Đặc vụ FBI đọc seed phrase, rút hơn 1,1 triệu USD từ ví tịch thu: bài học về kẻ trộm được trao chìa khóa"

a khóa", "article": "Ngày 31 tháng 7 năm 2025, Patrick Steven Yaroch, một đặc vụ giám sát của FBI chuyên hoạt động trong lĩnh vực phản gián, bị bắt giữ tại khu vực Đông Virginia và bị sa thải trong cùng một ngày. Cáo trạng liên bang cáo buộc anh ta vận chuyển tài sản ăn cắp qua ranh giới bang và nhận tài sản ăn cắp — hai tội danh, mỗi tội có mức án tối đa 10 năm tù. Số tài sản liên quan lên tới 1.122.327 USD tiền mã hóa, được rút từ những chiếc ví do FBI kiểm soát sau khi tịch thu từ một chiến dịch điều tra tài chính phi pháp.\n\nĐiều khiến vụ án này khác biệt so với hàng trăm vụ hack từng xảy ra: Yaroch không khai thác lỗ hổng phần mềm, không cài mã độc, không lừa bất kỳ ai ký giao dịch. Anh ta chỉ mở hệ thống nội bộ của FBI, tìm kiếm các tài khoản chứa seed phrase của những ví tiền mã hóa bị tịch thu, đọc chúng, ghi nhớ, rồi tạo một chiếc ví cá nhân trên ứng dụng Slush để nhận tài sản. Trong thế giới tài sản số, kẻ nguy hiểm nhất không phải là hacker đến từ bên ngoài, mà là người đã được tổ chức trao chìa khóa ngay từ đầu.\n\nVụ án buộc chúng ta phải nhìn lại một câu hỏi tưởng như đã cũ: khi cơ quan thực thi pháp luật tịch thu tài sản mã hóa, họ giữ chúng bằng cách nào? Với tài sản pháp định, tiền nằm trong tài khoản ngân hàng có bảo hiểm, có kiểm toán, có quy trình rõ ràng. Với tài sản mã hóa, đặc biệt là những ví tự quản lý, thứ duy nhất giữ được tài sản là một chuỗi 12 hoặc 24 từ tiếng Anh — seed phrase. Nếu chuỗi từ này được lưu trữ theo cách có thể tra cứu bởi nhiều người, toàn bộ tài sản chỉ còn là một bí mật được canh giữ bởi quy trình nội bộ. Và quy trình nội bộ đó đã thất bại.\n\nNhân vật chính của vụ án không phải là một kẻ mới vào nghề. Yaroch gia nhập FBI từ năm 2017, sở hữu quyền truy cập tài liệu Tối mật và Thông tin nhạy cảm phân chia. Anh ta từng công tác tại văn phòng hiện trường Boston trước khi được điều về trụ sở chính, rồi được biệt phái sang một cơ quan tình báo khác từ tháng 2 năm 2025. Chính trong thời gian được biệt phái, nhưng vẫn còn nguyên quyền truy cập hệ thống cũ, anh ta bắt đầu hành động. Hồ sơ tòa án ghi nhận từ cuối năm 2024, Yaroch thực hiện từ 10 đến 12 giao dịch chuyển tiền mã hóa từ các địa chỉ do FBI kiểm soát sang các địa chỉ do chính anh ta tạo. Không một giao dịch nào bị chặn lại, không một cảnh báo nào được kích hoạt.\n\nVài tháng trước đó, thị trường từng chứng kiến một cú sốc tương tự nhưng đến từ bên ngoài. Tháng 3 năm 2025, Cơ quan Cảnh sát Liên bang Mỹ mất 46 triệu USD tiền mã hóa trong một vụ hack trực tiếp. Vụ Yaroch chỉ bằng khoảng 2% con số đó, nhưng bản chất khác hẳn. Vụ USMS chứng minh một cơ quan chính phủ có thể bị tấn công từ bên ngoài. Vụ Yaroch chứng minh một điều còn đáng lo hơn: kẻ tấn công không cần phá tường, vì hắn đã đứng bên trong tòa nhà.