Tôi nhận được tin nhắn từ một người bạn trong cộng đồng vào tối thứ Sáu: “Vy ơi, có game trên Steam đánh cắp toàn bộ ví crypto. FBI đã bắt người rồi.” Tôi đọc lướt qua bản tin, cảm thấy một nỗi buồn quen thuộc – không phải vì con số 220.000 USD quá lớn, mà vì nó đại diện cho một kiểu mất mát mà tôi đã thấy quá nhiều: sự tin tưởng bị lợi dụng.
Trong 10 năm theo đuổi blockchain, tôi từng chứng kiến các dự án ICO huy động hàng triệu rồi biến mất trong im lặng (như EquiChain năm 2017 – bài học nhớ đời của tôi), từng thấy DeFi Summer khiến bao người mê mẩn với APY 40% rồi vỡ mộng, và giờ đây là một kịch bản khác: một nền tảng game hợp pháp – Steam – trở thành công cụ phát tán malware. Điều này không chỉ là một vụ trộm, nó là hồi chuông cảnh tỉnh về giới hạn của sự phi tập trung khi chúng ta vẫn phải dựa vào các cổng tập trung.
Hãy để tôi kể cho bạn nghe câu chuyện này, vì nó chứa đựng những bài học mà tôi cho rằng mỗi người dùng crypto cần phải hiểu.
Hook: Chiếc game vô hại và cái bẫy tinh vi
Tháng 3 năm 2025, một game có tên PirateFi (và ít nhất 7 game giả mạo khác) xuất hiện trên Steam – nền tảng phân phối game lớn nhất thế giới. Game có vẻ ngoài bình thường: đồ họa đơn giản, mô tả hấp dẫn về “kho báu số”, và được quảng bá rầm rộ trên Discord, Telegram, X, thậm chí LinkedIn. Người chơi được mời tải về, cài đặt, và kết nối ví crypto để nhận “phần thưởng”.
Chỉ sau vài ngày, khoảng 80 ví đã bị rút sạch, thiệt hại 220.000 USD. FBI vào cuộc, và nhanh chóng bắt giữ Zyaire Wilkins, 21 tuổi, với cáo buộc “tài trợ và mua phần mềm độc hại, đồng thời hỗ trợ tiếp thị”.
Điều gì khiến vụ này khác biệt? Không phải kỹ thuật quá cao siêu, mà là cách kẻ tấn công lợi dụng lòng tin vào Steam. Anh ta biết rằng người dùng tin tưởng Steam như một “cánh cổng an toàn” – nếu game được duyệt, nó phải an toàn. Sai lầm chết người.
Context: Lỗ hổng trong quy trình kiểm duyệt
Valve, công ty sở hữu Steam, có chính sách kiểm duyệt game trước khi phát hành. Tuy nhiên, tài liệu của họ tiết lộ một điểm yếu: “Quá trình kiểm tra tập trung vào bản build đầu tiên. Sau khi game được phê duyệt, các bản cập nhật có thể được đẩy lên mà không cần kiểm tra lại.”
Đó chính là lỗ hổng. Kẻ tấn công tải lên một game vô hại, vượt qua kiểm duyệt, sau đó âm thầm cập nhật thêm mã độc Vidar – một loại infostealer chuyên đánh cắp thông tin đăng nhập, cookie, và đặc biệt là file ví crypto. Như vậy, người dùng tải game “sạch” nhưng bản cập nhật sau đó biến nó thành công cụ trộm cắp.
Hãy tưởng tượng: bạn mở cửa đón một vị khách trông có vẻ lịch sự, nhưng sau khi vào nhà, anh ta thay đổi diện mạo và lấy trộm đồ. Steam đã không kiểm tra lại “diện mạo mới” của vị khách đó.
Core: Giải phẫu cuộc tấn công – Từ bot đến bánh mì kẹp
Tôi muốn đi sâu vào kỹ thuật, bởi vì hiểu được cách thức tấn công mới thấy sự tinh vi của nó.
Bước 1 – Nhắm mục tiêu: Kẻ tấn công dùng bot quét các kênh Discord, Telegram để xác định người dùng có số dư ví cao, hoặc những ai thường xuyên thảo luận về crypto. Bot gửi tin nhắn riêng mời chơi game, hứa hẹn airdrop, hoặc phần thưởng trong game. Đây là kỹ thuật social engineering cổ điển, nhưng được tự động hóa và nhắm đúng đối tượng.
Bước 2 – Lây nhiễm: Người dùng tải game từ Steam – nguồn “chính thống”. Họ cài đặt, game chạy bình thường. Nhưng ngay sau khi kết nối ví, mã Vidar bắt đầu hoạt động: nó quét ổ cứng tìm file wallet.dat, lưu mật khẩu từ trình duyệt, và gửi toàn bộ về server của hacker.
