Mỹ nhắm tịch thu 1,2 tỷ USD từ vụ trộm Binance, triệt phá chiêu lừa Triều Tiên

Chính phủ Mỹ ngày thứ Năm cho biết đã được tòa án cho phép tịch thu hoặc phong tỏa việc sử dụng hơn 1,2 tỷ USD tang vật bị đánh cắp trong vụ trộm 6,3 tỷ USD tại Binance hồi tháng trước. Đây là một phần trong nỗ lực rộng hơn nhằm chặn đứng hoạt động trộm tiền mã hóa liên tục của Triều Tiên.

Cùng lúc, tòa án cũng cho phép gỡ bỏ hạ tầng đám mây (cloud) được dùng trong một chiêu lừa đảo kỹ thuật xã hội (social engineering) của Triều Tiên có tên "FaceStealer", đã vét được hơn 400 triệu USD trong 18 tháng qua.

Vì sao gọi là FaceStealer

Cách gọi này xuất phát từ việc kẻ tấn công bí mật ghi lại video webcam của nạn nhân. Nhóm bị nhắm tới thường là người làm trong lĩnh vực tiền mã hóa và web3, cùng các lập trình viên và người bảo trì phần mềm nguồn mở (open source). Mục tiêu của hacker Triều Tiên là tiếp cận các kho mã nguồn mà những người này quản lý, nhằm khởi động các cuộc tấn công chuỗi cung ứng (supply chain attack).

Theo FBI, cơ quan này đã thu giữ hơn 900 video webcam thuộc về những nhân viên công nghệ nêu trên.

Kịch bản lừa đảo

Bước đầu tiên: phía Triều Tiên gửi lời mời dự một cuộc họp video. Lời mời được phát đi từ các tài khoản đã bị chiếm quyền, khiến nạn nhân tiếp theo cảm thấy quen thuộc hoặc đáng tin.

Đặc vụ Jeremy Robertson, người phụ trách điều tra phản gián và mạng tại văn phòng FBI ở Los Angeles, giải thích rằng nạn nhân sẽ tin là thật vì lời mời dựa trên những cuộc trò chuyện hoặc mối quan tâm đã trao đổi trước đó với chính người này. Kẻ tấn công gửi một liên kết hẹn gặp, thường dưới dạng lời mời lịch (calendar invite), chứa các địa chỉ URL giả mạo kiểu typosquatting — tức tên miền nhìn gần giống bản gốc để đánh lừa.

Liên kết dẫn nạn nhân tới một cuộc họp Zoom hoặc Teams giả. Trong lúc đó, tội phạm mạng ghi lại video webcam của nạn nhân, đồng thời phát một video ghi sẵn của người được cho là đã gửi lời mời. Đôi khi chúng còn dùng video deepfake của những nhân vật nổi tiếng trong ngành tiền mã hóa và web3.

Robertson mô tả: khi đăng nhập, nạn nhân thấy người mời — một người bạn hoặc đối tác — hiện trên màn hình nhưng không nghe thấy âm thanh. Họ thấy mặt người đó, thấy người đó nhìn quanh, nhép miệng nói gì đó, rồi nhận được chỉ dẫn trong ô văn bản.

"Bạn đang tắt tiếng" trở thành vũ khí lừa đảo

Ô văn bản thông báo rằng người ở đầu bên kia không nghe được nạn nhân, rằng họ cần cập nhật phần mềm để âm thanh hoạt động đúng, kèm một liên kết tới bản "sửa lỗi".

Nhấp vào liên kết đó sẽ cài mã độc đánh cắp tiền mã hóa lên máy nạn nhân, đồng thời gửi danh bạ liên hệ của họ cho kẻ trộm để tiếp tục lây lan chiêu lừa.

FBI quy chiến dịch FaceStealer cho một nhóm gắn với Triều Tiên có mã theo dõi Sapphire Sleet, vốn được xem là nhánh của Lazarus Group. Nhóm này còn có các tên gọi UNC1069, Stardust Chollima, APT38 và BlueNoroff.

Brett Leatherman, trợ lý giám đốc Phòng mạng của FBI, cho biết những kẻ đứng sau hoạt động này là một phần trong nỗ lực rộng lớn của Triều Tiên nhằm tạo doanh thu cho chế độ, đánh cắp tài sản ảo và xâm nhập vào các mạng lưới cùng hệ sinh thái trực tuyến đáng tin cậy. Theo ông, hacker Triều Tiên ngày càng kết hợp xâm nhập mạng, kỹ thuật xã hội và công nghệ mới nổi như deepfake để khiến màn giả danh thuyết phục và dễ nhân rộng hơn.

Cập nhật vụ trộm Binance

FBI cũng cập nhật nỗ lực thu hồi tài sản bị đánh cắp trong vụ tấn công Binance ngày 29/10. Trước đó, cơ quan này quy vụ trộm 6,3 tỷ USD cho TraderTraitor, một chiến dịch của hacker Triều Tiên cũng liên quan tới Lazarus Group.

Tuần trước, Binance tiết lộ kẻ tấn công đã chuẩn bị nền móng cho "chiến dịch nhiều giai đoạn tinh vi" từ tháng 6. Chiến dịch gồm kỹ thuật xã hội trong các buổi phỏng vấn xin việc giả, tải mã độc, chiếm đoạt công cụ AI nội bộ, kiểm soát thiết bị đầu cuối (endpoint takeover) và một "phương thức ủy quyền giao dịch tiên tiến".

Kể từ sau vụ trộm, các nhà điều tra liên bang và đối tác khu vực tư nhân đã giúp phong tỏa hơn 2,7 tỷ USD tài sản bị đánh cắp. Phần được Bộ Tư pháp xin tòa án cho phép xử lý chiếm hơn 1,2 tỷ USD trong số đó.

Góc nhìn

Với các lập trình viên và doanh nghiệp Việt Nam, câu chuyện này cho thấy rủi ro không chỉ nằm ở mã nguồn hay hệ thống, mà ở chính con người. Một lời mời họp video "quen mặt", một liên kết cài bản sửa âm thanh — đều là những tình huống hoàn toàn có thể xảy ra trong các nhóm làm việc từ xa, đặc biệt với những ai quản lý kho mã nguồn mở hoặc có quyền truy cập hệ thống quan trọng.

Về phía đội ngũ kỹ thuật, nguyên tắc cần khắc cốt là không bao giờ cài phần mềm từ liên kết nhận trong cuộc họp, luôn kiểm tra tên miền trước khi đăng nhập và xác minh lại qua một kênh liên lạc khác khi có yêu cầu bất thường. Với doanh nghiệp, việc giới hạn quyền truy cập vào kho mã nguồn, bật xác thực đa yếu tố chống phishing và huấn luyện nhân sự nhận diện deepfake là những lớp phòng thủ đáng đầu tư trước khi sự cố xảy ra.