Hồi đầu tuần, tôi nhận được tin nhắn từ một đồng nghiệp cũ ở LA: “Cường, có công ty crypto nào đang tuyển senior researcher không? Tự dưng có HR LinkedIn gửi link cài app phỏng vấn AI tên Relay, nghe lạ quá.” Tôi lập tức cảnh giác. Bởi vì trong 23 năm theo dõi thị trường, tôi đã chứng kiến quá nhiều vụ tấn công xã hội học – từ ICO 2017 đến sự sụp đổ của Terra – nhưng chưa bao giờ thấy kịch bản nào tinh vi đến vậy.
Sự kiện: SlowMist vừa công bố một chiến dịch lừa đảo mới, nơi kẻ tấn công đóng giả nhà tuyển dụng, dụ nạn nhân cài đặt phần mềm hội nghị AI có tên “Relay”. Thực chất, đó là một malware đánh cắp thông tin đa nền tảng (Windows & macOS), nhắm thẳng vào ví tiền điện tử, trình duyệt, khóa keychain và phiên Telegram của các chuyên gia Web3. Không cần khai thác lỗ hổng zero-day, không cần DeFi exploit phức tạp – chỉ cần một cú click chuột. Đây là lời cảnh báo cho toàn bộ hệ sinh thái: khi niềm tin vào quy trình tuyển dụng bị bẻ gãy, mọi tài sản số đều có thể bay hơi.
Bối cảnh thanh khoản toàn cầu và sự trỗi dậy của tấn công xã hội học
Nhìn từ góc độ vĩ mô, tôi thấy một sự trùng hợp đáng chú ý. Năm 2025, sau khi Fed kết thúc chu kỳ thắt chặt, thanh khoản toàn cầu bắt đầu dồi dào trở lại. M2 của Mỹ tăng 4% so với cùng kỳ, nhưng dòng tiền không đổ hết vào DeFi hay NFT như mùa hè 2020. Thay vào đó, nó len lỏi vào các kênh đầu tư truyền thống, khiến các chuyên gia crypto phải tìm kiếm cơ hội mới qua các công việc remote. Kẻ tấn công đã tận dụng chính xu hướng đó: họ biết người trong ngành đang khao khát những offer hấp dẫn, và họ tạo ra một cái bẫy hoàn hảo. Đây không chỉ là một vụ hack đơn thuần – nó là sản phẩm của sự thay đổi cấu trúc thị trường lao động trong thời kỳ thanh khoản dư thừa.
Cơ chế tấn công: Khi AI trở thành vũ khí
Phân tích kỹ thuật từ SlowMist cho thấy malware “Relay” có khả năng đánh cắp: - Dữ liệu trình duyệt (cookies, mật khẩu đã lưu) - Ví tiền điện tử (bao gồm cả extension như MetaMask, Phantom) - Keychain iCloud trên macOS - Phiên Telegram (cho phép kẻ tấn công giả danh nạn nhân để tiếp tục lây nhiễm)
Điều khiến tôi giật mình là mức độ tinh vi của nó. Không giống những malware dạng generic, “Relay” được viết riêng cho môi trường Web3: nó quét tìm file cấu hình của các loại ví phổ biến, extract private key nếu có, và gửi về server C2 qua kênh mã hóa. Hơn nữa, nó khai thác lòng tin vào quy trình phỏng vấn – một điểm mù mà ngay cả những chuyên gia bảo mật dày dạn cũng dễ bỏ qua. Trong quá khứ, tôi từng thấy các cuộc tấn công tương tự vào năm 2022, khi kẻ xấu giả mạo nhân viên của quỹ đầu tư mạo hiểm để gửi link độc. Nhưng lần này, chúng dùng AI làm mồi nhử: “Hãy cài app này để trải nghiệm công nghệ phỏng vấn thông minh.” Sự kết hợp giữa social engineering và custom malware chính là đỉnh cao của tội phạm mạng Web3.
