Nông trại robot Việt Nam được tạo thành từ 30.000 điện thoại: Làm thế nào để đánh cắp airdrop mã hóa từ tay người dùng thực?

Tác giả | Felix Ng

Biên dịch | Ngô Thuyết Blockchain Aki Chen

Tuyên bố: Bài viết này là nội dung được sao chép, độc giả có thể truy cập liên kết gốc để có thêm thông tin. Nếu tác giả có bất kỳ ý kiến nào về hình thức sao chép, xin vui lòng liên hệ với chúng tôi, chúng tôi sẽ thực hiện sửa đổi theo yêu cầu của tác giả. Việc sao chép chỉ nhằm mục đích chia sẻ thông tin, không cấu thành bất kỳ lời khuyên đầu tư nào, không đại diện cho quan điểm và lập trường của Wu.

Liên kết gốc:

Toàn văn như sau:

Tại một "nhà kho bằng tôn" có hệ thống làm lạnh cách Thành phố Hồ Chí Minh chỉ 40 phút lái xe, Giám đốc điều hành của Mirai Labs, Corey Wilton, lần đầu tiên nhận ra quy mô khổng lồ của việc lạm dụng airdrop tiền điện tử. "Điều này thực sự khiến tôi rợn tóc gáy," Wilton cho biết trong một cuộc phỏng vấn. Trước đó, ông vừa tham quan một "trang trại điện thoại" ở miền Nam Việt Nam, theo ước tính của ông, trong một căn phòng chỉ rộng bằng một căn hộ đơn, có ít nhất 30.000 chiếc điện thoại thông minh được chất đống.

Trong bốn năm qua, Wilton luôn hy vọng có thể tận mắt chứng kiến hoạt động phía sau của trò chơi đua ngựa NFT Pegaxy mà anh đã tập trung vào nhưng đã sụp đổ vào năm 2021. "Lúc đó Pegaxy bùng nổ, số lượng người dùng hoạt động hàng ngày của chúng tôi đạt khoảng 500.000 người," Wilton hồi tưởng. "Khi đó, chúng tôi bắt đầu nhận được nhiều báo cáo về 'nông trại robot'." Những robot này có thể điều khiển hàng trăm tài khoản cùng một lúc, nhanh chóng mua những con ngựa có tỷ lệ thắng cao và tham gia nhiều lần vào cuộc đua để kiếm tiền trong trò chơi, và những token này sau đó có thể được chuyển đổi thành tiền thật. "Bạn sẽ thấy có người đăng ảnh chụp màn hình, trên màn hình đang chạy hàng chục, thậm chí hai mươi ứng dụng cùng một lúc, và những hình ảnh tương tự cũng thường xuyên xuất hiện trên mạng xã hội," anh giải thích.

Pegaxy là một trò chơi đua ngựa với mười lăm chú ngựa thi đấu cùng nhau, được vận hành tự động bởi hệ thống. Wilton cho biết, trang trại robot đã biến trò chơi này từ "ai có thể thắng" thành "ai có thể rút giá trị nhanh hơn" — — bầu không khí của trò chơi đã thay đổi từ đó và cũng đã thúc đẩy sự suy tàn của dự án.

Trực tiếp tại chỗ: Khám phá "trang trại điện thoại chuyên nghiệp" tại Việt Nam

Vào tháng 5 năm nay, Wilton cuối cùng cũng đạt được nguyện vọng, dưới sự hỗ trợ của một người chơi Pegaxy trước đây, đã có cơ hội tham quan độc quyền một "trang trại điện thoại di động chuyên nghiệp cao" ở Việt Nam. Người chơi này đã tình cờ phát hiện ra dấu vết của trang trại này trên TikTok.

(Corey Wilton)

“Tôi đã đến hai nơi, cả hai cách vị trí của tôi khoảng 40 phút lái xe, được coi là khu vực khá hẻo lánh.” Anh ấy nhớ lại, “Ở đó chắc chắn sẽ không có người nước ngoài đến, và họ cũng hoàn toàn không muốn bị ai biết đến.” Wilton mô tả một trong những địa điểm là một cái lều tôn ngay bên đường, bên trong điều hòa được bật đến mức “lạnh đến mức nào thì lạnh.”

Bên trong mái che bằng kim loại được bày đầy giá kim loại, mỗi giá chứa hàng nghìn chiếc điện thoại thông minh, chỉ để lại một lối đi hẹp cho nhân viên đi lại. Toàn bộ bố cục trông giống như một "mỏ" tiền điện tử "nhái".

