Anh ấy ngủ một giấc, sáng mở mắt ra, hóa đơn có thêm bốn trăm đô la.
Không gõ một dòng mã nào. Máy tính cũng chẳng bật. Bốn trăm đô la đó là do người khác dùng tài khoản của anh ấy để chạy trong lúc anh đang ngủ.
Đêm muộn ngày 17 tháng 10, công ty làm công cụ lập trình mã nguồn mở ấy bắt đầu gửi email cho những người từng sử dụng sản phẩm. Tiêu đề rất ngắn. Yêu cầu xử lý ngay lập tức. Nội dung nói rằng khóa của các dịch vụ bên thứ ba có thể đã bị lộ.
Email thứ hai đến vào rạng sáng, nêu rõ tên các bên: OpenAI, Anthropic và Google.
Số người bị ảnh hưởng chiếm 1,4% tài khoản trên bảng điều khiển trực tuyến của công ty. Con số không lớn. Nhưng với những người đó, ảnh hưởng là toàn bộ.
Vấn đề nằm ở một chỗ. Kẻ tấn công đã đột nhập vào một hệ thống cũ đang trong quá trình ngừng hoạt động. Dấu vết sớm nhất có thể truy ra là từ đêm muộn ngày 16; mãi 22 giờ sau những người này mới nhận được email đầu tiên. 22 giờ là đủ để chạy bao nhiêu lượt gọi, dùng sạch hạn mức, đủ để đối phương hoàn tất mọi thứ trước khi bạn mở mắt.
Vấn đề nằm ở đâu? Ở một góc mà ai cũng tưởng đã tắt. Vì sao ư? Vì nó không có tên trong danh sách của bất kỳ ai, nên khi có chuyện, chẳng ai nghĩ đến nó ngay.
Nhiều người nghĩ khóa bị lộ vì bị đoán ra hay dò trúng. Không phải vậy. Hầu hết các vụ rò rỉ chẳng cần bẻ khóa gì cả. Thông tin chỉ nằm ở một nơi không ai còn để mắt tới, vậy mà cánh cửa vẫn mở. Bạn chuyển nó khỏi hệ thống chính, đánh dấu là sẽ loại bỏ rồi quên mất nó vẫn đang chạy.
Công ty chưa đưa ra câu trả lời rõ ràng về việc ai đã bỏ mặc hệ thống cũ này lâu đến vậy mà không ai nhận ra.
Một nhà phát triển cho biết anh nhận được cảnh báo hạn mức từ Anthropic trước, rồi mới nhận thông báo từ công ty công cụ. Thứ tự bị đảo ngược. Bên thu tiền phát hiện ra trước bên trả tiền. Có người bị quẹt mất 200 euro trên Google Cloud, dự án bị tạm ngưng vì lạm dụng. Người khác nói hạn mức 20 đô la của tháng đó đã cạn.
Công ty chỉ nói đang đàm phán với cả ba bên về việc liệu có thể hoàn tiền hay không. Nghe thế nào cũng chẳng giống một lời hứa. Còn việc dữ liệu có bị dùng để huấn luyện mô hình khác hay không thì cũng chưa rõ. Họ gọi đây là một cuộc tấn công chưng cất quy mô lớn; nhận định đó có đứng vững hay không thì phải chờ điều tra.
Kiểu sự việc này, dân tiền mã hóa vốn chẳng lạ gì.
Trong ví của bạn có cả đống quyền ủy quyền. Năm 2021, có một trang web đặt quyền vô hạn ở đó. Hồi ấy, bạn làm vậy để tranh suất whitelist; bấm xong còn thấy mình nhanh tay. Sang ngày hôm sau đã quên mất tên trang đó, nhưng địa chỉ hợp đồng vẫn nằm lì dưới địa chỉ ví của bạn, chờ ai đó gõ cửa. Khi ấy bạn thậm chí còn chẳng nghĩ đến chuyện thu hồi quyền.
Dự án đã bỏ đi từ lâu. Quyền ủy quyền vẫn còn. Bạn thì không nhớ. Còn blockchain thì nhớ.
Chuyện này chẳng khác gì việc bạn lưu khóa ở một hệ thống quản trị cũ đã ngừng hoạt động.
Năm ngoái, một phiên bản của tiện ích kết nối web rất phổ biến bị thay thế. Chỉ trong vài tiếng đồng hồ, ví của một loạt người bị vét sạch, họ còn chưa kịp báo động. Không ai đi bẻ khóa cả. Đơn giản là nó bị thay bằng một phiên bản khác. Bạn hoàn toàn không phát hiện ra. Lúc bạn ký, giao diện vẫn nói với bạn đúng câu như trước.
Tôi đã suy nghĩ khá lâu về chuyện này. Không nên đánh giá mức độ an toàn dựa trên việc thứ gì đó mới hay cũ. Đồ mới thì ngày nào cũng có người theo dõi, đồ cũ chẳng ai ngó ngàng—chỉ vậy thôi. Hệ thống đang ở giữa chừng quá trình loại bỏ là nguy hiểm nhất: nó không còn trong danh sách bảo trì, nhưng cũng chưa chết hẳn; ai cũng tưởng nó sẽ tự biến mất.
Vậy phải làm gì? Nói cụ thể nhé. Mở ví, lật danh sách quyền ủy quyền về những mục cũ nhất, thấy mục nào không nhận ra thì thu hồi. Với sàn giao dịch đã đăng ký từ ba năm trước mà giờ đến mật khẩu cũng quên, hãy vào xóa sạch khóa API, nhất là loại có quyền rút tiền. Hãy viết cụm từ khôi phục ra giấy, đừng chụp lại rồi lưu trong thư viện ảnh điện thoại.
Chưa đến mười phút đâu.
Mười phút để loại bỏ một cánh cửa mà có lẽ bạn đã quên từ lâu.
Đáng làm lắm.
$BTC $ETH $BNB #OpenCode #API密钥 #账户安全 #tiềnmãhóa