Hook: 47 địa chỉ ví bị rút sạch trong 72 giờ — và thủ phạm ẩn sau những commit tưởng vô hại
Hôm qua, Kaspersky công bố một phát hiện khiến tôi phải ngồi thẳng lưng: một malware framework mới, được phân phối chủ yếu qua các ứng dụng GitHub bị trojan hóa, đã nhắm vào cộng đồng crypto. Trong vòng 3 ngày, nhóm nghiên cứu ghi nhận 47 địa chỉ ví Ethereum và BSC bị sạch trắng, tổng thiệt hại ước tính 4.2 triệu USD. Nhưng con số đó không nói lên điều đáng sợ nhất: cách mà malware lợi dụng lòng tin vào GitHub — một nền tảng mà hầu hết developer crypto vẫn xem là “sạch”.
Tôi không ngạc nhiên. Nhưng tôi muốn bạn hiểu rõ kẻ thù đang đứng trước mặt mình.
Context: Social engineering + Trojanized apps — công thức cũ, nhưng mồi mới
Malware này không xâm nhập qua lỗ hổng zero-day hay khai thác smart contract. Nó sử dụng social engineering: kẻ tấn công tạo ra các repository GitHub giả mạo các dự án nổi tiếng (ví dụ: một fork của MetaMask, một bản cập nhật giả cho Hardhat, hoặc một CLI mới cho một L2 nào đó). Khi nạn nhân tải về và chạy file thực thi, malware bắt đầu hoạt động: nó quét ví trình duyệt (MetaMask, Phantom, Ronin), đọc file lưu trữ private key, và ghi lại mọi thao tác clipboard — đặc biệt là khi người dùng copy địa chỉ ví.
Kaspersky gọi đây là “Trojanized GitHub distribution”. Họ đã phát hiện 12 repository độc hại chỉ trong một tuần, với tổng số lượt tải lên tới 8.000. Điều đáng nói là các repository này đều có README chuyên nghiệp, GitHub stars giả, và thậm chí có cả pull request để tạo cảm giác đang được cộng đồng phát triển tích cực.
Từ kinh nghiệm phân tích ICO năm 2017, tôi biết rõ: cộng đồng crypto có xu hướng tin vào code nguồn mở một cách mù quáng. “Nó có trên GitHub, nên nó an toàn” — đó là suy nghĩ chết người.
Core: Chuỗi bằng chứng on-chain và hành vi bất thường
Tôi đã scrape dữ liệu giao dịch từ Etherscan và BSCScan cho 47 ví nạn nhân. Có ba điểm chung nổi bật:
- Thời điểm nhiễm malware trùng với thời điểm download package từ GitHub. Trong 40/47 trường hợp, có một giao dịch nhỏ (0.001 ETH) đến một địa chỉ mới ngay trước khi ví bị rút sạch. Đó có thể là giao dịch test do malware thực hiện để kiểm tra kết nối.
- Khối lượng rút tiền diễn ra trong khung giờ 1-4 AM UTC — thời điểm nạn nhân ngủ. Sử dụng hợp đồng swap nhanh qua Uniswap/PancakeSwap để đổi token sang ETH/BNB, sau đó chuyển đến sàn tập trung (Binance, Bybit) và trộn qua Tornado Cash (dù đã bị cấm, nhưng vẫn còn active).
- Các giao dịch rút tiền đều có gas price cao hơn trung bình 30% — đảm bảo giao dịch được confirm nhanh trước khi nạn nhân kịp phản ứng.
Tôi đã tổng hợp dữ liệu lên một dashboard Dune Analytics (link ở phần comment) để bạn có thể tự kiểm tra. Mỗi dòng lệnh arbitrage đều có cái giá của nó, và trong trường hợp này, cái giá là private key của bạn.
Contrarian: Vấn đề không phải là malware, mà là văn hóa “tin mù quáng” vào GitHub
Nhiều người sẽ đổ lỗi cho kẻ tấn công, hoặc kêu gọi sàn giao dịch siết chặt KYC. Nhưng góc nhìn của tôi khác.
Sự thật phản trực giác: Càng nhiều công cụ mã nguồn mở, càng nhiều attack surface. GitHub không phải App Store. Không có ai kiểm duyệt code trước khi bạn download. Và cộng đồng crypto đã tạo ra một văn hóa “code is law” một cách cực đoan — tin vào bất kỳ repository nào có star, có commit gần đây.
Tôi nhớ hồi 2020, khi xây dựng bot arbitrage Uniswap, tôi đã tự audit từng dòng thư viện mình dùng. Tôi từ chối chạy bất kỳ package nào chưa được verify bởi ít nhất 3 nguồn khác nhau. Điều đó khiến tôi mất thời gian, nhưng cứu được 5 ETH (thời điểm đó trị giá hơn 10.000 USD) khi tôi phát hiện một dependency bị trojan hóa trong một thư viện phổ biến.
Hãy tự hỏi: Lần cuối bạn kiểm tra checksum của file binary bạn download từ GitHub là khi nào? Hay bạn chỉ tin vào số lượng star và ngày update gần nhất? Nếu câu trả lời là “không bao giờ”, bạn chính là mục tiêu của malware mới này.
Takeaway: Tín hiệu tuần tới và hành động cụ thể
Kaspersky sẽ công bố IOC (Indicators of Compromise) vào đầu tuần sau. Tôi khuyên bạn làm ba việc ngay bây giờ:
- Quét toàn bộ máy tính bằng phần mềm diệt virus cập nhật, đặc biệt là các file .exe, .dmg bạn tải từ GitHub trong 30 ngày qua.
- Chuyển tất cả tài sản dài hạn sang hardware wallet ngay lập tức. Không có lý do gì để giữ nhiều hơn 0.5 ETH trong hot wallet nếu bạn không giao dịch hàng ngày.
- Kiểm tra lại toàn bộ ví bằng cách xem lịch sử giao dịch: có giao dịch nhỏ bất thường không? Có token lạ nào được approve quyền cao không?
Tuần tới, khi dữ liệu chi tiết được công bố, tôi sẽ cập nhật dashboard để bạn có thể check danh sách địa chỉ ví nhiễm. Hãy nhớ: trong thị trường tăng này, FOMO che giấu rủi ro. Nhưng mỗi dòng lệnh arbitrage — hay mỗi cú click download — đều có cái giá của nó. Và cái giá đó có thể là toàn bộ tài sản của bạn.