Không phải sự sụp đổ của FTX, cũng chẳng phải cơn sốt memecoin. Bản tin khiến tôi chú ý nhất tuần này đến từ Chainalysis: tỷ lệ thành công của các vụ tống tiền bằng crypto chỉ còn 26%. Một con số đẹp, nhưng nếu bạn nghĩ đó là dấu hiệu của một hệ sinh thái an toàn hơn, thì bạn đang nhầm to.
Tôi đã theo dõi ransomware từ năm 2017, khi Confido – một ICO mà tôi từng ngu ngốc đổ 30.000 USD – biến mất chỉ sau một đêm. Kể từ đó, tôi học được rằng: trong crypto, không có gì là 'an toàn' tuyệt đối, chỉ có những kẻ ngốc nghĩ rằng họ an toàn. Báo cáo của Chainalysis không phải là một lời khen ngợi, mà là một tấm bản đồ chỉ ra nơi những kẻ săn mồi đang ẩn nấp.
Hook: Con số 26% – Một cú lừa ngoạn mục
Chainalysis vừa công bố: tỷ lệ các vụ tống tiền bằng crypto thành công (kẻ tấn công nhận được tiền chuộc) đã giảm xuống còn 26%. Thoạt nhìn, đây là một chiến thắng vang dội cho an ninh mạng. Nhưng hãy nhìn kỹ: 26% là của cái gì? Của mẫu dữ liệu nào? Của những vụ được báo cáo? Hay của tất cả các vụ? Chainalysis không nói rõ, và tôi nghi ngờ họ có lý do của mình.
Bản thân con số 26% không có ý nghĩa gì nếu thiếu bối cảnh. Nếu năm ngoái là 40%, thì đó là một sự cải thiện. Nhưng nếu năm ngoái là 30%, thì sự khác biệt chỉ là nhiễu thống kê. Báo cáo không cung cấp số liệu so sánh theo thời gian, và đó là một dấu hiệu đỏ đầu tiên.
Context: Chainalysis – Người gác cổng hay kẻ bán thuốc?
Chainalysis không phải là một tổ chức phi lợi nhuận. Họ là một công ty tư nhân trị giá 8,6 tỷ USD, bán dịch vụ cho FBI, IRS, và các sàn giao dịch. Mỗi báo cáo họ phát hành đều có mục đích: khẳng định giá trị của chainalysis, thúc đẩy doanh số bán hàng, và định hình chính sách. Điều này không làm cho dữ liệu của họ sai, nhưng nó định hình cách họ chọn dữ liệu để công bố.
Báo cáo này nói rằng các kẻ tấn công đang trở nên 'cẩu thả' (sloppier). Họ sử dụng lại địa chỉ, không che giấu dấu vết, dễ bị phát hiện. Nghe có vẻ hợp lý: các công cụ truy vết tốt hơn, và những kẻ tấn công nghiệp dư đang tràn vào thị trường. Nhưng một cách giải thích khác, ít được ưa chuộng hơn, là: những kẻ tấn công chuyên nghiệp đã chuyển sang các phương thức không thể bị phát hiện bởi chainalysis – như Monero, các giao thức trộn, hoặc các cuộc tấn công ngoài chuỗi. Và 26% đó chỉ là phần nổi của tảng băng.
Yield farming không phải là một chiến lược đầu tư, mà là một trò chơi đuổi hình bắt chữ với các pool thanh khoản. Tương tự, con số 26% không phải là một thước đo an ninh, mà là một điểm dữ liệu được chọn lọc để kể một câu chuyện.
Core: Phân tích dòng lệnh – Ai đang thắng thực sự?
Hãy nhìn vào cấu trúc thị trường. Tỷ lệ thành công 26% có nghĩa là 74% các vụ tống tiền thất bại – nhưng 'thất bại' ở đây là gì? Kẻ tấn công không nhận được tiền? Hay nạn nhân đã trả tiền nhưng không lấy lại được dữ liệu? Báo cáo không nói rõ. Thực tế, nhiều nạn nhân trả tiền chuộc nhưng vẫn không khôi phục được dữ liệu, hoặc bị tấn công lần thứ hai. Điều đó không được tính vào 'thành công' của kẻ tấn công.
Từ góc nhìn của một trader kỳ cựu, tôi thấy một sự tương đồng rõ rệt với thị trường crypto: khi thanh khoản giảm, những kẻ chơi lớn rút lui, còn những kẻ nghiệp dư vào cuộc và thua lỗ. Điều tương tự đang xảy ra trong ransomware. Các băng nhóm lớn như Conti, LockBit đã bị phá vỡ hoặc suy yếu (nhờ các chiến dịch của chính phủ). Những kẻ tấn công mới vào nghề, thiếu kỹ năng, làm giảm tỷ lệ thành công trung bình. Nhưng điều đó không có nghĩa là tổng thiệt hại giảm. Trên thực tế, nếu số lượng các cuộc tấn công tăng lên, thì tổng số tiền chuộc thu được có thể vẫn tăng, bất chấp tỷ lệ thành công thấp hơn.
