26%.
Đó là tỷ lệ thành công của các cuộc tấn công ransomware theo báo cáo mới nhất từ Chainalysis. Con số này được hàng loạt trang tin crypto tung hô như một minh chứng cho sự hiệu quả của truy vết on-chain. Tôi đọc báo cáo gốc, kiểm tra nguồn dữ liệu, và nhận ra một điều: 26% không phải là một sự thật, mà là một cái bẫy.
Hãy bắt đầu từ câu hỏi đơn giản: Chainalysis lấy dữ liệu từ đâu? Họ quét các giao dịch trên Bitcoin, Ethereum, và một số chain phổ biến. Họ gắn nhãn các địa chỉ ví liên quan đến ransomware dựa trên các mẫu đã biết. Họ tính tỷ lệ thành công bằng cách đếm số lần nạn nhân chuyển tiền đến địa chỉ đó chia cho tổng số vụ tấn công phát hiện được. Nghe có vẻ khoa học. Nhưng có một lỗ hổng chết người: những gì không nằm trên các chain đó thì sao? Monero? Các giao dịch off-chain? Các cuộc tấn công không bao giờ được báo cáo? Chainalysis không thể đo lường những thứ họ không nhìn thấy.
Dòng tiền không biết nói dối, nhưng chỉ khi bạn nhìn đúng hướng.
Tôi đã từng phân tích một vụ ransomware năm 2021, nơi kẻ tấn công yêu cầu thanh toán bằng Monero. Họ sử dụng một dịch vụ trộn XMR-to-BTC để rút tiền. Trên chain Bitcoin, tôi thấy một loạt giao dịch nhỏ lẻ từ các địa chỉ không có lịch sử. Không có cách nào để kết nối chúng với vụ tấn công ban đầu nếu không có thông tin từ nạn nhân. Chainalysis có thể đã bỏ lỡ toàn bộ mảng này. Con số 26% chỉ phản ánh những vụ mà họ có thể theo dõi – một mẫu thiên lệch về phía các cuộc tấn công “ngu ngốc” sử dụng Bitcoin hoặc Ethereum không qua mixer.
Báo cáo nói rằng kẻ tấn công đang trở nên “cẩu thả hơn”. Tôi không mua điều đó. Trong 8 năm làm on-chain detective, tôi thấy một xu hướng ngược lại: các nhóm ransomware chuyên nghiệp đang tinh vi hơn, sử dụng cross-chain, atomic swaps, và thậm chí là Lightning Network để che giấu dòng tiền. Những kẻ “cẩu thả” thực chất là những kẻ mới vào nghề, thiếu kỹ năng, và dễ bị bắt. Nhưng các nhóm lớn như LockBit, Conti (dù đã tan rã) vẫn còn đó, chỉ là chúng chuyển sang chiến thuật ít bị phát hiện hơn. Sự sụt giảm tỷ lệ thành công từ 40-50% xuống 26% không phải vì truy vết hiệu quả, mà vì mẫu số tăng lên do các vụ tấn công nghiệp dư tràn vào, làm loãng tỷ lệ. Số vụ thành công thực tế có thể không giảm, thậm chí tăng về giá trị tuyệt đối.
Hãy nhìn vào dòng tiền. Báo cáo thừa nhận rằng thiệt hại tài chính vẫn tiếp diễn. Điều đó có nghĩa là dù chỉ 26% vụ thành công, số tiền thu được vẫn đủ lớn để duy trì hoạt động. Nếu tổng số vụ tấn công tăng gấp đôi, thì 26% của một con số lớn hơn có thể vẫn mang lại lợi nhuận tương đương hoặc cao hơn trước đây. Chainalysis không cung cấp số liệu về tổng số vụ, do đó không thể đánh giá liệu “thành công” có giảm về mặt tuyệt đối hay không.
Ví empty ≠ sạch sẽ. Một địa chỉ ví không có giao dịch rõ ràng không có nghĩa là nó vô tội. Kẻ tấn công có thể sử dụng hàng trăm ví mới, mỗi ví chỉ nhận một lần rồi bỏ. Chainalysis có thể đã gắn nhãn một số ví, nhưng những ví mới sinh ra mỗi ngày thì sao? Cơ sở dữ liệu của họ không thể bắt kịp.
Và đây là phần contrarian: phe bò sẽ nói rằng tin tốt này giúp giảm kỳ thị crypto, rằng “crypto không còn là công cụ cho tội phạm”. Họ đúng một phần. Nhưng họ quên rằng chính những báo cáo như thế này tạo ra sự tự mãn. Nếu các cơ quan quản lý tin rằng vấn đề đã được kiểm soát, họ sẽ giảm áp lực đầu tư vào an ninh mạng. Và khi kẻ tấn công thích nghi, họ sẽ quay lại mạnh hơn. Tôi đã thấy kịch bản này trong các vụ rug pull: khi cộng đồng nghĩ rằng mọi thứ đã an toàn, đó là lúc scammer tung ra chiêu mới.
Wash trading là tự hôn mình trong gương. Ransomware cũng vậy: những con số thành công thấp có thể là ảo ảnh do chính phương pháp đo lường tạo ra. Nếu bạn chỉ nhìn vào gương, bạn sẽ thấy khuôn mặt sạch sẽ. Nhưng thực tế, bụi bẩn đang ở sau lưng bạn.
Kết luận của tôi: đừng vội ăn mừng. 26% là một con số thú vị, nhưng nó không thay đổi bản chất của vấn đề. Dòng tiền bất hợp pháp vẫn đang chảy. Công nghệ truy vết on-chain đang tiến bộ, nhưng kẻ xấu cũng không ngủ. Câu hỏi thực sự không phải là “tỷ lệ thành công là bao nhiêu?”, mà là “liệu chúng ta có đang đo lường đúng thứ cần đo?”.
Hãy nhìn vào những gì không được nói trong báo cáo: tỷ lệ sử dụng Monero, số vụ tấn công không được báo cáo, và quan trọng nhất – tổng giá trị thiệt hại có thực sự giảm? Cho đến khi có câu trả lời, tôi sẽ giữ thái độ hoài nghi. Vì trong thế giới on-chain, không có gì là sạch sẽ cho đến khi bạn kiểm tra từng byte.
