24 giờ rúng động tự: Trezor và BTCPay Server cùng thất thủ, kẻ tấn công thực sự là ai?

Tôi đã mất gần hai năm để nhận ra một điều hiển nhiên mà hầu hết những người đam mê bitcoin đều bỏ qua: thứ mà chúng ta gọi là 'tự托管' (self-custody) thực chất là một chuỗi dài các quyết định, và mỗi mắt xích trong chuỗi đó đều có thể bị bẻ gãy. Tuần này, hai mắt xích quan trọng nhất của hệ sinh thái đã gãy chỉ trong vòng 24 giờ. Và điều đáng sợ nhất? Không một giao thức nào bị tấn công. Đầu tiên là cú sốc đến từ Trezor. Một người dùng đã kiệt quệ toàn bộ tài sản chỉ vì gõ chữ 'Trezor' vào Google và bấm vào kết quả quảng cáo được tài trợ. Trang web giả mạo được lưu trữ ngay trên Google Sites - một miền đáng tin cậy của chính Google - và hiển thị cao hơn cả trang chủ chính thức của nhà sản xuất. Người dùng đó đã nhập cụm từ khôi phục (recovery seed) của mình, và toàn bộ số bitcoin biến mất trong im lặng. Chỉ trong vài giờ sau, một lỗ hổng nghiêm trọng trong BTCPay Server - phần mềm thanh toán mã nguồn mở được hàng nghìn merchant sử dụng để chấp nhận bitcoin mà không qua trung gian - được tiết lộ. Lỗ hổng này đã bị khai thác tích cực ngoài thực tế. Không phải một, mà là hai lớp hạ tầng quan trọng của cộng đồng tự托管 cùng sụp đổ trong một ngày. Đây không phải một sự trùng hợp ngẫu nhiên. Đây là một tín hiệu có chủ đích từ chiến trường mới. Khi tôi còn kiểm toán smart contract cho các dự án ICO năm 2017, tôi từng tin rằng mối đe dọa lớn nhất đối với người dùng bitcoin nằm ở mã nguồn. Nhưng năm 2025, tôi nhận ra mình đã sai. Các cuộc tấn công tinh vi nhất không còn nhắm vào giao thức hay thiết bị vật lý. Chúng nhắm vào 'khoảng trống' giữa người dùng và thiết bị - chính xác là khoảng trống mà con người phải đưa ra quyết định. Một quyết định sai lầm khi click vào một quảng cáo. Một quyết định sai lầm khi tin rằng 'mã nguồn mở' đồng nghĩa với 'an toàn tuyệt đối'. Và một quyết định chậm trễ khi không cập nhật phần mềm kịp thời. Hãy nhìn kỹ vào vụ Trezor. Thiết bị phần cứng - thứ được ca ngợi là 'vault bất khả xâm phạm' - vẫn hoạt động hoàn hảo. Không một con chip nào bị xâm phạm. Không một chữ ký nào bị giả mạo. Thứ bị tấn công là 'cổng vào' - trang web giả mạo được thiết kế để đánh cắp cụm từ khôi phục. Điều này phơi bày một sự thật khó chịu: ranh giới bảo mật của hardware wallet dừng lại ở thiết bị. Một khi cụm từ khôi phục của bạn - 12 hoặc 24 từ kỳ diệu có thể tái tạo toàn bộ ví - rời khỏi thiết bị và được nhập vào một trang web, mọi lời hứa bảo mật của silicon đều trở nên vô nghĩa. Đây là một lỗ hổng 'mềm', nằm giữa hai vành tai của người dùng, chứ không phải trong mạch điện tử. Google, với vai trò là cổng thông tin của toàn bộ internet, đã trở thành công cụ tấn công. Các chính sách quảng cáo tiền điện tử của Google rõ ràng có quy định, nhưng kẻ tấn công đã lách qua bằng cách lưu trữ trang giả mạo trên Google Sites - một dịch vụ thuộc chính Google - để tận dụng uy tín của miền. Đây là một cú huých tâm lý hoàn hảo: người dùng nhìn thấy biểu tượng ổ khóa trên thanh địa