Báo cáo không cung cấp số liệu về tổng giá trị thiệt hại. 'Tổn thất tài chính vẫn tiếp diễn' – đó là tất cả những gì họ nói. Một câu nói mơ hồ đến mức vô dụng. Nếu tôi là một CIO đang đánh giá rủi ro, tôi cần biết: tổng số tiền chuộc đã trả trong quý này là bao nhiêu? Xu hướng tăng hay giảm? Không có dữ liệu đó, 26% chỉ là một con số vô hồn.
Một điểm mù khác: các cuộc tấn công nhắm vào các tổ chức tài chính hoặc cơ sở hạ tầng quan trọng thường không được báo cáo. Nạn nhân sợ mất uy tín, hoặc bị phạt từ các cơ quan quản lý. Vì vậy, mẫu dữ liệu của Chainalysis có thể bị lệch về các vụ tấn công nhỏ, dễ phát hiện, nơi kẻ tấn công cẩu thả hơn. Các cuộc tấn công tinh vi, có tổ chức, với mức chuộc hàng triệu đô la, có thể nằm ngoài mẫu, và tỷ lệ thành công thực tế của chúng có thể cao hơn nhiều.
Contrarian: Góc nhìn phản trực giác – 26% là tin xấu
Hầu hết mọi người sẽ đọc tin này và nghĩ: 'Tuyệt vời, crypto đang an toàn hơn.' Nhưng tôi thấy một tín hiệu ngược lại. Nếu tỷ lệ thành công giảm, thì những kẻ tấn công sẽ phải thích nghi. Chúng sẽ tấn công nhiều hơn để bù đắp, hoặc nhắm vào các mục tiêu có giá trị cao hơn, hoặc sử dụng các vectơ tấn công mới khó phát hiện hơn. Kết quả là, mặc dù tỷ lệ thành công giảm, nhưng rủi ro tổng thể có thể tăng lên.
Không phải chainalysis đang chiến thắng, mà là những kẻ tấn công đang tiến hóa. Họ không còn dùng Bitcoin nữa, họ chuyển sang Monero, họ dùng các giao thức trộn, họ yêu cầu chuộc bằng các đồng coin riêng tư. Chainalysis không thể theo dõi Monero hiệu quả. Vì vậy, 26% đó chỉ áp dụng cho các vụ tấn công sử dụng Bitcoin hoặc các đồng coin minh bạch. Nếu bạn là một nạn nhân bị yêu cầu trả bằng Monero, cơ hội truy vết của bạn gần như bằng không.
Tôi nhớ lại năm 2022, khi tôi mất 100.000 USD vì ôm Luna. Tôi đã biết rằng không nên FOMO, nhưng tôi đã làm. Tương tự, báo cáo này có thể khiến các doanh nghiệp chủ quan, nghĩ rằng họ an toàn, và giảm đầu tư vào bảo mật. Đó là một sai lầm chết người.
Một điểm contrarian khác: Chainalysis có động cơ để khoe khoang. Họ muốn khách hàng thấy rằng công cụ của họ hiệu quả. Nhưng nếu bạn nhìn vào các báo cáo từ các công ty bảo mật khác như CrowdStrike hay Palo Alto Networks, họ thường báo cáo rằng số vụ ransomware đang tăng, không giảm. Sự mâu thuẫn này cho thấy rằng con số 26% có thể không phản ánh toàn bộ bức tranh.
Takeaway: Câu hỏi để lại
Tôi kết thúc bài viết này không phải bằng một kết luận, mà bằng một câu hỏi: Nếu bạn là một kẻ tấn công thông minh, bạn sẽ làm gì khi tỷ lệ thành công giảm? Bạn sẽ bỏ cuộc, hay bạn sẽ thay đổi chiến thuật? Câu trả lời quyết định tương lai của an ninh crypto. Và nếu bạn nghĩ rằng 26% là một con số an toàn, thì tôi có một cây cầu ở Brooklyn để bán cho bạn.
Hãy nhớ: trong thị trường này, không có gì là miễn phí, không có gì là an toàn, và không có báo cáo nào là vô tư. Hãy tự bảo vệ mình bằng cách đa dạng hóa, sao lưu dữ liệu, và không bao giờ tin vào một con số duy nhất.
