Cuộc Tấn Công: Chỉ Một Email, Một Chiếc Laptop Bị Xâm Nhập

Điểm vào cuộc tấn công hết sức đơn giản. Vào ngày 5/6, giám đốc Chong Yee Wai nhận được một email trông như đến từ Bithumb, thảo luận về lịch trình khóa nguồn cung lưu hành. Email có đính kèm một tệp ZIP độc hại .

Khi tệp đính kèm được mở, nó đã cài đặt phần mềm độc hại — cụ thể là một tệp có tên hncagent.exe — được ký bằng chứng thư số hợp pháp của Hàn Quốc từ Hancom. Quantstamp ghi nhận rằng mô hình ký chứng thư số này là một dấu hiệu nhận biết các chiến dịch của tin tặc Triều Tiên .

Sau khi cài đặt, phần mềm độc hại cho phép tin tặc toàn quyền truy cập từ xa vào laptop của giám đốc. Từ một máy tính duy nhất đó, chúng đã đánh cắp bảy private key: ba trong số sáu chìa khóa chủ sở hữu của Gnosis Safe (ví đa chữ ký) kiểm soát cầu nối Ethereum, cùng các khóa bổ sung cho phép nâng cấp hợp đồng .

Cách Thức Khai Thác Diễn Ra Trên Hai Blockchain

Với quyền kiểm soát các khóa quản trị cầu nối, tin tặc đã thực hiện các cuộc tấn công song song trên Ethereum và BNB Smart Chain trong một khung thời gian phối hợp:

Trên Ethereum:

• Tin tặc nâng cấp hợp đồng cầu nối token H lên một phiên bản độc hại do chúng kiểm soát .
• Sau đó, chúng rút khoảng 141 triệu token H từ cầu nối trong một giao dịch duy nhất .
• Phần lớn token bị đánh cắp được đổi hoặc chuyển qua cầu nối sang các tài sản khác và chuyển đến các ví bên ngoài, khiến việc thu hồi trở nên cực kỳ khó khăn .

Trên BNB Smart Chain:

• Tin tặc đã kiểm soát hợp đồng ProxyAdmin .
• Sử dụng quyền truy cập này, chúng đúc thêm token H trực tiếp, tạo ra nguồn cung mới từ hư không .
• Số token mới đúc và bị đánh cắp sau đó được bán một cách có hệ thống trên Uniswap và PancakeSwap trong khoảng tám giờ, khiến giá token lao dốc .

Điều quan trọng là cuộc tấn công không khai thác lỗi trong bất kỳ hợp đồng thông minh nào. Đây là một vụ xâm phạm thuần túy do lộ khóa, bắt nguồn từ một chiến dịch lừa đảo nhắm vào con người. Humanity Protocol sau đó đã xác nhận điểm này một cách rõ ràng, nói rằng không có hợp đồng thông minh nào bị khai thác .

Phát Hiện Pháp Y Của Quantstamp Và Mối Liên Hệ Với Triều Tiên

Humanity Protocol đã thuê Quantstamp vào ngày 9/6, một ngày sau vụ vi phạm. Công ty bảo mật đã công bố báo cáo điều tra sơ bộ vào ngày 11/6, và dự án đã công khai quy kết vụ trộm cho tin tặc liên quan đến Triều Tiên vào ngày 12/6, sau đó công bố đầy đủ các phát hiện của Quantstamp vào ngày 14/6 .

Các chỉ số pháp y chính khiến Quantstamp hướng tới các tác nhân đe dọa liên quan đến CHDCND Triều Tiên (DPRK) bao gồm:

• Công cụ và hành vi của phần mềm độc hại: Việc sử dụng hncagent.exe như một bộ tải ở giai đoạn đầu, cùng với các mô hình truy cập từ xa được quan sát, khớp với các bộ xâm nhập đã biết của Triều Tiên .
• Lạm dụng chứng thư số: Phần mềm độc hại được ký bằng chứng thư số hợp pháp của Hàn Quốc từ Hancom, một chiến thuật mà Quantstamp xác định là đặc trưng của các chiến dịch liên quan đến Triều Tiên trước đây .
• Phương thức tác chiến: Cách tiếp cận nhiều giai đoạn, từ lừa đảo đến đánh cắp khóa rồi rút tiền xuyên chuỗi, phản ánh sách lược thiên về kỹ thuật xã hội mà nhóm Lazarus và các chi nhánh của nó đã sử dụng từ lâu và đã đánh cắp hơn 3 tỷ USD tiền điện tử thông qua các phương pháp tương tự .

