Phóng viên tạp chí Fortune: Dù biết rõ các hacker Triều Tiên hoành hành, tôi vẫn bị dính bẫy

Bài viết: Ben Weiss, Tạp chí Fortune

Biên dịch: Luffy, Foresight News

Vào cuối tháng 3, tôi nhận được một tin nhắn đáng lo từ quản trị viên IT của tạp chí Fortune. 「Có một tiến trình đang khai lộ lỗ hổng hệ thống,」 anh ấy viết, 「có thể ai đó đã xâm nhập máy tính của tôi rồi.」 「Tôi cần dừng nó lại.」 Tôi hoảng hốt ngay lập tức.

Theo các bản ghi log mà bộ phận IT xem xét sau đó cho thấy, một tệp mà tôi đã tải xuống vào 11:04 sáng hôm đó có khả năng ghi lại thao tác bàn phím, ghi màn hình, đánh cắp mật khẩu và truy cập vào các ứng dụng khác nhau của tôi.

Tôi lập tức đóng laptop, lao khỏi căn hộ ở Brooklyn, chạy đến ga tàu điện ngầm gần nhất. Trên đường chờ tàu đến công ty, tôi nhắn cho biên tập viên: 「Hình như tôi bị hacker Bắc Triều Tiên lừa câu cá rồi, cười chết.」

Tôi đã nhiều năm đưa tin về các sự kiện liên quan đến Bắc Triều Tiên, và cũng biết rằng quốc gia này nhắm vào các nhà đầu tư Mỹ. Nhưng tôi không ngờ rằng bọn hacker khét tiếng đó lại nhắm tới tôi—và còn để tôi tự mình trải nghiệm thủ đoạn lừa đảo của họ “cao” đến nhường nào.

Cảm giác như một trò lừa đảo

Thời gian qua, 「Vương quốc ẩn sĩ」 này liên tục quấy rối ngành công nghiệp mã hóa. Do bị cấm vận, Bắc Triều Tiên bị gạt ra khỏi hệ thống tài chính toàn cầu; Bắc Triều Tiên cần dựa vào việc đánh cắp bằng tiền mã hóa do nhà nước hậu thuẫn để duy trì hoạt động.

Dữ liệu từ công ty phân tích dữ liệu tiền mã hóa Chainalysis cho thấy, chỉ trong năm 2025, các hacker có liên quan đến Bắc Triều Tiên đã đánh cắp tiền mã hóa trị giá 2Bỷ USD—tăng khoảng 50% so với năm trước.

Bắc Triều Tiên đã hình thành một bộ bài lừa đảo đã thử là hiệu quả, bao gồm việc thuyết phục các công ty thuê họ làm nhân viên IT, và lần này cũng dùng đúng thủ đoạn như vậy để lừa tôi.

Các hacker Bắc Triều Tiên đã giăng bẫy từ giữa tháng 3. Mồi nhử là một tin nhắn Telegram đến từ một nhà đầu tư của một quỹ phòng hộ—và chính ứng dụng này cũng là công cụ liên lạc được dùng phổ biến nhất trong ngành công nghiệp mã hóa. Tôi không tiện tiết lộ tên người này; anh từng là nguồn tin ẩn danh trong các bài tôi đưa.

Anh hỏi tôi có muốn làm quen với một người tên Adam Swick không. Người này từng là giám đốc chiến lược của công ty khai thác Bitcoin MARA Holdings. Tôi trả lời là được; anh ấy vốn rất thân thiện và đáng tin cậy, rồi sau đó tôi bị đưa vào một nhóm chat.

Anh ấy nói Swick đang chuẩn bị thành lập một “kho quỹ tài sản số” mới, 「đã có một nhà đầu tư mồi tiềm năng quy mô lớn.」 Dự án nghe có nhiều điểm đáng ngờ, nhưng tôi vẫn quyết định nghe xem anh ta định nói gì.

Anh ấy hẹn tôi gọi trên Telegram. Một tuần sau, nguồn tin đó gửi cho tôi một liên kết trông giống như liên kết của một cuộc họp Zoom. Tôi bấm vào.