chỉ, nhìn thấy tên miền quen thuộc của Google, và thả lỏng cảnh giác. Một vụ lừa đảo trị giá khoảng 1,6 triệu đô la Mỹ đã được thực hiện chỉ bằng một trang web đơn giản và một ít tiền quảng cáo. Trong khi đó, vụ BTCPay Server không chỉ là chuyện lừa đảo. Đây là một lỗ hổng phần mềm thực sự, có thể dẫn đến mất tiền ngay lập tức. Nhóm nghiên cứu bảo mật tình nguyện Bitcoin Red Team đã phát hiện ra lỗ hổng và báo cáo lên đội ngũ phát triển. Trong vòng 24 giờ, bản vá khẩn cấp 2.4.2 đã được phát hành. Nhưng điều quan trọng không nằm ở tốc độ phát hành bản vá. Hãy tưởng tượng bạn là một chủ cửa hàng cà phê ở Berlin chấp nhận bitcoin qua BTCPay Server. Bạn không có một đội ngũ IT chuyên trách. Bạn đọc được thông báo khẩn cấp trên GitHub và cảm thấy hoang mang trước những thuật ngữ như 'macaroons', 'NBXplorer' và 'hot wallet migration'. Bạn cần thực hiện bốn bước: nâng cấp BTCPay Server lên 2.4.2, làm mới toàn bộ macaroons - các chứng chỉ xác thực dùng để truy cập Lightning Network và các dịch vụ backend - di chuyển toàn bộ số dư trong ví nóng sang một ví mới, và nâng cấp NBXplorer lên phiên bản 2.6.10. Bốn bước này là bắt buộc. Nếu bạn bỏ sót một bước, hệ thống của bạn vẫn có thể bị xâm nhập. Và đây chính là điểm mù chí mạng: trong khi các nhà phát triển hardcore có thể xử lý trong 30 phút, thì một merchant bình thường có thể mất vài ngày hoặc vài tuần mới dám đụng vào hệ thống thanh toán đang chạy ngon lành của mình. Trong khoảng thời gian đó, họ tiếp tục vận hành một hệ thống có lỗ hổng đã được công khai. Đây là một vấn đề về vận hành, không phải về công nghệ. Mảnh ghép niềm tin đang vỡ ra từ chính những nơi mà cộng đồng tin tưởng nhất. Chúng ta đã xây dựng một hệ sinh thái nơi người dùng cá nhân được khuyến khích trở thành 'ngân hàng của chính mình' - nhưng không ai nói với họ rằng trở thành một ngân hàng đồng nghĩa với việc bạn phải có một bộ phận tuân thủ, một đội ngũ an ninh mạng và một quy trình quản lý rủi ro. Không, họ chỉ được tặng một thiết bị nhỏ xinh và một cụm từ gồm 12 từ. Đây là lúc tôi cảm thấy cần phải đi ngược lại với đám đông. Nhiều người trong cộng đồng sẽ nói với bạn rằng 'Trezor vẫn an toàn' hoặc 'BTCPay đã vá rất nhanh'. Đúng, nhưng điều đó không giải quyết được vấn đề gốc rễ. Vấn đề gốc rễ là: tự托管 càng phổ biến, bề mặt tấn công càng dịch chuyển từ tầng giao thức sang tầng nhận thức của người dùng và tầng phần mềm ngoại vi. Kẻ tấn công không cần phải phá vỡ mật mã học của Bitcoin - chúng chỉ cần phá vỡ một quyết định của con người. Và con người thì luôn là mắt xích yếu nhất. Điều gì xảy ra khi chúng ta thừa nhận điều này? Một sự thay đổi mô hình. Nếu hardware wallet không phải là điểm bảo mật cuối cùng, chúng ta cần nghĩ đến các lớp bảo vệ bổ sung. Đây là nơi mà các giải pháp như đa chữ ký (multi-sig) và tính toán đa bên (MPC) có thể trở thành tiêu chuẩn mới. Thay vì dựa vào một cụm từ khôi phục duy nhất, người dùng sẽ phân tán rủi ro qua nhiều thiết bị và nhiều bên ký. Một cụm từ bị lộ sẽ không còn là thảm họa - nó sẽ là một mảnh