慢雾 SlowMist

I. Bối cảnh
Gần đây, nhóm An ninh chậm sương đã nhận được yêu cầu trợ giúp từ một người dùng Fomo có tên là Fomo. Người dùng phản ánh rằng khi xem chi tiết token MOONLET trên phiên bản web của Fomo, anh ta đã nhấp vào liên kết trang web chính thức của dự án được hiển thị trên trang, truy cập vào voltage.family và làm theo hướng dẫn để hoàn tất “xác minh người-máy”. Sau đó, anh ta phát hiện tài sản trong tài khoản của mình khoảng 48.000 USD đã bị chuyển đi. Trong suốt quá trình này, anh ta không hề kết nối ví, không thực hiện ủy quyền trên chuỗi và cũng không nhập cụm từ khôi phục hoặc khóa riêng. Người dùng này đăng nhập vào Fomo bằng Google và cho biết tài khoản chưa bật xác thực hai bước.
Sau khi nhận phản hồi, nhóm An ninh chậm sương đã phân tích các trang liên quan và mã script. Kết quả cho thấy cái gọi là “xác minh người-máy” sẽ hướng dẫn người dùng thêm và nhấp vào một bookmark độc hại. Bookmark có nhúng mã JavaScript với mục tiêu đọc dữ liệu lưu trữ của trình duyệt trên trang Fomo, trích xuất mã thông tin đăng nhập (login token) và gửi dữ liệu đến một địa chỉ bên ngoài.

Tháng 9 năm 2026, Lực lượng Đặc nhiệm Hành động Tài chính (FATF) công bố báo cáo chuyên đề (Risks of Gaming and Gambling). Báo cáo này phân tích một cách hệ thống các rủi ro rửa tiền, tài trợ khủng bố và tài trợ phổ biến đối với các lĩnh vực như sòng bạc, cá cược thể thao, các loại hình cờ bạc khác và trò chơi trực tuyến.
Giá trị của báo cáo này không nằm ở việc coi mọi hoạt động trò chơi và cờ bạc đều là rủi ro cao, mà ở chỗ làm rõ một thay đổi đáng để các tổ chức dịch vụ tài sản ảo đặc biệt quan tâm: khi quá trình số hóa, xuyên biên giới hóa, đa sản phẩm và nhiều phương thức thanh toán chồng lấn lên nhau, các nền tảng trò chơi và cờ bạc đang trở thành một phần của hệ sinh thái chuyển dịch giá trị rộng hơn. Đối với sàn giao dịch, VASP và các tổ chức dịch vụ tài sản ảo cung cấp dịch vụ thanh toán tiền mã hóa, dòng tiền đến từ hệ sinh thái này không nên chỉ được hiểu như một “giao dịch cờ bạc”, mà cần được xem xét trong toàn bộ mối quan hệ dòng tiền.

Ngày 18 tháng 9, Cục Cảnh sát Nhật Bản phối hợp với Văn phòng Điều phối Mạng lưới Quốc gia, cùng với FBI của Mỹ, Trung tâm Tội phạm Mạng thuộc Bộ Quốc phòng Mỹ, Cơ quan Tín hiệu/Trung tâm An ninh mạng Australia, Cơ quan Tình báo Liên bang Đức và Cục Bảo vệ Hiến pháp Liên bang, sáu bên đã cùng phát hành một báo cáo chung. Nhân vật chính là một nhóm tin tặc có nền tảng Triều Tiên—WaterPlum (còn gọi là "Contagious Interview", dịch sát nghĩa là "Phỏng vấn giả mạo").
Hoạt động tấn công mang tên Contagious Interview trước đó đã được nhiều hãng an ninh quốc tế theo dõi trong nhiều năm, thường được cho là có liên quan đến Lazarus Group của Triều Tiên. Lần này là lần đầu tiên cảnh sát Nhật Bản công bố, theo danh nghĩa chính thức, các trường hợp cụ thể tại nước này và bằng chứng thu giữ, với sự phối hợp của nhiều cơ quan từ nhiều quốc gia.

