Kẻ săn mồi thầm lặng: Bài học 5.000 USD từ một ví 'chết' nhưng chủ nhân không chịu bỏ

Ngày 13 tháng 8 vừa qua, GoPlus – nền tảng bảo mật dữ liệu on-chain – phát đi cảnh báo về một địa chỉ ví cá voi bị tấn công hai lần trong ba năm, tổng thiệt hại vượt 50 triệu USD. Điều đáng nói không phải con số, mà là cách nạn nhân phạm phải sai lầm kinh điển nhất trong quản lý tài sản tự quản: tiếp tục sử dụng một địa chỉ đã từng bị xâm phạm. Bối cảnh: năm 2023, kẻ tấn công dùng phishing ủy quyền (approval phishing) để đánh cắp token ERC-20 của ví. Sau đó, hắn chủ động trả lại phần lớn số tài sản – một chiêu thức tâm lý tinh vi. Nạn nhân nghĩ rằng mọi chuyện đã kết thúc, chỉ cần thu hồi các approve độc hại là an toàn. Nhưng ba năm sau, 2026, toàn bộ ETH gốc trong ví bị rút sạch. Lần này không phải do approve, mà do private key đã bị lộ. Điều tinh tế (và đáng sợ) trong thiết kế này là kẻ tấn công đã 'trả lại' phần lớn tài sản lần đầu, khiến nạn nhân giảm cảnh giác. Thực tế, sau khi bị tấn công lần thứ nhất, địa chỉ đó đã trở thành một 'xác chết' về mặt bảo mật. Bất kỳ khoản tiền nào chuyển vào đều có thể bị kẻ nắm private key rút bất cứ lúc nào. Nạn nhân đã mắc kẹt trong hiệu ứng mỏ neo và sự luyến tiếc chi phí chìm – không muốn từ bỏ địa chỉ đã gắn bó, dù biết rõ rủi ro. Báo cáo audit tiết lộ điều thú vị: hai cuộc tấn công hoàn toàn độc lập, nhưng đều nhắm vào cùng một điểm yếu hệ thống – thiếu quy trình bảo mật bài bản. Ở cấp độ hợp đồng, việc tiếp tục sử dụng một địa chỉ đã từng bị tấn công là một lỗi cơ bản. Nếu nạn nhân chuyển toàn bộ tài sản sang một địa chỉ mới, kết hợp ví cứng và đa chữ ký, vụ tấn công thứ hai đã không xảy ra. Góc nhìn phản trực giác: chính hành động 'trả lại tiền' của kẻ tấn công đã tạo ra cái bẫy tâm lý nguy hiểm nhất. Nạn nhân cảm thấy mình đã 'lấy lại được' tài sản, nên bỏ qua việc nâng cấp bảo mật. Đây là một điểm mù mà hầu hết người dùng lớn đều dễ mắc phải: quá tin tưởng vào tính thiện chí của kẻ tấn công, hoặc cho rằng 'nó chỉ xảy ra một lần'. Đây là những gì code thực sự nói: việc thu hồi approve không thể khôi phục một private key đã rò rỉ. Một khi private key bị lộ, địa chỉ đó không bao giờ an toàn trở lại. Giải pháp duy nhất là từ bỏ nó vĩnh viễn. Nhưng trong thực tế, nhiều cá voi vẫn giữ lại các địa chỉ cũ vì lý do danh tiếng, tiện lợi hoặc ngại thay đổi. Từ góc nhìn vĩ mô, vụ việc này phơi bày một thực trạng đáng lo: ngành công nghiệp đã phát triển các giải pháp ví thông minh (smart contract wallet, multi-sig, social recovery) từ nhiều năm trước, nhưng tỷ lệ áp dụng vẫn rất thấp. Các cá voi – những người nắm giữ tài sản lớn nhất – lại thường là những người dùng bảo thủ nhất về mặt bảo mật. Họ sẵn sàng chi hàng triệu USD cho phí gas nhưng lại tiết kiệm vài trăm USD cho một chiếc ví cứng chính hãng. Tôi nghĩ rotation tiếp theo sẽ vào các giải pháp ví thông minh đa chữ ký. Không chỉ vì tính bảo mật, mà còn vì chúng cho phép người dùng phục hồi quyền kiểm soát ngay cả khi private key bị lộ – một tính năng mà ví EOA truyền thống không thể có. Nếu nạn nhân trong câu chuyện này sử dụng một ví đa chữ ký với 2/3 người ký, kẻ tấn công dù có private key cũng không thể tự ý rút tiền. Takeaway: Vụ tấn công kép này là một lời nhắc nhở đắt giá. Địa chỉ ví từng bị xâm phạm là 'đã chết' – đừng cố hồi sinh nó. Hãy coi mỗi lần bị tấn công là một cơ hội để nâng cấp toàn bộ hệ thống bảo mật, từ ví cứng, đa chữ ký, cho đến quy trình kiểm tra approve định kỳ. Nếu không, lần sau có thể không còn cơ hội thứ ba.