là PirateFi, một game sinh tồn pixel được quảng cáo rầm rộ trên Discord, Telegram và cả LinkedIn.
Chỉ trong vài tuần, malware đã lây nhiễm khoảng 8.000 thiết bị. Kết quả: 80 ví crypto bị rút sạch, thiệt hại ước tính 22.000 đô la. Con số không lớn so với những vụ hack DeFi hàng trăm triệu, nhưng cách thức thực hiện lại là một tín hiệu đáng sợ hơn nhiều.
Bởi vì nó không khai thác lỗi smart contract. Nó không tấn công mạng lưới. Nó tấn công… lòng tin.
Core: Kỹ thuật “cắm rễ” trong kẽ nứt của quy trình kiểm duyệt
Điểm mấu chốt của vụ này nằm ở chính sách kiểm duyệt của Valve. Theo tài liệu dành cho nhà phát triển, Steam yêu cầu kiểm tra bản build đầu tiên trước khi phát hành. Nhưng các bản cập nhật sau đó – thường là những bản vá lỗi nhỏ – không bị kiểm tra lại. Đây là kẽ nứt mà Wilkins đã lách qua.
Anh ta phát hành PirateFi với một bản build sạch, vượt qua vòng kiểm duyệt ban đầu. Sau đó, một bản cập nhật âm thầm được đẩy lên, mang theo Vidar – một infostealer chuyên đánh cắp cookie trình duyệt, tệp credential và đặc biệt là dữ liệu ví crypto.
Vidar không phải là phần mềm mới. Nó là một “off-the-shelf malware” – ai cũng có thể mua trên dark web với giá vài trăm đô la. Nhưng cách nó được triển khai mới là điều đáng nói: chúng ta có một kẻ tấn công không cần viết một dòng mã độc, chỉ cần biết tận dụng lỗ hổng trong quy trình của bên thứ ba.
Thế nhưng, phần tinh vi hơn nằm ở social engineering. Theo các tài liệu điều tra, Wilkins và đồng bọn sử dụng bot để quét các kênh Discord, Telegram, tìm kiếm người dùng có dấu hiệu sở hữu NFT hoặc token giá trị cao. Họ gửi tin nhắn riêng: “Hey, bạn đã thử PirateFi chưa? Tụi mình sắp airdrop cho người chơi đầu.” Một lời mời hấp dẫn, một đường link dẫn đến Steam, và thế là cái bẫy đóng lại.
Tôi nhớ lại năm 2021, khi tôi phát hành bộ sưu tập NFT giáo dục “Crypto Citizens”. Chúng tôi cũng từng dùng Discord để quảng bá. Chỉ khác là chúng tôi thực sự muốn mang giá trị, còn bọn họ muốn cướp. Cả hai bên đều hiểu rằng lòng tin là thứ tài sản dễ khai thác nhất trên Internet.
Contrarian: Khi blockchain trở thành “mắt thần” của FBI
Câu chuyện thường thấy: “Crypto là ẩn danh, không thể truy vết.” Nhưng vụ án này lại cho thấy điều ngược lại. Wilkins nhận tiền từ nạn nhân dưới dạng Bitcoin. Sau đó, hắn chuyển số Bitcoin đó lên Bitrefill – một dịch vụ cho phép đổi crypto lấy thẻ quà tặng. Hắn mua thẻ Uber Eats, rồi đặt pizza giao đến địa chỉ nhà mình.
FBI chỉ cần theo dòng tiền trên blockchain, kết hợp với lệnh triệu tập Bitrefill và Uber, là có thể xác định chính xác danh tính và địa chỉ của kẻ tình nghi. Một chiếc bánh pizza đã khiến cả một kế hoạch tinh vi sụp đổ.
Đây là nghịch lý mà nhiều người trong ngành không muốn thừa nhận: Blockchain minh bạch là con dao hai lưỡi. Nó bảo vệ bạn khỏi sự thao túng của bên thứ ba, nhưng cũng phơi bày mọi hành động của bạn trước cơ quan thực thi pháp luật.
“Thất bại là NFT đẹp nhất của cuộc đời.” Câu nói này tôi dùng để an ủi những người mất tiền vì đầu tư sai. Nhưng với Wilkins, thất bại của hắn là một NFT – không thể thay đổi, được ghi lại vĩnh viễn trên blockchain và trong hồ sơ tòa án.
Điều tôi muốn nhấn mạnh ở đây là: lòng tin mù quáng vào “official platform” còn nguy hiểm hơn cả lỗi smart contract. Smart contract có thể được kiểm toán, được fix. Nhưng lòng tin vào một quy trình kiểm duyệt không hoàn hảo thì khó sửa hơn nhiều. Bởi vì nó nằm ngoài tầm kiểm soát của bạn.
Takeaway: Giáo dục là lá chắn cuối cùng
Tôi đã dành gần 20 năm trong lĩnh vực dữ liệu và blockchain. Tôi từng nghĩ rằng giải pháp nằm ở công nghệ – multisig, hardware wallet, zk-proof. Nhưng sau vụ này, tôi nhận ra rằng giải pháp thực sự nằm ở nhận thức.
Bạn có thể có ví lạnh tốt nhất, nhưng nếu bạn download một file .exe từ một game Steam không rõ nguồn gốc, tất cả đều vô dụng. Bạn có thể có trình duyệt an toàn, nhưng nếu bạn click vào một link Discord từ một người lạ, bạn đã mở cửa cho kẻ trộm.
Giáo dục bảo mật không phải là dạy người dùng cách đọc mã nguồn. Mà là dạy họ cách đặt câu hỏi: “Tại sao trò chơi này miễn phí? Tại sao nó yêu cầu quyền truy cập vào ví của tôi? Tại sao tôi lại tin người này?”
Tôi vẫn nhớ năm 2022, khi tôi viết cuốn sách “Blockchain: Hành trình trở về bản chất”. Tôi đã phỏng vấn Vitalik. Anh ấy nói một câu mà tôi không bao giờ quên: “Công nghệ phi tập trung không thể thay thế được tư duy phản biện.”
Vụ PirateFi chỉ là một biểu hiện nhỏ của một vấn đề lớn hơn: chúng ta đang trao niềm tin sai chỗ. Chúng ta tin vào Steam, vào Google, vào những cái tên có logo mà chúng ta nghĩ là “an toàn”. Nhưng không có nền tảng nào thực sự an toàn nếu người dùng không tự bảo vệ mình.
Câu hỏi cuối cùng tôi để lại cho bạn đọc: Liệu bạn có dám kiểm tra lại tất cả những ứng dụng bạn đã từng tải về? Hay bạn vẫn sẽ tiếp tục tin rằng “nó sẽ không xảy ra với mình”?
Bởi vì trong thế giới crypto, điều duy nhất bạn có thể tin tưởng tuyệt đối là… sự hoài nghi của chính mình.