Bối cảnh
Mẫu được lấy từ một nhánh phát triển của gói mở rộng Laravel Nova `visanduma/nova-two-factor`, thuộc chương trình PolinRider. Đây là một gói PHP, được đăng trên Packagist; tính đến thời điểm bài viết phân tích này, tổng lượt tải đã vượt 700.000 lần.
Chuỗi phân phối không ghi địa chỉ C2 vào mẫu. Mã cấy trước tiên sẽ truy vấn Ethereum, từ địa chỉ nhận của một giao dịch tách ra IP của hai máy chủ, sau đó tải về tải trọng tiếp theo thông qua HTTP. Để thay đổi máy chủ, kẻ tấn công chỉ cần gửi một giao dịch mới lên chuỗi, không cần phải đầu độc lại gói tin này.
Điểm kết thúc của chuỗi này là một bộ đánh cắp thông tin xác thực đa nền tảng, thu thập tài khoản và Cookie của trình duyệt, dữ liệu ví mã hóa, cơ sở dữ liệu của trình quản lý mật khẩu và thông tin xác thực/khóa phát triển.

Gần đây, nhóm an ninh SlowMist nhận được nhiều phản hồi việc tài sản người dùng bị đánh cắp. Qua xác minh, các sự việc liên quan đều do rò rỉ khóa riêng; trong đó có một số người dùng bị ảnh hưởng đã tải xuống và sử dụng phiên bản ứng dụng FomoPeek 1.1–1.2.
Chúng tôi phối hợp với đội ngũ an ninh của OKX để phân tích và xác nhận rằng FomoPeek 1.1 và 1.2 đã cài cắm hai mô-đun độc hại apptrace và libapptracecore, có khả năng cấu hình từ xa, khai thác lỗ hổng trong nhân, vượt sandbox, giải mã Keychain và thu thập dữ liệu xuyên ứng dụng.
Xác thực động hiển thị rằng ứng dụng sẽ lấy các địa chỉ C2 đã được mã hóa từ Bitbucket và báo cáo thông tin thiết bị tới api-a95f0ed200f.assisaint[.]com, đồng thời nhận cấu hình từ xa. Trong quá trình thử nghiệm, exploit_enabled do C2 trả về là false. Để xác minh chuỗi thực thi tiếp theo, trong môi trường cô lập, chúng tôi sử dụng Hook để sửa đổi các công tắc liên quan sau khi ứng dụng giải mã phía máy khách thành true; sau đó, chúng tôi thu được danh sách thu thập nhắm tới 19 ví và ứng dụng ghi chú, đồng thời bắt được toàn bộ yêu cầu khi container Apple Notes được đóng gói và tải lên.

Tác giả: Johan & Lisa
Biên tập: 77
Ngày 6 tháng 9 lúc 13:52:10 UTC, trong block số 4.050.335 của Liquid xuất hiện hai giao dịch có cấu trúc giống nhau. Một phút sau, block số 4.050.336 xác nhận giao dịch thứ ba, khoảng 3.998,5 L-BTC được đưa vào tập UTXO mà không có bất kỳ một giao dịch peg-in nào đứng phía sau. Vài phút sau đó, những tài sản “không tồn tại” này bắt đầu được gom lại và tiêu thụ, rồi thông qua kênh peg-out của liên bang để đổi thành BTC “thật” trên mainnet Bitcoin.
Ngày hôm sau, 3.400 BTC được hoàn trả về ví peg của liên bang. Phần còn lại 598,5 BTC vẫn nằm trong tay kẻ tấn công; đến thời điểm đăng bài vẫn tiếp tục được chuyển đi chuyển lại, mỗi giao dịch đều kèm theo một đoạn OP_RETURN dạng văn bản thuần, nhằm yêu cầu liên bang trả một phần mười “tiền thưởng”. Đến nay, việc đàm phán vẫn đang được tiến hành công khai trên chuỗi.

