Theo CoinMarketCap, các công ty an ninh blockchain Blockaid và PeckShield cho biết ngày 19/9, cùng một đối tượng đã nhắm vào hai dự án crypto liên quan AI là Fetch.ai và NuNet. Tổng giá trị tài sản bị tác động vào thời điểm xảy ra sự cố vào khoảng 2 triệu USD, kéo theo giá các token liên quan giảm mạnh. Trong vụ việc liên quan Fetch.ai, token FET đã bị rút khỏi hợp đồng. Blockaid công bố kẻ tấn công trước hết chuyển khoảng 8,7 triệu FET từ một hợp đồng hoán đổi token trên Fetch.ai, tương đương khoảng 1,53 triệu USD. Các nhà nghiên cứu bảo mật cho biết ví nhận số tiền này sau đó cũng xuất hiện trong sự cố của NuNet, được xem là bằng chứng chính liên kết hai vụ tấn công với cùng một tác nhân. Blockaid đồng thời công khai các địa chỉ ví của kẻ tấn công và một giao dịch mẫu nhằm hỗ trợ dự án và sàn giao dịch nhận diện, chặn các luồng dịch chuyển tiền liên quan. Ở phía NuNet, hệ thống ghi nhận hoạt động mint bất thường 408,5 triệu NTX. Trong sự cố thứ hai, kẻ tấn công sử dụng tài khoản deployer của NuNet để mint trái phép khoảng 408,5 triệu NTX, trị giá khoảng 463.000 USD theo mức giá trong báo cáo. Lượng token mint bất thường này cũng được chuyển đến cùng ví đang giữ số FET bị đánh cắp, qua đó củng cố nhận định cả hai vụ do cùng một kẻ thực hiện. Các nhà nghiên cứu nhận định những sự cố kiểu này thường phản ánh lỗ hổng trong kiểm soát quyền của hợp đồng hoặc quản trị các tài khoản/khóa quan trọng. Khi quyền triển khai (deployment) hoặc cơ chế nâng cấp hợp đồng bị khai thác, kẻ tấn công không chỉ có thể chuyển tài sản sẵn có mà còn có thể tạo thêm nguồn cung token mới. Sau sự cố, kẻ tấn công nhanh chóng hoán đổi phần đáng kể tài sản sang 546 ETH, trị giá khoảng 1,44 triệu USD. Giới phân tích cho rằng cách làm này phổ biến sau các vụ tấn công do khiến việc truy vết và phong tỏa dòng tiền khó khăn hơn; điểm đến của 546 ETH hiện được theo dõi chặt chẽ. Tác động bởi thông tin trên, NTX của NuNet giảm khoảng 65%–70%, còn FET của Fetch.ai giảm khoảng 10%. Tính đến thời điểm đưa tin, cả Fetch.ai và NuNet vẫn chưa phát đi thông báo chính thức. Số liệu chính: FET bị chuyển đi khoảng 8,7 triệu; NTX bị mint trái phép khoảng 408,5 triệu; kẻ tấn công nhận 546 ETH. Báo cáo cũng lưu ý các cơ quan an ninh đánh giá vụ việc cho thấy rủi ro phổ biến ở các dự án crypto liên quan AI và điện toán về quản trị quyền hợp đồng: nếu tài khoản deployer hoặc hợp đồng chuyển đổi token bị xâm phạm, thiệt hại có thể lan rộng và gây tổn thất dây chuyền cho nhiều dự án.

Theo Huo Xing Cai Jing, ngày 20/9, Strategy cho biết cổ phiếu MSTR đã tăng khoảng 48% trong tháng qua, mức tăng cao nhất trong số các thành phần của chỉ số Nasdaq 100. Trong cùng giai đoạn, Meta tăng 21,9%, AMD tăng 20%, CrowdStrike tăng 17,9% và Intel tăng 17%, lần lượt xếp từ vị trí thứ hai đến thứ năm.

