Một cựu sĩ quan Singapore đã bị kết án 6 năm 10 tháng tù vì đánh cắp 1,7 triệu USDT từ ví lạnh của một người quen, sau khi chụp lại seed phrase trong căn hộ của nạn nhân.
Vụ việc cho thấy rủi ro lớn nhất của ví lạnh không nằm ở tấn công từ xa, mà ở việc bị lộ khóa khôi phục khi kẻ xấu có được quyền tiếp cận vật lý. Chi tiết này cũng khiến yếu tố bảo vệ seed phrase trở thành điểm cần theo dõi với người nắm giữ tài sản số.
- Zhang Rongxuan, 35 tuổi, bị tuyên án 6 năm 10 tháng tù sau khi nhận tội ở một số cáo buộc.
- Ông ta bị cáo buộc lấy 1,7 triệu USDT từ ví lạnh của một người Trung Quốc sau khi chụp seed phrase.
- Vụ việc làm nổi bật nguy cơ “wrench attack”, tức chiếm đoạt crypto bằng cách có được quyền truy cập vật lý.
Diễn biến vụ đánh cắp 1,7 triệu USDT
Zhang Rongxuan, cựu đội trưởng thuộc Đơn vị Người nhái Hải quân Singapore, đã nhận tội với một số cáo buộc liên quan đến việc truy cập trái phép và lạm dụng hệ thống máy tính. Tòa án cho biết số tiền bị chiếm đoạt là khoảng 1,7 triệu USDT từ ví lạnh của một công dân Trung Quốc 30 tuổi.
Người này quen Zhang qua một người bạn chung từ tháng 6/2022. Sau khi biết đối phương có ví lạnh, Zhang đã tìm cách tiếp cận chỗ ở của nạn nhân và chụp lại seed phrase 24 từ được cất trong tủ quần áo.
Ngày 18/12/2022, trong lúc đến nhà xem bóng đá, Zhang được giao thẻ ra vào căn hộ để xuống đón thêm một người bạn. Sau đó, anh ta không trả lại thẻ. Đến đêm giao thừa, Zhang dùng thẻ này để lẻn vào căn hộ, tìm thấy ví lạnh và tờ giấy ghi seed phrase, chụp ảnh lại rồi rời đi mà không lấy thiết bị.
Đến ngày 1/1/2023, Zhang đã dùng seed phrase để chuyển toàn bộ 1,7 triệu USDT sang tài khoản của mình. Nạn nhân chỉ phát hiện sự việc vào ngày 23/3/2023, sau khi báo cảnh sát và nhờ đơn vị an ninh blockchain SlowMist truy vết dòng tiền.
Zhang đã sử dụng số tiền ra sao?
Sau khi chiếm đoạt số tiền, Zhang dùng vào mua sắm xa xỉ, đánh bạc và trả nợ. Hồ sơ tòa án cho thấy anh ta mua một chiếc Audi A5 và một số đồng hồ xa xỉ.
Zhang cũng trả khoảng 115.449 SGD tiền thế chấp còn lại cho căn nhà ở HDB và đầu tư 200.000 SGD vào cổ phiếu của DiGi Selection Holdings, một công ty gắn với nền tảng NFT mà anh ta đồng điều hành cùng nạn nhân.
Tuy vậy, phần lớn số tiền, khoảng 1,57 triệu SGD, đã bị thua tại các điểm cá cược hợp pháp và trên các trang cờ bạc trực tuyến bất hợp pháp. Cảnh sát đã thu hồi một phần tài sản, gồm một số đồng hồ, chiếc Audi và khoảng 130.000 SGD tiền gửi ngân hàng.
Vì sao vụ này đáng chú ý với người nắm giữ crypto?
Vụ án nhấn mạnh một rủi ro thường bị xem nhẹ: ví lạnh có thể vẫn bị đánh cắp nếu seed phrase bị lộ. Dù không dễ bị tấn công từ xa, thiết bị lưu trữ lạnh không bảo vệ được người dùng khi kẻ xấu tiếp cận trực tiếp được khóa khôi phục.
Đây là kiểu tấn công thường được gọi là “wrench attack”, tức dùng sự tiếp cận vật lý, lén lút hoặc bạo lực để chiếm seed phrase hay hardware wallet. Trong bối cảnh đó, vấn đề không chỉ nằm ở bảo mật kỹ thuật mà còn ở cách cất giữ thông tin khôi phục và kiểm soát quyền ra vào nơi ở.
Singapore’s Ministry of Defense cũng xác nhận với Zaobao rằng Zhang hiện không còn là thành viên của Lực lượng Vũ trang Singapore.
Tổng kết
Vụ án của Zhang Rongxuan cho thấy thất thoát crypto không nhất thiết đến từ hack kỹ thuật, mà có thể bắt đầu từ một sơ hở vật lý rất nhỏ. Với người dùng ví lạnh, seed phrase vẫn là điểm nhạy cảm nhất cần được bảo vệ chặt chẽ.
