Ngày 13 tháng 8, GoPlus phát cảnh báo: một địa chỉ ví bị đánh cắp tổng cộng hơn 50 triệu USD qua hai lần, cách nhau đúng 3 năm. Lần đầu mất token ERC20 do approval phishing, lần sau mất ETH gốc do private key leak. Nhưng điều khiến tôi – một kẻ săn tin đã đọc hàng nghìn vụ hack – phải rùng mình: nạn nhân vẫn dùng cùng một ví sau lần đầu tiên.
Bối cảnh không mới. Approval phishing là chiêu trò kinh điển: kẻ tấn công tạo giao diện giả mạo, dụ nạn nhân ký approve() cho hợp đồng độc hại. Một khi ký xong, chúng có thể rút token trong hạn mức. Năm 2023, con cá voi này mất một lượng token ERC20 không nhỏ. Kỳ lạ thay, kẻ tấn công đã trả lại phần lớn tài sản. Có thể vì sợ pháp lý, có thể là chiến thuật tâm lý. Hậu quả: nạn nhân nghĩ mọi thứ đã ổn, chỉ cần hủy approval là xong. Anh ta tiếp tục dùng ví đó, nạp thêm ETH, tham gia DeFi, giao dịch…
Ba năm sau, 2026, lịch sử lặp lại. Nhưng lần này khác: ETH – đồng coin gốc – bị rút sạch. Điều này chỉ có thể xảy ra nếu kẻ tấn công có private key hoặc seed phrase. Một cú đánh chí mạng. Tổng thiệt hại cả hai lần vượt 50 triệu USD. Và tất cả đều đến từ một địa chỉ.
Tôi từng audit hợp đồng ICO EOS năm 2017, phát hiện lỗ hổng khóa 2,5 triệu USD. Tôi biết cảm giác khi nhìn thấy code chết người. Nhưng case này không phải lỗi code – nó là lỗi con người. Nạn nhân đã mắc sai lầm kinh điển: sau khi bị hack, tin rằng hủy approval là đủ để an toàn. Sai. Approval phishing chỉ là một mặt trận. Mặt trận kia – private key – đã bị xâm phạm ngay từ lần đầu, hoặc bị lộ qua một con đường khác trong 3 năm. Kẻ tấn công có thể đã ghi lại seed phrase từ lần phishing đầu tiên, hoặc âm thầm cài keylogger, hoặc mua dữ liệu từ dark web. Bất kể cách nào, một khi key lộ, ví đó là xác chết.
Phân tích kỹ thuật: lần đầu là tấn công lớp token contract – chỉ ảnh hưởng ERC20, không động đến ETH. Lần thứ hai là tấn công lớp tài khoản – toàn bộ số dư ETH bay mất. Hai lớp bảo mật hoàn toàn khác nhau. Nhưng chúng có một điểm chung: nạn nhân không hề có hệ thống phòng thủ đa lớp. Không multi-sig, không smart contract wallet, không cold storage riêng. Một ví EOA đơn giản, kết nối với đủ loại DApp, lưu seed phrase trên máy tính hoặc điện thoại – công thức cho thảm họa.
Góc phản trực giác: Phần lớn hướng dẫn bảo mật nói 'hủy approval, dùng hardware wallet' là chưa đủ. Nếu private key của bạn đã lộ, mọi biện pháp khác chỉ là vá víu. Hủy approval chỉ ngăn kẻ tấn công rút token ERC20 qua hợp đồng cũ, nhưng nếu chúng có key, chúng có thể tự ký bất kỳ giao dịch nào – bao gồm chuyển ETH, ký approval mới, thậm chí khóa vĩnh viễn tài sản. Ví đó là xác chết. Đừng cố hồi sinh.
Tôi đã thấy hàng trăm vụ tương tự trong 18 năm theo dõi. Nhưng case này là textbook: kẻ tấn công trả lại tiền lần đầu để tạo lòng tin, sau đó chờ đợi và tấn công lần hai với quy mô lớn hơn. Nó giống như một con mèo vờn chuột. Nạn nhân đã đánh mất cơ hội vàng để thoát ra: ngay sau lần hack đầu tiên, hãy đốt ví cũ, tạo ví mới, chuyển toàn bộ tài sản. Nhưng sự lười biếng và 'sunk cost fallacy' – nghĩ rằng đã đầu tư nhiều vào ví đó nên tiếc – đã giết chết anh ta.
Câu hỏi dành cho bạn: Bạn có bao nhiêu ví đã từng bị phishing? Bạn có chắc private key của mình an toàn? Nếu không chắc chắn 100%, hãy coi ví đó như xác chết. Đừng giữ lại. Đừng tiếc. Hãy học từ con cá voi 50 triệu USD này: một ví từng bị hack là mãi mãi không an toàn. Multi-sig, smart contract wallet, hoặc ít nhất là cold storage riêng biệt. Nếu không, bạn sẽ là nạn nhân tiếp theo.
Takeaway: Bảo mật tự quản không phải là 'đủ', mà là 'không thể bị phá vỡ'. Một lỗ hổng là đủ để mất tất cả. Hãy xây dựng hệ thống phòng thủ nhiều lớp ngay hôm nay, trước khi kẻ tấn công quyết định ghé thăm ví của bạn.