Wilton cho biết, đối tác đã cho ông thấy "khâu cho thuê" trong kinh doanh này, khách hàng có thể thuê trang trại điện thoại di động này theo nhu cầu của mình, cho bất kỳ mục đích nào. Khác với các máy chủ robot truyền thống, mỗi thiết bị trong trang trại điện thoại đều được trang bị SIM card độc lập và dấu vân tay thiết bị, đồng thời có thể ngụy trang vị trí IP, khiến cho nó khó bị phát hiện hơn, đặc biệt phù hợp với các tình huống hệ thống yêu cầu mỗi tài khoản phải liên kết với số điện thoại di động. Hơn nữa, điện thoại có hiệu suất chi phí cao giữa khả năng tính toán và chi phí, và ngay cả khi một thiết bị nào đó bị hỏng, nó cũng có thể được thay thế nhanh chóng, không gây ảnh hưởng đáng kể đến hoạt động tổng thể.

Wilton cho biết, trong các trường hợp mà ông đã tận mắt chứng kiến, một người điều hành sẽ kiểm soát một "điện thoại chính" thông qua máy tính, thiết bị chính này lại kết nối với hơn 500 "điện thoại phụ". Bất kể thao tác nào được thực hiện trên điện thoại chính, tất cả các thiết bị phụ đều sẽ đồng bộ sao chép. "Khách hàng của họ thực ra chủ yếu đến từ ngành Web2. Chẳng hạn, có một công ty quản lý K-pop thuê những thiết bị này để tăng lưu lượng; cũng có các sòng bạc sử dụng nó để mô phỏng người chơi thực, khiến các ván đấu trông có vẻ 'thực tế' hơn, nhưng thực chất là để áp chế bạn, dẫn dắt bạn thua lỗ."

"Còn một số người chơi Web2 đang mua bán hàng loạt game di động, thông qua việc nuôi tài khoản rồi bán những tài khoản đã nâng cấp này." Ông ấy bổ sung. Tuy nhiên, Wilton cho biết, hoạt động kinh doanh cốt lõi của trang trại này thực sự là "sản xuất".

Nhà điều hành này sẽ thu mua smartphone hỏng hoặc cũ với giá thấp, sau đó cải biến chúng bằng phần mềm và các phương tiện khác, cuối cùng đóng gói thành thiết bị "trang trại điện thoại tự phục vụ", bán ra thị trường nước ngoài. Dự án này có thể sản xuất hơn 1.000 điện thoại trang trại có thể triển khai trực tiếp mỗi tuần, mỗi "bộ trang trại điện thoại" khoảng chứa 20 thiết bị. Wilton cho biết những người này không trực tiếp vận hành điện thoại. Họ không tự đi thu lợi từ airdrop hoặc thực hiện các thao tác liên quan. Công việc chính của họ thực ra là đóng gói và bán những thiết bị này, gửi đến những người ở nước ngoài muốn vận hành từ nhà. Tiếp theo, bạn chỉ cần giữ cho những thiết bị này trực tuyến, rồi mua thêm điện thoại để kết nối là được.

Wilton thốt lên rằng không có gì lạ khi "các đợt airdrop tiền điện tử hỗ trợ bởi robot" đã trở thành một vấn đề nghiêm trọng trong ngành công nghiệp tiền điện tử. Airdrop tiền điện tử được hiểu là việc tạo ra một lượng lớn địa chỉ ví, giả mạo hành vi người dùng, để nhận các token miễn phí đáng lẽ phải được thưởng cho những người dùng thực sự trong giai đoạn đầu. Mặc dù hầu hết các airdrop tiền điện tử không yêu cầu xác minh số điện thoại, nhưng vẫn có thể vượt qua cơ chế bảo vệ chống tấn công Sybil thông qua dấu vân tay thiết bị duy nhất và địa chỉ IP.

Cách làm "hái airdrop" này thường dẫn đến việc người dùng nông trại ngay sau khi nhận token sẽ bán ra ngay lập tức, gây ảnh hưởng đến giá thị trường, đồng thời cũng khiến cho những người dùng thực sự khó có thể nhận được airdrop. Nhiều dự án trước khi airdrop sẽ xuất hiện nhiều hành vi hoạt động giả mạo, và ngay khi airdrop được phát hành xong, số lượng người dùng và giá token thường giảm nhanh chóng.

Tranh cãi về airdrop tiền điện tử diễn ra thường xuyên, hành vi của robot bị chỉ trích rộng rãi

Dù là điều khiển bằng nhiều điện thoại di động hay chỉ bằng một máy tính, hành vi của robot đã gây ra thiệt hại lớn cho các hoạt động airdrop tiền điện tử. Vào tháng 6 năm ngoái, dự án mở rộng Layer2 ZKsync của Ethereum với công nghệ zero-knowledge (ZK) đã bị chỉ trích nặng nề vì bị tấn công bởi nhiều robot trong quá trình airdrop, người dùng đã lên án nó là "robot lợi dụng cơ hội".