Ngày 19/9, 23pds – Giám đốc An ninh Thông tin (CISO) của SlowMist – phát đi cảnh báo khẩn, kêu gọi người dùng iPhone cập nhật hệ điều hành ngay sau khi xác nhận tin tặc đã "vũ khí hóa" một chuỗi khai thác iOS dạng fullchain, có khả năng âm thầm rút cạn khóa riêng và cụm từ khôi phục (mnemonic seed phrase) từ các ví tiền mã hóa. Thông tin được đăng trên X cho biết phạm vi ảnh hưởng trải dài từ iOS 13 đến iOS 26.5, đe dọa nghiêm trọng tài sản tự lưu ký trên ví di động. Cách chuỗi khai thác hoạt động Kịch bản tấn công bắt đầu khi nạn nhân truy cập một trang web độc hại bằng Safari, thường đến từ thủ đoạn xã hội (social engineering) hoặc liên kết kiểu watering hole. Trang này khai thác lỗi hỏng bộ nhớ trong WebKit và JavaScriptCore để giành quyền đọc/ghi tùy ý ở lớp JavaScript. Từ điểm bám đó, kẻ tấn công vượt qua Pointer Authentication Codes để thực thi mã native, thoát khỏi sandbox WebContent và leo thang đặc quyền lên mức root ở nhân hệ điều hành. Khi đã đạt quyền kernel, chúng có thể đọc Keychain của thiết bị và trích xuất dữ liệu ứng dụng ví, gồm khóa riêng và cụm từ khôi phục. Điểm đáng lo là nạn nhân không cần nhập seed phrase như các trang lừa đảo (phishing) truyền thống; chỉ cần bấm vào liên kết và mở trang là đủ để bị tấn công. Đối tượng bị ảnh hưởng 23pds cho biết phạm vi bị ảnh hưởng hiện xác định từ iOS 13 đến iOS 26.5, dù mốc trên vẫn chờ xác nhận cuối cùng. Do khóa bị lấy trực tiếp từ thiết bị, việc "đổi mật khẩu" không thể khôi phục ví đã bị xâm nhập; bất kỳ ai nắm được khóa trích xuất đều có thể chuyển tiền. Rủi ro lớn nhất thuộc về người dùng tự lưu ký (self-custody), vì khi khóa bị đánh cắp ở tầng thiết bị sẽ không có cơ chế phục hồi phía sàn giao dịch. Cảnh báo này xuất hiện trong bối cảnh các mối đe dọa nhắm vào thiết bị di động và App Store gia tăng đối với nhà đầu tư nhỏ lẻ, trong đó có vụ việc gần đây Apple bị cáo buộc vẫn để một ví Bitcoin giả tồn tại trên App Store sau khi ghi nhận thiệt hại 875.000 USD. Khuyến nghị cho người dùng SlowMist đưa ra khuyến nghị dứt khoát: cập nhật iOS lên phiên bản mới nhất ngay lập tức; tránh mở các liên kết không rõ nguồn gốc trong Safari; với người từng dùng thiết bị thuộc diện dễ bị ảnh hưởng để giữ ví nóng (hot wallet), nên tạo bộ khóa mới trên thiết bị sạch đã cập nhật và chuyển toàn bộ tài sản sang địa chỉ mới. Đến thời điểm công bố, SlowMist chưa phát hành bản khuyến cáo chính thức dạng đầy đủ; bài đăng của 23pds vẫn là nguồn thông tin công khai chủ đạo.

Tâm lý bi quan của nhà đầu tư cá nhân tại Mỹ đang leo lên 53%, mức mà các tổ chức coi là tín hiệu phản nghịch (contrarian) tiến gần vùng có thể bật lại. Theo GoldNews, trong bối cảnh giá dầu phục hồi và lợi suất trái phiếu Kho bạc Mỹ tăng, quan điểm của nhà đầu tư nhỏ lẻ đối với cổ phiếu Mỹ đã chuyển sang bi quan rõ rệt. Khảo sát tuần mới nhất của Hiệp hội Nhà đầu tư Cá nhân Mỹ (AAII) cho thấy khoảng 53% người tham gia dự báo chứng khoán Mỹ sẽ diễn biến kém trong 6 tháng tới. Con số này tăng khoảng 14 điểm phần trăm so với tuần trước và là mức cao nhất kể từ tháng 5/2025. Ở chiều ngược lại, tỷ lệ nhà đầu tư lạc quan giảm xuống dưới 29%, mất khoảng 10 điểm phần trăm chỉ trong một tuần, chạm mức thấp nhất trong khoảng một năm.

