Một nhà báo crypto đã ngồi đối diện với hacker Triều Tiên. Và những gì cô ấy phát hiện ra sẽ khiến bạn không bao giờ nhìn nhận việc tuyển dụng từ xa theo cách cũ.
Laura Shin, cây bút kỳ cực của ngành, đã thực hiện một cuộc phỏng vấn điều tra với Justin Lim – một hacker crypto đến từ Triều Tiên. Không phải qua màn hình, mà là trực tiếp. Cô ấy đóng vai nhà tuyển dụng, và hắn ta đóng vai ứng viên. Kết quả? Một bức tranh toàn cảnh về cách hacker xâm nhập vào các dự án blockchain thông qua lỗ hổng con người.
Bạn có thể audit smart contract, nhưng bạn không thể audit con người bằng Solidity.
Đây không phải là câu chuyện về một lỗi reentrancy hay một oracle bị khai thác. Đây là câu chuyện về cách một kẻ tấn công có thể ngồi trong đội ngũ phát triển của bạn, truy cập vào private key, và rút sạch quỹ mà không cần một dòng code độc hại nào. Laura Shin đã chứng minh điều đó: với một bản lý lịch giả, một giọng nói tự tin, và kiến thức kỹ thuật đủ sâu để vượt qua vòng phỏng vấn, hacker Triều Tiên có thể len lỏi vào bất kỳ dự án nào đang tuyển remote.
Từ kinh nghiệm 20 năm trong ngành, tôi đã chứng kiến vô số lỗ hổng kỹ thuật. Nhưng chưa bao giờ tôi thấy một mối đe dọa nào tinh vi hơn lòng tin mù quáng vào quy trình tuyển dụng. Khi tôi phát hiện lỗi trong hợp đồng ICO Bancor năm 2017, tôi có thể vá nó bằng code. Nhưng khi hacker giả danh nhà phát triển, bạn không thể vá bằng một bản nâng cấp hợp đồng. Bạn phải thay đổi cách bạn tin tưởng.
Hãy nhìn vào bối cảnh: năm 2026, thị trường tăng, FOMO đang ở đỉnh. Các dự án huy động hàng trăm triệu USD, và họ cần nhà phát triển. Họ đăng tin tuyển dụng trên Telegram, Discord, Twitter. Họ phỏng vấn qua Google Meet, yêu cầu làm bài test, và ký hợp đồng mà không bao giờ gặp mặt. Một bản lý lịch giả có thể gây thiệt hại hơn cả một lỗi reentrancy.
Phân tích kỹ thuật ở đây không phải về code, mà về quy trình. Các dự án thường dựa vào các nền tảng như Deel hoặc Remote.com để xác minh danh tính, nhưng những nền tảng đó chỉ kiểm tra giấy tờ. Hacker Triều Tiên có thể dùng hộ chiếu giả, bằng cấp giả, và thậm chí là người thật đứng ra nhận thay. Một số dự án còn yêu cầu quay video xác thực, nhưng với deepfake và AI, điều đó cũng vô ích.
Điều phản trực giác ở đây là: chính sự phát triển của công nghệ xác thực lại làm tăng rủi ro. Khi mọi người nghĩ rằng “có xác thực 2 lớp, có KYC, có video call” là đủ, họ trở nên chủ quan. Nhưng hacker Triều Tiên không tấn công vào hệ thống xác thực; họ tấn công vào lòng tin. Họ biết cách trả lời câu hỏi kỹ thuật, cách thể hiện sự nhiệt tình, và cách tạo dựng mối quan hệ với đồng nghiệp. Sau ba tháng làm việc, họ có quyền truy cập vào kho lưu trữ private key – và đó là lúc mọi thứ sụp đổ.
Tôi đã từng xây bot giám sát Uniswap v2 và phát hiện vampire attack của SushiSwap. Tôi đã từng cảnh báo về sự sụp đổ của Terra qua phân tích on-chain. Nhưng chưa bao giờ tôi cảm thấy bất lực như khi đọc báo cáo của Laura Shin. Bởi vì bạn không thể viết một bot để phát hiện một kẻ nói dối. Bạn không thể đặt một smart contract để kiểm tra lòng trung thành.
Giải pháp? Không có giải pháp kỹ thuật thuần túy. Các dự án cần xây dựng quy trình “Zero Trust” cho nhân sự: không tin tưởng bất kỳ ai cho đến khi họ được xác minh độc lập bởi bên thứ ba có uy tín, và liên tục giám sát hành vi truy cập. Một số quỹ đầu tư mạo hiểm đã bắt đầu yêu cầu dự án trong danh mục đầu tư của họ phải sử dụng dịch vụ kiểm tra nhân sự giống như audit code. Nhưng điều đó vẫn chưa đủ.
Hãy tự hỏi: lần cuối cùng bạn xác minh danh tính của một đồng nghiệp remote là khi nào? Bạn có chắc họ là người họ nói không? Hay bạn chỉ đang dựa vào một bản CV và một cuộc phỏng vấn kéo dài 30 phút?