Bước 3 – Rút tiền: Với thông tin ví, hacker có thể chuyển toàn bộ tài sản. Nhưng điều thú vị là nhóm tấn công còn bàn luận về cách lừa nạn nhân “phê duyệt giao dịch” – có thể họ đã tạo các giao dịch giả mạo trong game để người dùng vô tình approve token.
Bước 4 – Rửa tiền: Số Bitcoin thu được được gửi đến Bitrefill – một dịch vụ cho phép đổi crypto lấy thẻ quà tặng. Hacker mua thẻ Uber Eats, sau đó đặt đồ ăn giao đến địa chỉ của mình. Và đó là sai lầm lớn nhất.
FBI, với sự phối hợp của Uber và Bitrefill, đã theo dõi dòng tiền: Bitcoin → Bitrefill → thẻ Uber Eats → tài khoản Uber → địa chỉ giao hàng. Chỉ trong vài ngày, họ xác định được nghi phạm. Zyaire Wilkins, 21 tuổi, bị bắt tại nhà riêng.
Contrarian: Blockchain không ẩn danh – nó là bằng chứng hoàn hảo
Nhiều người trong cộng đồng crypto vẫn nghĩ rằng blockchain là “vô danh”, rằng chỉ cần dùng coin mixer hay chuyển qua nhiều địa chỉ là không thể bị truy vết. Vụ này cho thấy điều ngược lại: blockchain là cuốn sổ cái công khai, bất biến, lưu giữ mọi giao dịch mãi mãi. FBI không cần phá mã, chỉ cần theo dòng tiền trên chain, kết hợp với dữ liệu từ các dịch vụ tập trung (Bitrefill, Uber) để xác định danh tính.
Thực tế, blockchain minh bạch hơn bất kỳ hệ thống tài chính truyền thống nào. Khi bạn dùng tiền mặt, không ai biết bạn mua gì. Khi bạn dùng Bitcoin, mọi giao dịch đều được ghi lại. Nếu bạn cố tình rửa tiền qua các sàn giao dịch có KYC, bạn tự dâng mình cho cơ quan điều tra.
Tôi từng nghe nhiều người nói: “Crypto là thiên đường cho tội phạm”. Nhưng thực tế, chính blockchain đã giúp FBI bắt tội phạm nhanh hơn. Nếu vụ trộm xảy ra bằng tiền mặt, không có dấu vết. Nhưng với crypto, mỗi satoshi đều có lịch sử.
Takeaway: Tự bảo vệ mình trong thế giới lai ghép
Vụ việc này dạy tôi 3 bài học quan trọng, và tôi muốn chia sẻ với bạn:
- Đừng tin tưởng tuyệt đối vào bất kỳ nền tảng tập trung nào. Steam là “nhà” của game thủ, nhưng “nhà” cũng có thể bị kẻ xấu lẻn vào. Hãy dùng ví cứng (hardware wallet) cho các giao dịch quan trọng, và không bao giờ kết nối ví với các ứng dụng không rõ nguồn gốc, dù nó có trên Steam hay App Store.
- Social engineering là kẻ thù nguy hiểm nhất. Kẻ tấn công không cần biết code phức tạp; chúng cần hiểu tâm lý con người. Lời mời “chơi game kiếm tiền” luôn hấp dẫn, nhất là trong thị trường giảm. Hãy đặt câu hỏi: “Tại sao họ lại cho tôi thứ này miễn phí?” Nếu câu trả lời không thuyết phục, đừng làm.
- Blockchain không ẩn danh, nhưng bạn có thể bảo vệ quyền riêng tư. Sử dụng zk-proof, coin mixer, hoặc các giao thức bảo mật là quyền của bạn. Nhưng đừng nghĩ rằng chỉ cần xáo trộn vài đồng là an toàn. FBI có thể truy vết nếu bạn rời khỏi hệ sinh thái chain và bước vào thế giới tập trung (như đổi ra thẻ quà).
Tôi kết thúc bài viết này bằng một câu hỏi: Liệu chúng ta có đang quá dễ dãi với sự tiện lợi? Chấp nhận kết nối ví với mọi ứng dụng hứa hẹn airdrop, tin rằng “nền tảng lớn sẽ bảo vệ mình”? Vụ PirateFi là lời nhắc nhở: phi tập trung không chỉ là công nghệ, mà còn là tư duy. Hãy tự chịu trách nhiệm về tài sản của bạn. Đừng để một game trên Steam – hay bất kỳ “cánh cổng” nào – trở thành nơi chấm dứt hành trình crypto của bạn.