Website 'clone hoàn hảo' của Ripple: kẻ trộm không hack blockchain, chúng hack con người
Chưa đầy 24 giờ sau khi David Schwartz, CTO của Ripple, lên tiếng trên X, một phần cộng đồng XRP mới tá hỏa nhận ra điều gì đang xảy ra. Không phải một lỗ hổng trong XRP Ledger. Không phải một smart contract bị khai thác. Mà là một website được mô phỏng gần như hoàn hảo từ trang chủ Ripple, nhắm thẳng vào những người đã nắm giữ XRP nhiều năm. Schwartz chỉ nói ngắn gọn, kiểu người đã thấy quá nhiều trò đời: đây là một vụ lừa đảo.
Tôi nhớ lại năm 2018, khi tôi còn mò mẫm đọc hợp đồng thông minh của Compound. Có một nhóm người dựng một trang web giả MakerDAO, giao diện đẹp đến mức tôi phải nhìn kỹ URL hai lần. Hồi đó tôi tự nhủ: nếu ngay cả người làm phân tích cũng phải chần chừ, thì một người dùng phổ thông làm sao đủ tỉnh táo? Vụ Ripple lần này không mới về kỹ thuật, nhưng nó đánh trúng một điểm mù của toàn bộ ngành công nghiệp: chúng ta quá tập trung vào bảo mật chuỗi, trong khi kẻ xấu đã chuyển sang tấn công tầng nhận thức từ lâu.
Điều khiến tôi dừng lại không phải là sự tồn tại của trang clone. Mà là cụm từ mà Schwartz và nhiều báo cáo nhắc tới: nạn nhân tiềm năng là những người nắm giữ XRP lâu năm. Bạn thử nghĩ mà xem. Để biết ai là người nắm giữ lâu năm, kẻ tấn công phải làm gì? Không cần hack, không cần rò rỉ dữ liệu từ sàn giao dịch. Chỉ cần đọc dữ liệu công khai trên XRP Ledger, phân tích lịch sử giao dịch, xem ví nào đứng im qua nhiều chu kỳ tăng giảm. Một chiếc ví đã ngủ yên ba năm, bỗng dưng thấy một trang web giống hệt Ripple thông báo bạn đủ điều kiện nhận airdrop. Sự cám dỗ đó không phải ai cũng cưỡng lại được.
Đây mới là phần kỹ thuật thực sự quan trọng. Trang web này không phải loại clone sơ sài. Nó được mô tả là một bản sao gần như hoàn hảo của Ripple.com. Kẻ tấn công đã bỏ công sức để sao chép giao diện, dàn trang, tùy chỉnh CSS, thậm chí tái tạo cả trải nghiệm tương tác. Họ có thể dùng cùng một framework front-end, cùng hệ thống phông chữ, và triển khai trên một tên miền có cách viết dễ gây nhầm lẫn. Người dùng gõ nhầm một ký tự, hoặc bấm vào một link rút gọn từ Telegram, là có thể lạc vào một trang web được dựng lên để đánh cắp toàn bộ tài sản.
Và vì nó không hack blockchain, nên mọi hệ thống phòng thủ trên chuỗi đều trở nên vô dụng. Không có private key nào bị lộ, không có contract nào bị kiểm tra yếu. Kẻ tấn công dựa vào điều duy nhất mà mã code không thể vá được: lòng tin của con người vào thương hiệu.
Tôi từng nghe một người bạn nói đùa rằng: "Nếu một giao thức không bị hack sau ba năm, thì nó đủ an toàn để tôi gửi tiền." Câu nói đó khiến tôi giật mình vì nó sai một cách nguy hiểm. Bảo mật trong crypto không dừng ở việc hợp đồng thông minh có sạch hay không. Nó nằm ở chiếc trình duyệt bạn đang dùng, ở cái cách bạn kiểm tra địa chỉ website, ở thói quen lưu bookmark, ở việc bạn có lười nhập URL thủ công hay không.
