Nền tảng cho vay blockchain Figure Technology bị nhóm hacker ShinyHunters rò rỉ dữ liệu khách hàng, dấy lo ngại cho tài chính on-chain và RWA

Nền tảng cho vay dựa trên *blockchain* **피겨 테크놀로지(Figure Technology)** vừa ghi nhận một vụ tấn công mạng nghiêm trọng, khiến dữ liệu cá nhân của khách hàng bị rò rỉ lên *dark web*. Theo TechCrunch đưa tin ngày 24 (giờ địa phương), tin tặc đã sử dụng chiêu thức *tấn công xã hội (social engineering)* nhắm vào một nhân viên, chiếm quyền truy cập nội bộ rồi đòi tiền chuộc. Khi doanh nghiệp từ chối, nhóm tấn công đã công khai dữ liệu khách hàng, thổi bùng lo ngại về an ninh dữ liệu trong lĩnh vực *tài chính phi tập trung* và **tài chính on-chain**.

Theo TechCrunch, 피겨 테크놀로지 thừa nhận “một số lượng file giới hạn” đã bị truy xuất trái phép. Công ty cho biết đang gửi thông báo tới các cá nhân và tổ chức chịu ảnh hưởng, đồng thời cam kết cung cấp miễn phí dịch vụ giám sát tín dụng cho những người nhận được thông báo. Tuy vậy, doanh nghiệp không tiết lộ bao nhiêu khách hàng bị ảnh hưởng, cũng như không nói rõ thời điểm và cách thức lần đầu tiên phát hiện vụ xâm nhập.

Nguồn tin cho hay phía công ty hiện tập trung khoanh vùng phạm vi sự cố và phối hợp với các đơn vị điều tra số. Một số chuyên gia bảo mật cho rằng việc 피겨 테크놀로지 im lặng về quy mô vụ việc có thể xuất phát từ áp lực pháp lý và nghĩa vụ báo cáo với cơ quan quản lý chứng khoán Mỹ, do công ty đã niêm yết trên sàn.

**bình luận**: Việc không công bố sớm quy mô thiệt hại thường làm gia tăng hoài nghi trên thị trường, đặc biệt với các doanh nghiệp đang cố gắng xây dựng hình ảnh “công nghệ cao – minh bạch” trong mảng **tài chính on-chain**.

Nhóm hacker **ShinyHunters** đứng sau, tung dữ liệu khách hàng sau khi đòi tiền chuộc bất thành

Phía đứng sau vụ tấn công được cho là nhóm hacker **ShinyHunters**, cái tên từng liên quan đến nhiều vụ rò rỉ dữ liệu quy mô lớn trước đây. Nhóm này tuyên bố đã đánh cắp khoảng 2,5GB dữ liệu từ 피겨 테크놀로지 và đăng tải lên một diễn đàn trên *dark web*, kèm luận điệu cho rằng “do công ty từ chối trả tiền chuộc nên buộc phải công khai dữ liệu”.

TechCrunch cho biết đã kiểm tra mẫu dữ liệu do ShinyHunters chia sẻ, phát hiện bên trong chứa các thông tin nhạy cảm như họ tên, địa chỉ nhà riêng, ngày tháng năm sinh, số điện thoại của khách hàng. Tổ hợp dữ liệu ở mức này đủ để phục vụ các hành vi đánh cắp danh tính, lừa đảo tài chính, mở tài khoản trái phép hay gửi email *phishing* nhắm mục tiêu.

Giới chuyên môn cảnh báo, với loại dữ liệu mà **Figure Technology** đang nắm giữ để phục vụ quy trình *KYC* và thẩm định tín dụng, một lần rò rỉ có thể kéo theo rủi ro dài hạn cho chính khách hàng. Dữ liệu cá nhân bị lộ rất khó thu hồi, và có thể tiếp tục bị mua bán, tái sử dụng cho những chiến dịch tấn công khác trong nhiều năm.

