Hacker dùng mã độc xem bài đối thủ để gian lận trong poker trực tuyến, chiếm đoạt hàng triệu USD

Một vụ gian lận quy mô lớn trong làng poker trực tuyến vừa bị phanh phui: kẻ tấn công cài mã độc lên máy tính của hàng trăm tay chơi cao thủ để xem trực tiếp bài của đối thủ và thắng cược. Đáng chú ý, vụ việc lần này bị phát hiện nhờ một tác nhân AI — một ứng dụng của Claude — tình cờ cảnh báo về chương trình đáng ngờ đang chạy nền.

Khi AI trở thành người phát hiện đầu tiên

Mọi chuyện bắt đầu vào một ngày tháng 9, khi Alex — một tay chơi poker trực tuyến chuyên nghiệp, xưng danh theo yêu cầu bảo mật — đang dùng tác nhân Claude của mình để rà soát các số liệu thi đấu. Sau khi cơ sở dữ liệu SQL bị lỗi và cần khởi động lại, AI bỗng phát hiện một chương trình tên MeshAgent đang chạy ẩn trong nền, có khả năng ghi lại màn hình và thậm chí điều khiển toàn bộ máy tính.

Theo báo cáo của tác nhân AI, chương trình này được cài vào ngày 24/4 và không phải do Alex tự cài. Hệ thống còn xác định được 11 mốc thời gian mà MeshAgent đã ghi lại màn hình, dựa trên các lỗi đồ họa phát sinh khi chia sẻ màn hình.

Điều trùng hợp đáng sợ: cả 11 lần đó, Alex đều đang chơi bài trên ACR (Americas Cardroom) — và cùng một đối thủ với tên đăng nhập OxOO đều có mặt ở 10 trong 11 phiên.

Tên đăng nhập này không hề xa lạ. Cộng đồng poker mức cược cao từ lâu đã nghi ngờ lối chơi dị thường của tài khoản này. Khi Alex tra cứu tỷ lệ thắng qua một trang thống kê công khai, con số này cao tới mức không tưởng về mặt thống kê so với mọi kỳ thủ giỏi nhất thế giới với cùng số ván.

Một chiến dịch nhiều năm, chuẩn bị cực kỳ kỹ lưỡng

Theo điều tra của Alex và cộng đồng, đây không phải vụ việc đơn lẻ. Hàng trăm người chơi được cho là đã trở thành mục tiêu của cùng một kẻ tấn công trong nhiều năm. Bản thân Alex "chỉ" bị thiệt hại khoảng 30.000 USD — con số tương đối khiêm tốn ở đẳng cấp của anh; nhiều người khác mất nhiều hơn thế. Tổng số tiền bị chiếm đoạt được cho là lên tới 1,5 – 4 triệu USD.

Điểm khác biệt của vụ này so với các vụ hack thông thường: kẻ tấn công không đụng đến ví tiền mã hóa của nạn nhân, dù nhiều người nắm giữ lượng tài sản kỹ thuật số đáng kể trên máy. Thay vào đó, hacker tập trung vào trinh sát nâng cao (reconnaissance), thậm chí được cho là đã thử nghiệm phương thức tấn công từ năm 2022 với kỹ thuật thô sơ hơn. Khi thời cơ chín muồi, hắn mới ra tay.

Kỹ thuật chính lần này không nhắm trực tiếp vào người chơi mà vào hai phần mềm bên thứ ba phổ biến: IntuitiveTables và Jurojin. Đây là các công cụ giúp người chơi chuyên nghiệp đánh nhiều bàn cùng lúc, chuyển bàn bằng phím tắt và thao tác nhanh hơn.

• Với Jurojin, hacker xâm nhập hệ thống cập nhật phần mềm của nhà phát triển và phát tán mã độc qua kênh cập nhật tự động thông thường.
• Với IntuitiveTables, nhà phát triển từng chạy Jurojin trên máy thử nghiệm và bị nhiễm mã độc; từ đó hacker chèn mã vào bản cập nhật trước khi ứng dụng được ký chứng chỉ bảo mật chính thức.

Vì mã độc được phát tán qua kênh cập nhật hợp lệ, cả người dùng lẫn phần mềm diệt virus đều không phát hiện bất thường. Phiên bản IntuitiveTables bị nhiễm hoạt động y hệt bản sạch, chỉ khác ở chỗ đối chiếu tên người dùng với danh sách cứng lưu trên hạ tầng của hacker. Nếu "trúng danh sách", chương trình mới tải thêm mã độc; nếu không, nó hoạt động hoàn toàn bình thường.

