Tin tức 
Thông tin Coin 
Về chúng tôi 
Dụng cụ hỗ trợ lập trình AI trở thành mối đe dọa nghiêm trọng với tiền mã hóa
Thế giới tiền mã hóa đang phải đối mặt với một nguy cơ bảo mật nghiêm trọng khi các công cụ lập trình hỗ trợ AI ngày càng phổ biến. Theo cảnh báo mới nhất từ công ty bảo mật blockchain SlowMist ngày 8 (giờ địa phương), một lỗ hổng chưa từng có đã được phát hiện, ảnh hưởng trực tiếp đến các nhà phát triển blockchain và dự án liên quan. Đặc biệt, chỉ một hành động đơn giản như mở thư mục dự án cũng đủ khiến hệ thống bị tấn công.
SlowMist cho biết, lỗ hổng xuất hiện trong một số môi trường phát triển tích hợp (IDE) phổ biến và công cụ lập trình AI. Kỹ thuật được sử dụng là “từ” prompt injection — kẻ tấn công giấu mã độc trong các tệp README.md hay LICENSE.txt tưởng chừng vô hại. Khi người dùng mở thư mục và AI assistant thực thi nội dung chứa prompt này, mã độc sẽ tự động phát tán khắp dự án — mà không cần người dùng thực hiện thêm thao tác nào.
Đáng lo ngại, hình thức tấn công này có thể xảy ra cả trên Windows lẫn macOS và đặc biệt nguy hiểm với người dùng Cursor — một giao diện AI lập trình đang phát triển mạnh gần đây. Nghiên cứu ban đầu về kỹ thuật này, mang tên “CopyPasta License Attack”, được công bố lần đầu bởi công ty an ninh HiddenLayer vào tháng 9 năm 2025.
HiddenLayer đã thử nghiệm lỗ hổng này trên nhiều công cụ bị ảnh hưởng như Cursor, Windsurf, Kiro và Aider. Kết quả cho thấy toàn bộ hệ thống mã nguồn tổ chức có thể bị lây nhiễm mà không cần tương tác từ người dùng. Do ảnh hưởng mang tính chuỗi cung ứng, tác động của lỗ hổng này không chỉ dừng ở kỹ thuật mà có thể lan ra nhiều hệ thống quy mô lớn.
Tăng tốc ứng dụng AI, Coinbase gặp chỉ trích vì coi nhẹ bảo mật
Chính sách thúc đẩy lập trình AI nhanh chóng của các công ty lớn càng khiến mối lo về bảo mật thêm phần nghiêm trọng. Giám đốc điều hành Coinbase($COIN), Brian Armstrong từng đặt mục tiêu đến tháng 10 sẽ có 50% mã nguồn công ty được viết bằng AI. Ông từng tuyên bố nhân viên nào không áp dụng công cụ AI trong vòng một tuần có thể bị sa thải — dẫn đến nhiều phản ứng trái chiều trong ngành.
Phát biểu bình luận về chính sách này, giáo sư Jonathan Aldrich từ Đại học Carnegie Mellon gọi đây là “ý tưởng điên rồ”, thẳng thừng cho biết “Tôi tuyệt đối không bao giờ gửi tiền cho một công ty như vậy”. Larry Li — nhà sáng lập dự án Dango — cũng cho rằng đây là “dấu hiệu nguy hiểm” mà một doanh nghiệp coi trọng bảo mật không bao giờ được phép thể hiện.
Bắc Triều Tiên tận dụng hợp đồng thông minh và lỗ hổng AI để tấn công blockchain
Cùng lúc đó, báo cáo mới của SlowMist cho thấy các tổ chức hacker nhà nước như Bắc Triều Tiên đang kết hợp chiến thuật tấn công AI với chiêu trò lạm dụng hợp đồng thông minh nhằm đánh cắp tiền mã hóa. Theo báo cáo của Google vào tháng 2 năm 2024, nhóm hacker UNC5342 đã chèn mã độc JavaScript như BeaverTail và OtterCookie vào các hợp đồng thông minh trên Ethereum(ETH) và BNB Smart Chain, lợi dụng các cuộc phỏng vấn tuyển dụng giả trá hình qua gói NPM để dụ dỗ nhà phát triển tải mã độc.
