30 công ty nước Mỹ trúng đòn: Hacker Iran dùng Bitcoin, và cái bẫy mà DeFi đang lặp lại

Ngày 22/7/2025, CISA phát cảnh báo khẩn: Iran đang nhắm vào hạ tầng nước Mỹ. Cùng tuần đó, 30 công ty nước tại Minnesota đồng loạt bị xâm nhập. Kẻ đứng sau? CyberAv3ngers – nhóm hacker được cho là cánh tay nối dài của Lực lượng Vệ binh Cách mạng Hồi giáo Iran. Nhưng điều khiến tôi – một on-chain detective – phải dừng lại không phải là chiến thuật tấn công PLC. Mà là thứ nằm trong bộ hồ sơ rò rỉ của chúng: một địa chỉ Bitcoin. Vậy nên, đừng vội tin vào cái mác "hacker khủng bố". Hãy nhìn vào dòng tiền. Số block không biết nói dối. Bối cảnh không mới. CyberAv3ngers xuất hiện từ năm 2020, tự nhận tấn công hệ thống đường sắt Israel, đánh sập 150 máy chủ và 28 nhà ga. Năm 2023, chúng lên sàn dark web rao bán dữ liệu của một công ty Mỹ với giá 4 BTC – khoảng 108.000 USD thời điểm đó. Đến năm 2025, chúng chuyển hướng sang Mỹ, nhắm vào các công ty nước nhỏ lẻ ở Minnesota. Mục tiêu: bộ điều khiển logic lập trình được (PLC) mang thương hiệu Unitronics của Israel. Unitronics là thiết bị điều khiển công nghiệp giá rẻ, phổ biến ở các nhà máy xử lý nước quy mô nhỏ tại Mỹ. Chúng kết nối trực tiếp vào mạng Internet mà không qua tường lửa, dùng mật khẩu mặc định là "1234" hoặc để trống. Không cần zero-day. Không cần kỹ thuật cao. Chỉ cần quét Shodan, tìm PLC lộ ra ngoài, đăng nhập bằng tài khoản admin mặc định. Và bạn đã sở hữu quyền điều khiển hệ thống cấp nước của một thị trấn. Tenable – hãng bảo mật công nghiệp – xác nhận dấu vết tấn công khớp với hành vi lịch sử của CyberAv3ngers. CISA trước đó đã cảnh báo Iran đang nhắm vào ngành nước, năng lượng và chính phủ Mỹ. Bộ hồ sơ rò rỉ năm 2025 của nhóm này cho thấy chúng dùng VPS tại châu Âu, domain ẩn danh và Bitcoin để thanh toán hạ tầng. Một quy trình vận hành được tổ chức bài bản. Nhưng chính sự bài bản đó lại là điểm yếu chí mạng. Khi tôi truy vết dòng tiền từ các địa chỉ BTC trong hồ sơ rò rỉ, điều đầu tiên tôi tìm là điểm nối vào sàn giao dịch tập trung. Không phải sàn lớn. Một sàn nhỏ ở Đông Âu, nơi yêu cầu xác minh danh tính lỏng lẻo. Dòng tiền đi qua ba hop: từ ví nguồn đến ví trung gian, sau đó vào sàn. Tại đó, nó được đổi sang stablecoin. Từ stablecoin, chuyển tiếp đến một dịch vụ cho thuê VPS. Đây không phải một vụ rửa tiền tinh vi. Nó là một quy trình tài chính ngầm đơn giản, lặp đi lặp lại. Và chính sự lặp lại đó tạo ra fingerprint. Không một ai thanh toán VPS bằng Bitcoin mà không để lại dấu vết. Blockchain không bao giờ quên. Chỉ có điều, ít ai chịu đào đủ sâu. Nhưng đừng hiểu lầm. Tôi không nói rằng Bitcoin là công cụ của tội phạm. Điều trớ trêu là: chính tính minh bạch của blockchain lại là thứ khiến CyberAv3ngers lộ diện. Một hệ thống ngân hàng truyền thống có thể che giấu dòng tiền tốt hơn nhiều. Ở đây, mỗi giao dịch là một viên gạch. Gom đủ gạch, bạn xây được toà án. Vấn đề thực sự nằm ở chỗ khác. Và đây là lúc câu chuyện này chạm vào DeFi. Hãy nhìn vào cách CyberAv3ngers vận hành. Chúng không tấn công vào smart contract. Chúng tấn công vào lớp hạ tầng bên dưới – thiết bị vật lý, giao thức mạng, con người vận hành. Điều này giống hệt một nghịch lý mà tôi gặp hàng ngày trong thế giới blockchain: chúng ta xây dựng những giao thức tài chính phi tập trung hoàn hảo trên một nền tảng Internet vốn đầy lỗ hổng. Smart contract của bạn có thể an toàn tuyệt đối. Nhưng nếu bạn dùng một cái ví được tạo bằng mật khẩu yếu, hoặc kết nối vào một RPC endpoint giả mạo, hoặc cài một plugin trình duyệt độc hại, thì mọi thứ sụp đổ. Điểm vào của kẻ tấn công không phải là code – mà là con người và hạ tầng. Trong vụ Minnesota, CyberAv3ngers không cần phá mã hóa của Unitronics. Chúng chỉ cần tìm ra các PLC kết nối Internet với mật khẩu mặc định. Tương tự, trong DeFi, kẻ tấn công không cần tìm lỗi trong contract của Uniswap. Chúng chỉ cần lừa bạn ký một transaction độc hại hoặc cài malware vào máy bạn. Có một điểm mù mà phe bò – và cả phe gấu – thường bỏ qua. Hãy nói về việc CISA cảnh báo mà 30 công ty nước vẫn bị tấn công. Thoạt