16,1 triệu ADA và tối hậu thư cuối cùng: Khi Lazarus Group chạm vào dòng thanh khoản Cardano
Hoàng Việt
Vào lúc 14:32 theo giờ UTC, SecondFi công bố tối hậu thư cuối cùng. Không còn thương lượng. Không còn gia hạn. 16,1 triệu ADA – số tiền bị rút khỏi giao thức trong một vụ khai thác hồi tháng 6 – vẫn đang nằm trong một ví không xác định, và bằng chứng on-chain cho thấy những đồng tiền này đang dịch chuyển qua các máy trộn và cầu nối. Điều khiến tôi dừng lại không phải là con số. Mà là cái tên mà các nhà phân tích an ninh mạng đang thì thầm: Lazarus Group. Nhóm tội phạm mạng bị cáo buộc đứng sau hàng loạt vụ trộm tiền mã hóa lớn nhất lịch sử. Không phải ngẫu nhiên. Thanh khoản đang di cư. Theo dấu nó.
SecondFi là một giao thức vay mượn phi tập trung trên Cardano, được xây dựng nhằm khai thác thanh khoản của hệ sinh thái này. Vào tháng 6, một hợp đồng thông minh xử lý tái cân bằng tài sản thế chấp đã bị khai thác. Kẻ tấn công dùng một chuỗi các khoản vay chớp nhoáng để thao túng giá của một token phái sinh, rút sạch quỹ thanh khoản. Tất cả những gì còn lại là một khoản nợ xấu trên sổ cái và một cộng đồng hoảng sợ.
Kể từ đó, SecondFi đã treo thưởng cho hacker: một phần đáng kể trong tổng số tiền bị đánh cắp nếu trả lại. Đây là một chiến thuật quen thuộc trong thế giới DeFi: biến kẻ xâm nhập thành một nhà thương lượng duy lý, cho họ một lối thoát danh dự. Nhưng tuần trước, một điều bất thường đã xảy ra. Nhóm phân tích chuỗi khối công bố rằng một phần ADA bị đánh cắp có liên quan đến các địa chỉ đã chuyển tiền qua Tornado Cash và các cầu nối chuỗi chéo – một dấu hiệu cho thấy sự tham gia của Lazarus Group, hoặc của một kẻ bắt chước rất giỏi.
Bây giờ hãy nhìn lại vụ hack qua lăng kính của một người đã theo dõi các vụ trộm cắp xuyên chuỗi suốt nhiều năm. Tôi đã từng phân tích sự sụp đổ của Terra, vụ hack Ronin Bridge, và cả những âm mưu tinh vi hơn thế. Vụ SecondFi không phức tạp nhất, nhưng nó có một đặc điểm hiếm gặp: kẻ tấn công đã không vội vã thanh lý toàn bộ số ADA ngay lập tức. Điều đó nói lên rằng chúng không cần tiền mặt ngay lập tức – hoặc chúng đang chờ đợi một điều gì đó.
Hãy xem xét cách tiếp cận của SecondFi. Họ đưa ra tối hậu thư nhưng vẫn giữ bounty. Thoạt nghe có vẻ mâu thuẫn: một bên đe dọa truy tố, một bên mua chuộc kẻ trộm. Nhưng trong kinh tế học tội phạm, đây là một chiến lược hợp lý. Nếu bạn là nạn nhân, bạn không có vũ khí thực sự. Bạn không thể gọi cảnh sát quốc tế để đóng băng một hợp đồng thông minh. Điều duy nhất bạn có là thông tin. Bounty không chỉ là tiền – nó là một công cụ để giữ kẻ tấn công trong vòng đàm phán, làm chậm quá trình rửa tiền, và thu thập thêm dấu vết. Trong nhiều trường hợp, hacker trả lại tiền vì họ không muốn trở thành mục tiêu tiếp theo của các cơ quan tình báo. Nhưng với Lazarus Group, mọi tính toán đều thất bại.
