Một người đàn ông 80 tuổi tại Hong Kong vừa mất 5 triệu đô la Hồng Kông (khoảng 640.000 USD) sau khi nhấp vào một quảng cáo pop-up, tải về một ứng dụng Trust Wallet giả mạo. Đây không phải là một lỗi smart contract, cũng không phải một cuộc tấn công vào giao thức blockchain. Đây là một cuộc tấn công tâm lý có tổ chức, tinh vi đến mức nó khai thác chính điểm yếu lớn nhất của Web3: lòng tin của người dùng vào thương hiệu và sự thiếu hiểu biết về quy trình bảo mật cơ bản.
Hong Kong là một trong những trung tâm tài sản số sôi động nhất châu Á, nhưng cũng là nơi những kẻ lừa đảo nhắm vào nhóm dễ bị tổn thương nhất: người cao tuổi mới bước chân vào thế giới crypto. Theo thông tin từ cảnh sát Hong Kong, nạn nhân đã bị dụ dỗ bởi một quảng cáo trực tuyến hứa hẹn lợi nhuận cao. Ông nhấp vào liên kết, tải ứng dụng Trust Wallet giả – một bản sao gần như hoàn hảo của ứng dụng thật. Sau đó, những kẻ mạo danh nhân viên hỗ trợ đã hướng dẫn ông mua ETH thông qua một cửa hàng đổi tiền địa phương và chuyển số tiền dần dần vào ví của chúng trong suốt một tháng rưỡi. Khi ông cố gắng rút tiền, ứng dụng hiển thị lỗi, và 'nhân viên hỗ trợ' biến mất.
Vụ việc này không phải là một sự kiện hiếm hoi. Nó là một hồi chuông cảnh tỉnh cho toàn bộ ngành công nghiệp. Khi tôi còn là sinh viên năm nhất, tôi đã tham gia testnet của Compound v2 và phát hiện ra ba lỗi nhỏ trong cách tính APY. Tôi đã báo cáo chúng qua GitHub và nhóm phát triển đã sửa. Điều đó cho tôi thấy sức mạnh của tính minh bạch trong DeFi. Nhưng vụ lừa đảo này lại cho thấy mặt trái: bất kỳ ai cũng có thể tạo ra một bản sao của một ứng dụng mã nguồn mở và phân phối nó qua các kênh không chính thức. Trust Wallet là một ví không lưu ký mã nguồn mở – điều đó có nghĩa là bất kỳ ai cũng có thể sao chép giao diện của nó. Kẻ lừa đảo không cần phải hack giao thức; chúng chỉ cần hack niềm tin.
Hãy nhìn vào kỹ thuật: ứng dụng giả mạo này không có mã nguồn mở, không được kiểm toán, và không có trên App Store chính thức. Nó được phân phối qua quảng cáo pop-up – một kênh mà người dùng phổ thông thường tin tưởng. Một khi được cài đặt, ứng dụng này có thể kiểm soát hoàn toàn các khóa riêng tư của người dùng (nếu người dùng tạo ví trong đó) hoặc đơn giản là hiển thị một giao diện giả để lừa người dùng nhập khóa từ ví thật. Trong trường hợp này, nạn nhân có thể đã tạo một ví mới trong ứng dụng giả, và kẻ lừa đảo đã nắm giữ khóa riêng. Số tiền 5 triệu HKD được chuyển thành ETH qua một cửa hàng đổi tiền – một bước quan trọng vì nó phá vỡ khả năng truy vết của ngân hàng truyền thống. Mỗi lần chuyển, ETH được gửi đến một địa chỉ ví khác nhau, làm phức tạp việc theo dõi trên chuỗi.
Điều trớ trêu là: blockchain không phải là vấn đề. Giao dịch ETH là minh bạch, không thể đảo ngược, và có thể theo dõi. Nhưng khi kẻ lừa đảo kiểm soát hoàn toàn quy trình từ đầu đến cuối, thì tính minh bạch của blockchain chỉ giúp chúng ta biết chính xác tiền đã đi đâu – chứ không thể lấy lại được. Đây là một lỗ hổng trong 'lớp tin cậy' của người dùng, không phải trong lớp giao thức.
Nhiều người sẽ nói rằng giải pháp là sử dụng ví cứng hoặc chỉ tải ứng dụng từ các cửa hàng chính thức. Nhưng điều đó bỏ qua một thực tế: người dùng cao tuổi, mới tham gia thị trường, thường không biết cách kiểm tra chữ ký số, xác minh địa chỉ hợp đồng, hay phân biệt giữa ứng dụng thật và giả. Họ dựa vào sự hướng dẫn của 'nhân viên hỗ trợ' – một khái niệm quen thuộc từ ngân hàng truyền thống, nơi có dịch vụ khách hàng thực sự. Trong thế giới phi tập trung, không có ai gọi bạn để giúp bạn khôi phục mật khẩu. Và đó chính là điểm mù: càng nhiều người mới tham gia, càng có nhiều cơ hội cho những kẻ lừa đảo lợi dụng sự thiếu hiểu biết này.
