Hacker Triều Tiên dùng AI tấn công xã hội học, đánh cắp 100.000 USD từ Zerion và mở ra mẫu hình tấn công mới

Theo CoinDesk đưa tin ngày 9 (giờ địa phương), một nhóm hacker được cho là liên quan tới Triều Tiên đã sử dụng *“AI”* trong một chiến dịch *tấn công xã hội học* kéo dài để chiếm đoạt khoảng 100.000 đô la Mỹ từ ví *tiền mã hóa* của dịch vụ Zerion. Đây không phải là vụ khai thác *hợp đồng thông minh* thông thường, mà là đòn tấn công trực tiếp vào con người, làm dấy lên lo ngại rằng trọng tâm *an ninh tiền mã hóa* đang dần dịch chuyển từ “lỗ hổng kỹ thuật” sang điểm yếu về “*niềm tin*” và hành vi người dùng.

Zerion cho biết trong báo cáo công khai công bố ngày 9 (giờ địa phương) rằng kẻ tấn công đã nhắm vào *phiên đăng nhập*, *thông tin xác thực* của một nhân viên cụ thể và thậm chí cả *khóa riêng* của “ví nóng” thuộc công ty. Zerion khẳng định *tài sản người dùng*, ứng dụng và hạ tầng cốt lõi không bị ảnh hưởng, đồng thời cho biết họ đã chủ động vô hiệu hóa web app như một biện pháp phòng ngừa.

Theo Zerion, quy mô thiệt hại lần này tương đối nhỏ so với nhiều vụ *hack tiền mã hóa* khác, nhưng cách thức tấn công lại đặc biệt đáng lo ngại. Công ty mô tả đây là cuộc tấn công *“kỹ nghệ xã hội có hỗ trợ AI, liên quan đến tác nhân đe dọa từ Triều Tiên”*. Trước đó không lâu, giao thức phái sinh Drift Protocol cũng bị một nhóm hacker liên quan Triều Tiên xâm nhập có tổ chức, gây thiệt hại tới 280 triệu đô la Mỹ. Như vậy, chỉ tính trong tháng này đã ghi nhận ít nhất hai vụ tấn công tương tự có dấu hiệu cùng một kiểu chiến thuật.

Giới *an ninh mạng* nhận định các nhóm hacker hậu thuẫn bởi Triều Tiên đang dịch chuyển điểm đột nhập: thay vì chỉ săn lùng lỗ hổng trong *hợp đồng thông minh*, họ tập trung hơn vào *mối quan hệ con người* và *kênh giao tiếp nội bộ* để tìm đường vào hệ thống. Zerion cho biết kẻ tấn công đã chiếm được các tài khoản đã đăng nhập sẵn và thông tin xác thực của nhiều thành viên trong nhóm, sau đó từ từ mở rộng quyền truy cập vào bên trong tổ chức.

Tổ chức bảo mật SEAL cho hay trong vòng 2 tháng gần đây, họ đã truy vết và chặn tổng cộng 164 tên miền có liên quan tới nhóm UNC1069 được cho là gắn với Triều Tiên. Nhóm này bị cáo buộc triển khai các chiến dịch *tấn công xã hội học* cường độ thấp nhưng kéo dài hàng tuần qua các nền tảng như Telegram, LinkedIn, Slack. Chiến lược của họ là mạo danh những người quen, nhà tuyển dụng uy tín hoặc thương hiệu đáng tin cậy để từ từ xây dựng *niềm tin* với mục tiêu trước khi tung ra mã độc hoặc đường link độc hại.

Trước đó, tổ chức an ninh của Google là Mandiant hồi tháng 2 (giờ địa phương) đã công bố nhiều trường hợp nhóm tin tặc liên quan Triều Tiên lợi dụng *cuộc họp Zoom giả*, công cụ *chỉnh sửa hình ảnh và video “AI”* trong các giai đoạn tấn công khác nhau. Nhà phát triển MetaMask và chuyên gia bảo mật Taylor Monahan cho biết lực lượng nhân sự IT của Triều Tiên đã bắt đầu “thâm nhập” vào các công ty *tiền mã hóa* và dự án DeFi từ ít nhất 7 năm trước, bằng cách xin việc từ xa hoặc cộng tác giả mạo trong các dự án nguồn mở.

Báo cáo đầu năm nay của công ty bảo mật blockchain Elliptic cảnh báo rằng *“sự phổ biến của AI đang làm cho các kỹ thuật tấn công xã hội học của Triều Tiên trở nên tinh vi hơn”*. Theo Elliptic, phạm vi mục tiêu của các nhóm này đã mở rộng đáng kể: không chỉ sàn giao dịch mà cả nhà phát triển, người đóng góp dự án và bất kỳ cá nhân nào nắm quyền truy cập hạ tầng quan trọng đều trở thành mục tiêu tiềm năng. *bình luận* Sự hỗ trợ của *AI* giúp hacker tạo hồ sơ giả đáng tin hơn, soạn thư từ, tài liệu và kịch bản trò chuyện giống người thật, khiến nạn nhân càng khó phát hiện.

Trong ngành, nhiều chuyên gia nhìn nhận vụ Zerion không phải là sự cố đơn lẻ, mà là biểu hiện rõ nét cho một “*mẫu hình tấn công mới*”: *Triều Tiên kết hợp AI với tấn công xã hội học* để tiến hành xâm nhập dài hạn vào các doanh nghiệp *tiền mã hóa*. Vấn đề lớn hơn con số 100.000 đô la Mỹ bị chiếm đoạt là việc kẻ tấn công đang ưu tiên khai thác “*niềm tin*” và thói quen con người hơn là lỗ hổng thuần kỹ thuật.

*bình luận* Với bối cảnh này, nhiều chuyên gia *an ninh tiền mã hóa* cho rằng các công ty trong ngành cần đầu tư mạnh hơn vào đào tạo nhân sự, quy trình nội bộ và cơ chế quản lý *khóa riêng* thay vì chỉ tập trung audit *hợp đồng thông minh*. Bởi trong kỷ nguyên *AI*, điểm yếu lớn nhất của hệ thống rất có thể không còn nằm ở dòng code, mà nằm ở quyết định của chính con người vận hành nó.