Báo cáo cũng làm rõ rủi ro đang diễn ra: trong khi hợp đồng token H trên Ethereum đã bị đóng băng bởi một ví đa chữ ký không bị xâm phạm, thì việc triển khai trên BNB Smart Chain vẫn vĩnh viễn nằm trong tay kẻ tấn công, với khả năng tiếp tục đúc tiền .

Cú Sập Của Token H Và Màn Phục Hồi 210%

Cú Sập

Ngay sau vụ khai thác ngày 8/6, giá token H giảm mạnh. Từ mức cao nhất mọi thời đại là 0,844 USD vào ngày 2/6, token đã giảm khoảng 74%, chạm đáy trong khoảng 0,05 USD đến 0,13 USD trong làn sóng bán tháo hoảng loạn .

Các Đợt Phục Hồi

Một loạt các đợt phục hồi nhẹ nhõm đã diễn ra:

• Ngày 12/6: H tăng khoảng 44% trong một ngày, giao dịch trở lại quanh mức 0,227 USD. Sự bật tăng này được thúc đẩy bởi thông báo giảm thiểu thiệt hại của Humanity Protocol và việc hợp đồng Ethereum bị đóng băng .
• Ngày 14/6: Một đợt tăng 42% khác trong một ngày đã đẩy token lên mức cao nhất là 0,6276 USD, tương đương mức tăng khoảng 210% so với mức thấp sau vụ khai thác .

Tại Sao Đợt Phục Hồi Này Lại Rủi Ro

Sự phục hồi ngoạn mục này không dựa trên các yếu tố nền tảng được khôi phục. Dữ liệu từ CoinMarketCap cho thấy đợt tăng giá ngày 14/6 đi kèm với mức tăng 131% Lãi suất mở (Open Interest) lên 213 triệu USD, cho thấy một làn sóng lớn các vị thế đầu cơ sử dụng đòn bẩy đổ vào thị trường . Phân tích của CoinMarketCap đã chỉ ra rõ ràng rằng sự tích lũy đòn bẩy này tiềm ẩn rủi ro biến động cao, cảnh báo rằng bất kỳ sự đảo chiều đột ngột nào cũng có thể gây ra các đợt thanh lý hàng loạt .

Đến ngày 15/6, token đã giảm trở lại mức khoảng 0,23-0,30 USD, xác nhận sự mong manh của đợt phục hồi đầu cơ .

Hàm Ý Rộng Hơn Cho Bảo Mật Web3

Vụ vi phạm Humanity Protocol không phải là một sự cố cá biệt — nó là một minh họa kinh điển cho các lỗ hổng cấu trúc tồn tại trong toàn bộ Web3, ngay cả ở các dự án được thiết kế rõ ràng xoay quanh tính phi tập trung.

1. Huyền thoại về phi tập trung thông qua đa chữ ký. Humanity đã sử dụng Gnosis Safe 3/6 để kiểm soát cầu nối. Tuy nhiên, ba trong số sáu khóa đó được lưu trữ trên một máy tính xách tay của một nhân viên duy nhất. Vụ việc cho thấy một sơ đồ đa chữ ký chỉ an toàn khi các khóa được phân phối và bảo quản vật lý một cách an toàn — một thực tế mà nhiều dự án vẫn đang bỏ qua .

2. Tấn công của Triều Tiên hiện là một mối đe dọa có thể dự đoán và lặp đi lặp lại. Các đơn vị tấn công mạng của Triều Tiên, bao gồm cả nhóm Lazarus, đã hoàn thiện một sách lược có thể lặp lại: xác định một dự án tiền điện tử, xâm nhập một nhà phát triển hoặc giám đốc điều hành thông qua kỹ thuật xã hội, đánh cắp private key và rút tiền qua các chuỗi. Humanity Protocol là mục tiêu mới nhất trong một danh sách dài và đang ngày càng tăng .

