Tôi tình cờ đọc được câu chuyện về việc các hacker Triều Tiên thuộc Lazarus Group cuỗm mất 620 triệu đô la tiền mã hóa chỉ bằng một cú nhấp chuột. Điều điên rồ nhất là họ không hack mã nguồn, mà chỉ đơn giản là lừa một người.
Kế hoạch của họ thật tinh vi:
• Họ tìm thấy trên LinkedIn một kỹ sư cấp cao của trò chơi blockchain Axie Infinity.
• Suốt một tháng, họ dụ dỗ anh ta bằng những buổi phỏng vấn giả rồi đề nghị một «công việc trong mơ» với mức lương trên trời.
• Cuối cùng, họ gửi cho anh ta một bản hợp đồng được cho là thật dưới dạng PDF.
Người kỹ sư nhấn «tải xuống», dính virus, và các hacker có được quyền truy cập vào mạng lưới. Họ chiếm quyền kiểm soát các khóa của trình xác thực rồi ung dung chuyển đi 173 nghìn Ethereum.
Đáng nói là công ty tự tin vào mức độ bảo mật của mình đến nỗi chỉ phát hiện ra vụ mất tiền sau 6 ngày, khi một người chơi bình thường không thể rút tiền vì quỹ đã cạn.
Bài học rút ra: dù hệ thống bảo mật của bạn có xịn đến đâu, mắt xích yếu nhất vẫn luôn là con người — nhất là khi họ rất muốn đổi việc 😂