Bây giờ đến phần phản trực giác. Trong một thị trường đang giảm, khi giá XRP không có biến động lớn, rất dễ để gạt vụ này sang một bên và bảo: "Ừ thì lại một vụ phishing, có gì mới?" Sự thật phũ phàng là: tin tặc không quan tâm thị trường tăng hay giảm. Một đợt giảm giá có thể khiến lượng người nắm giữ XRP chán nản và lơ là cảnh giác. Trong khi đó, những người nắm giữ lâu năm lại chính là nhóm đang ngồi trên lượng tài sản lớn nhất. Và họ là nhóm dễ bị thao túng bởi câu chuyện "đã trung thành với dự án, xứng đáng được thưởng" nhất. Đây không phải một lỗ hổng bảo mật, mà là một lỗ hổng tâm lý. Và những lỗ hổng tâm lý thường không được vá cho đến khi quá muộn.
Còn một chi tiết nữa khiến tôi thấy khó chịu. David Schwartz là một kiến trúc sư kỳ cựu, là một trong những người hiểu sâu nhất về an toàn hệ thống. Vậy mà anh ấy phải dùng chính tài khoản cá nhân để hô hoán cộng đồng. Ripple có thể đã chuẩn bị sẵn một kênh phản hồi khẩn cấp, nhưng phải đến khi CTO lên tiếng, thông tin mới lan đủ nhanh. Điều này đặt ra câu hỏi: những dự án nhỏ hơn, không có nhân vật có sức ảnh hưởng công khai như Schwartz, thì họ sẽ sống sót thế nào khi bị clone? Câu trả lời khiến tôi hơi lạnh sống lưng.
Chúng ta cũng không nên bỏ qua một mắt xích trong hệ sinh thái: các trình duyệt và dịch vụ DNS. Một website clone được thiết kế tinh vi có thể vượt qua các bộ lọc an toàn của Chrome hoặc Safari. Nó có thể được quảng cáo trên Google Ads trong một khoảng thời gian ngắn trước khi bị gỡ. Trong khoảng thời gian đó, một lượng người dùng nhất định sẽ bấm vào. Điều này giống như một trò chơi mèo vờn chuột vô tận: bị chặn một tên miền, chúng tạo tên miền mới. Bị báo cáo một trang, chúng tạo một trang khác. Không có một nút "dừng" nào để bấm. Cách duy nhất để bảo vệ chính mình là thay đổi thói quen bảo mật, bắt đầu từ việc nghi ngờ những thứ đang hiển thị trên màn hình.
Trong quá trình viết báo cáo về Layer 2, tôi từng có một nguyên tắc: nếu một dự án quá đẹp để trở thành sự thật, hãy tìm cách xác minh nó bằng nhiều nguồn độc lập. Nguyên tắc đó nên được áp dụng cho cả giao diện website. Trước khi kết nối ví, hãy tự hỏi: tôi có đang đứng trên đúng tên miền tôi muốn truy cập không? Trước khi nhập bất kỳ cụm từ khôi phục nào, hãy tự hỏi: đã bao giờ một giao thức hợp pháp yêu cầu tôi cung cấp seed phrase để nhận airdrop chưa? Câu trả lời luôn luôn là chưa. Nhưng kẻ tấn công không cần bạn trả lời hàng nghìn câu hỏi. Nó chỉ cần một lần bạn lơ đãng.
Hãy nhìn vào bức tranh lớn hơn. Vụ này sẽ không làm sụp đổ giá XRP. Nó không phải một chỉ báo cho thấy XRP Ledger kém an toàn. Nhưng nó là một chỉ báo cho thấy kỹ năng tấn công mạng xã hội của tội phạm đang tinh vi đến mức nào. Khi một nạn nhân mất ví, họ không thể nhờ Ripple khôi phục. Không có admin nào giúp họ gỡ lệnh chuyển tiền. Tài sản biến mất vĩnh viễn, chỉ sau một cú click chuột.
Vậy, câu hỏi thực sự không phải là "trang web này có nguy hiểm không". Mà là: liệu cộng đồng của chúng ta có đủ khả năng tự trang bị kiến thức để sống sót trong một môi trường đầy cạm bẫy hay không? KẺ trộm biết rằng con người luôn là mắt xích yếu nhất. Chúng ta có dám thừa nhận điều đó, và bắt đầu thay đổi thói quen trước khi chính mình là nạn nhân tiếp theo?