Ngày 9 tháng 9, Văn phòng Kiểm soát Tài sản Nước ngoài của Bộ Tài chính Mỹ (OFAC) và Bộ Tư pháp Mỹ (DOJ) đã công bố một đợt phối hợp thực thi pháp luật nhắm vào việc bảo lãnh bằng tân tệ (Xinbi Guarantee). OFAC sẽ đưa việc bảo lãnh bằng tân tệ và hai công ty hỗ trợ cho hoạt động của đơn vị này vào danh sách trừng phạt, trong khi DOJ, thông qua Đội chuyên trách triệt phá trung tâm lừa đảo (Scam Center Strike Force), đã tịch thu các cơ sở hạ tầng nền tảng liên quan và các ví tài sản mã hóa. Theo thông báo của DOJ, đợt phối hợp lần này đã hạn chế tổng cộng hơn 52 triệu USD tài sản mã hóa liên quan đến việc bảo lãnh bằng tân tệ và mạng lưới các bên kinh doanh của nó.
Hoạt động này không nhắm vào một băng nhóm lừa đảo đơn lẻ, mà là một mạng lưới dịch vụ hỗ trợ cho việc vận hành các hoạt động lừa đảo. Cơ quan thực thi pháp luật của Mỹ cho biết, việc bảo lãnh bằng tân tệ sẽ kết nối các băng nhóm lừa đảo với các bên cung cấp dịch vụ như rửa tiền, phát triển các trang web lừa đảo, v.v., đồng thời, thông qua các biện pháp như ủy thác quản lý tiền và bảo đảm giao dịch, tạo điều kiện để các giao dịch phi pháp này có thể tiếp tục vận hành liên tục.

Tác giả: 99
Biên tập: 77
Bối cảnh
Vào ngày 4 tháng 9 năm 2026, nền tảng cho vay phi tập trung nổi tiếng Notional Finance đã bị tấn công, thiệt hại khoảng 1,73 triệu USD. Dưới đây là phân tích cụ thể của đội ngũ an ninh SlowMist về vụ tấn công này:
Kiến thức nền tảng
Trong Notional Finance V1, fCash có thể được hiểu là quyền đòi tiền mặt có ngày đáo hạn. cash receiver sẽ nhận tiền khi đáo hạn, còn cash payer sẽ thanh toán khi đáo hạn. Giao thức ghi nhận cả hai vị thế trong Portfolio, sau đó thông qua kiểm tra tài sản thế chấp tự do để xác định mức độ an toàn của một tài khoản khi mở vị thế.

Bối cảnh
Một trang sự kiện tặng miễn phí VPS, thực chất là một cái bẫy. Theo trang đã được khôi phục từ lưu trữ web công khai, event[.]polarnode[.]vip được đăng ký vào cuối tháng 8 năm 2026 đã khai báo https[:]//lk[.]wyincc[.]com/lk.js là tập lệnh tải trước; sau khi trang trở nên tương tác được, nó sẽ tự động tải, người truy cập không cần bấm vào.
Sau khi giải mã mẫu loader đã được lưu, chúng tôi xác nhận rằng nó nhắm tới việc triển khai thông qua Safari thuần trên iPhone chạy iOS 18.4–18.6.2. Cuối cùng, nó trỏ tới việc thu thập dữ liệu từ tệp, chuỗi khóa (Keychain) và đầu vào bàn phím, nhắm vào ba ứng dụng ví. Chuỗi này khớp ở mức cao với chuỗi khai thác iOS DarkSword được Google Threat Intelligence Group (GTIG) công bố, tương ứng với sáu CVE, thuộc dạng tái sử dụng n-day.

Gần đây, CEO OKX đã trả lời một bài đăng của người dùng liên quan đến việc “sàn cá cược trực tiếp chuyển tiền lên sàn giao dịch, khiến việc nạp tiền kích hoạt kiểm tra”. Theo lời phát biểu công khai của ông, việc nạp tiền vào OKX từ các địa chỉ có rủi ro cao có thể kích hoạt các biện pháp kiểm soát chặt chẽ hơn về chống rửa tiền (AML) và thẩm định rủi ro; tùy theo tình huống cụ thể, quá trình thẩm định có thể kéo dài 15 ngày, thậm chí lâu hơn, trong thời gian đó một số chức năng của tài khoản và/hoặc tiền có thể bị hạn chế; đối với các tài khoản được xác nhận có liên quan đến hoạt động có rủi ro cao hoặc bất hợp pháp, nền tảng cũng có thể chấm dứt dịch vụ.
https://x.com/star_okx/status/2094980124236251207
OKX đồng thời nhắc rằng, các khoản tiền thu được thông qua các kênh như giao dịch có đảm bảo trong các nhóm Telegram, Huiwang và các biến thể của nó có thể mang rủi ro nguồn tiền cao hơn.

