Tin tặc Triều Tiên bị nghi ‘nằm vùng’ 10 năm trong hệ sinh thái DeFi, vụ hack 280 triệu USD chỉ là phần nổi

Bằng chứng mới cho thấy các nhóm tin tặc Triều Tiên đã âm thầm xâm nhập hệ sinh thái *từ DeFi* trong ít nhất 10 năm, không chỉ thực hiện các vụ tấn công bên ngoài mà còn có dấu hiệu “nằm vùng” ngay bên trong nhiều dự án. Vụ hack khoảng 280 triệu USD xảy ra gần đây được cho là một phần của chiến dịch tấn công có tổ chức, làm dấy lên lo ngại sâu sắc về rủi ro *từ DeFi* ở cấp độ cấu trúc, không chỉ là lỗi kỹ thuật đơn lẻ.

Theo chia sẻ của chuyên gia bảo mật Taylor Monahan trên X (trước đây là Twitter) ngày 24 (giờ địa phương), các đặc vụ Triều Tiên bị nghi đã thâm nhập và hoạt động bên trong hơn 40 nền tảng *từ DeFi* khác nhau. Bà cho rằng vụ tấn công nhắm vào giao thức Drift Protocol trong tuần này không phải sự cố độc lập, mà là một mắt xích trong mạng lưới xâm nhập được chuẩn bị từ lâu.

Theo phân tích của Monahan, chiến dịch này có liên quan đến Lazarus Group, nhóm tin tặc khét tiếng được cho là nhận tài trợ từ chính quyền Triều Tiên. Lazarus từng bị cáo buộc đứng sau nhiều vụ đánh cắp tiền mã hóa quy mô lớn trong quá khứ, với thiệt hại lên tới hàng tỷ USD trên toàn cầu.

Thông tin mới cho thấy đây có thể không chỉ là các vụ “đột kích” từ bên ngoài, mà là một chiến lược *từ xâm nhập cấu trúc* vào nội bộ dự án. Thay vì chỉ khai thác lỗ hổng hợp đồng thông minh, các tác nhân tấn công có khả năng đã tìm cách chen chân vào đội ngũ phát triển hoặc vận hành, từ đó tiếp cận trực tiếp với quyền quản trị, hệ thống nội bộ, hoặc công cụ triển khai hợp đồng. Điều này khiến rủi ro tăng lên một cấp độ hoàn toàn khác, bởi khi quyền truy cập nội bộ bị lợi dụng, nhiều lớp phòng thủ truyền thống gần như trở nên vô hiệu.

Theo nghiên cứu của NCC Group công bố gần đây, các tác nhân đe dọa có trụ sở tại Triều Tiên đã liên tục nhắm tới ngành công nghiệp tiền mã hóa trong hơn một thập kỷ, với những mô thức tấn công lặp lại theo chu kỳ. Nhóm nghiên cứu ghi nhận, các chiến dịch thường có đặc điểm: thu thập thông tin kéo dài, nhắm mục tiêu cụ thể, sau đó là giai đoạn xâm nhập, cài cắm, rồi chờ thời điểm thị trường thuận lợi để tung đòn đánh. *bình luận: Việc kéo dài thời gian chuẩn bị giúp tin tặc vừa hiểu rõ quy trình nội bộ của dự án, vừa giảm khả năng bị phát hiện ngay sau khi xâm nhập.*

Trong bối cảnh đó, các giao thức *từ DeFi* bị đánh giá là mục tiêu “màu mỡ” vì nhiều lý do. Một mặt, mô hình tài chính phi tập trung ưu tiên tốc độ mở rộng và khả năng tương thích, thường triển khai nhanh các tính năng mới, hợp tác đa chuỗi, tích hợp ví và cầu nối. Mặt khác, nhiều đội ngũ lại phụ thuộc nặng nề vào mã nguồn mở, nhân sự phân tán trên nhiều quốc gia, quy trình kiểm soát nội bộ thiếu chặt chẽ. Kết hợp với áp lực “ra mắt sản phẩm trước đối thủ”, môi trường này dễ phát sinh lỗ hổng – không chỉ trong mã, mà cả trong quản trị, phân quyền và kiểm soát truy cập.

Hệ quả là, vụ việc liên quan Drift Protocol làm dấy lên câu hỏi căn bản về năng lực “bảo mật vận hành” trong toàn bộ hệ sinh thái *từ DeFi*. Nếu kịch bản xấu nhất là đúng – nghĩa là đã có những cá nhân hoặc đối tác bị cài cắm ngay trong đội ngũ các dự án chủ chốt – thì việc phát hiện và cô lập rủi ro sẽ phức tạp hơn nhiều so với một vụ khai thác lỗ hổng hợp đồng thông minh thông thường. Nhiều chuyên gia cảnh báo, rất khó loại trừ khả năng còn nhiều giao thức khác đã bị xâm nhập nhưng chưa bộc lộ dấu hiệu ra bên ngoài.

Trên thị trường, làn sóng kêu gọi siết chặt bảo mật *từ DeFi* đang lan rộng. Thay vì chỉ tập trung audit hợp đồng thông minh, các ý kiến nhấn mạnh nhu cầu rà soát lại toàn diện quy trình nhân sự, phân quyền quản trị, cơ chế đa chữ ký, kiểm soát truy cập hệ thống và quy trình phê duyệt thay đổi mã nguồn. Một số chuyên gia đề xuất các dự án nên áp dụng tiêu chuẩn bảo mật tương đương tổ chức tài chính truyền thống, bao gồm kiểm tra lý lịch kỹ lưỡng đối với vị trí nhạy cảm, giám sát hoạt động nội bộ và quy trình ứng phó sự cố được chuẩn hóa. *bình luận: Nếu không có lớp “an ninh con người” và quản trị nội bộ, mọi giải pháp kỹ thuật đều chỉ mang tính chữa cháy tạm thời.*

Những nghi vấn về chiến dịch xâm nhập kéo dài nhiều năm đang phơi bày rõ hơn rủi ro mang tính cấu trúc của ngành *từ DeFi*: mô hình mở, phi tập trung, thiếu chuẩn mực bảo mật thống nhất, nhưng lại quản lý lượng tài sản khổng lồ. Diễn biến này được dự đoán sẽ tác động mạnh đến bàn thảo về khung pháp lý, thúc đẩy các cơ quan quản lý xem xét áp dụng yêu cầu cao hơn về bảo mật, báo cáo rủi ro và trách nhiệm pháp lý đối với dự án *từ DeFi*. Trong thời gian tới, ngành có thể phải bước vào giai đoạn “thắt chặt kỷ luật” nếu muốn duy trì niềm tin của nhà đầu tư trước các chiến dịch tấn công ngày càng tinh vi và có tổ chức.