3. Cầu nối xuyên chuỗi vẫn là điểm nghẽn quan trọng. Về mặt thiết kế, các cầu nối nắm giữ các nhóm tài sản thanh khoản lớn được kiểm soát bởi một số ít khóa quản trị. Điều này khiến chúng trở thành mục tiêu không thể cưỡng lại. Việc khai thác đồng thời các cầu nối Ethereum và BSC trong cuộc tấn công này củng cố lý do tại sao bảo mật cầu nối — không chỉ kiểm toán hợp đồng thông minh mà còn quản lý khóa và kiểm soát truy cập — nên là ưu tiên hàng đầu cho bất kỳ dự án xuyên chuỗi nào .

4. Các đợt phục hồi sau khai thác có thể là bẫy. Mức tăng 210% của token H đã thu hút các nhà giao dịch săn lùng sự phục hồi nhanh chóng, nhưng dữ liệu đòn bẩy cho thấy một giao dịch đông đúc và không ổn định. Khi một token phục hồi dựa trên đầu cơ thay vì một giải pháp đáng tin cậy — đặc biệt là khi một chuỗi vẫn bị xâm phạm vĩnh viễn — nguy cơ sụp đổ lần thứ hai là không hề viển vông .

5. Áp lực quản lý sẽ gia tăng. Khi một tác nhân nhà nước như Triều Tiên bị liên quan đến một vụ trộm tiền điện tử, các cơ quan quản lý sẽ chú ý. Dự kiến sẽ có sự giám sát chặt chẽ hơn đối với tuân thủ KYC/AML, các tiêu chuẩn quản lý khóa lưu ký và kiểm toán bảo mật bắt buộc — đặc biệt là đối với các giao thức vận hành cầu nối xuyên chuỗi nắm giữ tiền của người dùng .

Cuộc Tấn Công: Chỉ Một Email, Một Chiếc Laptop Bị Xâm Nhập

Điểm vào cuộc tấn công hết sức đơn giản. Vào ngày 5/6, giám đốc Chong Yee Wai nhận được một email trông như đến từ Bithumb, thảo luận về lịch trình khóa nguồn cung lưu hành. Email có đính kèm một tệp ZIP độc hại .

Khi tệp đính kèm được mở, nó đã cài đặt phần mềm độc hại — cụ thể là một tệp có tên hncagent.exe — được ký bằng chứng thư số hợp pháp của Hàn Quốc từ Hancom. Quantstamp ghi nhận rằng mô hình ký chứng thư số này là một dấu hiệu nhận biết các chiến dịch của tin tặc Triều Tiên .

Sau khi cài đặt, phần mềm độc hại cho phép tin tặc toàn quyền truy cập từ xa vào laptop của giám đốc. Từ một máy tính duy nhất đó, chúng đã đánh cắp bảy private key: ba trong số sáu chìa khóa chủ sở hữu của Gnosis Safe (ví đa chữ ký) kiểm soát cầu nối Ethereum, cùng các khóa bổ sung cho phép nâng cấp hợp đồng .

Cách Thức Khai Thác Diễn Ra Trên Hai Blockchain

Với quyền kiểm soát các khóa quản trị cầu nối, tin tặc đã thực hiện các cuộc tấn công song song trên Ethereum và BNB Smart Chain trong một khung thời gian phối hợp:

Trên Ethereum:

• Tin tặc nâng cấp hợp đồng cầu nối token H lên một phiên bản độc hại do chúng kiểm soát .
• Sau đó, chúng rút khoảng 141 triệu token H từ cầu nối trong một giao dịch duy nhất .
• Phần lớn token bị đánh cắp được đổi hoặc chuyển qua cầu nối sang các tài sản khác và chuyển đến các ví bên ngoài, khiến việc thu hồi trở nên cực kỳ khó khăn .