Khi tài sản mã hóa, thanh toán bằng stablecoin và các dịch vụ tài chính số tiếp tục phát triển, AML, KYT và phân tích rủi ro dòng tiền trên chuỗi đang dần trở thành nhu cầu thực tế của ngày càng nhiều tổ chức.
Vì vậy, MistTrack & SlowMist KYT chính thức khởi động chương trình hợp tác dành cho đối tác, nhằm tuyển chọn trên toàn cầu các cá nhân và tổ chức có nguồn lực về Web3, tài chính, thanh toán, tuân thủ, an ninh và thị trường địa phương.
Sau khi tham gia chương trình, bạn có thể nhận được:
Mã giảm giá dành riêng cho khách hàng, giúp khách hàng đăng ký với mức giá ưu đãi hơn;
Tự động gán đơn hàng và ghi nhận hoa hồng hoàn trả, thời hạn hoa hồng hoàn trả tối đa 3 năm;

Ngày 28 tháng 8, tại Hội nghị thượng đỉnh Cypher Asia Intelligent Crypto Finance Summit, người sáng lập SlowMist, Yu Xuan, đã có bài thuyết trình với chủ đề ( “Grey Rhino và Black Swan trong thế giới mã hóa”) . Ông bắt đầu từ các vấn đề an ninh thường gặp trong lĩnh vực mã hóa, hệ thống hóa các rủi ro cốt lõi như tiền bị đánh cắp, bị lừa, thất lạc và bị phong tỏa, đồng thời chia sẻ những suy nghĩ của mình về biện pháp phòng vệ an toàn.
Dưới đây là nội dung được tổng hợp từ phần chia sẻ tại chỗ.
Trong thế giới mã hóa, việc tiền bị đánh cắp, lừa đảo, thất lạc hoặc bị phong tỏa không phải là hiếm. Nhiều sự cố an ninh xảy ra trông có vẻ như một bất ngờ xảy đến, nhưng nếu nhìn lại thì không ít rủi ro đã có dấu hiệu từ trước. Vấn đề không nhất thiết nằm ở việc “không biết hoàn toàn rằng rủi ro tồn tại”, mà có thể là rủi ro đã xuất hiện nhưng không được coi trọng đủ, hoặc các biện pháp an ninh hiện có chưa thực sự phát huy tác dụng.

Ngày 28 tháng 8, SlowMist phối hợp với ME Group tổ chức sự kiện giao lưu ngành “Vượt qua màn sương, hướng tới thanh toán đáng tin cậy | Hành lang pháp lý và xu hướng mới cho thanh toán bằng stablecoin toàn cầu, thanh toán của tác nhân thông minh” và tham gia nhiều sự kiện giao lưu ngành như “Cypher Asia Hội nghị thượng đỉnh tài chính mật mã thông minh”, “AI x BTC - Sự kiện bên lề BTC Asia”... Tập trung vào các chủ đề như tuân thủ pháp lý của stablecoin và ứng dụng thanh toán, an ninh tiền mã hóa và cơ sở hạ tầng kinh tế số, SlowMist đã chia sẻ kinh nghiệm thực tiễn và quan điểm về an toàn với các đối tác trong ngành.
Bây giờ, hãy cùng nhau nhìn lại những nội dung nổi bật trong ngày hôm đó —
Tập trung vào tuân thủ pháp lý stablecoin và thanh toán của tác nhân thông minh, thảo luận về xây dựng thanh toán đáng tin cậy

