Hook: Một chỉ số bất thường
Trong bảy ngày qua, một câu chuyện không liên quan đến TVL, APR hay bất kỳ token nào đã thu hút sự chú ý của tôi. Một bài phỏng vấn độc quyền với một hacker tiền số người Triều Tiên. Điểm gây sốc? Anh ta thích Frozen — bộ phim hoạt hình của Disney. Là một Data Detective, tôi lập tức cảnh giác: đây không chỉ là một bài báo xã hội, mà là một tín hiệu tình báo về chiến tranh thông tin trong thế giới crypto.
Context: Phương pháp dữ liệu và bối cảnh
Bài viết gốc, một cuộc phỏng vấn hiếm hoi với một thành viên của nhóm Lazarus (hay APT38), chỉ cung cấp ba thông tin thực tế: (1) tác giả đã phỏng vấn một hacker tiền số người Triều Tiên, (2) hacker này thích Frozen, và (3) anh ta không thể nói xấu Kim Jong-un. Với tư cách là một Nansen Certified Analyst, tôi thấy ngay sự thiếu hụt dữ liệu kỹ thuật. Nhưng chính sự thiếu hụt đó mới là manh mối. Dựa trên kinh nghiệm theo dõi các cuộc tấn công của Lazarus từ năm 2020, tôi biết rằng đây là một tổ chức tội phạm mạng cấp quốc gia, chịu trách nhiệm cho vụ trộm 6,25 tỷ USD từ Ronin Bridge năm 2022. Bài phỏng vấn này không chỉ là một câu chuyện con người; nó là một phần trong chiến lược truyền thông của Bình Nhưỡng.
Core: Chuỗi bằng chứng on-chain và phân tích
Tôi đã thử nghiệm tự đặt mình vào vị trí của một nhà phân tích tình báo, truy xuất các dấu vết từ ba thông tin này.
Đầu tiên, thông tin về sở thích Frozen. Đây là một chi tiết 'con người' được cố tình tiết lộ. Tại sao một hacker, người đang bị truy nã toàn cầu, lại muốn nói về phim hoạt hình? Trong thế giới on-chain, mọi hành động đều có động cơ. Mục tiêu là tạo ra một hình ảnh 'bình thường hóa' cho một mối đe dọa nghiêm trọng. Nếu công chúng nghĩ họ chỉ là những người trẻ yêu phim, họ sẽ bớt cảnh giác hơn với các cuộc tấn công tinh vi. Đây là một chiến thuật thao túng tâm lý cổ điển.
Thứ hai, việc 'không thể nói xấu lãnh tụ'. Đây là tín hiệu mạnh mẽ nhất. Nó xác nhận rằng hacker này vẫn hoạt động dưới sự kiểm soát chặt chẽ của chế độ. Anh ta không phải là người đào tẩu. Điều này có nghĩa là mọi thông tin anh ta cung cấp đều đã được nhà nước phê duyệt. Bài phỏng vấn này là một thông điệp. Từ góc nhìn của một thám tử dữ liệu, tôi thấy điều này giống như một giao dịch được ký bởi một ví đa chữ ký: mọi hành động đều có sự đồng ý của cấp trên.
Thứ ba, sự tồn tại của cuộc phỏng vấn. Làm thế nào một hacker Triều Tiên có thể tiếp cận một phóng viên phương Tây? Có hai khả năng: hoặc anh ta đã đào tẩu (bị loại trừ bởi điểm 2), hoặc có một bên thứ ba làm trung gian. Tôi nghi ngờ rằng bên thứ ba này có thể là một cơ quan tình báo hoặc một công ty an ninh mạng. Điều này giải thích tại sao bài báo không có chi tiết kỹ thuật: nó được thiết kế để thu thập thông tin tình báo hoặc để gieo rắc thông tin sai lệch, chứ không phải để cung cấp kiến thức chuyên môn.
Contrarian: Tương quan không phải là nhân quả
Đừng vội kết luận rằng bài báo này là vô hại. Nhiều người sẽ nói 'Đây chỉ là một câu chuyện về con người, không ảnh hưởng gì đến thị trường'. Đây là một góc nhìn thiển cận. Trong lịch sử, mọi chiến dịch gây quỹ của Lazarus đều bắt đầu bằng những hành động nhỏ. Một cuộc phỏng vấn 'vô thưởng vô phạt' có thể là bước đệm cho một chiến dịch tấn công mới. Tôi đã thấy điều này xảy ra: vào năm 2021, trước vụ tấn công Harmony, đã có những bài viết 'hâm nóng' hình ảnh của các hacker. Đừng nhầm lẫn giữa việc ca ngợi một con người với việc chấp nhận một mối đe dọa. Sự 'bình thường hóa' này là một mối nguy hiểm mang tính hệ thống.
Takeaway: Tín hiệu cho tuần tới
Trong tuần tới, tôi sẽ theo dõi ba tín hiệu: (1) bất kỳ bài viết nào khác về các hacker Triều Tiên trên các phương tiện truyền thông chính thống, (2) sự gia tăng đột biến trong các giao dịch thử nghiệm nhỏ từ các ví được gắn thẻ Lazarus, và (3) bất kỳ đề cập nào đến các giao thức DeFi cụ thể trong các cuộc phỏng vấn sắp tới. Hãy nhớ: dữ liệu không nói dối, nhưng những kẻ nói dối cũng tạo ra dữ liệu. Bài phỏng vấn này là một điểm dữ liệu. Hãy sử dụng nó để xây dựng bức tranh toàn cảnh, chứ không phải để bị ru ngủ bởi một câu chuyện cổ tích.
