NFT: sáu người bị truy tố tại Hoa Kỳ vì hút cạn ví tiền điện tử từ Madagascar

Vào ngày 28 tháng 10 năm 2026, sáu người đã bị truy tố tại Hoa Kỳ vì vai trò bị cáo buộc trong một chiến dịch rút tiền từ ví tài sản mã hóa quy mô lớn nhắm vào những người nắm giữ NFT, thực hiện từ Madagascar. Vụ việc này, với tổn thất ước tính hơn 500.000 đô la, minh chứng cho sự dễ bị tổn thương kéo dài của người dùng trước các cuộc tấn công khai thác quyền ký tên gian lận, một rủi ro khác biệt với các lỗ hổng kỹ thuật của blockchain. Bối cảnh Thị trường NFT, sau thời kỳ bùng nổ vào năm 2021-2022, đã chứng kiến sự sụt giảm mạnh, với tổng vốn hóa giảm đi ba lần kể từ mức đỉnh. Bất chấp sự suy thoái này, các cuộc tấn công nhắm vào những nhà sưu tập và nhà đầu tư vẫn diễn ra thường xuyên, thường thông qua các kỹ thuật "wallet draining" – các tập lệnh độc hại dụ dỗ nạn nhân ký các giao dịch cho phép kẻ tấn công truy cập vào tài sản của họ. Những cuộc tấn công này ít khai thác lỗ hổng của giao thức mà chủ yếu khai thác sự thiếu hiểu biết của người dùng, đặc biệt là trong việc quản lý quyền hạn. Vụ việc hiện tại nằm trong một chuỗi các cuộc truy tố tư pháp của Hoa Kỳ đối với các hành vi gian lận liên quan đến tài sản mã hóa, phản ánh quyết tâm ngày càng tăng của các cơ quan chức năng trong việc trừng phạt các hoạt động bất hợp pháp trên blockchain. Việc chọn Madagascar làm căn cứ hoạt động bị cáo buộc gợi nhớ đến những thách thức trong việc định vị các tác nhân độc hại trong một hệ sinh thái phi tập trung, nơi các biên giới địa lý bị xóa nhòa. Ngoài ra, thị trường NFT, vốn đã bị suy yếu do thanh khoản giảm, có thể đối mặt với sự mất niềm tin gia tăng nếu những vụ việc như vậy tiếp tục nhân rộng. Các sự kiện Theo The Defiant , được dẫn lại bởi CryptoActu , FBI ước tính tổn thất liên quan đến vụ việc này là 516.695 đô la, chia cho 74 ví được xác định là nạn nhân. Các cáo buộc nhắm vào sáu người, trong đó danh tính và các tội danh cụ thể chưa được tiết lộ. Các hoạt động bị cáo buộc được cho là đã được điều phối từ Madagascar, mặc dù chi tiết về cơ chế phối hợp hoặc cơ sở hạ tầng được sử dụng vẫn còn mơ hồ. Dữ liệu từ CryptoScore Pro vào lúc 00:19 UTC ngày 28 tháng 10 năm 2026 cho thấy bối cảnh thị trường tương đối ổn định, với Bitcoin (BTC) ở mức 80.671 đô la (+0,67% trong 24 giờ) và Ether (ETH) ở mức 2.344 đô la (+0,82% trong 24 giờ). Chỉ số Crypto Fear & Greed đứng ở mức 48/100 vào ngày 27 tháng 10, cho thấy tâm lý trung lập của các nhà đầu tư. Những chỉ số này gợi ý rằng vụ việc không gây ra tác động tức thời đến giá của các loại tiền điện tử chính. Các tổn thất chủ yếu liên quan đến các token có thể thay thế, đặc biệt là USDT, thay vì bản thân các NFT, mặc dù các NFT này đóng vai trò là điểm xâm nhập cho các cuộc tấn công. Cơ chế này dựa trên các quyền chi tiêu không giới hạn ( setApprovalForAll ), cho phép kẻ tấn công chuyển tài sản mà không cần sự xác nhận mới từ nạn nhân. Không có thông tin nào được công bố về các bộ sưu tập NFT cụ thể bị nhắm tới, cũng như lộ trình của các khoản tiền sau khi bị chuyển