Nền tảng phân tích dữ liệu trên chuỗi Lookonchain đã công bố rằng một "thợ săn airdrop" đã nhận được hơn 3 triệu token ZKsync (ZK) thông qua 85 địa chỉ ví, với tổng giá trị lên tới 753.000 USD vào thời điểm đó. Một người dùng khác thì công khai khoe khoang trên nền tảng xã hội, cho biết mình đã kiếm được gần 800.000 USD thông qua "chiến lược tấn công phù thủy $ZK cực kỳ hiệu quả".

Về cái gọi là "tấn công phù thủy" (Sybil attack), đây là một hành vi đe dọa an ninh, trong đó kẻ tấn công tạo ra nhiều danh tính giả mạo nhằm cố gắng đạt được lợi thế không chính đáng trong hệ thống mạng. Thuật ngữ này xuất phát từ một cuốn sách có tên "Sybil", trong đó mô tả một trường hợp của một phụ nữ mắc chứng rối loạn nhân cách phân liệt. Giám đốc an ninh của Polygon, đối thủ của ZKsync, Mudit Gupta, đã gọi đây là "có thể là airdrop dễ bị lợi dụng nhất từ trước đến nay, và cũng là airdrop bị lợi dụng nhiều nhất", và đã quy trách nhiệm cho sự thiếu hụt cơ chế phòng chống robot. Mặc dù ZKsync đã thiết lập bảy tiêu chí đủ điều kiện nhằm ngăn chặn tấn công phù thủy.

ZKsync đã phản hồi trong phần Câu hỏi thường gặp chính thức của mình rằng, các chiến lược tấn công phù thủy hiện tại đang ngày càng phức tạp, làm cho việc phân biệt giữa người dùng thật và kẻ tấn công trở nên khó khăn; và nếu áp dụng các tiêu chí sàng lọc quá nghiêm ngặt, mặc dù có thể chặn một phần kẻ tấn công phù thủy, nhưng cũng có thể sẽ gây hại cho một lượng lớn người dùng thật.

Tuy nhiên, ngay trong tháng trước, Binance đã đưa ra quan điểm khác khi điều chỉnh hành vi robot trong kế hoạch “Binance Alpha Points”. “Các robot truyền thống thường tuân theo các mẫu hành vi có thể dự đoán và lặp lại, vì vậy tương đối dễ bị nhận diện,” một phát ngôn viên của Binance cho biết trong một cuộc phỏng vấn. “Nhưng với sự trỗi dậy của các robot điều khiển bằng AI, chúng ta hiện đang đối mặt với một hệ thống gần giống với hành vi con người – từ thói quen duyệt web đến thời gian tương tác, tất cả đều có thể mô phỏng gần như hoàn hảo hành vi của con người, làm tăng đáng kể độ khó trong việc nhận diện.” Binance cho biết, nền tảng đang không ngừng tăng cường nỗ lực chống robot, phát triển các công cụ mới để nhận diện các hành động bất thường từ các mẫu hành vi quy mô lớn. Ví dụ, phân tích liên kết thực thể địa chỉ, nó có thể giúp nhận diện các cụm ví được điều khiển bởi cùng một thực thể hành động, ngay cả khi những ví này nhìn bề ngoài có vẻ độc lập với nhau.

Những phân tích này đặc biệt quan trọng để tiết lộ các vị thế ngụy trang, thao tác chuyển tiền hàng loạt qua nhiều địa chỉ (manipulation multisend) và giao dịch rửa (wash trading) - đây chính là những thủ thuật thường được các robot điều khiển bởi AI sử dụng để giả mạo mức độ tham gia thực sự và tính thanh khoản giả. Nạn nhân không chỉ là airdrop tiền điện tử, mà robot cũng bị cáo buộc đã đổ xô vào thị trường, tạo ra vô số đồng Meme không có giá trị. Người phụ trách sản phẩm của Coinbase, Conor Grogan, gần đây đã đăng trên nền tảng X rằng: "Hiện tại, hầu hết các mã thông báo được ra mắt trên nền tảng PumpFun và LetsBonk đều gần như do robot điều khiển." Ông phát hiện ra rằng, trên nền tảng đồng Meme LetsBonk, các tài khoản hàng đầu trung bình mỗi 3 phút lại phát hành một mã thông báo mới.

Nhà khoa học dữ liệu và đối tác của a16z Crypto, Daren Matsuoka, cho rằng cuộc tấn công phù thủy (Sybil attack) thực sự là vấn đề chỉ mới xuất hiện trong những năm gần đây. "Trong hầu hết quá trình phát triển của tiền điện tử, chúng ta thực sự đã có một khả năng chống lại cuộc tấn công phù thủy nhất định - bởi vì trên những blockchain Layer1 này, chi phí Gas luôn rất cao." Ông đã phát biểu trong một tập podcast của a16z Crypto vào tháng 4 năm nay.

