Bạn có bao giờ tin tuyệt đối vào một thiết bị phần cứng khi mua nó từ kệ siêu thị? Thói quen đó đã chính thức kết thúc.
CVE-2026-66747 được công bố với điểm CVSS 9.3 - Mức nghiêm trọng tối đa. Hơn 100.000 gia đình trên toàn thế giới đang sử dụng router Zbtlink và Wiflyer mang trong mình một con ngựa thành Troy có tên ENDLESSDOORS. Điều đáng sợ nhất? Không phải một hacker nào đó từ bên ngoài xâm nhập vào. Mà là chính nhà sản xuất đã tự tay nhét con sâu này vào bên trong, ngay từ lúc còn trên dây chuyền sản xuất.
TÓM TẮT NHANH: Công ty Shenzhen Zhibotong Electronics (sở hữu thương hiệu Zbtlink/Wiflyer) đã bán ra hơn 100.000 router có cài sẵn hậu môn ENDLESSDOORS. Mã độc này tự khởi động mỗi khi router bật, chạy với quyền root và liên lạc với máy chủ C2 35 giây mỗi lần, không mã hóa. Giải thích chính thức từ nhà sản xuất là "công cụ hỗ trợ kỹ thuật từ xa".
Khi tôi mới bắt đầu viết bot ICO vào năm 2017, gas war dạy tôi rằng quy tắc đầu tiên của trò chơi là bạn phải hiểu ai đang ngồi trên bàn giao dịch. Bây giờ, quy tắc đó đã thấm vào từng milimet của cuộc sống số.
Hãy nhìn lại bản chất của mã độc này:
- Một string được mã hóa cứng 'rctlbash'.
- Nhập vào router khi nó đang hoạt động, bạn sẽ nhận được quyền root shell.
- Không cần mật khẩu, không cần xác thực, không có dấu vết.
Tôi gọi đây là "Kill Switch" của nhà sản xuất. Nhưng cảnh báo ngay từ bây giờ: Đừng vội quy kết chính phủ Trung Quốc đứng sau chuyện này. Đó là cái kết dễ dàng nhất và cũng là cái bẫy trí tuệ lớn nhất của câu chuyện này.
Thực tế đơn giản hơn nhiều, và vì thế lại càng đáng sợ hơn.
Chúng ta đang chứng kiến một mô hình kinh doanh được tối ưu hóa cho sự thiếu minh bạch. Trong nền kinh tế sản xuất theo hợp đồng, nơi mà biên lợi nhuận của một chiếc router chỉ vài cent, thì một khối dữ liệu người dùng bị thu thập lại trở thành mỏ vàng. Hãy đặt ra câu hỏi: Một công ty sản xuất router "đồng giá" làm thế nào để tồn tại? Câu trả lời nằm ở việc họ không bán phần cứng - họ bán quyền truy cập vào 100.000 mạng nội bộ gia đình.
Khi bạn kết nối một thiết bị IoT vào mạng, bạn không chỉ tin tưởng vào thiết bị đó, bạn tin tưởng vào toàn bộ chuỗi cung ứng đã tạo ra nó.
Tất nhiên, không phải tất cả mọi người đều đáng ngờ. Nhưng khi một hệ thống được thiết kế để tạo ra sự tin tưởng tuyệt đối từ phía người dùng cuối mà lại bị thao túng ngay từ điểm khởi đầu, thì sự sụp đổ của niềm tin là điều không thể tránh khỏi.
Hãy chứng kiến sự tương phản rõ rệt giữa cách nhà sản xuất Zbtlink phản ứng và cách họ đáng lẽ phải phản ứng. Ngay khi phát hiện ra lỗ hổng, họ lập tức ngừng bán sản phẩm. Nhưng đó là một chiến thuật rút lui không có chiến lược. Không có lời xin lỗi chân thành, không có lộ trình xử lý cho những khách hàng đã mua sản phẩm, cũng không có thông báo công khai về phạm vi ảnh hưởng. Họ chỉ đơn giản biến mất.
Câu hỏi đặt ra không phải là sự phẫn nộ với một công ty Trung Quốc, mà là về cách chúng ta xây dựng ngành công nghiệp IoT của mình. Tôi đã mất 4 ETH trong vụ sập sàn SushiSwap vào năm 2020 - một bài học cay đắng về rủi ro niềm tin. Nhưng 4 ETH chỉ là một con số. 100.000 gia đình với toàn bộ dữ liệu cá nhân bị lộ ra ngoài còn là một vấn đề nghiêm trọng hơn nhiều.
Điều khiến tôi lo lắng nhất chính là tác động lan tỏa đến toàn bộ hệ sinh thái blockchain và AI. Hãy nhìn vào Home Assistant đang cố gắng xây dựng một nền tảng AI địa phương. Một router bị xâm phạm hoàn toàn có thể biến một hệ thống AI gia đình trở thành cánh tay nối dài cho ý đồ xấu của kẻ tấn công. Và khi đó, tất cả các biện pháp bảo mật từ tầng ứng dụng đều trở nên vô nghĩa.
Đừng nghĩ rằng bạn an toàn chỉ vì bạn dùng sản phẩm của một thương hiệu lớn. Lịch sử đã chứng minh điều ngược lại - chính những thương hiệu lớn nhất lại là mục tiêu bị tấn công nhiều nhất.