Theo Gold财经, ngày 20/9, ông Yu Xian (Cosine) – nhà sáng lập SlowMist – đăng trên X cảnh báo về một vụ "đầu độc" (poisoning) và đánh cắp tài sản tiền mã hóa liên quan đến ứng dụng giao đồ ăn ComeCome (Bai Tuo Bai Tuo). Ứng dụng này có vẻ hợp pháp nhưng được cho là âm thầm chiếm đoạt tài sản crypto trên iPhone bằng kỹ thuật tương tự trường hợp FomoPeek từng bị phanh phui trước đó. Ông Yu Xian khuyến nghị người dùng iOS cập nhật ngay lên phiên bản hệ điều hành mới nhất; người dùng iPad và Mac cũng có thể đối mặt rủi ro tương tự và cần nâng cao cảnh giác.

Theo Huo Xing Cai Jing, ông Yu Xian, nhà sáng lập SlowMist, cho biết sau vụ ứng dụng FomoPeek bị "đầu độc" dẫn đến đánh cắp tài sản, thị trường tiếp tục ghi nhận một trường hợp tương tự. Một ứng dụng có tên ComeCome (comecome.icu), được giới thiệu là ứng dụng giao đồ ăn, bị phát hiện sử dụng phương thức tấn công cùng kiểu. Các bản FomoPeek v1.1–1.2 được xác định chứa SDK độc hại, tích hợp 8 kỹ thuật khai thác nhân iOS. SDK này có khả năng tự động chọn vector tấn công phù hợp theo mẫu máy và phiên bản hệ điều hành. Dải iOS được ghi nhận chịu ảnh hưởng gồm iOS 12–18.7 và 26–26.1. Khi khai thác thành công, kẻ tấn công có thể vượt qua cơ chế sandbox của iOS để đánh cắp tài sản trong ví tiền mã hóa. Yu Xian cảnh báo rủi ro có thể lan sang cả iPad và Mac, đồng thời khuyến nghị người dùng cập nhật ngay lên phiên bản iOS mới nhất và đặc biệt thận trọng với các ứng dụng đến từ nguồn không đáng tin cậy.

Theo dữ liệu giám sát của PeckShield, ngày 20/9 (UTC+8), tin tặc từng đứng sau các vụ tấn công Fetch.ai và NuNet đã lợi dụng một lỗ hổng của SingularityNET để "đúc" trái phép 260 triệu AGIX và 53,838 triệu WMTX trên mạng Ethereum. Hiện kẻ tấn công đang nắm giữ lượng tài sản tiền mã hóa ước tính khoảng 16,77 triệu USD, gồm 198,3 triệu AGIX trị giá khoảng 14,42 triệu USD, 649 ETH khoảng 1,67 triệu USD và 33,538 triệu WMTX khoảng 627.400 USD. (Nguồn: BlockBeats)

SpaceX công bố kế hoạch xây dựng một tổ hợp phóng quy mô lớn rộng 125.000 mẫu Anh tại bang Louisiana, với mục tiêu triển khai khoảng 30 vụ phóng mỗi ngày. Chính quyền bang cho biết thỏa thuận có thể mang lại tổng mức đầu tư 100 tỷ USD và khoảng 10.000 việc làm. Theo hồ sơ phát triển kinh tế, SpaceX dự kiến chi khoảng 25 triệu USD mỗi năm cho địa phương để đổi lấy việc được giảm thuế tài sản trong 25 năm, với tổng giá trị ưu đãi lên tới hàng tỷ USD. Khu đất nằm cách thị trấn Abbeville khoảng 45 phút lái xe.

