Khoảng 30 triệu USD đã bị đánh cắp trong các vụ tấn công có vũ lực nhắm vào người nắm giữ tiền mã hoá trong năm nay, và Chainalysis cảnh báo rằng con số này có thể chỉ là phần nổi của tảng băng. Wrench attack – trò cướp bằng cờ lê giá 5 đô la – đang trở thành một trong những mối đe doạ tăng trưởng nhanh nhất trong thế giới tài sản số. Không cần khai thác lỗ hổng zero-day, không cần mã độc, không cần biết bạn dùng ví gì. Chỉ cần biết bạn sống ở đâu.
Tôi sống ở Tokyo, đã giao dịch tiền mã hoá từ năm 2017, và tôi có thể nói với bạn một điều: tin tức này không khiến tôi ngạc nhiên về kỹ thuật, nhưng nó khiến tôi lo lắng về cách chúng ta đang bảo vệ tài sản của mình.
Trong suốt nhiều năm, cộng đồng tiền mã hoá tự hào với câu nói không có chìa khoá thì không có tài sản. Chúng ta xây dựng hệ thống ví lạnh, đa chữ ký, mật mã phức tạp. Chúng ta quên mất rằng ở đầu kia của mỗi private key là một con người bằng xương bằng thịt, có nhà, có gia đình, có thói quen đi lại. Và kẻ tấn công không cần phá khoá mã hoá. Chúng chỉ cần phá khoá cửa nhà bạn.
Wrench attack là gì? Nếu bạn chưa từng nghe thuật ngữ này, hãy hình dung: một kẻ tấn công đe doạ bạn bằng vũ lực, hoặc đe doạ người thân của bạn, cho đến khi bạn mở ví và chuyển tiền. Cờ lê 5 đô la bắt nguồn từ một meme trong giới bảo mật: tại sao phải tốn hàng triệu đô la để tìm lỗ hổng trong phần mềm, trong khi một cái cờ lê rẻ tiền có thể khiến nạn nhân tự mở khoá?
Trong thế giới tiền mã hoá, wrench attack không còn là lý thuyết. Chainalysis, công ty phân tích chuỗi hàng đầu, đã ghi nhận số vụ tấn công vật lý nhằm vào người nắm giữ tiền mã hoá tăng mạnh. Khoảng 30 triệu USD đã bị đánh cắp trong các vụ việc được báo cáo, và con số thực tế chắc chắn cao hơn nhiều, bởi vì không phải nạn nhân nào cũng trình báo cảnh sát.
Báo cáo của Chainalysis chỉ ra Pháp là một trong những điểm nóng. Điều này không quá khó hiểu: Pháp có một cộng đồng tiền mã hoá sôi động, các sự kiện lớn quy tụ nhiều người nắm giữ tài sản lớn, và hệ thống ngân hàng có sự giám sát chặt chẽ khiến tội phạm tìm cách tiếp cận nạn nhân trực tiếp hơn. Khi mục tiêu không thể bị tấn công từ xa, chúng sẽ tấn công từ trước cửa nhà.
Hãy nhìn vào chuỗi tấn công. Nó không bắt đầu ở một con hẻm tối, mà bắt đầu trên blockchain – một cuốn sổ cái công khai mà ai cũng có thể đọc. Kẻ tấn công quét hàng triệu địa chỉ, tìm ra những ví có số dư lớn hoặc những ví thường xuyên tương tác với các giao thức DeFi. Sau đó, chúng truy ngược danh tính: dữ liệu KYC bị rò rỉ từ các sàn giao dịch, hồ sơ Twitter, Discord, các buổi gặp mặt offline, thậm chí là những bức ảnh chụp chung với bạn bè tại các hội nghị. Mỗi mảnh thông tin nhỏ được ghép lại thành một bức chân dung hoàn chỉnh.
Điều đáng sợ là quá trình này không cần quá nhiều kỹ năng. Có những dịch vụ phân tích dữ liệu công khai, có những bot tự động theo dõi các địa chỉ ví nổi tiếng. Một NFT avatar bạn dùng làm ảnh đại diện có thể được liên kết với ví của bạn; một bài đăng khoe chiếc đồng hồ đắt tiền có thể tiết lộ nơi bạn sống; một chiếc xe đậu trước nhà có thể xác nhận địa chỉ bạn đã dùng để nhận hàng từ một sàn thương mại điện tử. Kẻ tấn công có thời gian, có sự kiên nhẫn, và có toàn bộ dữ liệu công khai trên chuỗi để làm việc cho chúng.