Nhưng hãy ngừng đổ lỗi cho các công ty một cách mù quáng. Chúng ta hãy nhìn vào cấu trúc của vấn đề. Có một lý do khiến các công ty sản xuất hàng tiêu dùng tối ưu hóa cho "đủ dùng" thay vì "tuyệt đối an toàn". Đó là chi phí. Một chiếc router an toàn cần có chip bảo mật riêng, cần có bản vá lỗi thường xuyên trong nhiều năm, cần phải có đội ngũ kiểm thử bảo mật. Tất cả những thứ đó đều tăng chi phí. Và trong cuộc chiến giá cả trên Amazon, bạn nghĩ nhà sản xuất nào sẽ thắng?
Hãy đặt ra câu hỏi ngược lại: Bạn có sẵn sàng trả gấp ba lần giá một chiếc router để mua sự an toàn không? Hầu hết mọi người sẽ nói không.
Đó là lý do tại sao chúng ta phải thay đổi cuộc chơi. Thay vì để người dùng phải tự mò mẫm kiểm tra bảo mật từng thiết bị, chúng ta cần một hệ thống tin cậy mới. Cụ thể hơn, chúng ta cần một định nghĩa mới về "trusted root".
Trong blockchain, trusted root là gì? Đó là một điểm khởi đầu mà bạn tin tưởng tuyệt đối. Với hệ thống thông thường, đó là nhà sản xuất chip, nhà phát triển hệ điều hành. Với Web3, đó là smart contract được kiểm toán.
Nhưng với bối cảnh hiện tại, câu chuyện đã trở nên khác hẳn. Một nhà sản xuất chip Trung Quốc có thể là trusted root, một nhà phát triển phần mềm Đức có thể là trusted root, nhưng liệu chúng ta có thể tin tưởng vào toàn bộ chuỗi cung ứng phức tạp đó không?
Tôi tin rằng tương lai của IoT không chỉ nằm ở phần cứng mà còn nằm ở phần mềm xác minh. Chúng ta cần những công cụ cho phép người dùng kiểm tra tính toàn vẹn của firmware ngay tại nhà. Chúng ta cần những tiêu chuẩn công khai để so sánh giữa các nhà sản xuất.
Khi tôi viết bài phân tích về dữ liệu blob hậu Dencun, tôi nhận ra rằng vấn đề tuyến tính hóa dữ liệu cũng giống như vấn đề tin cậy này. Các giải pháp Layer2 chỉ có thể an toàn nếu các giả định cơ bản của chúng đúng. Một khi giả định đó bị phá vỡ - chẳng hạn như blob được lấp đầy bởi các giao dịch độc hại - thì toàn bộ hệ thống sẽ sụp đổ.
Thực tế đau lòng: Không có biện pháp kỹ thuật nào có thể cứu bạn nếu phần cứng bạn đang dùng đã bị nhiễm độc ngay từ nguồn. Nó giống như việc bạn xây một ngôi nhà kiên cố trên một nền móng bị nứt vậy.
Nhìn về phía trước, tôi thấy một cuộc cách mạng về nhận thức đang hình thành. Trong thế giới sau CVE-2026-66747, người tiêu dùng có hiểu biết về công nghệ sẽ bắt đầu hỏi những câu hỏi chưa từng được hỏi trước đây:
- Firmware này có được ký số không?
- Chuỗi cung ứng có được kiểm toán không?
- Có thể kiểm tra tính toàn vẹn của thiết bị tại nhà không?
Những câu hỏi đó giống như những gì chúng ta thấy trong cộng đồng crypto sau sự kiện FTX. Trước FTX, mọi người tin rằng sàn giao dịch là nơi cất giữ tài sản an toàn. Sau FTX, chúng ta hiểu rằng niềm tin không bao giờ là miễn phí. Phải luôn có sự xác minh" (Trust, but verify).
Bài học này quá đắt đỏ. Nhưng nếu chúng ta không học được gì từ nó, thì nó còn đắt đỏ hơn nữa.
Vậy chiến lược của bạn là gì? Bạn có thể chọn cách biến mất khỏi thế giới số, từ chối kết nối các thiết bị thông minh. Nhưng đó là một lựa chọn viển vông khi mà internet đã trở thành hạ tầng thiết yếu như điện và nước.
Thay vào đó, bạn nên: - Kiểm tra firmware hiện tại của mọi thiết bị mạng trong nhà - Tìm hiểu về các thương hiệu có cam kết về bảo mật và thường xuyên phát hành bản vá - Yêu cầu các nhà sản xuất cung cấp bản báo cáo kiểm toán bảo mật công khai
Đừng ngây thơ tin rằng mọi thứ sẽ tự khắc tốt đẹp. Hãy chủ động bảo vệ mạng lưới của bạn.
Hãy nhìn xa hơn một chút: Việt Nam là một thị trường lớn cho các thiết bị IoT, nhưng nhận thức về bảo mật lại rất hạn chế. Sự kiện ENDLESSDOORS sẽ là một lời cảnh tỉnh cho toàn bộ ngành công nghiệp này.
Vấn đề không chỉ nằm ở một công ty cụ thể nào đó, mà nằm ở cách chúng ta tiếp cận vấn đề bảo mật. Chúng ta đã quá quen với việc mua một thiết bị về cắm vào mạng và sử dụng mà không cần suy nghĩ. Đã đến lúc phải thay đổi cách suy nghĩ đó.
Kết thúc bài viết này, tôi muốn để lại cho bạn một câu hỏi mang tính quyết định: Liệu bạn có đang đánh giá đúng tất cả các rủi ro tiềm ẩn trong từng thiết bị nhỏ trong ngôi nhà của mình? Hãy nhớ rằng, bảo mật không phải là một sản phẩm bạn mua, mà là một quá trình bạn thực hiện mỗi ngày.
