Mỗi lần kiểm toán là một lần tôi đặt câu hỏi: Nếu mục tiêu là phát hiện gián điệp, tại sao lại cần cho chúng truy cập vào code?
Ba năm trước, tôi audit một dự án DeFi ở Bangalore. Họ thuê hai dev từ GitHub, không kiểm tra background. Kết quả: một backdoor trong smart contract, mất 200 ETH. Lúc đó tôi nghĩ, đây chỉ là sơ suất. Nhưng báo cáo mới từ nhóm nghiên cứu BCA LTD, NorthScan, và ANY.RUN cho thấy: đó không phải sơ suất. Đó là chiến lược.
Họ xây dựng một fake DeFi startup, Ballena Azul LTD – phục vụ cá voi crypto. Website, corporate branding, UK registration, tất cả đều giả. Họ đóng vai founder và team lead. Sau đó, họ tuyển developer từ GitHub. Ba người. Tất cả đều vượt qua phỏng vấn.
Context: Các nhóm hacker Bắc Triều Tiên, đặc biệt là Famous Chollima (liên quan Lazarus Group), đã chuyên môn hóa việc thâm nhập công ty phương Tây qua remote jobs. Họ giả mạo danh tính, dùng AI để viết code, và dùng VPN để che IP. Nhưng lần này, họ bị lừa ngược: môi trường làm việc thực chất là ANY.RUN sandbox – ghi lại từng thao tác.
Core: Khi phân tích dữ liệu từ cuộc thử nghiệm, tôi thấy điểm đáng sợ nhất không phải là kỹ thuật giả mạo. Mà là sự tinh vi trong việc sử dụng AI. Họ dùng ChatGPT để viết code – code mà họ không hiểu. Live translation tools chạy suốt cuộc họp. Điều này cho thấy: họ không cần hiểu sâu về DeFi. Chỉ cần biết cách copy-paste và vượt qua code review.
Mỗi lần kiểm toán là một lần tôi đặt câu hỏi: Liệu tôi có phát hiện được một developer dùng AI để viết code không? Thực tế, tôi từng gặp trường hợp tương tự. Một dự án NFT sử dụng contract mẫu từ OpenZeppelin, nhưng có một hàm transferOwnership bị override sai. Dev giải thích: "Tôi lấy từ ChatGPT". Lỗi đó không gây mất tiền ngay, nhưng nếu kẻ tấn công biết, họ có thể chiếm quyền admin.
Trong báo cáo, các operative đã nộp giấy tờ giả mạo: driver's license xử lý qua Google Gemini, kèm SynthID watermark. Metadata phơi bày sự giả mạo ngay lập tức. Nhưng điều tôi quan tâm: họ dùng SSN bị đánh cắp, tài khoản ngân hàng mule, và ví crypto có lịch sử giao dịch. Một server operative đã bị tag trong threat intelligence feeds – tái sử dụng từ chiến dịch cũ. Đây là dấu hiệu cho thấy các nhóm này không đầu tư vào infrastructure mới mỗi lần. Họ tái chế.
Contrarian: Góc nhìn phản trực giác – Cuộc thử nghiệm này không chỉ phơi bày rủi ro từ hacker Bắc Triều Tiên. Nó phơi bày điểm mù trong quy trình tuyển dụng của các dự án DeFi thực tế. Nếu một fake startup có thể thuê ba operative, thì một dự án thật với 100 dev có thể có bao nhiêu? Báo cáo trước đây của một dự án Ethereum-funded đã xác định 100 nghi phạm trên 53 dự án crypto. Con số đó có thể lớn hơn nhiều.
Tôi từng audit một dự án Layer2 mà founder khoe "đội ngũ phân tán toàn cầu". Khi kiểm tra Git history, tôi thấy commit từ IP ở nhiều quốc gia, nhưng pattern code lại giống nhau: cùng một style comment, cùng một lỗi lặp lại. Tôi hỏi: "Ai viết phần này?" – "Một freelancer trên Upwork, tôi không nhớ tên." Đó là lúc tôi nhận ra: bảo mật không chỉ nằm ở smart contract. Nó nằm ở quy trình onboarding.
Takeaway: Dự báo lỗ hổng – Trong 12 tháng tới, tôi dự đoán sẽ có một vụ hack lớn từ insider threat, không phải từ lỗi contract. Kẻ tấn công sẽ không khai thác reentrancy hay flash loan. Họ sẽ dùng credentials của dev giả mạo, deploy một contract độc hại, và rút tiền qua multisig được cấp quyền từ trước. Các dự án DeFi cần đầu tư vào background check, không chỉ code audit. Mỗi lần kiểm toán là một lần tôi đặt câu hỏi: Bạn có biết ai đang giữ private key của mình không?