\n\nHồ sơ tòa án không tiết lộ cơ chế khiến FBI phát hiện ra hành vi này. Nhưng từ chuỗi sự kiện có thể suy ra rằng cuộc điều tra bắt đầu từ một hoạt động rà soát nội bộ thường kỳ, sau khi thiệt hại đã diễn ra trong nhiều tháng. Điều đó cho thấy vấn đề không nằm ở việc FBI thiếu công cụ giám sát, mà nằm ở việc các công cụ ấy chỉ được kích hoạt khi có dấu hiệu bất thường đủ lớn. Trong hầu hết các cuộc kiểm toán tôi từng tham gia, phát hiện sớm luôn rẻ hơn phục hồi muộn — nhưng nhiều tổ chức chỉ nhận ra điều này sau khi đã mất tiền.\n\nTrong hơn một thập kỷ quan sát thị trường, tôi đã ghi nhận nhiều vụ mất cắp được giải thích bằng những thuật ngữ phức tạp: reentrancy, flash loan, private key leakage. Nhưng có một nguyên tắc xuyên suốt mà tôi rút ra từ lần đầu kiểm toán hợp đồng thông minh vào năm 2018: lỗ hổng nghiêm trọng nhất không nằm ở những hàm phức tạp, mà nằm ở giả định về quyền truy cập. Hồi đó, tôi dành ba tháng rà từng dòng mã của một dự án ICO mà tôi tin là tiềm năng. Tôi tìm thấy sáu lỗ hổng, trong đó có một lỗ có thể khiến 500 ETH bốc hơi chỉ vì biến kiểm soát admin được khởi tạo với giá trị mặc định. Vụ án FBI không liên quan đến mã nguồn, nhưng cấu trúc rủi ro giống hệt: hệ thống lưu trữ của họ có một biến admin được cài sẵn ở chế độ có thể tra cứu bởi bất kỳ ai sở hữu tài khoản nội bộ. Hậu quả là một người duy nhất có thể gây ra thiệt hại 1,12 triệu USD mà không cần vượt qua một rào cản kỹ thuật nào.\n\nVề bản chất kỹ thuật, seed phrase là một điểm lỗi đơn lẻ được thiết kế cho cá nhân, không phải cho tổ chức. Cá nhân có thể giữ nó trong ngăn kéo, trong két sắt, hoặc trong đầu. Tổ chức buộc phải có quy trình kiểm toán: chia nhỏ thành nhiều mảnh, yêu cầu nhiều chữ ký, và không cho phép bất kỳ một người nào tái tạo toàn bộ chuỗi từ. Cơ chế threshold signature và multi-sig đã tồn tại từ lâu trong ngành lưu ký; chúng không phải là công nghệ xa lạ. Vậy mà hồ sơ vụ án không hề đề cập đến việc FBI áp dụng bất kỳ cơ chế nào trong số đó. Yaroch có thể tìm kiếm — chữ dùng trong bản tường trình là 'search' — nghĩa là seed phrase được lưu dưới dạng văn bản có thể đọc được và có thể tìm kiếm được trong hệ thống. Nếu chúng được mã hóa bằng khóa phần cứng, nếu chúng được chia thành nhiều phần và cần hai người trở lên mới khôi phục, câu chuyện này có lẽ đã không xảy ra.