Giao diện của chương trình lúc chạy trông giống hệt Zoom mà tôi dùng hằng ngày, nhưng các chi tiết thiết kế có chút không ổn, và âm thanh hoàn toàn không phát ra. Hệ thống nhắc tôi cần cập nhật phần mềm để khắc phục vấn đề âm thanh; trong lúc đó, Swick gửi tin nhắn: 「Có vẻ Zoom bên bạn đang gặp sự cố.」 Tôi nhấp tải gói cập nhật.

Khi tôi nhận ra liên kết trong trình duyệt không khớp với liên kết mà Telegram gửi, tôi lập tức cảnh giác. Tôi đề nghị chuyển cuộc họp sang Google Meet. 「Cảm giác như đây là một trò lừa đảo,」 tôi nói trong nhóm với Swick và nguồn tin kia.

Swick vẫn cố chấp: 「Đừng lo—tôi vừa thử trên máy tính của mình thì không sao.」

Tôi không chạy kịch bản đó trên Mac và lập tức thoát khỏi cuộc họp Zoom. 「Nếu muốn trò chuyện thì dùng Google Meet thôi,」 tôi trả lời trên Telegram. Ngay lập tức, nguồn tin của tôi đã kick tôi ra khỏi nhóm chat.

Xâm nhập dây chuyền theo kiểu virus

Trên đường chạy khỏi căn hộ đến bộ phận IT, tôi nhắn cho nhà nghiên cứu bảo mật kỳ cựu Taylor Monahan. Cô là thành viên của tổ chức SEAL 911, một nhóm tình nguyện giúp các nạn nhân bị trộm cắp tiền mã hóa. Tôi gửi cho cô kịch bản đã tải về và liên kết cuộc họp video.

「Đây là do hacker Bắc Triều Tiên làm.」 Vài giây sau, cô trả lời tôi.

Nếu lúc đó tôi chạy kịch bản đó, hacker sẽ đánh cắp mật khẩu của tôi, tài khoản Telegram, và toàn bộ số tiền mã hóa mà tôi đang nắm giữ. May mắn là tôi chỉ sở hữu một ít Bitcoin và một vài tài sản mã hóa khác.

Đặc tính của cuộc tấn công khiến việc xác định 100% kẻ đứng sau là khó, nhưng trong sự việc suýt nữa dính bẫy này, Monahan nói với tôi rằng các manh mối—đường link, kịch bản, thậm chí cả tài khoản giả mạo Swick—đều chỉ về Bắc Triều Tiên. Điều tra viên sẽ dùng nhiều loại bằng chứng như phân tích blockchain để liên kết vụ việc với Bắc Triều Tiên. Hai nhà nghiên cứu bảo mật khác vốn theo dõi hacker Bắc Triều Tiên lâu năm, sau khi tôi gửi kịch bản và liên kết cho họ, cũng xác nhận phán đoán này.

「Nói giúp tôi lời chào với hắn, haha,」 Monahan nói—ý là hacker Bắc Triều Tiên nhắm vào tôi.

Monahan và những nhà nghiên cứu bảo mật khác đã xử lý hàng trăm vụ lừa “cuộc họp video” giả trong ngành công nghiệp mã hóa. Bộ bài này mang tính khuôn mẫu nhưng cực kỳ hiệu quả.

Hacker sẽ chiếm quyền một tài khoản Telegram thật của người dùng, sau đó liên hệ với những người trong danh bạ của họ. Nạn nhân được yêu cầu tham gia một cuộc họp video, nhưng trong lúc gọi thì âm thanh luôn không hoạt động đúng cách. Sau đó, nạn nhân bị dụ chạy một chương trình cập nhật “sửa âm thanh”. Chỉ cần chạy kịch bản, hacker có thể lấy được tài sản mã hóa, mật khẩu và tài khoản Telegram của nạn nhân.

Trên thực tế, trong một báo cáo công bố vào thứ Tư, Google cho biết những hacker Bắc Triều Tiên nhắm vào tôi này đồng thời cũng đang lên kế hoạch một cuộc tấn công nhắm vào đông đảo các nhà phát triển phần mềm.

