Khi tôi kiểm tra hợp đồng 0x Protocol v2 vào năm 2018, tôi nghĩ mình đã thấy đủ mọi kiểu lỗi: reentrancy, integer overflow, access control sai. Nhưng không, lỗ hổng nguy hiểm nhất lại đến từ một nơi không ai ngờ: App Store của Apple.
Đầu năm 2025, Craig Raw – người sáng lập Sparrow Wallet, một trong những ví Bitcoin non-custodial uy tín nhất – đệ đơn kiện Apple tại tòa án California. Lý do? Hàng loạt người dùng của ông đã mất toàn bộ tiền vì tải nhầm ứng dụng ví giả mạo trên App Store, trong khi báo cáo của ông gửi cho Apple bị phớt lờ suốt một năm trời.
Context: Cỗ máy kiểm duyệt bị đánh lừa
Vấn đề không phải là mã nguồn của blockchain hay hợp đồng thông minh. Đó là một cuộc tấn công xã hội học (social engineering) thuần túy, nhưng được thực hiện qua kênh phân phối chính thức đáng tin cậy nhất thế giới. Kẻ gian tạo ra các ứng dụng ví giả mạo – Ledger, MetaMask, thậm chí cả Sparrow – và đưa lên App Store. Khi người dùng tải về, ứng dụng yêu cầu nhập seed phrase để 'khôi phục' hoặc 'xác nhận'. Chỉ cần gõ 12 từ vào màn hình cảm ứng, tài sản trong ví bay sạch.
Theo báo cáo từ SlowMist, nhóm tấn công có tên SparkKitty chuyên nhắm vào người dùng Trung Quốc, tận dụng lỗ hổng trong quy trình kiểm duyệt của Apple. Họ lách bằng cách gửi bản build chứa mã độc dưới dạng 'bản cập nhật' hoặc sử dụng tài khoản developer đã qua xác thực mua từ chợ đen.
Core: Tại sao Apple không ngăn chặn được?
Dựa trên kinh nghiệm kiểm toán của tôi, Apple không phân tích hành vi runtime của ứng dụng một cách sâu sắc. Họ dùng công cụ tự động quét API, nhưng mã độc có thể được kích hoạt từ xa chỉ sau khi ứng dụng được phê duyệt. Đây là 'kiểm duyệt tĩnh' – một cái bẫy mà ngay cả ngân hàng truyền thống cũng từng mắc phải.
Thực tế, Craig Raw đã cảnh báo Apple từ tháng 12/2023. Anh gửi ảnh chụp màn hình, link ứng dụng giả, mô tả chi tiết cách thức tấn công. Phản hồi của Apple: 'Chúng tôi đã xem xét và không tìm thấy vi phạm.' Mãi đến khi vụ kiện gây sóng gió trên truyền thông, Apple mới gỡ các ứng dụng giả mạo – nhưng sau khi hàng trăm người dùng đã mất tiền.
Điều đáng nói: Apple không chỉ chậm trễ, mà còn đe dọa khóa tài khoản developer của Craig Raw nếu anh tiếp tục 'phát tán thông tin sai lệch'. Một hành động cho thấy sự bảo thủ và coi thường của công ty công nghệ lớn nhất thế giới trước một vấn đề an ninh tài chính nghiêm trọng.
Contrarian: Góc nhìn phản trực giác – Nạn nhân có phần lỗi?
Nhiều người sẽ đổ lỗi hoàn toàn cho Apple. Đúng, Apple có trách nhiệm. Nhưng câu hỏi then chốt: Tại sao người dùng lại gõ seed phrase vào một ứng dụng không rõ nguồn gốc, dù nó có logo App Store?
Đây là điểm mù mà tôi gọi là 'sự sụp đổ của niềm tin mù quáng'. Trong thế giới Web3, chúng ta luôn nói 'Not your keys, not your coins'. Nhưng hành vi thực tế lại mâu thuẫn: người dùng tin tưởng tuyệt đối vào App Store, tin rằng mọi ứng dụng ở đó đều an toàn. Họ quên rằng bản thân seed phrase không bao giờ được nhập vào bất kỳ thiết bị kết nối Internet nào, dù là trên ứng dụng chính thức. Chỉ có hardware wallet mới cần nhập seed – và phải thông qua màn hình vật lý.
Tôi từng kiểm toán một giao thức DeFi có cơ chế 'phần thưởng khi báo cáo lỗi'. Kết quả: 90% lỗi đến từ người dùng nhập private key vào form 'claim airdrop'. Vấn đề kỹ thuật là giả, vấn đề con người mới là thật.
Takeaway: Bài học cho hệ sinh thái
Vụ kiện Sparrow vs Apple không chỉ là câu chuyện pháp lý. Nó là hồi chuông cảnh tỉnh cho toàn bộ ngành: chúng ta không thể dựa vào trung gian tập trung để bảo vệ tài sản phi tập trung. Apple có thể thắng kiện (vì Section 230 bảo vệ nền tảng khỏi trách nhiệm nội dung), nhưng niềm tin của người dùng vào App Store sẽ mãi mãi bị tổn hại.
Giải pháp? Một mô hình phân phối ứng dụng phi tập trung dựa trên IPFS + chữ ký số từ nhà phát triển, cho phép người dùng xác minh danh tính và hash của ứng dụng mà không cần tin tưởng bên thứ ba. Hoặc đơn giản hơn: mỗi lần bạn chuẩn bị gõ seed phrase, hãy nhớ rằng đó không phải là lỗi chính tả – đó là viên đạn cuối cùng.
