Cô ấy nói với tôi rằng cô ấy là đại diện hỗ trợ của Trezor, giọng nói chuyên nghiệp và lịch sự. Tôi không nghi ngờ gì. Tôi chỉ muốn lấy lại quyền truy cập vào ví của mình. Đó là những lời của một nạn nhân giấu tên, người đã mất hơn 120.000 USD trong một vụ tấn công xã hội tinh vi. Nhưng đây không phải là một câu chuyện cá biệt. Đây là một mạng lưới tội phạm có tổ chức, với ít nhất 5 triệu USD đã bị đánh cắp từ các nạn nhân sử dụng Trezor, Coinbase và thậm chí cả BitcoinIRA, tất cả đều bắt đầu từ một cuộc điện thoại.
Khi tôi lần đầu đọc báo cáo điều tra của ZachXBT, một trong những thám tử on-chain nổi tiếng nhất, tôi cảm thấy một sự quen thuộc kỳ lạ. Đây không phải là một cuộc tấn công kỹ thuật cao. Không có 0-day nào. Không có mã độc nào. Chỉ có một người phụ nữ tên Milanovich, đóng vai trò là người gọi, với một kịch bản được chuẩn bị kỹ lưỡng và một cơ sở hạ tầng lừa đảo đơn giản. Cô ta đã mạo danh nhân viên hỗ trợ từ Trezor và Coinbase, thuyết phục nạn nhân cấp quyền truy cập vào tài khoản của họ. Điều đáng sợ là nó hoạt động. Lặp đi lặp lại.
Trong 13 năm quan sát thị trường, tôi chưa thấy vụ án nào mà thủ phạm lại tự đào mộ cho mình một cách lộ liễu như vậy. Milanovich không chỉ ăn cắp; cô ta còn quay video khoe chiến lợi phẩm, mua sắm xa xỉ, và thậm chí chỉnh sửa video để làm cho số tiền trông lớn hơn thực tế. Cô ta đã ghi lại các cuộc gọi lừa đảo, và trong một cuộc gọi, cô ta còn chế nhạo nạn nhân. Sự kiêu ngạo này đã tạo ra một dấu vết bằng chứng không thể chối cãi, từ tin nhắn chat, bản ghi âm, đến dữ liệu blockchain.
Dòng tiền của vụ án này là một nghiên cứu điển hình về sự thất bại của quyền riêng tư. Milanovich đã sử dụng Monero, loại tiền điện tử được ca ngợi là không thể truy vết, để chuyển đổi số tiền đánh cắp. Cô ta đã sử dụng các sàn giao dịch tức thì để chuyển Monero thành DAI, và sau đó gửi 631.000 DAI vào một ví Exodus. Khi tôi nhìn vào dòng tiền từ Monero sang DAI, tôi thấy một điểm mù trong hệ thống AML. Điểm yếu không nằm ở Monero, mà nằm ở điểm thoát. Khi cô ta chuyển đổi sang stablecoin, dòng tiền trở nên minh bạch và có thể truy vết. ZachXBT đã tận dụng điều này, xác định địa chỉ ví và theo dõi dòng tiền đến sòng bạc trực tuyến Shuffle, nơi một phần tiền đã được tiêu xài.
Điều khiến tôi bất an không phải là kỹ thuật tấn công, mà là sự dễ dàng mà kẻ lừa đảo có thể tiếp cận nạn nhân. Các nền tảng như Trezor và Coinbase không có cơ chế xác thực hai chiều cho các cuộc gọi hỗ trợ. Một kẻ lừa đảo chỉ cần một số điện thoại, một kịch bản, và một chút can đảm. Dựa trên kinh nghiệm audit của tôi, các nền tảng cần có cơ chế xác thực hai chiều cho cuộc gọi hỗ trợ. Không ai có trách nhiệm hơn chính các nền tảng trong việc bảo vệ người dùng khỏi những cuộc tấn công xã hội đơn giản nhưng chết người này.
Có một góc nhìn phản trực giác ở đây. Chúng ta thường nghĩ rằng các vụ trộm crypto là do lỗi kỹ thuật, smart contract bị khai thác, hoặc sàn giao dịch bị hack. Nhưng trong vụ án này, thủ phạm không phải là một thiên tài công nghệ. Cô ta là một kẻ nghiệp dư phô trương. Và chính sự phô trương đó đã khiến cô ta bị bắt. Cô ta đã đăng video lên mạng xã hội, khoe tiền và cuộc sống xa hoa. Cô ta đã ghi lại các cuộc gọi và để lộ danh tính của mình. Vụ án này là một lời nhắc nhở rằng trong thế giới crypto, sự kiêu ngạo là kẻ thù lớn nhất.
Vụ án này cũng tiết lộ một sự thật khó chịu: hầu hết số tiền bị đánh cắp vẫn chưa được di chuyển. ZachXBT đã công khai các địa chỉ ví, và điều này có thể đã ngăn chặn thủ phạm chuyển tiền đi. Nhưng điều đó cũng có nghĩa là các nạn nhân vẫn chưa lấy lại được tiền của họ. Sòng bạc Shuffle đã đóng băng tài khoản của Milanovich sau khi được ZachXBT thông báo, nhưng quy trình pháp lý để trả lại tiền cho nạn nhân vẫn còn dài và phức tạp.
Bài học từ vụ án này không phải là tránh xa crypto. Đó là đòi hỏi các nền tảng phải có trách nhiệm hơn trong việc xác thực danh tính. Đó là nhận ra rằng quyền riêng tư của Monero có giới hạn, và các sàn giao dịch tức thì là điểm yếu trong hệ thống. Và đó là hiểu rằng, trong thế giới phi tập trung, sự minh bạch có thể là con dao hai lưỡi: nó có thể bảo vệ bạn, nhưng cũng có thể khiến bạn bị lộ.
Khi tôi kết thúc bài viết này, tôi tự hỏi: liệu Milanovich có thực sự hiểu rằng cô ta đang tự đào mộ cho mình không? Cô ta đã đặt vé máy bay, nhưng vẫn để tiền trong ví. Có lẽ cô ta nghĩ rằng mình thông minh hơn tất cả. Nhưng trong crypto, không có gì là bí mật mãi mãi.