Tôi đã từng tổ chức một buổi workshop về NFT cho 30 sinh viên đại học tại Tallinn. Tôi sử dụng dữ liệu từ OpenSea để minh họa cách định giá NFT dựa trên lịch sử giao dịch, thay vì dựa vào hype. Buổi workshop thành công đến nỗi tôi được mời làm diễn giả tại hội thảo 'Blockchain & Phụ nữ' ở Helsinki. Nhưng tôi nhận ra rằng, ngay cả những sinh viên trẻ cũng dễ bị lừa bởi các trang web giả mạo nếu họ không được hướng dẫn cụ thể. Giáo dục không chỉ là dạy về công nghệ; nó là dạy về thói quen an toàn.
Từ góc nhìn của một người xây dựng nền tảng giáo dục crypto, tôi thấy vụ việc này là một minh chứng rõ ràng cho sự cần thiết của các chương trình đào tạo có cấu trúc. Khi tôi phân tích 70% dự án thất bại trong thị trường gấu 2022, tôi phát hiện ra rằng thiếu minh bạch trong quản trị là nguyên nhân chính. Nhưng ở đây, vấn đề không phải là quản trị của dự án, mà là quản trị rủi ro cá nhân. Mỗi người dùng cần có một 'bộ lọc' để đánh giá tính xác thực của ứng dụng và lời khuyên.
Các giải pháp kỹ thuật có thể giúp ích: ví có thể tích hợp các module cảnh báo khi người dùng chuẩn bị chuyển một khoản tiền lớn đến một địa chỉ chưa từng giao dịch trước đó. Các cửa hàng ứng dụng có thể tăng cường kiểm duyệt. Nhưng giải pháp căn cơ nhất vẫn là giáo dục. Tôi đã viết một ebook 'NFTs từ góc nhìn dữ liệu' và thấy rằng khi người dùng hiểu cách đọc dữ liệu trên chuỗi, họ ít bị lừa hơn.
Dữ liệu làm kim chỉ nam: Trước mỗi quyết định đầu tư, tôi luôn mở whitepaper và kiểm tra số liệu. Trong vụ này, nếu nạn nhân kiểm tra xem ứng dụng Trust Wallet có mã nguồn mở trên GitHub không, hoặc tìm kiếm địa chỉ hợp đồng chính thức, có lẽ ông đã tránh được cái bẫy.
Thợ xây hệ thống giáo dục: Tôi không chấp nhận những bài viết lộn xộn. Tôi thiết kế mỗi khóa học với một cấu trúc chặt chẽ: từ an toàn cơ bản đến phân tích nâng cao. Vụ này sẽ là một case study trong khóa học 'Bảo vệ tài sản số' của tôi.
Linh hồn của cộng đồng: Sau mỗi buổi workshop, tôi ở lại 30 phút để trả lời câu hỏi. Tôi biết rằng nhiều người tham gia lần đầu không dám hỏi vì sợ bị coi là thiếu hiểu biết. Chính những người đó là mục tiêu của kẻ lừa đảo.
Tôi không cho rằng vụ việc này sẽ làm thay đổi thị trường ngay lập tức. Giá ETH không bị ảnh hưởng, Trust Wallet vẫn là một sản phẩm tốt. Nhưng nó là một lời nhắc nhở rằng: trong khi chúng ta xây dựng các giao thức phi tập trung, chúng ta vẫn bỏ quên lớp an toàn cuối cùng – con người. Cảnh sát Hong Kong đã cảnh báo công chúng, nhưng đó chỉ là phản ứng sau sự kiện. Cần có một hệ thống phòng ngừa chủ động.
Tôi thấy một tương lai nơi các ví không lưu ký sẽ tích hợp các công cụ giáo dục ngay trong ứng dụng: khi người dùng chuẩn bị tải một ứng dụng lạ, một pop-up sẽ hiện ra hỏi 'Bạn có chắc chắn đây là ứng dụng chính thức không? Hãy kiểm tra địa chỉ website và chữ ký số.' Các nền tảng giáo dục như Crypto Basis có thể cung cấp các khóa học miễn phí cho người mới bắt đầu. Và các cộng đồng địa phương, như nhóm phụ nữ trong blockchain mà tôi tham gia, có thể tổ chức các buổi gặp mặt trực tiếp để hướng dẫn.
Hãy nhìn vào con số: 5 triệu HKD mất đi, một cụ ông 80 tuổi mất trắng tiền tiết kiệm. Điều đó không thể chỉ được giải quyết bằng một vài dòng tweet cảnh báo. Nó cần một sự thay đổi trong cách chúng ta tiếp cận giáo dục. Tôi tin rằng nếu mỗi người trong cộng đồng crypto dành 30 phút để giải thích cho người thân lớn tuổi về cách nhận biết lừa đảo, chúng ta có thể ngăn chặn những vụ như thế này.
Cuối cùng, tôi muốn đặt một câu hỏi: Liệu một người 80 tuổi có nên tự mình quản lý tài sản số trên một ví không lưu ký? Hay chúng ta cần xây dựng các giải pháp lưu ký có giám sát dành cho những người không có đủ kiến thức kỹ thuật? Đó là một câu hỏi khó, nhưng cần được trả lời nếu chúng ta muốn crypto thực sự phổ cập.
