FBI đặc vụ đánh cắp 1,1 triệu USD từ tài sản bị tịch thu: Lỗ hổng không nằm ở blockchain, mà nằm ở con người

Vào ngày 31/7/2025, một đặc vụ FBI bị bắt ngay tại trụ sở Washington D.C. sau khi chuyển hơn 1,1 triệu USD tiền mã hóa từ tài sản bị tịch thu vào ví cá nhân. Patrick Steven Yaroch, một đặc vụ giám sát (Supervisory Special Agent) trong bộ phận phản gián, không hack hợp đồng thông minh, không khai thác lỗ hổng DeFi, cũng không dùng phần mềm độc hại. Anh ta chỉ đơn giản — đọc. Tìm kiếm cụm từ khôi phục (seed phrase) mà FBI lưu trữ nội bộ, ghi nhớ nó, rồi tạo ví riêng. Từ cuối năm 2024 đến tháng 7/2025, Yaroch thực hiện 10-12 giao dịch chuyển tiền từ các ví do chính phủ kiểm soát sang ví cá nhân. Tổng cộng khoảng 188.570 USD chuyển vào tài khoản Kraken và 933.757 USD được gửi lên Suilend — một giao thức cho vay trên blockchain Sui. Hắn bị buộc tội vận chuyển và nhận tài sản ăn cắp liên bang, mỗi tội danh có mức án tối đa 10 năm tù. Đây không phải một vụ tấn công mạng. Đây là một vụ trộm cắp nội bộ được thực hiện bởi người được giao nhiệm vụ chống lại các mối đe dọa từ nước ngoài. Và nó đặt ra một câu hỏi lớn hơn nhiều so với số tiền bị mất: Ai thực sự an toàn khi nắm giữ seed phrase? — Root: Kinh nghiệm phát hiện. Trong 11 năm theo dõi thị trường tiền mã hóa, tôi đã chứng kiến nhiều vụ mất tiền: sàn giao dịch sụp đổ như FTX, cầu nối bị hack như Ronin, hợp đồng thông minh bị khai thác như Curve. Nhưng các vụ trộm cắp từ bên trong cơ quan thực thi pháp luật thì hiếm hơn nhiều — và cũng đáng sợ hơn nhiều. Vì nó cho thấy ngay cả khi bạn làm đúng mọi thứ về mặt kỹ thuật, con người vẫn là điểm yếu chí mạng. Hãy nhìn vào chi tiết: Yaroch có quyền truy cập Top Secret/Sensitive Compartmented Information từ tháng 5/2017. Hắn làm việc tại văn phòng hiện trường Boston trước khi chuyển đến trụ sở FBI và được biệt phái tới một cơ quan tình báo khác vào tháng 2/2025. Chính trong thời gian biệt phái này, hắn đã lợi dụng quyền truy cập còn sót lại để tìm kiếm các tài khoản liên quan đến FBI, đọc seed phrase, rồi chuyển tiền. Không có cảnh báo nào được kích hoạt. Không có sự kiểm tra chéo nào được thực hiện. Và điều đáng chú ý nhất: hắn chọn ví Slush chỉ vì — thích logo hình giọt nước. Khi tôi đọc đoạn đó trong bản tường trình, tôi nhớ lại một lần audit hợp đồng thông minh cho một dự án ICO vào năm 2017. Tôi phát hiện lỗi reentrancy có thể rút toàn bộ tiền, nhưng đội ngũ dự án lại quan tâm đến việc đổi logo hơn là vá lỗi. Con người luôn bị thu hút bởi vẻ bề ngoài, ngay cả khi đối mặt với rủi ro sinh tử. Yaroch không phải ngoại lệ. Hắn không chọn ví vì tính bảo mật, không đọc tài liệu audit, không kiểm tra độ tin cậy. Hắn chọn vì giọt nước trông đẹp. Điều đó nghe có vẻ vô lý, nhưng nó phản ánh một thực tế rộng lớn hơn: phần lớn người dùng tiền mã hóa — kể cả những người làm trong ngành tình báo — vẫn đưa ra quyết định bảo mật dựa trên cảm xúc, không phải kỹ thuật. Phân tích kỹ thuật cho thấy blockchain Sui, giao thức Suilend và sàn Kraken đều không hề bị tấn công. Không có lỗ hổng hợp đồng thông minh, không có oracle bị thao túng, không có private key bị brute-force. Toàn bộ vụ việc xoay quanh một thứ duy nhất: seed phrase bị lưu trữ tập trung và có thể truy cập bởi một người duy nhất. Điều này vi phạm nghiêm trọng nguyên tắc cơ bản nhất của self-custody: không bao giờ để một điểm hỏng duy nhất (single point of failure) kiểm soát toàn bộ tài sản. Nếu FBI áp dụng mô hình đa chữ ký (multisig) hoặc phân mảnh seed phrase theo tiêu chuẩn Shamir's Secret Sharing, một đặc vụ sẽ không thể