**bình luận**: Vụ việc cho thấy dù sử dụng *blockchain* để xử lý tài sản và giao dịch, nhưng phần “off-chain” như cơ sở dữ liệu khách hàng, hệ thống quản trị nội bộ vẫn là điểm yếu chí mạng. Mô hình **tài chính on-chain** không tự động miễn nhiễm trước các kỹ thuật tấn công xã hội nhắm vào con người.

Tấn công *phishing* tiền mã hóa giảm mạnh, nhưng hình thái đe dọa đang “tiến hóa”

Bối cảnh rộng hơn của ngành **tiền mã hóa** cho thấy một nghịch lý: các vụ lừa đảo *phishing* trực tiếp đánh cắp ví tiền đang giảm, nhưng mối đe dọa không vì thế biến mất. Theo dữ liệu của công ty bảo mật Web3 *Scam Sniffer*, tổng thiệt hại từ các cuộc tấn công *phishing* liên quan đến công cụ *wallet drainer* đã giảm từ khoảng 494 triệu đô la Mỹ (khoảng 7.135 tỷ đồng) trong năm 2024 xuống khoảng 83,85 triệu đô la (khoảng 1.211 tỷ đồng) trong năm 2025, tương đương mức sụt giảm 83%.

Số nạn nhân cũng giảm rõ rệt. Trên hệ sinh thái các chuỗi tương thích máy ảo Ethereum (EVM), lượng người dùng trở thành nạn nhân *phishing* giảm khoảng 68%, xuống còn xấp xỉ 106.000 người trong năm 2025 so với năm 2024.

Song các nhà nghiên cứu nhấn mạnh, đường cong này không đồng nghĩa với việc mối đe dọa đã kết thúc. Thống kê cho thấy quy mô tổn thất do *phishing* có mối tương quan chặt chẽ với khối lượng giao dịch *on-chain* và diễn biến giá thị trường. Riêng quý 3/2025 – giai đoạn **Ethereum(ETH)** dẫn dắt thị trường tăng giá mạnh – đã ghi nhận thiệt hại khoảng 31 triệu đô la (tương đương 448 tỷ đồng) chỉ trong một quý. Ở chiều theo tháng, con số tổn thất biến động mạnh, từ khoảng 2,04 triệu đô la (gần 29 tỷ đồng) vào tháng 12 lên tới khoảng 12,17 triệu đô la (khoảng 176 tỷ đồng) vào tháng 8.

Giới phân tích an ninh mạng đánh giá, nếu tổng số vụ tấn công giảm nhưng giá tài sản số tăng, kẻ tấn công có xu hướng tập trung nguồn lực vào những mục tiêu “giá trị cao”, từ đó làm gia tăng thiệt hại mỗi vụ. Thay vì lừa hàng chục nghìn người với số tiền nhỏ, chúng có thể nhắm vào kho dữ liệu tập trung hoặc tổ chức tài chính nắm giữ lượng tài sản lớn.

**bình luận**: Mô hình đang hình thành là “ít vụ việc hơn, nhưng một vụ có thể gây thiệt hại lớn hơn đáng kể”. Trường hợp **Figure Technology** bị rò rỉ dữ liệu là ví dụ tiêu biểu cho xu hướng chuyển dịch từ *phishing* tài sản cá nhân sang tấn công hạ tầng **tài chính on-chain** ở cấp độ doanh nghiệp.

피겨 테크놀로지 – “ngôi sao mới” trên Nasdaq, nhận cú sốc an ninh giữa lúc đẩy mạnh nền tảng chứng khoán *on-chain*

피겨 테크놀로지는 một công ty *fintech* dựa trên *blockchain*, niêm yết trên sàn Nasdaq(NDAQ) từ tháng 9 năm 2025. Khi IPO, giá chào bán là 25 đô la/cổ phiếu (khoảng 36.120 đồng), giúp doanh nghiệp huy động khoảng 787,5 triệu đô la (tương đương 11.383 tỷ đồng). Dựa trên mức giá này, định giá ban đầu của công ty được ước tính trong khoảng 5,3–7,6 tỷ đô la (khoảng 76.574–110.701 tỷ đồng).

