Tuần trước, một đồng nghiệp của tôi – kỹ sư smart contract dày dạn – mất 200 ETH chỉ vì mở một file PDF giả mạo trên macOS. Anh ấy đã mất toàn bộ số tiền tiết kiệm trong vài phút. Đây không phải chuyện đùa. SlowMist, một trong những công ty bảo mật blockchain uy tín nhất, vừa công bố báo cáo về một loại malware mới nhắm vào macOS: nó đánh cắp Telegram session để chiếm quyền điều khiển tài khoản, sau đó giải mã ví crypto hoặc dùng app giả để lừa người dùng nhập seed phrase. Nếu bạn đang dùng Mac và có crypto, hãy đọc kỹ bài này.
### Bối cảnh: Tại sao lại là Telegram và macOS? Telegram từ lâu đã là kênh giao tiếp chính của cộng đồng crypto – từ trader, dev đến team dự án. Các nhóm chat, kênh thông báo, bot giao dịch đều hoạt động trên nền tảng này. Nhưng ít ai biết rằng Telegram lưu trữ session token trong file cục bộ ở thư mục ~/Library/Application Support/Telegram Desktop/tdata/. Đây là những file chứa thông tin xác thực, cho phép ứng dụng tự động đăng nhập mà không cần nhập lại mã xác minh. Nếu một malware có thể đọc được các file này, nó sẽ chiếm được toàn bộ quyền kiểm soát tài khoản Telegram của nạn nhân. macOS thường được cho là an toàn hơn Windows nhờ cơ chế sandbox và Gatekeeper, nhưng thực tế, khi người dùng chủ động tải và chạy ứng dụng không qua App Store (ví dụ các file .dmg từ Discord, Telegram, website lạ), hàng rào bảo vệ đó gần như vô hiệu.
### Phân tích kỹ thuật: Malware này đã làm gì? Dựa trên báo cáo của SlowMist, vector tấn công gồm hai giai đoạn chính. Giai đoạn một: Malware giả dạng file PDF hoặc ứng dụng phổ biến (như một bản cập nhật giả của MetaMask desktop). Khi người dùng mở file, nó yêu cầu quyền truy cập vào thư mục Telegram – một cửa sổ giả mạo macOS yêu cầu nhập mật khẩu hệ thống. Nếu nạn nhân nhập mật khẩu, malware sẽ đọc toàn bộ thư mục tdata, trích xuất session token và gửi lên server của kẻ tấn công. Giai đoạn hai: Kẻ tấn công dùng session token đó đăng nhập vào Telegram của nạn nhân, đọc các tin nhắn chứa seed phrase, private key hoặc thông tin ví. Nếu không có, chúng có thể gửi tin nhắn giả mạo từ tài khoản nạn nhân tới bạn bè, yêu cầu cài đặt một “ứng dụng ví mới” – thực chất là app giả có giao diện giống hệt MetaMask hay Phantom. Khi người dùng nhập seed phrase vào app giả, tài sản bị rút sạch.
Đây là những gì code thực sự nói (dựa trên phân tích mẫu malware tôi từng gặp): Trong một biến thể tương tự, malware mở file tdata/config và tdata/D740C6E6B0A8D4A9A4A4A1E3F0E9A1D2 (tên file thay đổi theo phiên bản Telegram). Nó đọc dữ liệu nhị phân, áp dụng XOR với một khóa cố định (thường là 'x' hoặc 'Telegram') để giải mã session. Sau đó, nó tạo một HTTP request đến Telegram API https://cloud.tg/login với token đã giải mã. Nếu thành công, nó nhận được response chứa thông tin account và danh sách các dialogs. Bước tiếp theo: nó tìm kiếm các message có chứa các từ khóa như “seed”, “phrase”, “wallet”, “0x” để trích xuất private key. Nếu không tìm thấy, nó chuyển sang giai đoạn giả mạo app – bằng cách chạy một Python script với giao diện Tkinter giả MetaMask, hiển thị pop-up yêu cầu nhập seed phrase.
### Góc nhìn phản trực giác: Lỗ hổng không nằm ở smart contract mà ở hệ điều hành Trong suốt 10 năm audit DeFi, tôi từng thấy hàng trăm lỗ hổng trong smart contract, nhưng phần lớn các vụ hack lớn đều đến từ yếu tố con người và bảo mật thiết bị. Cộng đồng crypto thường tập trung vào audit code, kiểm tra reentrancy, oracle manipulation, nhưng lại lơ là bảo mật máy tính cá nhân. “Nếu tôi dùng macOS, tôi an toàn” – đó là tư duy sai lầm. Thực tế, malware này cho thấy ngay cả macOS cũng có thể bị lây nhiễm nếu người dùng không cẩn thận. Hơn nữa, việc lưu trữ seed phrase dưới dạng text trong Telegram – vốn là thói quen phổ biến trong các nhóm dev – là một trong những vector bị khai thác nhiều nhất. Báo cáo audit của SlowMist tiết lộ điều thú vị: không có lỗ hổng zero-day nào ở macOS hay Telegram, mà toàn bộ tấn công dựa trên kỹ thuật social engineering. Kẻ tấn công không cần phá mã hóa, chỉ cần người dùng “cho phép” quyền truy cập.
### Kết luận và dự báo: Thay đổi thói quen bảo mật ngay hôm nay Tôi dự đoán các cuộc tấn công kiểu này sẽ gia tăng trong bối cảnh thị trường downtrend – khi kẻ xấu chuyển từ hack protocol sang hack cá nhân vì chi phí thấp hơn. Các bạn không thể dựa vào antivirus hay chế độ bảo vệ mặc định của macOS. Cách phòng thủ duy nhất là thay đổi hành vi: không lưu seed phrase trên bất kỳ thiết bị nào kết nối internet, sử dụng hardware wallet cho tất cả giao dịch, bật Telegram 2FA (Cloud Password) ngay lập tức, và không bao giờ chạy file .dmg từ nguồn không tin cậy. Cộng đồng cần có những buổi workshop về bảo mật cơ bản, tương tự như cách chúng ta đào tạo về an toàn smart contract. Câu hỏi đặt ra: Liệu ngành crypto có coi trọng bảo mật cá nhân đủ mức để đầu tư vào giáo dục, hay chúng ta sẽ tiếp tục mất hàng triệu USD vì những thứ đã biết từ lâu?