Sự cố bảo mật gần đây của Humanity Protocol dường như liên quan đến các hoạt động mạng của Bắc Triều Tiên, theo một cuộc điều tra của Quantstamp. Công ty bảo mật blockchain này cho biết một email lừa đảo mang theo tệp độc hại đã xâm nhập vào thiết bị của nhân viên và cho phép đánh cắp 36 triệu đô la giá trị token Humanity (H).

Chuỗi tấn công, như được mô tả bởi Quantstamp, bắt đầu với một tin nhắn giả mạo là cập nhật "lịch trình khóa token" được cho là từ sàn giao dịch Hàn Quốc Bithumb. Khi được gửi đi, phần mềm độc hại đã cấp quyền truy cập từ xa hoàn toàn vào laptop bị xâm phạm và cuối cùng tạo điều kiện truy cập vào các tài liệu ví tiền điện tử nhạy cảm liên quan đến một giám đốc dự án.

Điểm rút ra chính

• Quantstamp quy kết vụ xâm phạm Humanity Protocol cho một tệp đính kèm phishing đã cài đặt phần mềm độc hại truy cập từ xa trên laptop của một nhân viên.

• Sự cố này đã dẫn đến việc đánh cắp 36 triệu đô la token Humanity (H), liên quan đến việc truy cập trái phép thông tin xác thực MetaMask và khóa riêng.

• Quantstamp cho biết phần mềm độc hại đã được ký bằng chứng chỉ số Hancom của Hàn Quốc, một mẫu mà công ty liên kết với hoạt động xâm nhập của DPRK.

• Các báo cáo và nghiên cứu gần đây liên kết các tác nhân đe dọa liên quan đến Triều Tiên với một phần lớn các tổn thất và sự cố đánh cắp crypto, nhấn mạnh 'độ chính xác và quy mô.'

• Mẫu hình rộng hơn củng cố rằng an ninh hoạt động—đặc biệt là xung quanh email và điểm cuối—vẫn là một điểm yếu chính ngay cả đối với các dự án phi tập trung.

Phishing đến việc đánh cắp ví: cách thức xâm phạm đã diễn ra

Quantstamp báo cáo rằng laptop của một nhân viên bị xâm phạm là điểm vào cho các kẻ tấn công. Trong phản ứng với sự cố, công ty cho biết email phishing đã gửi một tệp đính kèm độc hại được ngụy trang như một bản cập nhật lịch trình liên quan đến token.

Điều quan trọng là, phần mềm độc hại không chỉ kích hoạt các chỉ báo xâm phạm cơ bản. Quantstamp cho biết nó đã cung cấp cho các kẻ tấn công quyền truy cập từ xa đầy đủ vào laptop và cho phép họ sao chép thông tin xác thực ví MetaMask và khóa riêng của giám đốc Humanity Protocol, Chong Yee Wai. Quyền truy cập đó, theo tài khoản của công ty về các sự kiện, đã được sử dụng để đánh cắp 36 triệu đô la token Humanity (H) vào thứ Hai.

Từ quan điểm của nhà đầu tư và người dùng, sự cố này nhấn mạnh một thực tế bền vững trong an ninh crypto: ngay cả khi các dự án hoạt động trên cơ sở hạ tầng phi tập trung, các thực tiễn hoạt động tập trung—như xử lý tệp đính kèm và bảo mật thiết bị nhân viên—vẫn có thể quyết định liệu quỹ có được bảo vệ hay không.

Tại sao Quantstamp chỉ ra hoạt động liên quan đến DPRK

Quantstamp không chỉ dựa vào kỹ thuật phishing. Công ty cũng đã phân tích chứng ký và hành vi của phần mềm độc hại, cho biết rằng phần mềm độc hại đã được ký bằng chứng chỉ số Hancom của Hàn Quốc.

Quantstamp đã mô tả chi tiết này như là “đặc trưng của các cuộc xâm nhập từ DPRK,” gợi ý rằng các kẻ tấn công đã sử dụng công cụ và quy trình hoạt động thường thấy trong các chiến dịch liên quan đến Triều Tiên trước đây. Sự kết hợp giữa kỹ thuật xã hội có mục tiêu (nội dung giả liên quan đến Bithumb), chiếm quyền kiểm soát điểm cuối (truy cập từ xa), và thu thập thông tin xác thực (thông tin xác thực MetaMask và khóa riêng) tạo thành một câu chuyện tấn công nhất quán với sự quy kết của công ty.