Tôi không phải là một ông trùm Bitcoin chạy Lamborghini, nhưng Monahan nói với tôi rằng hacker Bắc Triều Tiên không chỉ nhắm vào người giàu. Cô phát hiện ngày càng nhiều nhà báo trong ngành mã hóa trở thành mục tiêu—có thể là do trong Telegram của giới nhà báo có rất nhiều mối quan hệ. Trong các liên hệ đó, nhiều khả năng có không ít ông lớn nắm giữ tiền mã hóa.

Giống như virus chiếm tế bào khỏe mạnh, hacker sẽ chiếm các tài khoản này rồi tấn công những người trong danh bạ của các tài khoản đó. Tôi chính là một trường hợp suýt dính bẫy như vậy. Tôi tưởng rằng mình đang trò chuyện với người quen nên đã lơ là cảnh giác.

「Tôi bị mạo danh」

Sau khi tôi định dạng lại toàn bộ máy tính, đổi tất cả mật khẩu và liên tục cảm ơn quản trị viên IT, cuối cùng tôi gọi cho người liên hệ đó. Như dự đoán, tài khoản Telegram của anh ta đã bị đánh cắp từ đầu tháng 3.

「Trong Telegram của tôi có rất nhiều người liên hệ, nhưng tôi không hề lưu trong điện thoại hay máy tính,」 anh nói. 「Nhưng điều khiến tôi khó chịu hơn là có người mạo danh tôi để đi lừa—cảm giác bị xâm phạm kiểu này thật sự tệ quá.」

Hơn nữa, dù trong vòng ba tuần anh ta đã liên hệ nhiều lần với Telegram để xin hỗ trợ, vẫn không hề nhận được phản hồi. Một phát ngôn viên của Telegram trong tuyên bố cho tôi biết: 「Dù Telegram sẽ nỗ lực hết sức để bảo vệ tài khoản, nhưng bất kỳ nền tảng nào cũng không thể ngăn người dùng bị lừa.」 Cô ấy nói thêm rằng, sau khi tôi liên hệ với họ, nền tảng đã đóng băng tài khoản của nhà đầu tư quỹ phòng hộ này.

Tôi cũng liên hệ với đúng người Adam Swick. Từ đầu tháng 2, đã có người giả mạo anh trên Telegram. Vị giám đốc cũ của MARA nhận vô số tin nhắn và cuộc gọi, chất vấn vì sao anh lại hẹn họ tham gia cuộc họp. Mỗi lần như vậy, anh chỉ có thể xin lỗi.

「Nhưng có người sẽ hỏi tôi kiểu như, ‘Anh bạn, anh xin lỗi cái gì?’,」 Swick nói. 「Thì tôi chỉ còn có thể nói: ‘Tôi không biết—tôi đang xin lỗi thay cho cái tôi giả. Thật sự xin lỗi vì chuyện này đã xảy ra…’」

Swick không biết vì sao hacker lại mạo danh anh, và nguồn tin của tôi cũng không rõ tài khoản Telegram của anh bị đánh cắp bằng cách nào. Nhưng ngay khi cuộc gọi sắp kết thúc, cả hai chúng tôi bất ngờ tìm ra khả năng đáp án.

Trong số những người được liên hệ lần cuối trước khi tài khoản Telegram của nhà đầu tư này bị đánh cắp, có một người cũng là Swick giả mạo. 「Tôi với hắn đã mở một cuộc họp Zoom, nhưng bên đó không kết nối được âm thanh,」 nguồn tin của tôi nói. 「Tôi lờ mờ nhớ lúc đó mình đã tải xuống gì đó.」

Nói cách khác, rất có thể chính nguồn tin của tôi đã bị nhắm tới bởi cùng một nhóm hacker. Sau khi chúng tôi nhận ra máy tính của anh cũng có thể đã bị nhiễm, vị nhà đầu tư quỹ phòng hộ này lập tức cúp máy và định dạng lại máy tính của mình.

Trên Telegram, tôi nhắn tin cho Adam Swick giả mạo: 「Tài khoản này có phải do hacker Bắc Triều Tiên kiểm soát không?」

Cho đến nay, tôi vẫn chưa nhận được bất kỳ phản hồi nào.