Trong an ninh mạng, chờ đến khi mọi tranh cãi về thủ phạm được khép lại đôi khi là quá muộn. Đó là điểm mấu chốt để hiểu vì sao Ripple và một số bên trong ngành tiền mã hóa vẫn chia sẻ thông tin về các chiến dịch hack được đánh giá có liên hệ với Triều Tiên, dù Bình Nhưỡng phủ nhận cáo buộc.

Theo các bản tin, Ripple đã bắt đầu đưa dữ liệu tình báo đe dọa nội bộ vào Crypto ISAC — một tổ chức chia sẻ và phân tích thông tin an ninh dành cho ngành crypto — để các doanh nghiệp khác cùng sử dụng ^[2][7]. Những dữ liệu được nhắc đến không phải khẩu hiệu chính trị, mà là các tín hiệu kỹ thuật có thể hành động ngay: tên miền liên quan gian lận, địa chỉ ví và chỉ dấu xâm nhập, thường được gọi là IOC trong giới an ninh mạng ^[2].

Vấn đề không chỉ là “ai đúng, ai sai”, mà là tín hiệu nào có thể chặn được

Triều Tiên đã phủ nhận các cáo buộc liên quan đến tấn công mạng và đánh cắp tiền mã hóa, gọi đó là thông tin sai lệch hoặc sự bôi nhọ có động cơ chính trị, theo nhiều bản tin ^[19][20]. Đây là bối cảnh ngoại giao cần được ghi nhận.

Nhưng ở chiều ngược lại, các cơ quan và nhà lập pháp Mỹ, cùng các đồng minh, tiếp tục đánh giá rằng những nhóm có liên hệ với Triều Tiên — trong đó nổi bật là Lazarus Group — có liên quan đến nhiều vụ trộm tài sản số lớn ^[17][25]. Chẳng hạn, trong thư gửi Bộ Tài chính và Bộ Tư pháp Mỹ, các thượng nghị sĩ Mỹ nói nhóm Lazarus, được họ mô tả là tổ chức hacker được chính phủ Triều Tiên hậu thuẫn, đã đánh cắp khoảng 1,5 tỷ USD tài sản số từ Bybit vào tháng 2/2025 ^[17].

Một tuyên bố chung của Hàn Quốc, Mỹ và Nhật Bản cũng nêu rằng các hacker có liên hệ với Triều Tiên đã bị quy trách nhiệm trong các vụ đánh cắp ít nhất 659,1 triệu USD tiền mã hóa trong năm 2024 ^[25].

Vì vậy, với các công ty crypto, câu hỏi thực tế hơn là: nếu cùng một ví, cùng một tên miền, cùng một tài khoản giả hoặc cùng một cách tiếp cận nhân sự đang xuất hiện ở nhiều nơi, liệu ngành có nên chờ kết luận pháp lý cuối cùng rồi mới cảnh báo nhau không?

Ripple đang chia sẻ những gì qua Crypto ISAC?

Crypto ISAC được mô tả là một tổ chức tập trung vào chia sẻ thông tin an ninh cho ngành tiền mã hóa ^[2][7]. Thông qua tổ chức này, Ripple cung cấp dữ liệu tình báo đe dọa nội bộ liên quan đến các hoạt động hack được đánh giá có liên hệ với Triều Tiên ^[2].

Các mục được công bố gồm tên miền liên quan gian lận, địa chỉ ví và chỉ dấu xâm nhập ^[2]. Một số bản tin cũng nhắc tới dữ liệu nhận diện như hồ sơ nghi vấn của kẻ tấn công hoặc nhân sự IT bị đánh giá có liên hệ với Triều Tiên, tài khoản LinkedIn, địa chỉ email và thông tin liên hệ ^[3][6].

Những chi tiết này có giá trị vì kẻ tấn công hiếm khi chỉ thử một cửa. Một tên miền lừa đảo bị phát hiện ở công ty này có thể quay lại trong chiến dịch nhắm vào công ty khác. Một ví tiền từng nhận tài sản bị đánh cắp có thể giúp đội tuân thủ và an ninh theo dõi luồng tiền đáng ngờ. Một hồ sơ LinkedIn giả dùng để tiếp cận nhân viên dự án A có thể được tái sử dụng để làm quen với nhân sự dự án B.

Nói ngắn gọn, chia sẻ qua Crypto ISAC biến “manh mối riêng lẻ” thành hệ thống cảnh báo sớm cho cả ngành ^[2][7].

Vì sao động thái này trở nên cấp bách hơn?

