Đêm đó, tôi lần lượt đóng từng tab trình duyệt, chỉ để lại một trang trắng. Các bản tin công khai cho biết: ngày 29 tháng 10, trang quốc tế của nền tảng thị trường dự đoán Polymarket gặp sự cố bất thường — tập lệnh của dịch vụ giám sát hiệu suất bên thứ ba DebugBear bị thay bằng mã độc. Trong khoảng 52 phút, kẻ tấn công đã lợi dụng phiên đăng nhập còn hiệu lực của người dùng và khả năng giao dịch vốn có trên trang để chuyển đi các vị thế và tiền. Con số được công bố phổ biến là khoảng 2,7 triệu USD, liên quan đến hàng trăm ví; sau đó, nền tảng tạm ngừng giao dịch, gỡ tập lệnh và cho biết sẽ bồi thường cho những người dùng bị ảnh hưởng. Các con số có thể được điều chỉnh theo kết quả điều tra; tôi chỉ ghi lại mốc thời gian có thể kiểm chứng: biến “chuỗi cung ứng giao diện người dùng” từ một tiêu đề thành một việc thiết thực trong đời sống.

Tôi không phải nhà nghiên cứu bảo mật. Ban ngày tôi biên tập bản thảo, ban đêm thỉnh thoảng thực hiện một vài giao dịch đổi tiền nhỏ và sắp xếp việc chuyển tiền xuyên biên giới. Điều thực sự khiến tôi khựng lại không phải là “lại mất bao nhiêu”, mà là cách sự việc diễn ra—khóa riêng có thể chưa bị lộ, thiết bị phần cứng có thể chưa bị đánh cắp, người dùng thậm chí còn chưa nhấp vào liên kết lạ; mã độc chạy trong phiên mà bạn tưởng là trên “trang chính thức”, còn giao dịch thì trông như một lệnh đặt mua bình thường. Bản tổng kết công khai ghi rất rõ: tập lệnh đọc thông tin liên quan đến đăng nhập được lưu cục bộ, sau đó gọi chức năng đặt lệnh sẵn có trên trang để gửi lệnh. Với người bình thường, điều này còn đáng lo hơn cả chuyện “hợp đồng thông minh bị tấn công”: chuỗi niềm tin đã đứt gãy ngay tại tập lệnh của bên thứ ba.

Khi trà nguội vừa đủ để uống, tôi viết vài điều về vệ sinh bảo mật. Thứ nhất, hạn chế để trình duyệt duy trì các phiên hoạt động có số dư lớn trong thời gian dài; tách tài khoản thường dùng khỏi tài khoản cất giữ lâu dài, chỉ để số tiền có thể cần dùng trong ngày ở nơi thường xuyên hoạt động. Thứ hai, các vấn đề “hoàn tiền, nhận tài sản, bồi thường” chỉ xử lý qua những kênh chính thức đã được dự án xác minh; đừng nhấp vào tin nhắn riêng từ người lạ hay trang web giả mạo—các đợt lừa đảo lần hai thường còn rầm rộ hơn. Thứ ba, định kỳ kiểm tra các quyền đã cấp và ứng dụng đã kết nối, kịp thời thu hồi những quyền cũ có thể gỡ bỏ; hãy kiểm tra kỹ tên miền và tiện ích mở rộng. Thứ tư, bật xác thực hai yếu tố nếu có thể, đồng thời xem thiết bị và email cũng là tài sản cần bảo vệ. Những điều này không phải thuốc tiên, chỉ là cách chia nhỏ niềm tin vô hình thành vài bước kiểm tra.

Cũng chính vì các bước dễ bị đứt đoạn nên tôi càng quan tâm việc sắp xếp có thể đối soát được hay không. Thời gian này, tôi thử dùng BiyaPay, nền tảng quản lý tài sản toàn cầu một điểm đến, để theo dõi các hướng dẫn về đổi tiền thường xuyên và giao dịch xuyên biên giới: tôi quen dùng USDT làm nguồn vốn, rồi xem thông tin đổi nhiều loại tiền và phí trong cùng một giao diện. Nền tảng này không tuyên bố có thể ngăn chặn các cuộc tấn công chuỗi cung ứng, cũng không đứng ra bảo chứng an toàn cho bất kỳ ai—điều hữu ích với tôi là bớt được một bước chuyển hướng: cố gắng lưu lịch sử đổi tiền, giới hạn phí và dòng tiền trong các giao dịch có thể kiểm tra lại, để cuối tuần đối soát không phải lục tìm giữa những ảnh chụp màn hình rời rạc. Công cụ giúp đường đi rõ ràng, có thể kiểm tra; thói quen bảo mật vẫn là trách nhiệm của mỗi người.

Có người hỏi tại sao tôi không viết “an toàn tuyệt đối”. Bởi những sự cố công khai đã nhắc chúng ta rằng: bảo mật là một quá trình, không phải khẩu hiệu. Lần này, vấn đề bắt nguồn từ việc tập lệnh của bên thứ ba bị thay thế; người dùng có thể làm là rút ngắn thời gian và phạm vi phơi nhiễm của phiên hoạt động, kiểm tra kênh chính thức, và tách tài sản dài hạn khỏi hoạt động thường ngày. Việc nền tảng điều tra và bồi thường thuộc một phần thông tin công khai khác; ở đây, tôi chỉ viết về phần của mình—trước tiên thực hiện tốt các biện pháp bảo mật cơ bản, rồi mới bàn đến sự tiện lợi.

Từ cuối tháng Mười đến đầu tháng Mười Một không thiếu những tiêu đề gây sốc. Điều đáng ghi nhớ hơn là: trên một “trang trông có vẻ bình thường”, năm mươi hai phút cũng đủ làm thay đổi cuối tuần của nhiều người. Nhìn về phía trước, chuỗi cung ứng giao diện người dùng, quản lý quyền truy cập và xác minh kênh chính thức sẽ là những chủ đề cố định của tôi. Viết rõ các bước phù hợp với tối thứ Hai của người bình thường hơn là viết đầy cảm xúc.

Trên đây là những chia sẻ tản mạn về cuộc sống cá nhân và thông tin công khai, không cấu thành bất kỳ lời khuyên đầu tư hay hướng dẫn thao tác nào. Chi tiết sự việc cần căn cứ vào thông báo của dự án, các bản tin đáng tin cậy và phân tích công khai trên chuỗi; số liệu có thể thay đổi khi cuộc điều tra được cập nhật. Vui lòng tự nghiên cứu (DYOR) và bình tĩnh sắp xếp theo hoàn cảnh của mình.