Khi đã xác định được mục tiêu, chúng chuyển sang giai đoạn theo dõi thực địa. Chúng biết bạn rời nhà lúc mấy giờ, biết con bạn học trường nào, biết bạn thường đi du lịch vào dịp nào. Chúng có thể chờ đợi hàng tuần, thậm chí hàng tháng. Và khi thời điểm thích hợp, chúng tấn công.
Bạn có thể nghĩ rằng ví lạnh sẽ bảo vệ bạn. Sai. Ví lạnh chỉ bảo vệ bạn khỏi tin tặc từ xa. Khi một kẻ lạ mặt đứng trong phòng khách nhà bạn và yêu cầu bạn nhập mã PIN, ví lạnh của bạn trở thành một chiếc két sắt có chủ nhân biết mật khẩu. Kẻ trộm không cần phá két; chúng cần bạn mở két.
Bạn có thể nghĩ rằng hợp đồng đa chữ ký sẽ bảo vệ bạn. Sai. Nếu tài sản yêu cầu hai trong ba chữ ký, chúng sẽ tìm hai người kia. Nếu tài sản có khoá thời gian, chúng sẽ ép bạn huỷ khoá hoặc chờ bạn mắc sai lầm. Công nghệ có thể làm cho việc đánh cắp trở nên khó khăn hơn, nhưng nó không thể làm cho việc ép buộc trở nên bất khả thi.
Tôi từng nghĩ mình an toàn. Sau sự sụp đổ của FTX, tôi tự viết một script để kiểm tra dự trữ của các sàn giao dịch, và tôi tự hào vì đã phát hiện ra một sàn thiếu collateral trước khi quá muộn. Tôi nghĩ rằng một người có thể tự bảo vệ mình nếu đủ hiểu biết. Nhưng bảo mật kỹ thuật không bao giờ giải quyết được nỗi sợ hãi khi ai đó gõ cửa lúc hai giờ sáng. Không có một dòng nào trong mã nguồn có thể ngăn chặn điều đó.
Năm 2026, tôi dành phần lớn thời gian để kết hợp mô hình ngôn ngữ lớn với dữ liệu giao dịch từ các sàn phi tập trung, nhằm phát hiện dòng tiền thông minh. Tôi phát hiện ra những mẫu hình mà mắt thường không thấy: một nhóm ví liên kết với nhau, một chuỗi giao dịch lặp lại, một sự bất thường trong thanh khoản. Nhưng điều khiến tôi giật mình là: những công cụ tôi dùng để phát hiện kẻ xấu, kẻ xấu cũng có thể dùng để phát hiện nạn nhân. AI không chỉ giúp chúng ta truy vết tội phạm; nó còn giúp tội phạm chọn mục tiêu hiệu quả hơn. Đây là một cuộc chạy đua vũ trang, và chúng ta đang ở phía sau.
Điều khiến tôi bận tâm hơn cả là chúng ta đã đặt quá nhiều niềm tin vào công nghệ trong khi bỏ quên yếu tố con người. Tôi bắt đầu sự nghiệp với một vụ đào coin thất bại năm 2017. Tôi đã mất 80% số vốn 5.000 USD vì tin vào một lời giới thiệu hào nhoáng. Bài học tôi rút ra là: kiểm tra mọi thứ, đọc mã nguồn, xem xét thanh khoản, đối chiếu số liệu. Nhưng tất cả những bài học đó đều nói về việc bảo vệ tài sản khỏi những kẻ tấn công kỹ thuật. Không có bài học nào nói về việc bảo vệ tài sản khỏi một kẻ đang đứng sau cánh cửa nhà bạn.
Về khả năng rửa tiền, tình hình cũng đáng lo ngại không kém. Sau khi chiếm được tài sản, kẻ tấn công không ngồi yên. Chúng chuyển tiền qua các cầu nối xuyên chuỗi, đưa vào các máy trộn như Tornado Cash, đổi sang Monero, rồi dần dần rút ra bằng các kênh phi tập trung. Mỗi bước nhảy khiến chi phí điều tra tăng lên theo cấp số nhân. Chainalysis có thể truy vết một phần, nhưng không thể truy vết tất cả. Và ngay cả khi bạn tìm ra được dòng tiền, việc chứng minh trước toà rằng kẻ đó chính là người đã đứng trước cửa nhà bạn là một câu chuyện hoàn toàn khác.
Bây giờ tôi muốn nói về một nghịch lý mà cộng đồng tiền mã hoá hiếm khi thừa nhận. Trong nhiều năm, chúng ta tự hào về self-custody. Not your keys, not your coins – câu nói đó đã cứu rất nhiều người khỏi sự sụp đổ của FTX và hàng loạt sàn giao dịch khác. Nhưng chính việc nắm giữ chìa khoá lại biến bạn thành mục tiêu. Càng tự chu toàn, càng dễ bị chú ý. Càng nhiều tài sản nằm trong ví lạnh, càng nhiều kẻ xấu sẵn sàng vượt qua hàng rào để tìm đến bạn.