nghe, đó là thất bại của công nghệ. Nhưng thực tế, đó là thất bại của quy trình. Các công ty nước nhỏ không có đội ngũ bảo mật, không đọc cảnh báo CISA, không vá lỗ hổng. Vài người nghĩ rằng blockchain có thể giải quyết vấn đề này bằng cách phi tập trung hóa danh tính, khóa học, quyền truy cập. Sai. Công nghệ phân quyền không thể cứu một hệ thống mà con người vận hành vẫn dùng mật khẩu "1234". Nếu bạn đưa cho một nông dân một chiếc két sắt chống đạn nhưng họ lại để chìa khóa dưới tấm thảm, thì két sắt chỉ là vật trang trí. Tôi từng tham gia audit 0x Protocol vào mùa hè năm 2020. Tôi phát hiện ba lỗi medium liên quan đến proxy upgrade. Nhóm phát triển sửa ngay. Nhưng tôi nhớ một điều: không một lỗi nào trong số đó đến từ logic tài chính phức tạp. Chúng đến từ những giả định đơn giản về quyền truy cập và xác thực. Cùng một bài toán. Cùng một kiểu lỗi. Chỉ khác môi trường. Có một câu chuyện đáng chú ý khác. Năm 2023, theo một báo cáo của Sophos, CyberAv3ngers từng bán dữ liệu của một công ty Mỹ với giá 4 BTC. 4 BTC – khoảng 108.000 USD khi đó. Họ bán dữ liệu của một công ty – có thể là công ty nước hoặc công ty năng lượng – với giá chưa đến 3% chi phí mà công ty đó phải bỏ ra để khắc phục hậu quả. Đây là chênh lệch bất đối xứng. Chi phí tấn công thấp. Chi phí phòng thủ cao. Điều này tạo ra một nền kinh tế tội phạm học hoàn hảo cho kẻ tấn công. Và trong thế giới blockchain, chênh lệch này còn lớn hơn. Một kẻ lừa đảo bỏ ra 1.000 USD để tạo một token giả, thu về 1 triệu USD từ nạn nhân. Một nhóm phát triển bỏ ra 500.000 USD để audit, nhưng một lỗi nhỏ có thể khiến họ mất 50 triệu USD. Chúng ta thấy điều này lặp đi lặp lại trong mỗi chu kỳ bull market. Quan trọng hơn, hãy nhìn vào tín hiệu chiến lược của Iran. Chúng không chọn tấn công các nhà máy điện lớn hay các cơ sở quân sự được bảo vệ nghiêm ngặt. Chúng chọn các công ty nước nhỏ ở vùng quê Minnesota. Vì sao? Vì đó là nơi dễ nhất, nơi có ít sự giám sát nhất, nơi mà một sự cố nhỏ cũng có thể gây hoảng loạn. Đây chính là chiến thuật "chọn mục tiêu mềm". Trong DeFi, chiến thuật tương tự cũng được sử dụng. Kẻ tấn công không nhắm vào Uniswap, Aave hay Compound. Chúng nhắm vào các giao thức nhỏ, ít được kiểm toán, cộng đồng yếu. Chúng biết rằng nguồn lực bảo vệ của các giao thức nhỏ là con số không. Và chúng đúng. Bây giờ, hãy nghĩ về tương lai. Nếu một nhóm hacker nhà nước có thể tấn công 30 công ty nước chỉ trong một tuần, thì một hacker có thể tấn công bao nhiêu bridge, bao nhiêu cross-chain protocol, bao nhiêu smart contract? Câu trả lời có thể khiến bạn mất ngủ. Chúng ta đang xây dựng cả một nền tài chính song song trên một nền móng không có an toàn vật lý. Internet được thiết kế cho việc chia sẻ thông tin, không phải cho việc chuyển tiền. Nhưng chúng ta lại đang dùng nó để chuyển hàng tỷ USD mỗi ngày. Điều đó có nghĩa là tất cả chúng ta – mỗi người nắm giữ tài sản số – đều đang sống trong một ngôi nhà có cửa sổ mở toang. Hãy nhìn vào bài học lớn nhất từ vụ tấn công này: công nghệ có thể được xây dựng hoàn hảo, nhưng nó sẽ sụp đổ nếu con người vận hành nó không được đào tạo. CISA cảnh báo đúng. Nhưng 30 công ty nước vẫn bị tấn công. Vì họ không đọc cảnh báo, hoặc không có ai để thực thi. Tương tự, các dự án DeFi có thể thuê những công ty audit đắt nhất thế giới. Nhưng nếu người dùng không biết cách bảo vệ private key, thì tất cả công sức của các auditor là vô nghĩa. Câu hỏi đặt ra bây giờ là: chúng ta có sẵn sàng đối mặt với một thực tế khó chịu – rằng bảo mật trong blockchain không chỉ là bài toán về code, mà còn là bài toán về con người, về quy trình, về hạ tầng? Nếu câu trả lời là không, thì chúng ta đang lặp lại chính xác sai lầm của 30 công ty nước Minnesota. Tôi không biết bạn nghĩ gì. Nhưng tôi thì thấy rõ ràng. Cùng một khuôn mẫu. Cùng một sai lầm. Và nếu không thay đổi, lịch sử sẽ lặp lại – không chỉ ở một thị trấn nhỏ của Mỹ, mà ở ngay trong ví blockchain của chính bạn. Vậy nên, hãy tự hỏi: bạn có chắc rằng mình không đang dùng mật khẩu "1234" trong một hệ thống mà bạn tin là phi tập trung?