Mở đầu: Khi kẻ tấn công không cần khóa dữ liệu của bạn
Trong 7 ngày qua, một nhóm tin tặc tự xưng là ExfilSquad đã khiến hơn 100.000 cảnh sát Anh đứng trước nguy cơ bị tấn công có chủ đích. Không phải bằng mã độc tống tiền thông thường, mà bằng một phương thức gọi là "Pure Extortion" — thuần túy đánh cắp dữ liệu rồi đe dọa công khai nếu không được trả tiền.
Bạn có bao giờ tự hỏi: điều gì xảy ra khi kẻ tấn công không cần mã hóa hệ thống của bạn, mà chỉ cần chứng minh rằng họ đã sở hữu những gì bạn không thể lấy lại?
Hôm nay, tôi muốn phân tích vụ việc này không chỉ từ góc độ an ninh mạng, mà từ chính lăng kính blockchain — nơi mà "không thể đảo ngược" vừa là lời hứa, vừa là lời nguyền.
Bối cảnh: ExfilSquad và cú đánh vào hệ thống cảnh sát Anh
ExfilSquad là một tổ chức ransomware mới nổi, không có danh tiếng lâu năm như LockBit hay BlackCat. Nhưng điều khiến giới phân tích chú ý không phải tên tuổi, mà là chiến thuật.
Theo The Times, dữ liệu bị đánh cắp bao gồm tên, email và lĩnh vực công tác của hơn 10.000 cảnh sát — con số thực tế có thể lên tới 100.000 nếu tính toàn bộ người đăng ký PNLD (Police National Legal Database). Các nạn nhân không chỉ có lực lượng cảnh sát, mà còn bao gồm Bộ Quốc phòng, Bộ Nội vụ, Cơ quan Tội phạm Quốc gia (NCA) và Cơ quan Công tố Hoàng gia (CPS).
Cụ thể hơn: 2.615 nhân viên CPS, 617 nhân viên Bộ Nội vụ, 588 nhân viên NCA và 402 nhân viên Bộ Quốc phòng. Tổng cộng, ExfilSquad tuyên bố đã xâm nhập 15 công ty và cơ quan chính phủ, bao gồm cả Microsoft — một tuyên bố mà bản thân tôi cho là phóng đại, nhưng không thể loại trừ hoàn toàn.
Điểm đáng chú ý: tổ chức này không đặt ra thời hạn "48 giờ" như thường thấy. Thay vào đó, họ dùng áp lực âm ỉ: đe dọa sẽ không bao giờ xóa dữ liệu, và đặt ra hạn chót vào ngày 5 tháng 8 — đủ dài để nạn nhân cảm nhận được sự bất lực.
Phân tích kỹ thuật: "Pure Extortion" — Nghệ thuật không cần mã hóa
Trong thế giới tài chính phi tập trung, tôi đã quen với những mô hình "không cần niềm tin" (trustless). Nhưng ExfilSquad đang áp dụng một mô hình "không cần mã hóa" (encryption-less) — và điều đó thay đổi mọi tính toán rủi ro.
Chuỗi tấn công không có khâu mã hóa
[Initial Access] → [Data Exfiltration] → [Dark Web Listing] → [Ultimatum] → [Cryptocurrency Payment]Khác với ransomware truyền thống — vốn phải triển khai mã độc, chờ nạn nhân phát hiện, rồi đàm phán — "Pure Extortion" cắt bỏ hoàn toàn bước mã hóa. Kẻ tấn công chỉ cần xâm nhập, tìm dữ liệu nhạy cảm, sao chép và rời đi. Chi phí vận hành thấp hơn, rủi ro bị phát hiện trong quá trình mã hóa thấp hơn, và quan trọng nhất: không có "chìa khóa giải mã" để nạn nhân hy vọng.
Đây giống như một vụ "rug-pull" trong DeFi vậy. Không có hợp đồng thông minh để kiểm tra, không có mã nguồn để audit. Chỉ có một lời hứa — và lời hứa duy nhất ở đây là: "Chúng tôi sẽ phá hủy danh tiếng và sự an toàn của bạn nếu bạn không trả tiền."
Vai trò của tiền mã hóa: Không phải thủ phạm, mà là kênh dẫn
Bài báo gốc của The Times nhắc đến việc tiền chuộc có thể được chuyển qua máy trộn coin (mixer), tiền riêng tư (privacy coin) và các sàn giao dịch phi giám sát. Đây là một cấu trúc quen thuộc với tôi — bởi vì nó giống hệt dòng tiền trong các vụ tấn công mà tôi từng theo dõi từ năm 2021.