ghép vô dụng trong một bức tranh lớn hơn. Tôi đã tư vấn cho một quỹ đầu tư Pháp thiết kế hệ thống staking an toàn bằng mô hình đa chữ ký kết hợp zk-proof vào năm ngoái. Họ bảo vệ 500 ETH khỏi rủi ro slashing, nhưng quan trọng hơn, họ bảo vệ chính mình khỏi rủi ro con người. Nhưng multi-sig và MPC cũng có cái giá của chúng. Chúng phức tạp hơn, đắt đỏ hơn và đòi hỏi người dùng phải có một mức độ hiểu biết kỹ thuật nhất định. Vậy chúng ta đang nói về việc 'tự do tài chính' cho số ít người có kỹ năng, hay là một hệ thống mà người bình thường có thể sử dụng mà không cần lo lắng? Câu hỏi này khiến tôi nhớ đến một buổi workshop tôi tổ chức cho 30 nhân viên của một quỹ đầu tư ở Paris. Khi tôi hỏi có bao nhiêu người đã từng bị phishing, hơn một nửa giơ tay. Khi tôi hỏi có bao nhiêu người dám tự quản lý toàn bộ tài sản bằng ví tự托管, chỉ có hai người giơ tay. Khoảng cách giữa 'công nghệ an toàn' và 'cách sử dụng an toàn' là một vực thẳm. Và đừng quên về trách nhiệm của các nền tảng trung gian như Google. Sự kiện này cho thấy một lỗ hổng lớn trong quy trình kiểm duyệt quảng cáo tiền điện tử. Google đã không cung cấp lời giải thích thỏa đáng về việc làm thế nào một trang web lừa đảo lại có thể vượt qua quy trình kiểm duyệt và được gắn nhãn 'tài trợ'. Liệu chúng ta có nên yêu cầu Google phải có trách nhiệm pháp lý khi quảng cáo lừa đảo gây ra thiệt hại tài chính? Có lẽ sẽ không có câu trả lời ngay lập tức, nhưng áp lực từ cộng đồng và các cơ quan bảo vệ người tiêu dùng có thể sẽ buộc họ phải thay đổi. Một điểm mù khác mà tôi muốn chỉ ra: hai sự kiện xảy ra trong cùng 24 giờ không nhất thiết là một sự trùng hợp. Kẻ tấn công có thể đã học được rằng đây là thời điểm tối ưu để tấn công - khi cộng đồng đang chuyển dần từ chế độ 'tích lũy' sang 'giao dịch', khi các quỹ ETF đã được phê duyệt và niềm tin vào tiền điện tử đang ở mức cao nhất. Lịch sử cho thấy, các vụ tấn công lớn thường được lên kế hoạch và thực hiện trong những thời điểm thị trường có sự chuyển động mạnh về mặt cảm xúc. Khi ai đó nhìn thấy giá bitcoin tăng, họ vội vàng click vào quảng cáo để 'kiểm tra ví của mình' mà không suy nghĩ kỹ. Nhưng có một tín hiệu tích cực ẩn trong câu chuyện này: phản ứng của cộng đồng. Các nhà nghiên cứu bảo mật độc lập - những người không được trả lương bởi bất kỳ công ty nào - đã phát hiện ra lỗ hổng và báo cáo nó một cách có trách nhiệm. Đội ngũ BTCPay Server đã phát hành bản vá trong vòng 24 giờ. Trezor đã nhanh chóng yêu cầu Google gỡ bỏ trang giả mạo. Đây là bằng chứng cho thấy các hệ sinh thái mã nguồn mở vẫn có khả năng tự phục hồi đáng kinh ngạc. Nhưng khả năng phục hồi đó phụ thuộc vào việc người dùng cuối có thực sự áp dụng các bản vá hay không, và điều đó lại là một câu chuyện hoàn toàn khác. Theo dữ liệu trên chuỗi, địa chỉ được đánh dấu trong vụ lừa đảo Trezor đã nhận được 24,04 BTC qua 80 giao dịch, trị giá khoảng 1,6 triệu đô la. Con số này đủ lớn để gây chú ý, nhưng quan trọng hơn là nó cho thấy một khuôn mẫu tấn công có hệ thống. Và với BTCPay Server, lỗ hổng