"Trước đây, để có được tư cách đầu tư rỗng, bạn thực sự cần phải trả vài đô la hoặc thậm chí hàng chục đô la chi phí giao dịch. Nhưng với việc hạ tầng ngày càng được tối ưu hóa, chi phí hoạt động hiện đã trở nên rất thấp. Tôi nghĩ rằng, điều này sẽ hoàn toàn thay đổi cục diện cuộc chơi giữa tấn công và phòng thủ." Giám đốc công nghệ của a16z Crypto, Eddy Lazzarin, luôn nhấn mạnh tầm quan trọng của việc xây dựng cơ chế "chứng minh con người" (proof of human).

"AI hiện nay đã có thể tạo ra một lượng lớn hồ sơ hành vi thực tế. Các trang trại robot tiên tiến nhất hiện nay gần như không thể được nhận diện một cách đáng tin cậy, và không lâu nữa, những trang trại có công nghệ trung bình cũng sẽ trở nên khó phát hiện tương tự." Lazzarin đã viết trong một bài báo vào tháng 5 năm nay. Điều Lazzarin quan tâm nhất là xây dựng một cơ chế "bằng chứng về nhân cách" (proof of personhood): nó nên cho phép con người thực dễ dàng và miễn phí xác minh danh tính của mình, trong khi khiến cho robot hoặc kẻ gian lận phải chịu chi phí cao và độ khó thao tác khi giả mạo quy mô lớn. Ông đề cập rằng dự án quét võng mạc World do Sam Altman khởi xướng chính là một ví dụ điển hình cho loại cơ chế này. Ý tưởng cốt lõi của dự án là mỗi người chỉ có thể đăng ký một lần World ID, sự độc nhất của nó được xác minh thông qua việc quét võng mạc (bởi vì võng mạc của mỗi người là duy nhất).

Lazzarin đã bổ sung trong podcast chủ đề airdrop: "Tôi rất hy vọng thấy nhiều người hơn thử nghiệm các hệ thống giống như World ID, kết hợp công nghệ sinh trắc học với các cơ chế bảo vệ quyền riêng tư, nhằm giới hạn mỗi người chỉ có một ID danh tính."

Tuy nhiên, Vitalik Buterin, đồng sáng lập Ethereum, cho rằng "mỗi người một ID" không phải là giải pháp hoàn hảo, vì điều này có nghĩa là tất cả các hành vi lịch sử có thể bị gắn kết với một điểm tấn công - tức là khóa tương ứng với danh tính đó. Một khi bị lộ, rủi ro sẽ rất lớn. Đồng thời, ông cũng chỉ ra rằng thông tin danh tính sinh trắc học và của chính phủ cũng có thể bị làm giả.

Tại sao không hủy bỏ airdrop tiền điện tử trực tiếp?

Nếu các airdrop tiền điện tử dễ bị thao túng như vậy, thì lựa chọn trực tiếp nhất dường như là hủy bỏ cơ chế airdrop. Tuy nhiên, cũng có quan điểm cho rằng airdrop vẫn có ý nghĩa tồn tại của nó. Việc phát airdrop token cho người dùng thực sự tham gia vào giao thức không chỉ giúp thực hiện sự phi tập trung trong quản trị dự án mà còn phân tán quyền kiểm soát thông qua việc trao quyền biểu quyết. Hơn nữa, airdrop thường tạo ra sự quan tâm lớn. "Một lý do rõ ràng là: Khi bạn phát hành một lượng lớn token có thể có giá trị, bạn sẽ thu hút được sự chú ý lớn, điều này bản thân đã có hiệu quả tiếp thị." Lazzarin cho biết. "Airdrop về cơ bản là một công cụ tiếp thị."

Wilton cũng cho rằng và chỉ ra rằng, các bên dự án nên dự đoán một phần người dùng sẽ bán token, và thực tế đây chính là chi phí marketing mà người dùng cần chịu. Chìa khóa là đảm bảo rằng những người dùng này là những người thực và "sẵn sàng ở lại lâu dài". Trong khi đó, Binance lại cho rằng, các robot tự động không hoàn toàn có hại. Thực tế, trong một số tình huống, nếu được sử dụng đúng cách và minh bạch, robot có thể phát huy tác dụng tích cực - chẳng hạn như cung cấp thanh khoản, đại diện cho người dùng thực hiện chiến lược, hoặc thực hiện mô phỏng kiểm tra áp lực trong thời gian kiểm toán.