46 lần tấn công. 12 lần thành công. 3000万美元 (khoảng 760 tỷ VND) đã bị chiếm đoạt.
Đây không phải số liệu từ một vụ hack smart contract. Không có mã độc, không có lỗ hổng zero-day. Kẻ tấn công chỉ đơn giản đe dọa tính mạng chủ sở hữu tài sản.
Chainalysis vừa công bố dữ liệu về làn sóng wrench attack nhắm vào người nắm giữ tiền mã hóa. Từ đầu năm 2026, các vụ cưỡng ép vật lý đã cướp đi hơn 30 triệu USD từ 12 nạn nhân. Con số này chỉ phản ánh những vụ được báo cáo.
Tôi đã dành 9 năm theo dõi ngành này, kiểm toán các giao thức DeFi, phân tích dòng tiền on-chain. Nhưng wrench attack không nằm trong bất kỳ mô hình rủi ro nào tôi từng xây dựng.
Bởi vì nó vi phạm giả định nền tảng nhất của toàn bộ ngành công nghiệp: rằng tài sản của bạn được bảo vệ bởi mật mã học.
Wrench attack, hay còn gọi là rubber hose cryptanalysis, là phương pháp tấn công không cần kỹ thuật. Kẻ tấn công không cần phá khóa mã hóa. Chúng chỉ cần tìm ra người nắm giữ khóa, sau đó dùng bạo lực hoặc đe dọa để buộc họ tự mở khóa.
Có thể là 4 giờ sáng, ba kẻ đeo mặt nạ đột nhập vào nhà. Một khẩu súng chĩa vào đầu bạn. Chúng biết chính xác bạn có bao nhiêu Bitcoin, lưu trữ ở đâu, thông qua ai. Chúng đưa ra yêu cầu: chuyển tiền hoặc chết.
Bạn sẽ làm gì?
Nếu bạn nghĩ câu trả lời là "không bao giờ khuất phục", bạn chưa từng đối mặt với viễn cảnh người thân của mình bị đe dọa. Bởi vì các cuộc tấn công này không dừng lại ở nạn nhân. Chúng lan sang vợ/chồng, con cái, cha mẹ.
Điều khiến wrench attack trở nên đặc biệt nguy hiểm là sự kết hợp với hai xu hướng công nghệ.
Thứ nhất: dữ liệu KYC bị rò rỉ. Các sàn giao dịch tập trung thu thập thông tin định danh của hàng triệu người dùng. Khi dữ liệu này bị lộ - qua hack hoặc nhân viên nội bộ - kẻ tấn công có được "bản đồ kho báu" chính xác. Chúng biết ai đang nắm giữ tài sản lớn mà không cần phải dò tìm ngẫu nhiên.
Thứ hai: công cụ phân tích on-chain. Blockchain là một cuốn sổ cái công khai. Các công ty như Chainalysis đã xây dựng công nghệ theo dõi dòng tiền. Kẻ xấu sử dụng chính những công cụ này để xác định vị trí ví lớn, theo dõi thói quen giao dịch, và tìm ra thời điểm nạn nhân dễ bị tổn thương nhất.
Kết hợp hai yếu tố này: một cuộc tấn công ngẫu nhiên trở thành một cuộc săn lùng có chủ đích.
Hãy nhìn vào con số 26%. Đó là tỷ lệ thành công của wrench attack (12/46 lần thử). So sánh với tỷ lệ thành công của phishing truyền thống - thường dưới 0.1% - con số này cho thấy mức độ hiệu quả gấp hàng trăm lần.
Và tôi có thể tính toán kinh tế tội phạm ở đây. 30 triệu USD chia cho 12 vụ thành công, trung bình mỗi nạn nhân bị cướp khoảng 2.5 triệu USD. Ngay cả khi kẻ tấn công phải chi 50.000 USD cho việc thu thập thông tin và chuẩn bị, lợi nhuận vẫn lên tới hàng triệu USD mỗi vụ.
Khi tỷ lệ thành công cao và lợi nhuận khổng lồ, đây sẽ là một ngành công nghiệp ngầm phát triển nhanh chóng.
Từ góc nhìn toán ứng dụng, wrench attack là một bài toán tối ưu rất đơn giản: chi phí thấp, xác suất thành công cao, khó bị truy tố vì tính xuyên biên giới. Nhà nước gần như bất lực trong việc xử lý hiệu quả.
Phần lớn cộng đồng crypto sẽ phản ứng theo hướng: "Hãy dùng hardware wallet, đừng khoe khoang tài sản trên mạng xã hội." Lời khuyên này đúng một phần nhưng không giải quyết gốc rễ vấn đề.