\n\nTrong lĩnh vực điều tra số, có một khái niệm gọi là chuỗi lưu giữ bằng chứng — chain of custody. Mỗi khi bằng chứng được chuyển giao giữa các cá nhân hoặc tổ chức, phải có biên bản, chữ ký và dấu thời gian. Nếu chuỗi này bị phá vỡ, bằng chứng không còn giá trị trước tòa. Vụ án này phơi bày một nghịch lý: FBI áp dụng quy trình chuỗi lưu giữ rất nghiêm ngặt cho bằng chứng pháp điển — ảnh chụp, đoạn ghi âm, hồ sơ điện tử — nhưng lại không áp dụng cho thứ có giá trị lớn gấp nhiều lần: chìa khóa của tài sản số. Với tiền mã hóa, chuỗi lưu giữ chính là seed phrase. Khi một người không có thẩm quyền đọc được nó, chuỗi lưu giữ đã bị phá vỡ — và tài sản coi như mất, bất kể blockchain có ghi nhận mọi giao dịch một cách minh bạch đến đâu.\n\nSố liệu on-chain vẽ ra một bức tranh rõ ràng. Tổng số tiền bị chiếm đoạt là 1.122.327 USD, trong đó 933.757 USD nằm trên giao thức cho vay Suilend thuộc hệ sinh thái Sui, và 188.570 USD nằm trong một tài khoản tại Kraken. Sau khi Yaroch bị bắt, 925.426 USD được chuyển trở lại ví do chính phủ kiểm soát, đạt tỷ lệ thu hồi 82,5%. Khoảng 196.901 USD còn lại chưa có lời giải thích rõ ràng. Yaroch khai chưa từng sử dụng số tiền này, và các điều tra viên không tìm thấy dấu hiệu tiêu xài lớn. Phần chênh lệch có thể đến từ phí giao dịch, trượt giá thanh khoản hoặc biến động tỷ giá trong những lần chuyển. Nhưng có một cách đọc khác: tỷ lệ thu hồi cao không phải vì FBI kiểm soát tốt, mà vì Yaroch chưa kịp hoàn tất kế hoạch rửa tiền. Nếu anh ta có thêm ba ngày, hoặc nếu chuyến bay đến Bồ Đào Nha đúng kế hoạch, con số đó có thể đã rất khác.\n\nKế hoạch bỏ trốn của Yaroch cho thấy một tâm lý thú vị. Điện thoại của anh ta chứa lịch sử ChatGPT hỏi về cách di chuyển đến Bồ Đào Nha, một vé máy bay của TAP Air Portugal, và một giấy ủy quyền dành cho một luật sư người Bồ Đào Nha. Anh ta không hỏi bạn bè, không hỏi đồng nghiệp cũ, không tìm đến bất kỳ dịch vụ tư vấn nào. Anh ta hỏi một mô hình ngôn ngữ. Có lẽ vì anh ta hiểu rằng hỏi một con người đồng nghĩa với việc tạo ra một nhân chứng tiềm năng, và một AI sẽ không phản bội — cho đến khi chiếc điện thoại bị niêm phong và toàn bộ lịch sử trò chuyện trở thành bằng chứng trước tòa. Trong thế giới tiền mã hóa, mọi thứ đều để lại dấu vết. Dấu vết đó không bao giờ chỉ nằm trên blockchain; nó nằm cả trong thói quen của chính tội phạm.\n\nCó một chi tiết khiến tôi dừng lại lâu hơn mọi con số: Yaroch chọn ứng dụng Slush để nhận tài sản vì anh ta thích logo hình giọt nước. Một đặc vụ phản gián có quyền truy cập tối mật, quen thuộc với kỹ thuật điều tra tài chính, lại chọn một công cụ bảo mật dựa trên tiêu chí thẩm mỹ. Điều này không khiến tôi ngạc nhiên. Năm 2021, trong một tháng phỏng vấn 20 dự án NFT, tôi thu thập dữ liệu về nhóm phát triển, mã nguồn và cộng đồng; kết quả cho thấy phần lớn người tham gia quyết định dựa trên hình ảnh hồ sơ, độ hot trên mạng xã hội, hoặc lời khuyên từ một người có sức ảnh hưởng — chứ không phải dựa trên báo cáo kiểm toán. Sự thật nằm ở mã nguồn, không nằm ở logo. Nhưng số đông vẫn chọn logo. Và khi một đặc vụ FBI cũng hành xử theo cách đó, câu hỏi đặt ra là: một nhà đầu tư bình thường, đang hưng phấn trong thị trường tăng giá, liệu có làm tốt hơn?