Lazarus không phải là một nhóm hack thông thường. Đây là cánh tay kỹ thuật của nhà nước Triều Tiên, được giao nhiệm vụ đánh cắp tài sản kỹ thuật số để tài trợ cho chương trình vũ khí. Họ không cần danh dự, không cần lối thoát. Họ có hạ tầng, có sự kiên nhẫn, và có một mạng lưới rửa tiền trải dài từ Bình Nhưỡng đến các sàn giao dịch Nga. Việc họ nhắm vào SecondFi – một giao thức nhỏ trên Cardano – không phải là một sự tình cờ. Đó là một cuộc khảo sát thanh khoản. Các nhóm lớn hơn đã bị bảo vệ kỹ hơn. Các giao thức vừa và nhỏ lại có những điểm yếu trong hợp đồng thông minh, và ADA là một tài sản có tính thanh khoản sâu đủ để rửa mà không bị chú ý.
Thanh khoản đang di cư. Theo dấu nó. 16,1 triệu ADA đã được chuyển từ ví của SecondFi sang một loạt các hợp đồng trung gian. Mỗi bước chuyển lại tạo ra một lớp mới giữa tiền và thủ phạm. Từ Cardano, tiền đi qua cầu sang Ethereum, sau đó vào Tornado Cash, sau đó được rút ra bởi các địa chỉ dùng một lần. Mỗi lần như vậy, lượng ADA bị khóa trong các pool thanh khoản lại giảm. Điều này tạo ra một tác động vĩ mô thú vị: vụ hack không chỉ làm mất niềm tin của người dùng, mà còn trực tiếp làm giảm thanh khoản trên chuỗi, ảnh hưởng đến toàn bộ giá trị tài sản bị khóa của Cardano DeFi.
Đặt điều này trong bối cảnh thị trường hiện tại, một thị trường đang đi ngang. Khi thanh khoản toàn cầu bị siết chặt bởi các ngân hàng trung ương, tiền không biến mất – nó di cư. Nó chảy ra khỏi các tài sản rủi ro, chảy vào trái phiếu chính phủ, hoặc – trong trường hợp này – chảy vào túi của các tác nhân nhà nước. Các vụ hack ít khi được nhìn nhận như một chỉ báo kinh tế, nhưng tôi cho rằng chúng có giá trị tương tự như các chỉ số thanh khoản. Khi tỷ lệ thất nghiệp tăng, tội phạm mạng tăng. Khi các lệnh trừng phạt quốc tế siết chặt một quốc gia, các cuộc tấn công mạng của nhà nước đó tăng. Lazarus không hoạt động trong chân không. Họ phản ứng với áp lực kinh tế của chính họ.
Điều đáng chú ý là cách cộng đồng cáo buộc Lazarus mà không có bằng chứng pháp lý xác thực. Tất cả những gì chúng ta thấy là dấu vết on-chain nối với các địa chỉ từng bị nghi ngờ. Nhưng tôi đã chứng kiến nhiều vụ cảnh sát chặn nhầm người vô tội vì một địa chỉ chung. Có khả năng một nhóm hack khác – hoặc thậm chí một kẻ nội bộ – đã cố tình gieo rắc manh mối giả về Triều Tiên. Điều này không phải là không xảy ra. Trong thế giới tội phạm tài chính, việc đổ lỗi cho một kẻ thù chính trị là một chiến thuật cổ điển. Nó tạo ra sự chú ý, làm rối loạn điều tra, và khiến các nạn nhân bận rộn với việc than khóc hơn là truy tìm sự thật. Tôi không phủ nhận khả năng Lazarus đứng sau vụ này. Nhưng tôi đặt câu hỏi về việc chúng ta vội vàng chấp nhận một câu chuyện khi nó phù hợp với định kiến của chúng ta.
Có một điểm mù khác. SecondFi đã công bố tối hậu thư, nhưng họ không cung cấp bằng chứng công khai về những gì họ sẽ làm nếu hacker không trả lại tiền. Đây là một đòn tâm lý yếu. Trong các cuộc đàm phán, nếu bạn tuyên bố 'cơ hội cuối cùng' mà không có hậu thuẫn, bạn sẽ mất uy tín. Hacker biết rằng SecondFi không thể khóa tài sản trên chuỗi thứ ba, không thể kiện một thực thể ẩn danh, và không thể thuyết phục các sàn giao dịch từ chối rửa tiền. Vậy thì tối hậu thư này chỉ là một cử chỉ tượng trưng. Nó giống như một người bị cướp nói với cướp: 'Tôi đếm đến ba.' Câu hỏi không phải là liệu họ có đếm đến ba không, mà là liệu họ có súng trong tay không.
