Tôi không trade, tôi săn lỗ hổng. Và lần này, lỗ hổng không nằm trong smart contract, mà nằm trong cách một AI hàng đầu xử lý bí mật của bạn.
Ngày 25 tháng 7, một lập trình viên vô tình phát hiện: hàng trăm cuộc trò chuyện từ Claude (Anthropic) đã bị Google và Bing index công khai. Bên trong, có những seed phrase ví crypto, mã API sàn giao dịch, số an sinh xã hội Mỹ, và cả bảng lương nội bộ. Đến nay, 453 cuộc hội thoại từ Claude và 519 từ Grok (xAI) vẫn tồn tại trên GitHub như một kho báu cho kẻ tấn công.
Đây không phải lỗi bảo mật sâu xa. Chỉ là một thẻ meta thiếu noindex. Một sơ suất cấu hình web cơ bản nhất mà bất kỳ kỹ sư frontend nào cũng biết. Nhưng hậu quả thì không hề cơ bản: seed phrase của bạn giờ đây có thể được bất kỳ ai tìm thấy qua Google, được lưu trữ vĩnh viễn trong Internet Archive, và được sao chép vào kho lưu trữ mã nguồn mở. Không có cách nào thu hồi.
Hãy hình dung: bạn đã từng dùng Claude để kiểm tra địa chỉ ví, hoặc nhờ nó phân tích giao dịch. Bạn copy seed phrase vào hộp thoại vì tiện. Và Claude, với tính năng "chia sẻ công khai" mặc định, đã phơi bày tất cả. Bot của tôi không giao dịch, nó chiến đấu — và trong trận chiến này, vũ khí của kẻ địch chính là sự tin tưởng mù quáng vào trung tâm hóa.
Thị trường là một trận chiến, tôi có bản đồ riêng. Bản đồ đó chỉ ra: đám đông vẫn nghĩ AI là công cụ vô hại, nhưng smart money đã âm thầm chuyển sang các giải pháp phi tập trung, nơi dữ liệu không bao giờ rời khỏi thiết bị của bạn. Dự án như Bittensor subnet chạy ZKML, Ritual, Nym — chúng không chỉ là câu chuyện, chúng là lá chắn bắt buộc sau sự kiện này.
Lỗ hổng không phải lỗi, là cơ hội chưa được đóng. Cơ hội ở đây: hãy nhìn vào cách các nền tảng AI trung tâm xử lý bí mật của bạn. Nếu Claude — một công ty được định giá 18 tỷ USD, do cựu nhân viên OpenAI sáng lập, quảng cáo "an toàn" — có thể mắc lỗi sơ đẳng như vậy, thì bạn còn tin vào bất kỳ AI đám mây nào để giữ seed phrase không?
Tôi không trade, tôi săn lỗ hổng. Và lỗ hổng này đã được khai thác. Các bot crawler, các kho lưu trữ tự động, các hacker đã có đủ thời gian. Nếu bạn từng dán seed phrase vào Claude, hãy coi nó như đã bị đánh cắp. Chuyển toàn bộ tài sản sang ví mới ngay bây giờ. Không chờ đợi, không do dự. Bởi vì khi mọi người sợ, tôi mua — nhưng khi dữ liệu của bạn đã lên Google, tôi chỉ có một lời: rút.
Câu hỏi cuối cùng: bạn sẽ tiếp tục tin vào những "lời hứa bảo mật" từ các công ty AI, hay bạn sẽ tự bảo vệ mình bằng kiến thức và hành động? Sự lựa chọn là của bạn. Còn tôi, tôi đã chuyển seed phrase ra khỏi mọi hộp thoại AI từ năm 2022.