\n\nCần nói rõ để tránh hiểu lầm: Sui Network, Suilend, Kraken và Trezor — tất cả các thực thể xuất hiện trong vụ án — đều hoạt động đúng theo thiết kế. Không có lỗ hổng hợp đồng thông minh, không có oracle bị thao túng, không có khóa riêng bị rò rỉ từ phía sàn giao dịch. Mạng Sui xử lý các giao dịch hợp lệ. Suilend thực hiện lệnh rút của một người dùng đang sở hữu quyền kiểm soát ví. Kraken ghi nhận một khoản tiền gửi đến từ tài khoản đã xác minh. Về mặt kỹ thuật, toàn bộ hệ sinh thái không hề có lỗi. Nhưng chính điều đó lại là thông điệp khó nuốt nhất: bảo mật cấp độ giao thức không thể cứu bạn khỏi một kẻ nội gián nắm giữ chìa khóa. Tôi thường nói với cộng sự rằng một hệ thống chỉ mạnh bằng giả định yếu nhất của nó. Vụ án này đã chỉ ra giả định yếu nhất không nằm ở mã, mà nằm ở con người.\n\nĐối với hệ sinh thái Sui, vụ việc này là một phép thử truyền thông. Trên các diễn đàn, sẽ có người gắn nhãn Suilend hoặc Slush wallet với vụ trộm, dù không có bằng chứng kỹ thuật nào. Tôi đã chứng kiến kiểu suy diễn này nhiều lần: một sự cố do quản lý khóa kém bị quy kết thành lỗ hổng giao thức. Người dùng cần phân biệt hai khái niệm: tài sản bị đánh cắp vì hợp đồng thông minh có lỗi, và tài sản bị đánh cắp vì seed phrase nằm trong tay một kẻ xấu. Trường hợp của Yaroch thuộc về loại thứ hai. Blockchain Sui vẫn hoạt động, Suilend vẫn trả lãi và cho vay đúng thiết kế; thứ thất bại là quy trình lưu trữ của một cơ quan liên bang.\n\nĐiều nghịch lý là câu chuyện này có thể bị đọc sai thành một bản án dành cho DeFi. Trên mạng xã hội, nhiều người có thể lập luận: một đặc vụ dùng ví Slush, rút tiền từ Suilend, chuyển qua Kraken — nghĩa là hệ sinh thái Sui không an toàn. Nhưng sự thật ngược lại. Suilend không bị tấn công; nó chỉ cho phép chủ sở hữu ví rút tiền. Kraken không bị hack; nó nhận tiền gửi từ một tài khoản hợp lệ. Toàn bộ chuỗi cung ứng — từ lớp L1, đến giao thức cho vay, đến sàn giao dịch — đã hoàn thành nhiệm vụ chính xác đến từng chi tiết. Kẻ thất bại duy nhất là quy trình lưu trữ seed phrase của FBI. Nói cách khác, nếu bạn đang tự quản lý tài sản, vụ án này là một lời khẳng định mạnh mẽ: tài sản nằm trên blockchain nào không quan trọng bằng việc ai đang nắm giữ seed phrase của bạn. Bạn có thể sở hữu một chiếc két sắt không thể phá, nhưng nếu bạn dán mã số lên trán, thì mọi lớp thép đều trở nên vô nghĩa.\n\nNhưng có một tầng sâu hơn. Nếu FBI — cơ quan thực thi pháp luật hàng đầu thế giới — lưu trữ seed phrase theo cách mà một nhân viên có thể tra cứu, đọc và ghi nhớ, thì những bên trung gian mà chúng ta vẫn giao phó tài sản liệu có đáng tin cậy hơn? Trong lịch sử tiền mã hóa, các vụ mất cắp lớn đến từ sàn giao dịch sụp đổ, từ cầu nối bị khai thác