Bối cảnh
Tải xuống một mô hình ngôn ngữ mã nguồn mở; thông thường điều bạn lo lắng là liệu nó có chạy đúng cách hay trọng số có thực sự thật. Lần này, điều đáng lo thật sự lại nằm ở chỗ khác: một kho lưu trữ gắn nhãn 27B tham số—nhưng khi đến tay bạn, thứ bạn nhận được chỉ có 487 KB. Bên trong không phải trọng số, mà là một mã độc đánh cắp thông tin (trojan) gián điệp.
Ngày 20 tháng 8 năm 2026, kho GitHub unburdened-jackinthebox365/qwen38-uncensored đã gửi lên thư mục assets/ một tệp có tên uncensored_qwen_v2.6.zip, với dung lượng 487.153 byte. Kho lưu trữ đã đóng gói nó theo cách gần như không thể bị phát hiện: trang chủ tuyên bố cung cấp trọng số lượng tử hóa cục bộ của Qwen 3.8 27B; README nhấn mạnh có thể chạy hoàn toàn ngoại tuyến, không có telemetry (gửi dữ liệu theo dõi), và dữ liệu không rời khỏi máy. Mỗi câu đều đúng “gu” của người dùng mô hình cục bộ. Bốn ngày sau, tức ngày 24 tháng 8, README lại được chỉnh sửa—nút tải xuống, liên kết tải xuống trong phần nội dung, cùng với hai liên kết bên ngoài trước đó vốn trỏ tới trang web chính thức của Ollama và LM Studio, tất cả đều được chuyển sang địa chỉ raw của cùng một tệp ZIP.

Ngày 28 tháng 8, SlowMist phối hợp với ME Group sẽ tổ chức tại Hồng Kông sự kiện giao lưu ngành “Vượt qua màn sương, hướng tới thanh toán đáng tin cậy｜Tuyến đầu mới về tuân thủ stablecoin toàn cầu và thanh toán bằng tác nhân thông minh”.
Chương trình này sẽ quy tụ các khách mời trong các lĩnh vực như stablecoin, thanh toán, AI Agent, tuân thủ và an ninh blockchain. Chúng ta sẽ cùng trao đổi xoay quanh việc tuân thủ stablecoin toàn cầu, sự phát triển thanh toán bằng tác nhân thông minh và xây dựng hệ thống thanh toán đáng tin cậy, đồng thời cùng khám phá các thách thức về kỹ thuật, an toàn và tuân thủ trong quá trình phát triển các mô hình thanh toán.
Thời gian: 28 tháng 8, 09:30 – 12:30
Địa điểm: Tòa nhà CAI, Hồng Kông

Tác giả: Chín Chín
Biên tập: 77
Bối cảnh
Ngày 19 tháng 8 năm 2026, dự án cầu nối liên chuỗi nổi tiếng Allbridge bị tấn công, thiệt hại khoảng 190.000 USD. Tuy nhiên, cuộc tấn công này lại kéo dài gần một tháng mới hoàn tất. Dưới đây là phân tích chi tiết của đội ngũ bảo mật SlowMist đối với sự kiện tấn công lần này:
Kiến thức nền tảng
Để hiểu cuộc tấn công này, trước hết chúng ta cần hiểu giao thức CCTP của Circle và hệ thống truyền thông liên chuỗi của nó.
CCTP là giao thức chuyển khoản liên chuỗi của Circle. Cách làm cơ bản của nó là: trên chuỗi nguồn hủy bỏ USDC, còn trên chuỗi đích sẽ đúc lại một lượng USDC tương đương. Nhờ vậy có thể tránh việc hợp đồng cầu nối tự nhiên tạo thêm số dư.

