Kẻ trộm thầm lặng trong điện thoại: SparkKitty và vết nứt trên tường thành App Store

Tuần trước, một ứng dụng chỉnh sửa ảnh vô hại trên App Store đã âm thầm đọc hết thư viện ảnh của bạn. Nó không ăn cắp ảnh selfie. Nó chỉ tìm một thứ: 12 hoặc 24 từ kỳ diệu – seed phrase của ví crypto. Đây không phải kịch bản giả định. Đây là SparkKitty, một dòng malware mới đã lọt qua cả hai rào cản bảo mật khét tiếng của Apple và Google. Và nó đang hoạt động. Bối cảnh thật ra cũ kỹ như chính internet. Từ 2017, tôi đã học được rằng con người là mắt xích yếu nhất. Nhưng lần này, kẻ tấn công không cần lừa bạn click link độc. Họ chỉ cần bạn làm điều mà 9/10 người dùng crypto mới đều làm: chụp màn hình seed phrase và cất vào album ‘quan trọng’. SparkKitty lợi dụng chính thói quen đó. Nó xin quyền truy cập ảnh (với lý do ‘chỉnh sửa ảnh’ hoặc ‘quét mã QR’), sau đó dùng OCR – công nghệ nhận dạng ký tự quang học – để quét tất cả ảnh, tìm ra các cụm từ 12/24 từ, và gửi về server của hacker. Cơ chế kỹ thuật không có gì mới. OCR đã tồn tại hàng thập kỷ. Điểm đáng sợ là cách nó vượt qua vòng kiểm duyệt. Không giống clipboard hijacker chỉ đọc clipboard, SparkKitty không chứa mã độc trong file nhị phân gốc. Nó tải mã độc từ server sau khi được cài đặt (dynamic loading). Các công cụ kiểm tra tự động của Apple và Google không bắt được vì khi scan, mã độc chưa tồn tại. Đây là kỹ thuật ‘time bomb’ cổ điển nhưng vẫn hiệu quả. Theo ước tính của tôi, dựa trên hành vi tương tự từ các malware trước đây, mỗi ứng dụng nhiễm có thể đã đánh cắp hàng trăm seed phrase trước khi bị gỡ. Và khi bạn mất seed phrase, bạn mất tất cả. Không có ‘phục hồi tài khoản’ trong thế giới tự quản lý. Điều trớ trêu là SparkKitty không tấn công blockchain. Nó tấn công thói quen. Và chính những người đề cao ‘not your keys, not your coins’ lại là nạn nhân dễ dàng nhất. Họ cất seed phrase trong ảnh để ‘tiện’, nhưng sự tiện lợi đó là cánh cửa mở cho kẻ trộm. Thị trường giảm càng làm vấn đề tồi tệ hơn: người dùng hoảng loạn, chụp ảnh seed để backup nhanh, vô tình tạo ra một kho báu cho hacker. Đây là góc nhìn phản trực giác: Nhiều người cho rằng App Store an toàn hơn, tin tưởng Apple hơn Google. Nhưng SparkKitty chứng minh rằng an toàn chỉ là tương đối. Khi bạn cài bất kỳ ứng dụng nào có quyền truy cập ảnh, bạn đặt toàn bộ ví crypto của mình vào tay một bên thứ ba không xác định. Và ‘đã được Apple kiểm duyệt’ không có nghĩa là ‘an toàn’. Niềm tin mù quáng vào nền tảng tập trung chính là điểm mù. Tin tín hiệu, đừng tin tiếng ồn. Tín hiệu ở đây là: không bao giờ chụp ảnh seed phrase. Hãy viết tay và cất vào két sắt. Dùng hardware wallet nếu có. Nếu bạn đã từng chụp ảnh seed, hãy chuyển tài sản ngay lập tức sang ví mới. SparkKitty có thể đã bị gỡ, nhưng hàng trăm biến thể khác đang chờ sẵn. Đừng để sự tiện lợi đánh cắp tương lai của bạn.