Các báo cáo gần đây cùng chỉ ra một thay đổi đáng chú ý: tấn công crypto không còn chỉ xoay quanh lỗi smart contract hay lỗ hổng kỹ thuật. CoinMarketCap mô tả xu hướng kẻ tấn công chuyển từ khai thác kỹ thuật sang các chiến dịch xã hội học nhằm vào nhân sự tại công ty crypto ^[2]. crypto.news cũng dẫn nhận định của các đội an ninh rằng các cuộc tấn công kiểu xâm nhập lâu dài đang tăng lên: kẻ tấn công xây dựng lòng tin, giành quyền truy cập, rồi mới chuyển tài sản ^[10].

Trường hợp Drift Protocol thường được nêu như ví dụ của kiểu rủi ro này. Một bản tin trên Binance Square cho biết vụ việc liên quan Drift trị giá 285 triệu USD không được mô tả là do lỗi smart contract, mà là kết quả của khoảng sáu tháng xâm nhập bằng xã hội học, cài mã độc và đánh cắp khóa riêng sau khi xây dựng lòng tin ^[6].

Nếu mô tả đó chính xác, bài học khá rõ: kiểm toán mã nguồn là cần thiết, nhưng không đủ. Khi kẻ tấn công nhắm vào con người — nhà phát triển, cộng tác viên, nhân viên vận hành, đối tác — thì phòng thủ cũng phải mở rộng sang xác minh danh tính, giám sát truy cập, phát hiện liên hệ đáng ngờ và chia sẻ dấu hiệu rủi ro giữa các tổ chức.

Bốn lý do thực dụng khiến ngành phải chia sẻ dữ liệu

Thứ nhất, chỉ dấu xâm nhập giúp phát hiện nhanh hơn. Nếu một tên miền, địa chỉ ví hoặc mẫu hành vi đã được gắn cờ, các công ty tham gia có thể đưa chúng vào quy trình giám sát, chặn hoặc điều tra sớm hơn ^[2].

Thứ hai, tấn công xã hội học thường vượt qua ranh giới công ty. Một hồ sơ giả, email, tài khoản nền tảng hoặc ví tiền có thể được dùng ở nhiều mục tiêu khác nhau. Phát hiện của một doanh nghiệp vì thế có thể trở thành cảnh báo phòng ngừa cho doanh nghiệp khác ^[3][6].

Thứ ba, quy trách nhiệm mất thời gian, còn phòng thủ thì không thể chờ. Triều Tiên phủ nhận các cáo buộc ^[19][20], nhưng Mỹ và các đồng minh vẫn liên hệ Lazarus cùng những tác nhân được cho là có liên quan Triều Tiên với nhiều vụ việc lớn ^[17][25]. Trong môi trường vận hành 24/7 của crypto, các công ty thường phải xử lý tín hiệu rủi ro trước khi có kết luận ngoại giao hoặc pháp lý cuối cùng.

Thứ tư, rủi ro crypto có tính dây chuyền. Sàn giao dịch, ví, giao thức DeFi, cầu nối blockchain và nhà cung cấp hạ tầng phụ thuộc lẫn nhau. Một điểm yếu ở một mắt xích có thể tạo rủi ro cho nhiều bên khác. Vì vậy, việc Ripple chia sẻ dữ liệu nên được nhìn như một biện pháp mở rộng “mặt trận phòng thủ” chung hơn là một động thái truyền thông đơn lẻ của một công ty ^[1][7].

Cần phân biệt “được đánh giá có liên hệ” với “trách nhiệm pháp lý cuối cùng”

Điểm dễ gây nhầm lẫn nằm ở cách gọi. Khi nói “đe dọa có liên hệ với Triều Tiên”, điều đó không đồng nghĩa mọi vụ việc đều đã có cùng mức chứng cứ hoặc đã được tòa án kết luận. Triều Tiên tiếp tục bác bỏ các cáo buộc, gọi chúng là sai lệch và có động cơ chính trị ^[19][20].

Tuy nhiên, trong thực hành an ninh mạng, cảnh báo rủi ro không vận hành giống một bản án. Nó giống hệ thống báo cháy hơn: nếu một mẫu tấn công, ví tiền, tên miền hoặc hồ sơ giả đã lặp lại trong nhiều vụ việc, các đội an ninh cần biết để kiểm tra và giảm thiểu thiệt hại.

Vì thế, lý do Ripple chia sẻ thông tin không nằm ở việc phớt lờ lời phủ nhận của Triều Tiên. Lý do là ngành crypto đang đối mặt với kiểu tấn công ngày càng dựa vào con người, lòng tin và quyền truy cập nội bộ. Khi mối nguy có thể xuất hiện lại ở nhiều nơi, biết sớm hơn vài giờ hoặc vài ngày có thể tạo khác biệt lớn giữa một cảnh báo được chặn kịp và một vụ mất tài sản hàng trăm triệu USD ^[2][10].