SparkKitty: Malware âm thầm đánh cắp seed phrase từ ảnh chụp – Bot kêu, tiền chạy
Hai ứng dụng vừa bị phát hiện trên App Store và Google Play. Chúng không hack blockchain, không lỗi smart contract. Chúng chỉ làm một việc: đọc ảnh chụp màn hình của bạn. Seed phrase trong album ảnh? Biến mất. Ví tiền? Sạch.
Bot kêu, tiền chạy.
Đây không phải lời đồn. SparkKitty – tên mã độc – đã lọt qua vòng kiểm duyệt của Apple và Google. Nó yêu cầu quyền truy cập ảnh, giả làm app chỉnh sửa ảnh hoặc quét QR. Một khi được cấp quyền, nó quét toàn bộ thư viện, nhận diện ký tự OCR, tìm chuỗi 12 hoặc 24 từ. Không cần kỹ thuật cao. Chỉ cần một dòng code.
Tôi đã thấy điều này từ lâu. Năm 2017, tôi từng viết bot Telegram quét nhóm ICO để phát hiện scam. Năm 2022, tôi nhìn vào on-chain data của FTX và thấy dòng tiền chảy ra. Lần này cũng thế: dấu hiệu có từ thói quen. Người dùng chụp ảnh seed phrase để “nhỡ mất điện thoại”. Sai lầm chết người.
Core: SparkKitty đã tồn tại ít nhất 3 tháng trong kho ứng dụng chính thức. Theo ước tính của nhóm bảo mật SlowMist, hơn 15.000 thiết bị đã bị nhiễm. Trong số đó, ước tính 200-300 ví tiền điện tử đã bị rút sạch. Số liệu chưa chính thức, nhưng tín hiệu đã rõ. Pool đầy, tôi vào? Không. Pool đầy, tôi rút. Lần này, pool là ảnh của bạn.
Kỹ thuật của malware không mới: sử dụng thư viện OCR mã nguồn mở (Tesseract) để đọc text từ ảnh. Nhưng điểm mới là nó khai thác lòng tin vào cửa hàng ứng dụng. Apple và Google đều có cơ chế kiểm duyệt, nhưng SparkKitty đã vượt qua bằng cách ẩn mã độc trong bản cập nhật sau khi được phê duyệt lần đầu. Kỹ thuật “update độc” này đã được biết đến từ lâu, nhưng chưa bao giờ phổ biến trong crypto. Đến nay thì có.
Script ghi danh, whitelist xong. Chỉ khác: script này ghi danh vào danh sách ảnh của bạn.
Contrarian angle: Nhiều người sẽ nói “tự lưu trữ (self-custody) là nguy hiểm, hãy dùng sàn tập trung”. Sai. Vấn đề không phải self-custody, mà là cách bạn lưu trữ seed phrase. Cất trong két sắt, ghi vào sổ tay vật lý, hoặc dùng hardware wallet – tất cả đều an toàn. Nhưng chụp ảnh và để trong album? Đó là mời gọi. SparkKitty chỉ là một trong hàng trăm malware tương tự. Trung Quốc gọi loại này là “截屏窃密”. Nhưng chúng ta không cần tiếng Trung – vấn đề toàn cầu.
Tôi cá rằng tuần tới sẽ có thêm ít nhất 3 bài viết kiểu “Cảnh báo: Đừng chụp ảnh seed phrase”. Nhưng người ta vẫn sẽ tiếp tục chụp. Vì tiện. Vì lười. Và vì “tôi không ngờ”.
Takeaway: Đừng đợi đến khi bot kêu mới chạy. Hãy xóa hết ảnh chụp seed phrase ngay bây giờ. Nếu bạn đã từng chụp, hãy tạo ví mới và chuyển tiền. SparkKitty có thể đã đọc ảnh của bạn từ tuần trước. Bạn không biết, nhưng bot thì biết.
Pool đầy, tôi vào. Lần này, pool là rủi ro. Tôi out.