Chiêu thức “từ” EtherHiding — sử dụng hàm chỉ đọc trong hợp đồng để truyền lệnh mà không để lại dấu vết giao dịch — giúp các hacker dễ dàng vượt qua sự truy vết của cơ quan chức năng. Ngoài ra, các nhóm này còn thành lập công ty vỏ bọc tại Mỹ và phát triển chiến dịch social engineering mang tên “Contagious Interview” để tấn công nhiều nhà phát triển tiềm năng, nhắm tới các tài sản có giá trị cao như khóa hợp đồng hay thông tin ví người dùng.
AI đối mặt nghịch lý: Tìm ra lỗi zero-day và tự động hóa hành vi hack
Dù nhiều bên ca ngợi tiềm năng của AI trong đẩy nhanh tiến độ phát triển, một nghiên cứu từ công ty AI Anthropic lại cho thấy mặt tối đầy đáng sợ của công nghệ này. Trong môi trường thử nghiệm, AI của Anthropic có thể xâm nhập thành công hơn 50% hợp đồng thông minh, mô phỏng thiệt hại lên tới 5.501 triệu USD (tương đương 7.999 tỷ đồng).
Đáng chú ý, GPT-5 và Claude Opus 4.5 — hai mô hình AI tiên tiến — đã phát hiện các “từ” lỗ hổng zero-day (chưa từng bị tiết lộ hoặc vá lỗi), với mỗi mô hình phát hiện hai lỗi riêng biệt. Nếu các lỗi đó bị khai thác, con số tổn thất ước tính là khoảng 3.694 USD (tương đương 536 triệu đồng), chỉ với chi phí thực hiện là 3.476 USD (505 triệu đồng API).
Anthropic cảnh báo: hiệu quả kinh tế của các cuộc tấn công bằng AI đang ngày càng cao, vì kẻ xấu có thể triển khai đồng loạt hàng trăm mã tấn công từ một lệnh xử lý. Theo báo cáo từ Chainabuse, tội phạm tiền mã hóa dựa trên AI đã tăng 456% chỉ trong 12 tháng qua. Tới 60% số tiền được nạp vào ví lừa đảo đều bắt nguồn từ các danh tính, giọng nói, hoặc cuộc hội thoại giả mạo bằng AI.
Kết luận: Cân bằng hiệu quả AI và bảo mật là điều bắt buộc trong ngành tiền mã hóa
Trong khi “từ” AI tiếp tục được tích cực áp dụng trong hoạt động phát triển phần mềm, đặc biệt tại các công ty như Coinbase($COIN), việc coi nhẹ các lỗ hổng bảo mật đang tạo ra những rủi ro lớn cho hệ sinh thái blockchain. Từ khai thác “prompt injection” ẩn trong file văn bản, đến chiến dịch tấn công quy mô quốc gia bằng hợp đồng thông minh, hay các cuộc hack tự động được AI triển khai hàng loạt — mối đe dọa an ninh mạng chưa bao giờ rõ rệt như hiện nay.
Vì vậy, nhà phát triển và tổ chức cần nghiêm túc “từ” kiểm định bảo mật trước khi triển khai công cụ AI, đồng thời thắt chặt kiểm tra các file dự án như README hay LICENSE. Ngoài ra, các công cụ như Cursor hay IDE mới cần được sử dụng thận trọng — không nên mở các dự án không rõ nguồn gốc. Cuộc chơi AI không chỉ là về hiệu suất, mà giờ đây là cuộc chiến sinh tồn của toàn bộ hệ sinh thái tiền mã hóa.
Bình luận 0