Trên BNB Smart Chain:

• Tin tặc đã kiểm soát hợp đồng ProxyAdmin .
• Sử dụng quyền truy cập này, chúng đúc thêm token H trực tiếp, tạo ra nguồn cung mới từ hư không .
• Số token mới đúc và bị đánh cắp sau đó được bán một cách có hệ thống trên Uniswap và PancakeSwap trong khoảng tám giờ, khiến giá token lao dốc .

Điều quan trọng là cuộc tấn công không khai thác lỗi trong bất kỳ hợp đồng thông minh nào. Đây là một vụ xâm phạm thuần túy do lộ khóa, bắt nguồn từ một chiến dịch lừa đảo nhắm vào con người. Humanity Protocol sau đó đã xác nhận điểm này một cách rõ ràng, nói rằng không có hợp đồng thông minh nào bị khai thác .

Phát Hiện Pháp Y Của Quantstamp Và Mối Liên Hệ Với Triều Tiên

Humanity Protocol đã thuê Quantstamp vào ngày 9/6, một ngày sau vụ vi phạm. Công ty bảo mật đã công bố báo cáo điều tra sơ bộ vào ngày 11/6, và dự án đã công khai quy kết vụ trộm cho tin tặc liên quan đến Triều Tiên vào ngày 12/6, sau đó công bố đầy đủ các phát hiện của Quantstamp vào ngày 14/6 .

Các chỉ số pháp y chính khiến Quantstamp hướng tới các tác nhân đe dọa liên quan đến CHDCND Triều Tiên (DPRK) bao gồm:

• Công cụ và hành vi của phần mềm độc hại: Việc sử dụng hncagent.exe như một bộ tải ở giai đoạn đầu, cùng với các mô hình truy cập từ xa được quan sát, khớp với các bộ xâm nhập đã biết của Triều Tiên .
• Lạm dụng chứng thư số: Phần mềm độc hại được ký bằng chứng thư số hợp pháp của Hàn Quốc từ Hancom, một chiến thuật mà Quantstamp xác định là đặc trưng của các chiến dịch liên quan đến Triều Tiên trước đây .
• Phương thức tác chiến: Cách tiếp cận nhiều giai đoạn, từ lừa đảo đến đánh cắp khóa rồi rút tiền xuyên chuỗi, phản ánh sách lược thiên về kỹ thuật xã hội mà nhóm Lazarus và các chi nhánh của nó đã sử dụng từ lâu và đã đánh cắp hơn 3 tỷ USD tiền điện tử thông qua các phương pháp tương tự .

Báo cáo cũng làm rõ rủi ro đang diễn ra: trong khi hợp đồng token H trên Ethereum đã bị đóng băng bởi một ví đa chữ ký không bị xâm phạm, thì việc triển khai trên BNB Smart Chain vẫn vĩnh viễn nằm trong tay kẻ tấn công, với khả năng tiếp tục đúc tiền .

Cú Sập Của Token H Và Màn Phục Hồi 210%

Cú Sập

Ngay sau vụ khai thác ngày 8/6, giá token H giảm mạnh. Từ mức cao nhất mọi thời đại là 0,844 USD vào ngày 2/6, token đã giảm khoảng 74%, chạm đáy trong khoảng 0,05 USD đến 0,13 USD trong làn sóng bán tháo hoảng loạn .

Các Đợt Phục Hồi

Một loạt các đợt phục hồi nhẹ nhõm đã diễn ra:

• Ngày 12/6: H tăng khoảng 44% trong một ngày, giao dịch trở lại quanh mức 0,227 USD. Sự bật tăng này được thúc đẩy bởi thông báo giảm thiểu thiệt hại của Humanity Protocol và việc hợp đồng Ethereum bị đóng băng .
• Ngày 14/6: Một đợt tăng 42% khác trong một ngày đã đẩy token lên mức cao nhất là 0,6276 USD, tương đương mức tăng khoảng 210% so với mức thấp sau vụ khai thác .