Về mặt kỹ thuật, chuỗi rửa tiền điển hình sẽ là:
- Nạn nhân chuyển Bitcoin hoặc Monero đến địa chỉ do ExfilSquad kiểm soát.
- Nếu là Bitcoin, dòng tiền sẽ đi qua máy trộn — như Tornado Cash hoặc các dịch vụ tương tự — để cắt đứt liên kết trên sổ cái công khai.
- Sau đó, tiền được chuyển thành Monero (XMR) hoặc qua các sàn giao dịch phi giám sát để thoát khỏi tầm ngắm của Chainalysis và Elliptic.
- Cuối cùng, chúng được bán ra ngoài sàn (OTC) hoặc qua các sàn không yêu cầu KYC.
Điều quan trọng cần nhấn mạnh: máy trộn coin và tiền riêng tư không tạo ra tội phạm mạng. Chúng chỉ phản ánh nhu cầu có thật về quyền riêng tư trong một hệ thống tài chính mà mọi giao dịch đều có thể bị theo dõi. Đây chính là điểm mù mà các nhà làm luật thường bỏ qua.
Vấn đề dữ liệu: 135.000 hồ sơ bị nghi ngờ phóng đại
Các nhà nghiên cứu độc lập đã bày tỏ nghi ngờ về con số 135.000 hồ sơ mà ExfilSquad tuyên bố sở hữu. Có thể dữ liệu bị trùng lặp, hoặc được thổi phồng để tăng sức ép đàm phán.
Từ kinh nghiệm kiểm tra các dự án DeFi của tôi, đây là một dấu hiệu cho thấy tổ chức này có thể không vững mạnh như họ phô trương. Nhưng nó cũng là một chiến thuật khôn ngoan: trong một cuộc đàm phán tống tiền, "sức mạnh cảm nhận" quan trọng hơn "sức mạnh thực tế". Và trên dark web, không ai có thể kiểm chứng trước khi quá muộn.
Góc nhìn phản trực giác: Lệnh cấm trả tiền chuộc có thể phản tác dụng
Bối cảnh đáng chú ý nhất của vụ việc này: chính phủ Anh đang chuẩn bị cấm các cơ quan khu vực công trả tiền chuộc cho tin tặc. Về mặt lý thuyết, điều này làm giảm động cơ tấn công vào các mục tiêu chính phủ — vì nạn nhân không được phép trả tiền, thì chi phí kỳ vọng của kẻ tấn công sẽ tăng lên.
Nhưng có một nghịch lý ở đây.
Lệnh cấm trả tiền chuộc không ngăn được kẻ tấn công chiếm dữ liệu — nó chỉ ngăn được nạn nhân mua lại sự im lặng. Và khi nạn nhân không thể trả tiền, kẻ tấn công sẽ không có lý do gì để giữ dữ liệu. Xác suất rò rỉ toàn bộ dữ liệu sẽ tăng lên, thay vì giảm xuống.
Điều này giống như việc bạn cấm một người đang bị siết nợ được vay thêm tiền để trả nợ. Về mặt nguyên tắc, bạn ngăn được họ nợ thêm. Về mặt thực tế, bạn đẩy họ vào vũng lầy sâu hơn.
Trong bối cảnh này, tôi nhớ lại câu nói mà tôi vẫn thường chia sẻ với cộng đồng của mình: "DeFi đến, đừng sợ, hãy học." Nhưng bây giờ, tôi phải điều chỉnh: "Ransomware đến, đừng sợ, hãy học." Bởi vì chỉ có hiểu biết về cách hoạt động của dòng tiền mã hóa, về cách kẻ tấn công tư duy, chúng ta mới có thể thiết kế ra các chính sách không phản tác dụng.
Một điểm mù khác: các tổ chức tư nhân — vốn không bị cấm trả tiền chuộc — sẽ trở thành mục tiêu hấp dẫn hơn. ExfilSquad và các nhóm tương tự sẽ không biến mất. Họ sẽ chuyển hướng sang các công ty bảo hiểm, quỹ đầu tư, hoặc các tập đoàn đa quốc gia có túi tiền dày và danh tiếng nhạy cảm.