Đây là một vấn đề mà thị trường chưa định giá đúng. Các quỹ bảo hiểm phi tập trung có thể bồi thường tài chính sau khi bạn bị mất tiền, nhưng họ không thể trả lại cảm giác an toàn. Các dịch vụ lưu ký tập trung có thể bảo vệ tài sản của bạn khỏi trộm cướp, nhưng chúng tạo ra một điểm lỗi duy nhất mà lịch sử đã chứng minh là rất nguy hiểm. Và có một điều kỳ lạ: khi tội phạm gia tăng, các công ty bán phần mềm truy vết và các công ty cung cấp dịch vụ lưu ký đều có lợi. Không ai trong số họ có động cơ để nói với bạn rằng vấn đề nằm ở cách bạn sống.
Tôi cũng muốn nói về con số 30 triệu USD. Là một nhà giao dịch định lượng, tôi luôn đặt câu hỏi về phương pháp thu thập dữ liệu trước khi tin vào một con số. 30 triệu USD có thể là phần nổi của tảng băng, bởi vì nhiều nạn nhân không trình báo: họ sợ bị trả thù, họ lo lắng về quyền riêng tư, hoặc tài sản của họ có nguồn gốc không rõ ràng. Nhưng con số này cũng có thể bị phóng đại vì lợi ích thương mại. Chainalysis vừa bán dữ liệu cho chính phủ, vừa công bố các báo cáo về tội phạm; khi báo cáo nói rằng tội phạm gia tăng, các hợp đồng chính phủ cũng tăng theo. Tôi không nói rằng họ bịa số liệu; tôi nói rằng bạn nên nhìn vào động cơ của người đưa tin, giống như bạn nhìn vào mã nguồn của một hợp đồng thông minh.
Nói về cơ hội thị trường, tôi tin rằng ngành bảo hiểm tài sản số sẽ phải thay đổi. Hiện tại, hầu hết các sản phẩm bảo hiểm đều tập trung vào rủi ro hợp đồng thông minh, rủi ro sàn giao dịch, hoặc rủi ro lỗi kỹ thuật. Rất ít sản phẩm được thiết kế cho rủi ro vật lý. Nhưng nếu xu hướng wrench attack tiếp tục, các công ty bảo hiểm sẽ phải xây dựng các mô hình định giá cho loại rủi ro này: một người nắm giữ tài sản lớn, sống ở một khu vực có tỷ lệ tội phạm cao, và thường xuyên công khai hoạt động trên mạng xã hội sẽ phải trả phí cao hơn. Điều đó có thể nghe không công bằng, nhưng đó là cách thị trường vận hành.
Và có một điểm mù cuối cùng. Nếu tất cả mọi người đổ xô vào các dịch vụ lưu ký để tránh bị cướp, chúng ta sẽ tái tạo một hệ thống tập trung mà chính chúng ta đã cố gắng phá bỏ. Sự an toàn không đến từ một giải pháp duy nhất. Nó đến từ sự đa dạng: một phần tài sản trong ví lạnh, một phần trong dịch vụ lưu ký có bảo hiểm, một phần trong các tài sản phi mã hoá. Không có cấu trúc nào là hoàn hảo, nhưng có những cấu trúc khiến cho việc tấn công bạn trở nên tốn kém hơn là lợi ích mà kẻ trộm có thể nhận được.
Tôi không có câu trả lời hoàn hảo. Nhưng tôi có thể cho bạn một vài nguyên tắc. Đừng bao giờ giữ toàn bộ tài sản trong một ví duy nhất. Đừng công khai số lượng tài sản của bạn bất kỳ ở đâu. Hãy tìm hiểu về các giải pháp chống ép buộc: duress key, ví mồi, khoá thời gian, hợp đồng bảo hiểm. Và hãy coi bảo mật vật lý như một smart contract – phải được kiểm tra, phải có cơ chế dự phòng, và phải chịu được các kịch bản xấu nhất.
Câu hỏi cuối cùng tôi muốn để lại cho bạn không phải là ví của bạn có an toàn không, mà là bạn có sẵn sàng trả giá để bảo vệ nó không? Tôi vẫn tin vào self-custody, nhưng tôi không còn tin rằng nó chỉ gói gọn trong một câu lệnh. Điều duy nhất không thể fork là sự an toàn của bạn.