Tại Sao Đợt Phục Hồi Này Lại Rủi Ro

Sự phục hồi ngoạn mục này không dựa trên các yếu tố nền tảng được khôi phục. Dữ liệu từ CoinMarketCap cho thấy đợt tăng giá ngày 14/6 đi kèm với mức tăng 131% Lãi suất mở (Open Interest) lên 213 triệu USD, cho thấy một làn sóng lớn các vị thế đầu cơ sử dụng đòn bẩy đổ vào thị trường . Phân tích của CoinMarketCap đã chỉ ra rõ ràng rằng sự tích lũy đòn bẩy này tiềm ẩn rủi ro biến động cao, cảnh báo rằng bất kỳ sự đảo chiều đột ngột nào cũng có thể gây ra các đợt thanh lý hàng loạt .

Đến ngày 15/6, token đã giảm trở lại mức khoảng 0,23-0,30 USD, xác nhận sự mong manh của đợt phục hồi đầu cơ .

Hàm Ý Rộng Hơn Cho Bảo Mật Web3

Vụ vi phạm Humanity Protocol không phải là một sự cố cá biệt — nó là một minh họa kinh điển cho các lỗ hổng cấu trúc tồn tại trong toàn bộ Web3, ngay cả ở các dự án được thiết kế rõ ràng xoay quanh tính phi tập trung.

1. Huyền thoại về phi tập trung thông qua đa chữ ký. Humanity đã sử dụng Gnosis Safe 3/6 để kiểm soát cầu nối. Tuy nhiên, ba trong số sáu khóa đó được lưu trữ trên một máy tính xách tay của một nhân viên duy nhất. Vụ việc cho thấy một sơ đồ đa chữ ký chỉ an toàn khi các khóa được phân phối và bảo quản vật lý một cách an toàn — một thực tế mà nhiều dự án vẫn đang bỏ qua .

2. Tấn công của Triều Tiên hiện là một mối đe dọa có thể dự đoán và lặp đi lặp lại. Các đơn vị tấn công mạng của Triều Tiên, bao gồm cả nhóm Lazarus, đã hoàn thiện một sách lược có thể lặp lại: xác định một dự án tiền điện tử, xâm nhập một nhà phát triển hoặc giám đốc điều hành thông qua kỹ thuật xã hội, đánh cắp private key và rút tiền qua các chuỗi. Humanity Protocol là mục tiêu mới nhất trong một danh sách dài và đang ngày càng tăng .

3. Cầu nối xuyên chuỗi vẫn là điểm nghẽn quan trọng. Về mặt thiết kế, các cầu nối nắm giữ các nhóm tài sản thanh khoản lớn được kiểm soát bởi một số ít khóa quản trị. Điều này khiến chúng trở thành mục tiêu không thể cưỡng lại. Việc khai thác đồng thời các cầu nối Ethereum và BSC trong cuộc tấn công này củng cố lý do tại sao bảo mật cầu nối — không chỉ kiểm toán hợp đồng thông minh mà còn quản lý khóa và kiểm soát truy cập — nên là ưu tiên hàng đầu cho bất kỳ dự án xuyên chuỗi nào .

4. Các đợt phục hồi sau khai thác có thể là bẫy. Mức tăng 210% của token H đã thu hút các nhà giao dịch săn lùng sự phục hồi nhanh chóng, nhưng dữ liệu đòn bẩy cho thấy một giao dịch đông đúc và không ổn định. Khi một token phục hồi dựa trên đầu cơ thay vì một giải pháp đáng tin cậy — đặc biệt là khi một chuỗi vẫn bị xâm phạm vĩnh viễn — nguy cơ sụp đổ lần thứ hai là không hề viển vông .

5. Áp lực quản lý sẽ gia tăng. Khi một tác nhân nhà nước như Triều Tiên bị liên quan đến một vụ trộm tiền điện tử, các cơ quan quản lý sẽ chú ý. Dự kiến sẽ có sự giám sát chặt chẽ hơn đối với tuân thủ KYC/AML, các tiêu chuẩn quản lý khóa lưu ký và kiểm toán bảo mật bắt buộc — đặc biệt là đối với các giao thức vận hành cầu nối xuyên chuỗi nắm giữ tiền của người dùng .