Hook
Ba người dùng kiện Apple. Số tiền mất: 1,8 triệu đô la Bitcoin. Thủ phạm? Một ứng dụng Sparrow Wallet giả mạo nằm ngay trong App Store. Không phải lỗi smart contract, không phải hack sàn, mà là một cú lừa giao diện tinh vi đến mức ngay cả người dùng có kinh nghiệm cũng mắc bẫy. Tin nóng đây, và tôi đã săn được nó từ một tweet tưởng vô hại.
Context
Sparrow Wallet là một trong những ví Bitcoin desktop mã nguồn mở uy tín nhất dành cho người dùng chuyên nghiệp. Điểm mạnh của nó là khả năng kiểm soát coin (coin control) và bảo mật cấp độ cao. Quan trọng hơn: Sparrow Wallet chưa bao giờ có ứng dụng iOS chính thức. Đây là điểm mù mà kẻ tấn công khai thác triệt để. Họ tạo một bản sao hoàn hảo về icon, tên, mô tả, đưa lên App Store. Người dùng tìm kiếm “Sparrow Wallet” trên iOS, thấy ứng dụng có xếp hạng cao, tải về, nhập seed phrase – và thế là mất sạch. Sự việc xảy ra vào cuối năm 2023, ba nạn nhân đã khởi kiện Apple tại Mỹ, cáo buộc công ty không thực hiện đúng trách nhiệm thẩm định ứng dụng.
Core
Hãy nhìn vào con số: 1,8 triệu đô la – đó là tổng thiệt hại được báo cáo từ ba nạn nhân. Nhưng thực tế có thể lớn hơn nhiều, bởi không phải ai cũng dám lên tiếng. Kẻ tấn công đã làm gì? Đầu tiên, chúng copy toàn bộ giao diện mã nguồn mở của Sparrow Wallet (vì Sparrow là open-source, ai cũng có thể lấy code). Thứ hai, chúng thêm vào một backend server riêng, nơi tất cả seed phrase người dùng nhập vào được gửi thẳng đến máy chủ của hacker, thay vì được mã hóa và lưu trữ an toàn trên thiết bị. Từ góc nhìn của một chuyên gia giám sát thị trường 7x24 như tôi, đây là một cuộc tấn công “social engineering + interface fraud” kinh điển, nhưng được thực hiện trên nền tảng mà người dùng tin tưởng nhất: App Store của Apple.
Tôi đã từng phát hiện lỗ hổng ICO Enigma năm 2017 nhờ đọc smart contract trong 2 giờ. Lần này, lỗ hổng không nằm trong code, mà nằm trong lòng tin của người dùng vào Apple. Khi bạn mở App Store, bạn mặc định mọi thứ đã được kiểm duyệt. Nhưng thực tế, quy trình thẩm định của Apple không thể phát hiện một ứng dụng “giả mạo thương hiệu” nếu nó không chứa mã độc rõ ràng. Nó chỉ đơn giản là một bản sao của Sparrow Wallet, nhưng với một server khác. Lỗ hổng này giống như một cánh cửa bí mật mở ra từ bên trong một ngôi nhà vốn được cho là an toàn nhất.
Contrarian
Điều trớ trêu là: vụ kiện này có thể cứu Sparrow Wallet, thay vì giết chết nó. Nghe có vẻ nghịch lý? Hãy suy nghĩ: sự cố này phơi bày một thực tế rằng các ví mã nguồn mở, dù mạnh mẽ đến đâu, vẫn phụ thuộc vào các cửa hàng ứng dụng tập trung để tiếp cận người dùng phổ thông. Các nhà phát triển Sparrow Wallet không làm gì sai – họ thậm chí còn cảnh báo rằng không có ứng dụng iOS chính thức. Nhưng chính sự trung thực đó lại là điểm yếu: kẻ tấn công lấp đầy khoảng trống. Nếu Apple thua kiện và phải bồi thường, điều này sẽ buộc họ phải siết chặt quy trình xác minh danh tính của nhà phát triển, thậm chí yêu cầu các dự án mã nguồn mở phải đăng ký chữ ký số (digital signature) để xác thực ứng dụng chính thức. Đó sẽ là một chiến thắng cho toàn bộ hệ sinh thái.
Tuy nhiên, góc nhìn phản trực giác của tôi là: đừng đổ lỗi cho Apple. Đổ lỗi cho thói quen của chúng ta. Tôi đã từng mất 30 ETH trong vụ sụp đổ FTX vì tin tưởng SBF – một quyết định cảm tính khác. Lỗi ở đây không phải là công nghệ, mà là tâm lý ỷ lại. Người dùng crypto vẫn còn quá phụ thuộc vào các trung gian truyền thống để kiểm tra độ tin cậy. Trong khi đó, bản chất của blockchain là tự kiểm tra, tự chịu trách nhiệm. Một người dùng Sparrow Wallet thực thụ sẽ không bao giờ cài đặt ứng dụng từ App Store mà không kiểm tra hash trên GitHub. Nhưng bao nhiêu người làm điều đó? Rất ít. Và kẻ tấn công biết điều đó.
Takeaway
Câu hỏi tôi để lại cho bạn: Lần tới khi bạn tải một ví crypto từ App Store, liệu bạn có kiểm tra chữ ký số của nhà phát triển? Liệu bạn có dành 30 giây để vào GitHub đối chiếu hash? Nếu không, bạn đang đặt cược số Bitcoin của mình vào lòng tin mù quáng. Và như vụ Sparrow Wallet này đã chỉ ra, lòng tin đó có thể sụp đổ bất cứ lúc nào, từ một ứng dụng giả mạo được xếp hạng 4 sao trên App Store.