Mô hình kinh doanh của 피겨 테크놀로지 xoay quanh việc đưa các dịch vụ tài chính, đặc biệt là mảng cho vay, lên chuỗi *blockchain* riêng mang tên **Provenance**. Hạ tầng này được thiết kế để phục vụ các sản phẩm cho vay cầm cố, chứng khoán hóa và các giao dịch tài sản số hóa.

Tháng trước, công ty tiếp tục gây chú ý khi ra mắt nền tảng **OPEN (Onchain Public Equity Network)** – mạng lưới cho phép doanh nghiệp phát hành cổ phiếu thực tế trực tiếp trên *blockchain*. Thông qua OPEN, các nhà đầu tư có thể vay mượn, cho thuê hoặc dùng cổ phiếu làm tài sản thế chấp ngay trên chuỗi, không cần môi giới, ngân hàng lưu ký hay sàn giao dịch chứng khoán truyền thống.

Trong mắt giới đầu tư, OPEN là một thử nghiệm quan trọng trong việc kết nối thị trường vốn truyền thống với **tài chính on-chain**, mở ra khả năng giao dịch chứng khoán 24/7 và rút gọn chuỗi trung gian. Tuy nhiên, vụ rò rỉ dữ liệu tại 피겨 테크놀로지 lại đánh thẳng vào hai yếu tố mà cơ quan quản lý và nhà đầu tư tổ chức coi trọng nhất: *niềm tin* và *an ninh thông tin*.

**bình luận**: Đối với các nền tảng chứng khoán *on-chain* như OPEN, vấn đề không chỉ là hợp đồng thông minh có an toàn hay không, mà còn là hệ thống lưu trữ dữ liệu nhà đầu tư, quy trình xác thực nhân sự nội bộ và khả năng tuân thủ những tiêu chuẩn bảo vệ dữ liệu khắt khe tương đương (hoặc cao hơn) thị trường chứng khoán truyền thống.

Rò rỉ dữ liệu cá nhân – phép thử cho niềm tin vào tài chính *on-chain* và các dự án RWA

Sự cố tại **Figure Technology** một lần nữa nhấn mạnh nghịch lý cốt lõi của **tài chính on-chain**: dù tài sản, giao dịch, quyền sở hữu có thể được ghi nhận phi tập trung trên *blockchain*, nhưng dữ liệu cá nhân, hồ sơ pháp lý và quy trình vận hành vẫn phần lớn tồn tại trong các hệ thống tập trung (*off-chain*). Chính những mắt xích “ngoài chuỗi” này trở thành đích ngắm của tin tặc.

Trong bối cảnh nhiều dự án đang phát triển mô hình **tài sản thực token hóa (RWA)** và **chứng khoán on-chain**, các cơ quan quản lý trên toàn cầu ngày càng quan tâm tới hai câu hỏi lớn: dữ liệu cá nhân được bảo vệ thế nào và quy trình bảo mật nội bộ có đạt chuẩn không. Sau vụ việc **피겨 테크놀로지**, khả năng cao những dự án cùng lĩnh vực sẽ đối mặt với các yêu cầu rà soát, kiểm toán an ninh mạng và quyền riêng tư ngặt nghèo hơn.

Theo nhận định của một số chuyên gia, để **tài chính on-chain** thực sự đi vào dòng chính, các doanh nghiệp không chỉ cần chứng minh tính ưu việt của *smart contract* và hạ tầng *blockchain*, mà còn phải chứng minh rằng hệ thống bảo vệ dữ liệu và quản trị rủi ro đáp ứng (hoặc vượt) chuẩn của ngân hàng và công ty chứng khoán truyền thống.

**bình luận**: Vụ hack **Figure Technology** có thể trở thành “bài kiểm tra hiện thực” cho toàn bộ hệ sinh thái **tài chính on-chain** và RWA. Nếu ngành không nhanh chóng nâng cấp tiêu chuẩn an ninh và bảo vệ dữ liệu, lợi thế về minh bạch và tự động hóa của *blockchain* sẽ bị lu mờ trước những lo ngại về quyền riêng tư và an toàn thông tin, làm chậm tốc độ chấp nhận rộng rãi của thị trường.