Kịch bản phản trực giác: Decoupling giữa bảo mật và sự phát triển của thị trường
Nhiều người cho rằng khi thị trường tăng, các vụ hack sẽ giảm vì mọi người chú ý đến giá hơn. Tôi cho rằng điều ngược lại đúng. Trong chu kỳ tích lũy hiện tại (sideways market), thanh khoản không tạo ra động lực đầu cơ mới, nhưng lại thúc đẩy hoạt động tuyển dụng. Các công ty muốn mở rộng đội ngũ để chuẩn bị cho đợt tăng tiếp theo, và kẻ xấu lợi dụng chính khe hở đó. Thực tế, tỷ lệ các cuộc tấn công xã hội học tăng 60% trong quý 2/2025 theo báo cáo của Chainalysis. Điều này cho thấy một sự decoupling kỳ lạ: an ninh mạng không đi cùng chu kỳ giá, mà đi cùng chu kỳ nhân sự. Nếu bạn đang tìm việc trong lúc thị trường đi ngang, bạn chính là mục tiêu số một.
Kinh nghiệm từ quá khứ: Bài học từ Terra và DeFi Summer
Nhìn lại năm 2022, khi Terra sụp đổ, tôi đã dành 3 tuần phân tích cơ chế thanh khoản của UST. Tôi nhận ra rằng các cuộc tấn công lớn nhất không đến từ lỗi code, mà từ lòng tin của người dùng bị thao túng. Vụ “Relay” cũng vậy: nó không khai thác hợp đồng thông minh, mà khai thác niềm tin vào nhà tuyển dụng – một dạng “trust vulnerability” mà ít ai để ý. Từ góc nhìn vĩ mô, mỗi khi thanh khoản toàn cầu chuyển từ siết chặt sang nới lỏng, chúng ta thường thấy một làn sóng tấn công xã hội học mới. Năm 2017, ICO scam tràn lan khi Fed hạ lãi suất. Năm 2020, DeFi hack tăng vọt khi thanh khoản dồi dào. Năm 2025, kẻ tấn công chọn tuyển dụng làm cửa ngõ. Mô hình lặp lại.
Hệ quả và cơ hội từ góc nhìn contrarian
Trong khi đám đông hoảng sợ và kêu gọi tẩy chay các nền tảng tuyển dụng, tôi thấy một cơ hội rõ ràng cho các giải pháp bảo mật chuyên biệt. Các công ty như SlowMist sẽ nhận được nhiều đơn đặt hàng audit hơn. Các nền tảng như Ledger, Trezor sẽ chứng kiến doanh số tăng vọt. Nhưng điều thú vị hơn cả: sự kiện này có thể thúc đẩy sự phát triển của các giao thức xác thực danh tính phi tập trung (DID) và bằng chứng không kiến thức (ZK Proof) trong quy trình tuyển dụng. Hãy tưởng tượng một ứng dụng phỏng vấn mà không cần cài đặt, chạy hoàn toàn trên trình duyệt với môi trường sandbox, và xác minh danh tính nhà tuyển dụng qua blockchain. Đó là một thị trường đang chờ được khai phá.
Kết luận: Định vị bản thân trong chu kỳ bất định
Tôi không khuyên bạn ngừng tìm việc. Tôi khuyên bạn hãy xem xét mọi link tải xuống như một smart contract chưa được kiểm toán. Hãy dùng ví cứng cho mọi giao dịch quan trọng, và coi mỗi email tuyển dụng như một giao dịch tiềm ẩn rủi ro. Trong 23 năm, tôi chưa bao giờ thấy một chu kỳ nào mà sự an toàn của tài sản lại phụ thuộc nhiều vào hành vi cá nhân đến vậy. Khi thị trường đi ngang, kẻ xấu không còn chỗ để khai thác thanh khoản, chúng chuyển sang khai thác con người. Và câu hỏi duy nhất còn lại: bạn đã sẵn sàng cho cuộc phỏng vấn tiếp theo chưa?