được xác nhận là 'đang được khai thác tích cực' - nghĩa là có thể đã có những nạn nhân trước khi bản vá được phát hành, và những nạn nhân này có thể không bao giờ biết mình bị tấn công. Điều gì sẽ xảy ra tiếp theo? Tôi dự đoán rằng chúng ta sẽ thấy ba xu hướng rõ rệt trong vòng 6 tháng tới. Thứ nhất, các công cụ bảo mật - như plugin trình duyệt chặn các trang web giả mạo, công cụ xác minh tên miền, và kho lưu trữ cụm từ khôi phục được mã hóa - sẽ bùng nổ. Thứ hai, các giải pháp MPC và multi-sig sẽ không còn là công cụ dành riêng cho các tổ chức, mà sẽ trở thành tiêu chuẩn cho người dùng cá nhân. Thứ ba, và có lẽ là quan trọng nhất, chúng ta sẽ chứng kiến sự trỗi dậy của 'dịch vụ lưu ký lai' - nơi người dùng vẫn nắm quyền kiểm soát tài sản của mình nhưng dựa vào các dịch vụ chuyên nghiệp cho các hoạt động vận hành như quản lý khóa, giám sát giao dịch và ứng phó sự cố. Tuy nhiên, còn một câu hỏi lớn hơn mà không ai trong chúng ta có thể trả lời: liệu 'tự do tài chính' có thực sự dành cho tất cả mọi người hay chỉ dành cho những người đủ khả năng tự bảo vệ mình? Trong một thế giới mà một cú click chuột có thể xóa sạch một đời tiết kiệm, chúng ta có đang yêu cầu quá nhiều ở người dùng bình thường? Hay chúng ta đang đi đúng hướng khi buộc họ phải tự chịu trách nhiệm? Có lẽ câu trả lời nằm ở giữa: tự托管 không phải là một điểm đến, mà là một hành trình. Và hành trình đó đòi hỏi phải học hỏi không ngừng - từ việc hiểu rằng một quảng cáo trên Google không phải là một sự chứng thực, đến việc biết rằng mã nguồn mở không có nghĩa là không có lỗi, và rằng chiếc ví cứng trong tay bạn chỉ là một phần của câu chuyện. Nhìn lại những ngày đầu tôi kiểm toán smart contract cho các dự án ICO, tôi từng nghĩ mình đang bảo vệ người dùng khỏi những lỗ hổng trong mã. Nhưng tuần này, tôi nhận ra rằng những lỗ hổng nguy hiểm nhất không nằm trong mã nguồn, mà nằm trong niềm tin. Niềm tin rằng một thiết bị phần cứng sẽ bảo vệ bạn. Niềm tin rằng một phần mềm mã nguồn mở sẽ an toàn hơn một dịch vụ tập trung. Niềm tin rằng một kết quả tìm kiếm trên Google là chân thực. Và khi niềm tin bị phá vỡ, toàn bộ hệ sinh thái sẽ phải học cách xây dựng lại từ đầu. Có một câu nói mà tôi thích: 'Trong thế giới tiền điện tử, bạn không thực sự sở hữu tài sản của mình. Bạn chỉ đang tạm thời giữ chìa khóa đến một kho báu mà bạn chưa bao giờ hiểu hết.' Và tuần này, hai chiếc chìa khóa - một từ Trezor, một từ BTCPay Server - đã cho chúng ta thấy rằng việc giữ chìa khóa còn khó hơn việc tìm thấy kho báu. Tương lai của tự托管 không nằm ở việc tạo ra những thiết bị không thể bị hack, mà nằm ở việc tạo ra những hệ thống có thể chịu đựng được sự yếu đuối của con người. Và cho đến khi chúng ta đạt được điều đó, hãy tự nhắc mình: đừng bao giờ click vào một quảng cáo, đừng bao giờ nhập cụm từ khôi phục vào một trang web, và luôn luôn cập nhật phần mềm của bạn. Sự an toàn của cả hệ sinh thái phụ thuộc vào từng quyết định nhỏ nhặt của mỗi người dùng. Và đó chính là điều đáng sợ nhất, cũng là điều đáng hy vọng nhất.