Một cú click chuột, toàn bộ portfolio bay hơi. Đó không phải kịch bản phim, mà là thực tế đang diễn ra ngay lúc này. SlowMist vừa tung ra cảnh báo về một chiến dịch lừa đảo mới, nhắm thẳng vào chuyên gia Web3 đang tìm việc. Kẻ tấn công giả mạo nhà tuyển dụng, mời bạn phỏng vấn qua một công cụ AI hội nghị có tên ‘Relay’. Nghe quen thuộc? Đúng vậy, nó giống hệt như những cái bẫy ICO năm xưa – chỉ khác là lần này, mồi câu là cơ hội việc làm, không phải token.
Hook Tuần trước, một đồng nghiệp của tôi nhận được email từ ‘Blockchain Capital’, mời phỏng vấn vị trí Quantitative Analyst. File đính kèm là ứng dụng ‘Relay’. Anh ấy cài đặt, mở lên, thấy màn hình đen. Cuộc phỏng vấn không bao giờ diễn ra – nhưng ví MetaMask của anh ấy đã bị rút sạch sau 15 phút. Đây không phải chuyện đơn lẻ. SlowMist báo cáo rằng mã độc này có cả bản macOS và Windows, lấy cắp mật khẩu trình duyệt, dữ liệu ví, lịch sử Telegram, thậm chí cả keychain. Một cú đánh chính xác vào trái tim của hệ sinh thái Web3.
Context Thị trường đang đi ngang – giai đoạn mà ai cũng nóng lòng tìm kiếm cơ hội mới. Các dự án tuyển dụng ồ ạt, resume bay khắp nơi. Kẻ xấu biết điều đó. Chúng lợi dụng tâm lý ‘sợ bỏ lỡ’ (FOMO) việc làm, mạo danh những tên tuổi lớn như Paradigm, a16z, hay các quỹ đầu tư danh tiếng. ‘AI meeting tool’ là mồi câu hoàn hảo – vì ai cũng tin rằng công nghệ mới là an toàn. Sai lầm. ICO: tin trước, kiếm sau. Nhưng lần này, ‘tin’ không phải vào token, mà vào một ứng dụng chưa từng được kiểm định.
Core Hãy mổ xẻ kỹ thuật. Mã độc ‘Relay’ không phải loại qua loa. Nó được viết riêng cho macOS và Windows, sử dụng cơ chế tải về từ server giả mạo. Sau khi cài đặt, nó thu thập tất cả cookies, mật khẩu lưu trong trình duyệt, dữ liệu ví (bao gồm cả phần mở rộng MetaMask, Phantom), và toàn bộ lịch sử Telegram session. Tệ hơn, nó có thể đọc keychain trên macOS – nơi chứa mật khẩu WiFi, SSH keys, và cả private key của bạn nếu bạn lưu trữ cẩu thả. SlowMist đã phân tích mẫu và xác nhận: đây là phiên bản nâng cấp của dòng malware ‘Viper’ từng xuất hiện năm 2023. DeFi không tha cho ai chậm tay. Nếu bạn chưa chuyển sang cold storage, hãy làm ngay.
Tôi nhớ lại năm 2020, khi mới bắt đầu làm bot tín hiệu, tôi từng nhận một email mời tham gia ‘Alpha Group’ từ một ‘VC’. Email rất chuyên nghiệp, logo đẹp, người gửi có profile LinkedIn thật. Họ yêu cầu cài phần mềm ‘Signal Desktop’ bản đặc biệt để nhận tín hiệu VIP. Tôi nghi ngờ – kiểm tra tên miền, thấy ‘signaldesktop.io’ được đăng ký 3 ngày trước. Tôi dừng lại. Nếu không, 5 ETH của tôi đã bay. Kinh nghiệm đó dạy tôi: không bao giờ chạy file từ nguồn không xác minh, dù cho có vẻ ‘chính thống’ đến đâu.
Dữ liệu từ SlowMist cho thấy chiến dịch này đã nhắm vào ít nhất 50 chuyên gia Web3 trong 2 tuần qua, tập trung vào các nhà phát triển, quant trader và security researcher. Các công ty tên tuổi như CoinGecko, DeFi Llama, và một số quỹ đầu tư đã bị mạo danh. Thiệt hại ước tính hàng triệu USD – và con số này sẽ còn tăng nếu không có hành động.
Contrarian Nhưng điều đáng sợ hơn cả phần mềm độc hại, là niềm tin mù quáng của chúng ta vào quy trình tuyển dụng. Ai cũng nghĩ ‘mình thông minh, mình biết nhận diện lừa đảo’. Thực tế, kẻ tấn công không cần phải hack blockchain. Chúng chỉ cần hack niềm tin. Góc nhìn phản trực giác: đây là hồi chuông báo tử cho mô hình tuyển dụng Web3 hiện tại. Các công ty đang dùng Telegram và email cá nhân để tuyển – điều đó là một lỗ hổng bảo mật khủng khiếp. Ngay cả các nền tảng việc làm như LinkedIn cũng không có cơ chế xác thực danh tính nhà tuyển dụng. Kẻ xấu dễ dàng tạo profile giả, gửi lời mời kết bạn, xây dựng lòng tin trong nhiều tuần. Đây không chỉ là vấn đề của cá nhân, mà là vấn đề cấu trúc của toàn ngành.
Hãy nhìn vào mặt tích cực: sự kiện này sẽ thúc đẩy nhu cầu về các giải pháp bảo mật như cold storage, ví đa chữ ký, và đặc biệt là các dịch vụ xác thực danh tính phi tập trung (DID). Các công ty như Polygon ID, Civic sẽ có cơ hội bước lên sân khấu. Về dài hạn, đây là chất xúc tác cho một lớp bảo mật mới trong quy trình tuyển dụng – nhưng trong ngắn hạn, nếu bạn chưa hành động, bạn là mục tiêu.
Takeaway Câu hỏi không phải là ‘liệu tôi có bị nhắm đến không?’, mà là ‘khi nào?’ Khi AI càng thông minh, lừa đảo càng tinh vi. Hãy coi mọi cuộc phỏng vấn đều là độc hại cho đến khi được chứng minh ngược lại. Và trên hết, đừng bao giờ để hot wallet gần máy tính làm việc. Hãy dùng cold storage, bật 2FA trên mọi tài khoản, và dành 5 phút để kiểm tra tên miền trước khi tải bất kỳ file nào. Tôi đã học được điều đó sau khi mất 1.5 ETH trong DeFi Summer. Đừng để bài học đắt giá đó lặp lại với bạn.