Một startup DeFi giả mạo đã thuê 3 nhà phát triển người Triều Tiên. Và họ để cho chúng làm việc.
Không phải xâm nhập từ bên ngoài. Không phải khai thác lỗ hổng smart contract. Đây là chiến dịch ngược dòng: các nhà nghiên cứu đóng vai founder, mở cửa cho kẻ tình nghi bước vào, rồi ghi lại từng động tĩnh.
"Lỗ hổng Enigma lộ ra từ một tweet tưởng vô hại" – câu chuyện năm 2017 của tôi đã dạy tôi một bài học: trong crypto, không gì là vô hại. Nhưng lần này, lỗ hổng không nằm ở code, mà nằm ở con người.
Context: Tại sao là bây giờ?
Thị trường giảm. Thanh khoản khô cạn. Nhưng mối đe dọa từ các nhóm hack Triều Tiên chưa bao giờ tăng. Theo TRM Labs, 76% tổn thất từ hack crypto trong năm 2026 (tính đến tháng 4) thuộc về các băng nhóm DPRK. Tổng thiệt hại năm 2025 lên tới 2 tỷ USD.
Nhưng đây không phải chuyện khai thác cầu nối hay lỗi oracle. Đây là chiến dịch thâm nhập nguồn nhân lực. Các IT worker Triều Tiên giả danh lập trình viên từ Mỹ, châu Âu, xin việc từ xa, rồi âm thầm đánh cắp secret, backdoor, hoặc dùng quyền truy cập để rút tiền sau này. Một dự án Ethereum từng phát hiện 100 nghi phạm trong 53 dự án crypto.
Vậy nếu bạn là founder của một giao thức DeFi, bạn có dám chắc team của mình sạch không? Tôi không.
Core: Một startup giả, ba dev thật, và mớ bằng chứng
Bộ ba nhà nghiên cứu: Mauro Eldritch (BCA LTD), Heiner García (NorthScan), và ANY.RUN đã dựng lên Ballena Azul LTD – một protocol phục vụ “cá voi” crypto. Họ tạo website, thương hiệu, đăng ký công ty tại Anh. Họ đóng vai founder và team lead.
Họ dùng ANY.RUN sandbox làm môi trường làm việc. Mọi thao tác của dev đều được ghi lại.
Angelo Cruz – một recruiter mà nhóm tìm thấy trên GitHub – giới thiệu dev đầu tiên. Dev đó giới thiệu người thứ hai, người thứ hai giới thiệu người thứ ba. Cả ba vượt qua phỏng vấn, nhận quyền truy cập vào desktop ảo – thực chất là môi trường giám sát.
Các nghi phạm được xác định là thành viên của Famous Chollima, một đơn vị trực thuộc Lazarus Group, chuyên đưa IT worker giả vào các công ty phương Tây.
Họ đã làm gì?
- Nộp bằng lái xe giả mạo Mỹ, số SSN bị đánh cắp, tài khoản ngân hàng tại Lead Bank, Citibank, Wise.
- Metadata trên một bằng lái cho thấy nó được xử lý bằng Google Gemini và có watermark SynthID. Lộ ngay từ vạch xuất phát.
- Dùng ChatGPT để viết code họ không hiểu, và hoàn thành bài tập. Dùng công cụ dịch thuật trực tiếp trong phỏng vấn và standup hàng ngày.
- Hạ tầng: AstrillVPN exit nodes, server Vultr và Gorilla Servers, ví crypto có lịch sử giao dịch. Một server đã bị gắn tag trong các nguồn threat intelligence – dấu hiệu nó được tái sử dụng từ chiến dịch trước.
Các nhà nghiên cứu kết luận: “DPRK IT worker schemes không chỉ là rủi ro tuyển dụng. Một khi vào trong, chúng có thể truy cập hợp pháp vào code, hệ thống, sở hữu trí tuệ, và quy trình kinh doanh đáng tin cậy.”