Bài học từ góc nhìn phi tập trung: Bảo mật không phải là một tính năng, mà là văn hóa
Nếu nhìn vụ việc dưới góc độ blockchain, tôi thấy một sự tương đồng rõ rệt với vấn đề thanh khoản phân mảnh trong Layer 2. Hiện có hàng chục giải pháp Layer 2 — nhưng thanh khoản cơ sở thì vẫn nằm rải rác, không thể kết nối. Điều đó không phải là mở rộng quy mô, mà là cắt nhỏ thanh khoản vốn đã khan hiếm.
Tương tự, dữ liệu của chính phủ Anh nằm rải rác ở hàng chục cơ quan — Bộ Quốc phòng, Bộ Nội vụ, NCA, CPS — với các tiêu chuẩn bảo mật khác nhau. Không có một "lớp thanh khoản" tập trung nào cho thông tin nhạy cảm. Khi một điểm yếu bị khai thác, toàn bộ hệ thống sẽ chảy máu.
Trong quá trình làm việc với các quỹ đầu tư tổ chức vào năm 2024–2025, tôi đã chứng kiến nhiều doanh nghiệp coi bảo mật là một "checkbox" để tuân thủ, thay vì một văn hóa để thực hành hàng ngày. Kết quả là họ chi hàng triệu đô la cho tường lửa và phần mềm diệt virus, nhưng lại để lộ mật khẩu qua email phishing đơn giản.
Vụ ExfilSquad không phải là một vụ hack "cao siêu". Nó có thể bắt đầu từ một tài khoản VPN bị mua trên chợ đen — cái gọi là Initial Access Brokers (IABs) — hoặc một nhân viên bị lừa đảo qua email. Công nghệ blockchain có thể giúp theo dõi dòng tiền chuộc sau khi vụ việc xảy ra, nhưng nó không thể ngăn một nhân viên chính phủ nhấp vào một đường link độc hại. Bảo mật bắt đầu từ con người, không phải từ công nghệ.
"ICO không phải ma thuật, là giáo dục." Tương tự, an ninh mạng không phải ma thuật, cũng là giáo dục. Và giáo dục ở đây phải bao gồm cả việc dạy cho các nhà hoạch định chính sách hiểu rằng: tiền mã hóa không tạo ra tội phạm. Nó chỉ phơi bày những lỗ hổng mà xã hội đã có từ rất lâu.
Kết luận mở: Ai thực sự là nạn nhân?
Khi tôi viết những dòng này, hạn chót ngày 5 tháng 8 đã đến rất gần. Hàng trăm nghìn cảnh sát Anh đang phải đối mặt với nguy cơ bị tấn công có chủ đích, bị lừa đảo qua email, hoặc tệ hơn — bị đe dọa về thể chất. Dữ liệu của họ đã nằm trên dark web, và không có nút "hoàn tác" nào.
Câu hỏi lớn hơn không phải là "ExfilSquad có được trả tiền hay không". Câu hỏi lớn hơn là: tại sao một tổ chức mới nổi, không có danh tiếng, lại có thể xâm nhập vào hệ thống dữ liệu của các cơ quan thực thi pháp luật hàng đầu Vương quốc Anh?
Trong blockchain, chúng ta có một nguyên tắc: "Don't trust, verify." — Đừng tin, hãy kiểm chứng. Nguyên tắc đó nên được áp dụng rộng rãi hơn, không chỉ cho hợp đồng thông minh, mà cho toàn bộ hạ tầng dữ liệu của chúng ta.
Mỗi lần hoảng loạn, nhớ về giáo dục. Khi thị trường đỏ lửa, tôi nói với cộng đồng của mình rằng: sợ hãi là phản ứng tự nhiên, nhưng học hỏi là phản ứng đúng đắn. Bây giờ, tôi muốn nói điều tương tự với các nhà hoạch định chính sách, với các giám đốc an ninh thông tin, và với tất cả những ai đang theo dõi vụ việc này.
Đừng cấm blockchain vì nó là kênh thanh toán của tội phạm. Hãy học cách sử dụng chính blockchain để truy vết, để minh bạch hóa, và để xây dựng một hệ thống bảo mật mà ở đó, dữ liệu không bao giờ là "một nơi duy nhất" có thể bị đánh cắp toàn bộ.
Vì cuối cùng, thứ duy nhất mà ExfilSquad thực sự đánh cắp không phải là dữ liệu. Đó là niềm tin — niềm tin rằng hệ thống có thể bảo vệ những người bảo vệ chúng ta. Và niềm tin, một khi đã mất, không có công nghệ nào có thể khôi phục.