Vào ngày 28 tháng 8, Hồng Kông sẽ đón nhiều sự kiện trong ngành tập trung vào stablecoin, thanh toán bằng tác nhân thông minh, AI Agent và hạ tầng cơ bản của Bitcoin. Là một công ty chuyên chú vào an ninh hệ sinh thái blockchain, SlowMist sẽ tổ chức và tham gia nhiều hoạt động tại Hồng Kông, kết hợp nghiên cứu và thực tiễn an ninh của mình để trao đổi cùng các đối tác trong ngành về các chủ đề liên quan.
Xuyên qua màn sương, hướng tới thanh toán đáng tin cậy｜Điểm mới của tuân thủ stablecoin toàn cầu và thanh toán bằng tác nhân thông minh
Thời gian: 28 tháng 8 09:30–12:30
Địa điểm: CAI Building, Hồng Kông
Đăng ký: https://luma.com/0c4fawzv
Vào sáng ngày 28 tháng 8, SlowMist sẽ phối hợp với ME Group tổ chức tại Hồng Kông sự kiện giao lưu trong ngành với chủ đề “Xuyên qua màn sương, hướng tới thanh toán đáng tin cậy｜Điểm mới của tuân thủ stablecoin toàn cầu và thanh toán bằng tác nhân thông minh”. Tại thời điểm đó, các đối tác trong hệ sinh thái đến từ các lĩnh vực như stablecoin, thanh toán, AI Agent, tuân thủ và an ninh sẽ cùng tụ họp tại Hồng Kông, thảo luận về việc tuân thủ và ứng dụng stablecoin toàn cầu, sự phát triển kỹ thuật của thanh toán bằng tác nhân thông minh, cũng như xây dựng an ninh cho hệ thống thanh toán đáng tin cậy.

Bối cảnh
Solidity Pro là một tiện ích mở rộng VS Code dành cho các nhà phát triển Solidity/Web3, được định vị công khai như một công cụ hỗ trợ phát triển. Tiện ích cung cấp các tính năng như tra cứu Gas, giá token, đoạn mã code snippet và gợi ý khi biên dịch, v.v. Kho GitHub của nó cũng từng quảng bá các khả năng bảo mật như AI Audit và Security Scanner.
Trong các hoạt động công khai, Solidity Pro lần lượt sử dụng hai publisher (đơn vị/pháp nhân phát hành) là helper-beeps và web3devtoolsx. Tương ứng, Extension ID (định danh duy nhất của tiện ích mở rộng) lần lượt là helper-beeps.solidity-pro và web3devtoolsx.solidity-pro. Mặc dù danh tính phát hành đã thay đổi, nhưng trong các bản dựng sản phẩm sau đó vẫn còn giữ publisher cũ, địa chỉ kho lưu trữ và thông tin bản quyền, cho thấy giữa hai bên có mối quan hệ kế thừa công việc trực tiếp.

Gần đây, MistTrack Agent do SlowMist phát triển đã chính thức tham gia với tư cách Agent bên thứ ba tại AgentOn. MistTrack Agent tập trung vào AML (chống rửa tiền) đối với tiền mã hóa và điều tra trên chuỗi (on-chain). Bằng cách đưa các năng lực như theo dõi dòng tiền trên chuỗi và phân tích rủi ro vào nền tảng AgentOn, MistTrack Agent giúp người dùng có được phương thức điều tra trên chuỗi hiệu quả và tự động hóa hơn.
Chào mừng trải nghiệm MistTrack Agent:
https://agenton.me/agent/market/external/fe204dba-05d1-49c8-8659-03ca24988185
🎁 Trải nghiệm trong thời gian giới hạn: Mỗi người dùng được dùng miễn phí 10 lần gọi, thời hạn 30 ngày. Sau khi số lượt gọi miễn phí được sử dụng hết hoặc thời hạn kết thúc, sẽ được tính phí theo mức phí tiêu chuẩn của AgentOn.

Sự phát triển bền vững của tài sản số và công nghệ trí tuệ nhân tạo đang thúc đẩy thanh toán bước vào giai đoạn ứng dụng mới. Một mặt, stablecoin đang tăng tốc mở rộng ra khỏi các kịch bản trên chuỗi, đi sâu vào các hoạt động kinh doanh thực tiễn như thanh toán, thanh toán bù trừ và quản lý vốn; mặt khác, AI Agent cũng đang dần chuyển từ công cụ hỗ trợ sang một tác nhân tham gia thanh toán có thể thay mặt người dùng và doanh nghiệp thực hiện truy vấn, ra quyết định, gọi dịch vụ, thậm chí khởi tạo giao dịch.
Khi stablecoin bắt đầu hướng tới các kịch bản thanh toán thực tế, làm thế nào để tuân thủ pháp lý thực sự được triển khai; khi AI Agent bắt đầu tham gia vào giao dịch, làm thế nào để xây dựng cơ chế giao dịch an toàn và đáng tin cậy cũng trở thành những vấn đề mới mà ngành cần đối mặt.