tự ý rút tiền. Nhưng họ đã không làm vậy. Mỗi mùa hè DeFi đều có một vụ bê bối khiến cộng đồng giật mình. Năm 2020 là cuộc đua yield farming đốt tiền. Năm 2022 là sự sụp đổ của Terra/Luna. Năm 2024 là vụ hack ví của Cục Cảnh sát Mỹ (US Marshals Service) lên tới 46 triệu USD. Và năm 2025, chúng ta có vụ này — một đặc vụ FBI đánh cắp 1,1 triệu USD từ chính két sắt kỹ thuật số mà anh ta được giao bảo vệ. Điều đáng nói là các vụ việc này đều có chung một mẫu số: không phải công nghệ thất bại, mà là quy trình vận hành và kiểm soát nội bộ thất bại. US Marshals đã để lộ private key của một ví chứa hàng chục triệu USD. FBI đã lưu trữ seed phrase ở dạng có thể tìm kiếm được. Cả hai đều là lỗi của con người, không phải lỗi của blockchain. Nhưng đây chính là lúc cần một góc nhìn phản trực giác. Nhiều người sẽ nói rằng vụ này chứng minh "Not Your Keys, Not Your Crypto" — rằng bạn không nên tin tưởng bất kỳ ai, kể cả chính phủ. Tôi hiểu thông điệp đó, nhưng nó bỏ lỡ một điểm quan trọng hơn: vấn đề không phải là ai nắm giữ chìa khóa, mà là cách chìa khóa được bảo vệ. Khi bạn gửi tiền vào sàn giao dịch, bạn chấp nhận rủi ro đối tác. Khi bạn tự lưu trữ, bạn chấp nhận rủi ro tự quản lý. Nhưng khi chính phủ tịch thu tài sản số, họ trở thành người giám hộ bắt buộc — và nếu họ không có cơ sở hạ tầng đủ an toàn, thì tài sản của bạn (dù là tài sản phạm tội hay không) sẽ phải đối mặt với "rủi ro lần hai". Rủi ro không đến từ hacker bên ngoài, mà từ những người có quyền truy cập nội bộ: kinh nghiệm của kẻ theo dõi. Trong nhiều năm tôi đã theo dõi các vụ hack lớn, tôi nhận ra rằng kẻ tấn công nguy hiểm nhất không phải kẻ phá khóa từ bên ngoài, mà là người có sẵn chìa khóa trong tay. Điều quan trọng tiếp theo là phản ứng của thị trường. Số tiền bị đánh cắp chỉ khoảng 1,12 triệu USD — tương đương một giọt nước trong đại dương so với vốn hóa toàn thị trường. Bitcoin và Ethereum gần như không bị ảnh hưởng. Nhưng về mặt tâm lý, vụ này có thể củng cố câu chuyện self-custody và thúc đẩy nhu cầu về ví phần cứng. Trezor — chiếc ví bị tịch thu như một tang vật — lại vô tình trở thành bằng chứng sống rằng thiết bị phần cứng có thể chống lại ngay cả những đặc vụ có quyền truy cập tối mật. Trớ trêu thay, Yaroch không thể hack Trezor. Hắn chỉ cần đọc tờ giấy ghi seed phrase. Vậy bài học thực sự ở đây là gì? Nếu bạn đang nắm giữ một lượng tài sản mã hóa đáng kể, hãy tự hỏi: seed phrase của bạn đang ở đâu? Có ai khác có thể nhìn thấy nó không? Nếu câu trả lời là "có" — dù đó là nhân viên sàn giao dịch, đối tác kinh doanh hay thành viên gia đình — thì bạn đang đối mặt với cùng một lỗ hổng mà FBI vừa phải trả giá. Đừng nghĩ rằng bạn quá nhỏ để bị nhắm đến. Kẻ trộm không cần hack. Chúng chỉ cần nhìn. Khi tôi viết những dòng này, vụ án của Yaroch vẫn đang trong quá trình tố tụng. Hắn có kế hoạch trốn sang Bồ Đào Nha — thậm chí đã dùng ChatGPT để tìm đường, đặt vé máy bay qua TAP Air Portugal và chuẩn bị giấy ủy quyền luật sư. Nhưng hắn đã bị bắt trước khi kịp rời khỏi Mỹ. Khoảng 925.426 USD — tương đương 82,5% số tiền — đã được chuyển trở lại ví chính phủ. Phần còn lại có thể đã bị tiêu tốn trong quá trình chuyển đổi, phí giao dịch hoặc biến động giá. Vụ việc đặt ra một câu hỏi mà chưa ai có câu trả lời: liệu các cơ quan thực thi pháp luật trên toàn thế giới có đang nắm giữ hàng tỷ USD tiền mã hóa trong những hệ thống lưu trữ kém an toàn hơn cả ví của người dùng cá nhân hay không? Và nếu một đặc vụ FBI có thể làm điều này, thì còn bao nhiêu người khác ngoài kia đang âm thầm nhìn vào seed phrase của chính phủ?