Hệ thống đã biết mà không hành động?

Đầu năm 2025, một số tài khoản mới bắt đầu xuất hiện thường xuyên ở các bàn cược cao — với tên "JackKlompus" trên ACR và "Europe" trên CoinPoker. Chúng từ chối xưng danh trong chat bàn chơi (điều thường được các tay chơi mới chấp nhận) và thắng với tần suất khó tin. Về sau, giới chuyên nghiệp mới xác định đây là cùng một người.

Mike, một tay chơi chuyên nghiệp khác, kể lại: "Lúc đầu ai cũng nghĩ có thể đối thủ này thực sự quá giỏi." Nhưng đến tháng 6/2026, Mike bị đối thủ chơi một phiên đối kháng hai giờ trên ClubWPT Gold và bị "đè bẹp" — đối thủ đưa ra mọi quyết định đúng, ngay cả trong những tình huống tưởng chừng bất khả thi. "Rất trắng trợn," Mike nói.

Sau khi công khai thông tin trên X, ClubWPT Gold đã điều tra, cấm tài khoản và hoàn tiền cho Mike. CoinPoker cũng được khen ngợi khi chủ động cấm người chơi dựa trên tỷ lệ thắng và xu hướng chơi, hoàn trả hơn 100.000 USD bị chiếm đoạt.

Tuy nhiên, câu chuyện lại rất khác tại các sàn lớn khác. Patrick Howard, người sáng lập công ty huấn luyện Mobius Poker, cho biết anh từng gửi báo cáo cho GGPoker từ đầu tháng 9/2026, chỉ rõ nhiều điểm dị thường thống kê trong lịch sử ván bài nhưng không nhận được phản hồi. Sàn này chỉ trả lời sau khi vụ việc nổ ra công khai, với lý do "chưa có bằng chứng thuyết phục".

"Người chơi rất bực bội, vì họ đã báo cáo chuyện này suốt một năm trời," John Andress, trưởng bộ phận toàn vẹn trò chơi của A5 Labs, nhận định. "Một vài nền tảng hoàn toàn phớt lờ."

Đáng chú ý, GGPoker sau đó đã công bố loạt biện pháp khắc phục: cấm công cụ bên thứ ba, bổ sung hệ thống phát hiện tỷ lệ thắng bất thường, và yêu cầu Coinbase khóa và lưu giữ hồ sơ tài khoản liên quan. Ngược lại, ACR (Americas Cardroom) khẳng định đội ngũ bảo mật không phát hiện dấu hiệu gian lận và từ chối hoàn tiền — dù trong cùng email lại công bố tính năng mới ngăn công cụ xem từ xa ghi lại hình ảnh quân bài.

Bài học cho thị trường Việt Nam

Vụ việc là lời cảnh tỉnh không chỉ với làng poker mà với toàn bộ người dùng phần mềm, đặc biệt tại Việt Nam — nơi các cộng đồng chơi poker trực tuyến, game cá cược và giao dịch tài sản số đang phát triển mạnh. Một số khuyến nghị rút ra:

• Cảnh giác với phần mềm bên thứ ba, kể cả công cụ phổ biến trong cộng đồng. Kênh cập nhật chính thức không đồng nghĩa với an toàn tuyệt đối.
• Kiểm tra tiến trình chạy nền định kỳ, đặc biệt các chương trình lạ có khả năng ghi màn hình hoặc điều khiển máy.
• Tách biệt máy tính cá nhân khỏi thiết bị dùng cho giao dịch tài chính và tài sản số.
• Tận dụng công cụ rà soát hiện đại — như trường hợp Alex, một tác nhân AI đã phát hiện dấu hiệu bất thường mà mắt người và phần mềm diệt virus đều bỏ qua.

Các tổ chức như AceGuardian (thuộc A5 Labs) đã phát hành công cụ mã nguồn mở phát hiện "superuser", còn WolfSec đã gửi đơn khiếu nại lên Trung tâm Khiếu nại Tội phạm Internet của FBI. Nhưng theo giới chuyên gia, mọi nỗ lực chỉ có ý nghĩa nếu các sàn poker thực sự coi trọng báo cáo của người chơi và hành động trước khi một vụ tấn công lớn nổ ra — chứ không phải chỉ phản ứng sau khi đã muộn.