đi. Bản tuyên thệ của FBI, được trích dẫn bởi nguồn tin, đề cập đến các quyền hạn không giới hạn đối với USDT là vectơ tấn công chính. Loại quyền này, thường được sử dụng trong các tương tác với hợp đồng thông minh, có thể bị lợi dụng nếu địa chỉ thụ hưởng bị kiểm soát bởi các tác nhân độc hại. Khác với việc đánh cắp khóa riêng (private key), phương pháp này không yêu cầu xâm nhập trực tiếp vào bảo mật của ví, mà thay vào đó khai thác một chữ ký thu được dưới những lý do giả mạo. Hiểu các khái niệm chính Wallet drainer Một wallet drainer là một tập lệnh hoặc chương trình độc hại được thiết kế để rút sạch tài sản tiền điện tử từ một chiếc ví bằng cách dụ dỗ chủ sở hữu ký một giao dịch hoặc một quyền hạn. Khác với một vụ hack truyền thống vốn khai thác lỗ hổng kỹ thuật, phương pháp này dựa trên sự lừa dối: nạn nhân tin rằng họ đang ký một thao tác vô hại (như mua một NFT hoặc truy cập một dịch vụ), trong khi thực tế họ đang cấp quyền truy cập rộng rãi vào tiền của mình. Ví dụ, một người dùng có thể nhấp vào một liên kết gian lận hứa hẹn một đợt airdrop, sau đó xác nhận một quyền hạn cho phép kẻ tấn công chuyển toàn bộ USDT của họ mà không cần xác nhận lại. Quyền chi tiêu ( approval hoặc setApprovalForAll ) Một spending allowance (phê duyệt chi tiêu) là một tính năng của các blockchain như Ethereum, cho phép người dùng cấp quyền cho một hợp đồng thông minh hoặc một địa chỉ bên thứ ba được di chuyển một số tài sản của họ. Ví dụ, khi một người sở hữu NFT tương tác với một chợ giao dịch như OpenSea, họ thường phải ký một bản phê duyệt để nền tảng có thể chuyển các token của họ khi thực hiện giao dịch bán. Một phê duyệt unlimited (không giới hạn) sẽ cấp quyền truy cập vĩnh viễn cho đến khi nó bị thu hồi. Trong vụ việc tại Madagascar, những kẻ tấn công được cho là đã khai thác cơ chế này bằng cách lấy được các phê duyệt đối với USDT, cho phép chúng rút cạn tiền của nạn nhân mà không làm họ cảnh giác. Seed phrase và bảo mật ví Seed phrase (hoặc cụm từ khôi phục) là một chuỗi các từ được tạo ra khi khởi tạo ví tài sản mã hóa, đóng vai trò là khóa chính để truy cập vào các khoản tiền. Nếu cụm từ này bị lộ, kẻ tấn công có thể chiếm quyền kiểm soát hoàn toàn ví. Tuy nhiên, trong trường hợp của các wallet drainers , seed phrase không nhất thiết bị đánh cắp: chính một bản phê duyệt độc hại đã cho phép việc rút cạn tiền diễn ra. Điều này nhấn mạnh một hạn chế thường gặp trong nhận thức về bảo mật: việc bảo vệ seed phrase là không đủ nếu các phê duyệt nguy hiểm vẫn còn hoạt động. Ví dụ, một người dùng có thể có một chiếc ví bảo mật, nhưng vẫn mất tiền sau khi ký một bản phê duyệt không giới hạn cho một hợp đồng gian lận. Phân tích: Các vấn đề then chốt Vụ án sáu bị cáo bị buộc tội rút cạn ví NFT từ Madagascar đã làm nổi bật các cơ chế kinh tế và tài chính đặc thù của tài sản mã hóa, nơi bảo mật phụ thuộc vào hành vi cá nhân cũng như cơ sở hạ tầng kỹ thuật. Theo CryptoActu , tổn thất ước tính 516.695 đô la trên 74 ví là kết quả của các phê duyệt chữ ký gian lận, một vectơ tấn công vượt qua các lớp bảo vệ…