Nhưng có một góc nhìn khác, một góc nhìn ít ai đề cập. Việc giữ bounty, thay vì hủy bỏ nó, có thể là một cách để nhà điều tra theo dõi dòng tiền một cách hợp pháp. Khi một hacker đang giữ một khoản bounty, họ có lý do để nhắn tin cho nạn nhân, để đàm phán, để tiết lộ một phần địa chỉ ví. Mỗi lần như vậy, họ cung cấp thêm thông tin tình báo. Có những trường hợp các cơ quan thực thi pháp luật đã sử dụng chiến thuật này để xác định danh tính của tội phạm mạng. Bounty không phải để mua lại tiền – nó là một cái bẫy. Nếu điều đó đúng, thì SecondFi đang chơi một ván cờ dài, và tối hậu thư chỉ là một nước đi trong trò chơi đó.
Khi tôi viết những dòng này, một phần của số ADA bị đánh cắp đã được chuyển đổi thành các tài sản khác. Tôi không thể biết chúng đang ở đâu, và tôi cũng không cần biết. Điều đáng chú ý là tốc độ mà các nhóm tội phạm thích nghi với các biện pháp truy vết. Năm 2019, họ mất trung bình 2 tuần để rửa tiền. Năm 2024, con số này giảm xuống 36 giờ. Điều này cho thấy rằng các nhà điều tra on-chain đang ở phía bị động. Mỗi khi họ phát triển một công cụ mới, bọn tội phạm đã tìm ra cách để vượt qua.
Nhưng tôi thấy một cơ hội trong cái vẻ hỗn loạn này. Thị trường giảm giá và đi ngang là thời điểm tuyệt vời để các dự án thực sự củng cố bảo mật. Những vụ hack như SecondFi là lời nhắc nhở rằng các giao thức DeFi không chỉ cần quan tâm đến lợi nhuận, mà còn cần quan tâm đến khả năng phục hồi. Các nhà đầu tư thông minh sẽ không bán tháo ADA chỉ vì một vụ hack. Họ sẽ quan sát cách đội ngũ dự án phản ứng, cách họ xử lý khủng hoảng, và liệu họ có thực sự hiểu bản chất của thanh khoản hay không. Một đội ngũ yếu kém sẽ đổ lỗi cho hacker. Một đội ngũ mạnh sẽ xây dựng lại từ đống tro tàn.
Vụ SecondFi kết thúc không phải khi số tiền được trả lại, mà khi chúng ta nhận ra rằng an ninh trong thế giới đa chuỗi là một ảo tưởng. Không có bất kỳ cầu nối nào an toàn tuyệt đối. Không có hợp đồng thông minh nào hoàn hảo. Và không có nhóm điều tra nào có thể theo kịp các nhóm nhà nước tài trợ. Đây không phải một bài toán kỹ thuật. Nó là một bài toán địa chính trị.
Khi chính phủ Triều Tiên tiếp tục bị cô lập, họ sẽ tiếp tục tìm đến tiền mã hóa như một đường rút lui. Khi các ngân hàng trung ương thắt chặt thanh khoản, các quỹ đen sẽ trở nên đắt đỏ hơn. Và khi thanh khoản trở nên đắt đỏ, những kẻ có khả năng truy cập vào vốn phi pháp sẽ trở nên táo bạo hơn. Chu kỳ này không mới, nhưng quy mô của nó đang tăng lên.
Tôi không biết liệu Lazarus có đứng sau vụ hack này hay không. Tôi không biết liệu SecondFi có bao giờ thấy lại số tiền của mình. Nhưng tôi biết một điều: dòng tiền không ngừng di chuyển, và những kẻ theo dấu nó sẽ luôn tìm thấy những gì họ tìm kiếm. Thanh khoản đang di cư. Theo dấu nó.
Câu hỏi cuối cùng tôi muốn đặt ra không phải cho SecondFi, mà cho mỗi người đang nắm giữ ADA trong ví. Liệu họ có đang sẵn sàng cho một thế giới nơi các quốc gia không còn ngại ngùng đánh cắp trực tiếp? Liệu họ có hiểu rằng thanh khoản của họ chính là mục tiêu – và rằng việc bảo vệ nó không phải trách nhiệm của bất kỳ hợp đồng thông minh nào, mà là của chính họ? Tôi không chắc. Nhưng tôi biết rằng những thị trường không có sự sợ hãi thường là những thị trường không kiếm được tiền.