Góc nhìn của tôi từ bên trong
Tôi đã làm 7x24 Market Surveillance Analyst gần 10 năm. Tôi từng phát hiện lỗ hổng ICO Enigma năm 2017 chỉ sau 2 giờ – một smart contract cho phép kẻ tấn công rút toàn bộ quỹ. Cảm giác đó giống như nhìn thấy vết nứt trên tường trước khi nó sập.
Nhưng vụ này khác. Đây không phải lỗi code. Đây là lỗi quy trình. Hầu hết các dự án DeFi đều kiểm tra KYC sơ sài: chỉ cần ảnh passport, vài câu hỏi. Với 50 USD, bạn có thể mua một bộ identity đã qua KYC trên dark web.
Tôi nhớ mùa hè DeFi 2020, khi tôi dùng 5 ETH cung cấp thanh khoản trên Compound, kiếm 200 COMP trong tuần đầu. Cảm giác phấn khích đó – nhưng tôi cũng thấy vô số dự án mọc lên chỉ sau một đêm, với đội ngũ ẩn danh. Tôi từng tweet: “Dòng yield chảy ngầm dưới cơn sốt DeFi.” Giờ thì dòng yield có thể đang chảy vào túi của hacker Triều Tiên.
Contrarian: Góc nhìn chưa được đưa tin
Bạn nghĩ rằng chỉ cần phỏng vấn kỹ, kiểm tra background, dùng video call là an toàn? Sai.
Các dev này đã vượt qua phỏng vấn. Họ có identity giả hoàn hảo, có người giới thiệu nội bộ. Họ dùng AI để cheat. Họ không cần biết code – họ chỉ cần biết cách copy-paste từ ChatGPT.
Điểm mù thực sự: các startup DeFi thường không có quy trình bảo mật nhân sự. Họ lo audit smart contract, lo security của bridge, nhưng quên rằng kẻ tấn công có thể đi qua cửa trước – bằng cách trở thành nhân viên của bạn.
Tôi từng mất 30 ETH trong vụ FTX sụp đổ năm 2022. Tôi tin tưởng Sam Bankman-Fried vì cảm xúc. Nhưng FTX cũng có đội ngũ “uy tín”. Vậy mà sập. Còn đây, các dev Triều Tiên không cần sập dự án – họ chỉ cần ở lại, lấy dữ liệu, và chờ thời cơ.
“Cơn sốt NFT tan dần, lộ ra những chân giá trị” – tôi từng viết thế sau khi bán Bored Ape số 3478 với 45 ETH. Nhưng chân giá trị ở đây không phải là NFT, mà là sự thật: ngành công nghiệp crypto đang tin tưởng mù quáng vào quy trình tuyển dụng từ xa.
Takeaway: Bài học cho người sống sót
Thị trường giảm. Bạn muốn giữ tiền an toàn. Nhưng nếu team dự án bạn đầu tư có một dev Triều Tiên? Một ngày nào đó, bạn thức dậy và thấy TVL về 0.
Các nhà nghiên cứu đã làm đúng: họ hack ngược lại kẻ tấn công. Nhưng không phải ai cũng có nguồn lực để làm thế.
Giải pháp? - Không chỉ dựa vào KYC. Yêu cầu proof of residency, gọi video call với ánh sáng tự nhiên, kiểm tra metadata của ảnh. - Giám sát hành vi. Nếu dev của bạn copy-paste code từ ChatGPT mà không hiểu, đó là dấu hiệu đỏ. - Dùng sandbox cho môi trường làm việc – giống ANY.RUN đã làm.
Và quan trọng nhất: hãy hỏi team của bạn câu hỏi kỹ thuật mà không có Google. Tôi từng làm điều đó khi audit Enigma – và tôi thấy lỗ hổng ngay lập tức.
“Mỗi biến động 2h sáng là một câu chuyện chưa kể.” Câu chuyện này không kết thúc ở đây. Còn hàng trăm dev Triều Tiên đang làm việc trong các dự án crypto ngay lúc này. Bạn có dám chắc dự án của mình sạch?
Tôi thì không. Và tôi sẽ tiếp tục săn tin.