Đây chính là điểm mù của ngành này. Chúng ta đang sống trong một hệ sinh thái được xây dựng dựa trên niềm tin rằng công nghệ có thể thay thế niềm tin. Mã hóa bảo vệ tài sản khỏi hacker. Hợp đồng thông minh loại bỏ trung gian. Nhưng không một dòng mã nào bảo vệ bạn khỏi một viên đạn.
Hãy thử nghĩ về điều này: Một hardware wallet được khóa bằng mã PIN. Kẻ tấn công không cần phá mã PIN. Chúng chỉ cần đặt khẩu súng vào đầu bạn và bảo bạn nhập mã PIN. Toàn bộ mô hình bảo mật sụp đổ trong một giây.
Thực tế này đặt ra câu hỏi lớn: chúng ta đầu tư hàng tỷ USD vào việc bảo vệ khóa cá nhân, nhưng chúng ta đã bảo vệ chủ sở hữu khóa cá nhân chưa?
Tình huống này gợi nhớ đến giai đoạn đầu của DeFi. Năm 2020, tôi kiểm toán Uniswap V2 và nhận ra giới hạn của mô hình x*y=k khi thanh khoản thấp. Cộng đồng lúc đó không tin rằng một công thức đơn giản đến vậy có thể chứa lỗ hổng. Bởi vì mọi người đều nghĩ "nếu nó hoạt động, nó sẽ ổn."
Điều tương tự đang xảy ra với bảo mật vật lý. Chúng ta tin rằng công nghệ đã giải quyết xong vấn đề. Nhưng khi mô hình tấn công thay đổi, các giả định cũ trở nên lỗi thời.
Vũ khí duy nhất mà ngành này chưa phát triển là tính năng "plausible deniability" - khả năng từ chối hợp lý. Hãy tưởng tượng một chiếc ví có hai chế độ: một chế độ hiển thị ví "thật" với số dư nhỏ, và một chế độ ẩn hoàn toàn tài sản lớn. Khi bị ép buộc, bạn chỉ cần cung cấp mật khẩu "chế độ giả" - kẻ tấn công thấy số dư ít ỏi, không nghi ngờ, rời đi.
Loại công nghệ này còn sơ khai, nhưng nó định nghĩa hướng đi cho tương lai. Cũng giống như MPC và đa chữ ký từng được coi là xa xỉ, giờ đây chúng là tiêu chuẩn.
Trong bối cảnh thị trường đi ngang, khi dòng vốn trở nên thận trọng, tôi thấy một xu hướng rõ ràng: các quỹ đầu tư và family office tại châu Á đang âm thầm tăng chi tiêu cho bảo mật vật lý. Tại Tokyo, nơi tôi đang sống, một số công ty đã bắt đầu thuê dịch vụ bảo vệ chuyên nghiệp cho các giao dịch lớn. Chi phí cho một giao dịch OTC an toàn có thể lên tới 5 con số. Nhưng so với việc mất toàn bộ tài sản, đây là khoản đầu tư hợp lý.
Câu hỏi không phải là bạn có đủ giàu để bị nhắm đến hay không. Mà là liệu ngành này có chấp nhận thực tế mới: tài sản kỹ thuật số đang trở thành mục tiêu của tội phạm truyền thống.
Các sàn giao dịch cần xem xét lại trách nhiệm của mình. Họ thu thập dữ liệu KYC, họ lưu trữ thông tin khổng lồ về tài sản người dùng. Khi dữ liệu bị rò rỉ, họ phải chịu trách nhiệm - không chỉ về tài sản, mà còn về tính mạng người dùng.
Và những người nắm giữ lớn cần nhận ra: sự im lặng là một chiến lược bảo mật. Không khoe khoang lợi nhuận, không công khai địa chỉ ví, không tham gia các sự kiện khoe tài sản. Mỗi thông tin bạn tiết lộ là một mảnh ghép trong "bản đồ săn mồi" của kẻ xấu.
Ngành công nghiệp này được xây dựng trên niềm tin rằng công nghệ có thể bảo vệ tài sản. Nhưng wrench attack dạy chúng ta bài học đắt giá nhất: mật mã học bảo vệ tài sản của bạn khỏi những kẻ không thể đụng vào bạn. Với những kẻ sẵn sàng đụng vào bạn, mọi mã hóa đều trở thành vô nghĩa.
Vấn đề mà chúng ta đang đối mặt không phải là một lỗ hổng kỹ thuật. Đó là một cuộc khủng hoảng về mô hình bảo mật của toàn ngành. Khi mọi lớp mã hóa đều có thể bị phá vỡ bằng vũ lực, câu hỏi còn lại là: chúng ta có sẵn sàng xây dựng một lớp bảo vệ mới - nơi không chỉ mã hóa mà cả con người được bảo vệ?