Đối với độc giả theo dõi việc quy kết trong các sự cố mạng, điểm rút ra chính là đây không phải là một cáo buộc chung chung: kết luận của Quantstamp dựa trên các chứng cứ kỹ thuật cụ thể được tìm thấy trong quá trình phản ứng sự cố của mình.

Đánh cắp liên quan đến Triều Tiên: số lượng lớn trong những năm gần đây

Mối liên hệ bị cáo buộc của DPRK với Humanity Protocol diễn ra trong bối cảnh một tập hợp thống kê rộng hơn từ nghiên cứu an ninh blockchain. Trong một báo cáo tháng 5, CertiK đã liên kết cùng loại tác nhân này với khoảng 2 tỷ đô la trong số 3,4 tỷ đô la bị mất do các cuộc khai thác crypto vào năm 2025, và cho biết họ chiếm 12% tổng số sự cố. CertiK đã mô tả những tổn thất này như phản ánh một sự tập trung vào 'độ chính xác và quy mô.'

Nhìn lại, báo cáo đã trích dẫn một ước tính cho rằng các tác nhân liên quan đến Triều Tiên đã đánh cắp khoảng 6,75 tỷ đô la tiền điện tử qua 263 sự cố đã được ghi nhận trong thập kỷ qua. Mặc dù các tổng số như vậy tự nhiên phụ thuộc vào phương pháp và tiêu chí phân loại, thông điệp cơ bản của báo cáo là nhất quán: các hoạt động liên quan đến DPRK đã nhiều lần chuyển đổi khả năng mạng thành các vụ đánh cắp có giá trị cao.

CertiK còn lập luận rằng Triều Tiên đã “công nghiệp hóa” việc đánh cắp crypto thành một cơ chế doanh thu cốt lõi của nhà nước, định hình những hoạt động này thành một phần có ý nghĩa trong thu nhập bên ngoài của chế độ. Đặc điểm này quan trọng vì nó gợi ý rằng có sự đầu tư thể chế bền vững thay vì chỉ là các vụ hack tội phạm đơn lẻ.

Sự phủ nhận và tính kiên trì của các cáo buộc mạng

Triều Tiên thường không phản ứng liên tục trước các cáo buộc tội phạm mạng. Tuy nhiên, báo cáo cũng đề cập đến một tuyên bố phủ nhận được đưa ra bởi hãng thông tấn Trung ương Triều Tiên vào ngày 3 tháng 5, trong đó một phát ngôn viên của Bộ Ngoại giao Triều Tiên đã bác bỏ các cáo buộc về việc hack crypto.

Trong tuyên bố đó, phát ngôn viên đã cáo buộc Hoa Kỳ phát tán các câu chuyện “không chính xác” về một “mối đe dọa mạng” “không tồn tại” từ Triều Tiên. Sự phủ nhận này nhấn mạnh một căng thẳng thường trực trong việc quy kết: trong khi các nhà điều tra và nhà nghiên cứu trình bày bằng chứng kỹ thuật và đánh giá dựa trên mẫu, các tác nhân nhà nước tiếp tục bác bỏ khung công khai.

Đối với người dùng và các đội nhóm xây dựng trong crypto, ý nghĩa thực tiễn là coi các quy kết như chỉ báo của mô hình đe dọa thay vì bằng chứng về ý định chính trị. Bất kể ai phủ nhận điều gì, bài học hoạt động vẫn giống nhau—phishing và xâm nhập điểm cuối có thể nhanh chóng chuyển thành tổn thất trên chuỗi khi quyền truy cập ví bị lấy đi.

Tiếp theo, độc giả nên theo dõi các cập nhật từ Humanity Protocol và Quantstamp về các bước khắc phục và kiểm soát bảo mật—đặc biệt là bất kỳ thay đổi nào về cách bảo mật ví, cách củng cố thiết bị của nhân viên chống lại kỹ thuật xã hội, và những chỉ số nào sẽ được chia sẻ công khai để ngăn chặn các cuộc tấn công tiếp theo tương tự.

Bài viết này ban đầu được xuất bản với tiêu đề 'Quantstamp Liên kết vụ hack 36 triệu đô la của Humanity Protocol với nhóm nghi ngờ từ Triều Tiên' trên Crypto Breaking News – nguồn tin đáng tin cậy cho tin tức crypto, tin tức Bitcoin và cập nhật blockchain.