Nguồn: npa.go.jp. Tổng hợp: Odaily Planet Daily (@OdailyChina); Dịch: Asher (@Asher_0210). Ngày 18/9, Cơ quan Cảnh sát Quốc gia Nhật Bản (NPA) cùng nhiều cơ quan, trong đó có Cục Điều tra Liên bang Mỹ (FBI), công bố thông tin về nhóm tin tặc Triều Tiên WaterPlum (còn được gọi là "Contagious Interview"). Nhóm này trong thời gian dài đã mạo danh nhà tuyển dụng hoặc công ty tiền mã hóa để dụ lập trình viên chạy mã độc dưới vỏ bọc bài kiểm tra kỹ thuật và hợp tác dự án. Theo thông tin chung, từ tháng 12/2025 đến tháng 7/2026, WaterPlum đã lây nhiễm hơn 30.000 thiết bị tại trên 100 quốc gia, chuyển tiền hoặc đánh cắp thông tin đăng nhập của hơn 7.000 ví tiền mã hóa, liên quan ít nhất 10,71 triệu USD tài sản crypto. Khác với các chiến dịch trước đây chủ yếu nhắm vào sàn giao dịch và tổ chức lớn, WaterPlum đã mở rộng trọng tâm sang các lập trình viên cá nhân, freelancer và giới làm việc Web3. Không chỉ rút tài sản từ ví, kẻ tấn công còn tận dụng máy tính bị chiếm quyền và thông tin định danh để xâm nhập vào doanh nghiệp của nạn nhân, tạo tiền đề cho các hành vi tiếp theo như đánh cắp bí mật thương mại, tống tiền, hoặc thậm chí mạo danh nạn nhân khi nộp đơn xin việc. Chiêu "tuyển dụng lương cao" là điểm vào phổ biến Cửa ngõ thường gặp nhất trong các vụ tấn công của WaterPlum không phải email lừa đảo, mà là một cơ hội việc làm trông có vẻ hợp pháp. Nhóm này giả mạo các công ty AI, crypto hoặc NFT, tiếp cận lập trình viên qua mạng xã hội, nền tảng tuyển dụng, các nền tảng nhận việc theo dự án và chợ freelancer. Sau liên hệ ban đầu, kẻ tấn công thường sắp xếp phỏng vấn video hoặc yêu cầu ứng viên làm bài test lập trình. Giai đoạn "đánh giá kỹ thuật" mới là điểm nổ: ứng viên được gửi một kho mã, được yêu cầu chạy dự án ở máy cá nhân, sửa lỗi, hoặc xử lý trục trặc liên quan phần mềm họp trực tuyến. Bề ngoài đây có thể chỉ là dự án JavaScript, Python hoặc VS Code thông thường, nhưng bên trong được cài mã độc. WaterPlum thường lợi dụng các gói NPM (trình quản lý gói Node.js) đã bị cấy mã độc, liên quan nhiều họ mã độc như BeaverTail, InvisibleFerret, OtterCookie, OtterCandy và StoatWaffle. Một số dự án độc hại khai thác tệp cấu hình .vscode/tasks.json để tự động thực thi mã ngay khi người dùng mở và "trust" thư mục trong VS Code. Với nạn nhân, toàn bộ quy trình có thể chỉ là tải code, mở dự án và chạy chương trình theo hướng dẫn của "người phỏng vấn", trong khi mã độc âm thầm cài đặt ở nền. Sau khi có quyền truy cập ban đầu, kẻ tấn công triển khai trojan điều khiển từ xa để duy trì kiểm soát dài hạn và dùng phần mềm đánh cắp thông tin để thu thập dữ liệu. Mục tiêu chính gồm: - Tài khoản và mật khẩu lưu trong trình duyệt; - Nội dung clipboard, nhật ký gõ phím và ảnh chụp màn hình; - Khóa riêng, cụm từ khôi phục (seed phrase) và dữ liệu liên quan ví crypto; - Tệp trên máy tính và thư mục chia sẻ; - Ảnh giấy tờ định danh như bằng lái xe, hộ chiếu. Dữ liệu này sẽ được gửi về máy chủ do kẻ tấn công kiểm soát. Kể cả khi ví chưa có tài sản tại thời điểm bị xâm nhập, chỉ cần khóa riêng hoặc seed phrase bị lộ, kẻ tấn công có thể theo dõi địa chỉ dài hạn và rút tiền ngay khi có dòng tiền vào. Khi một thiết bị bị chiếm quyền, rủi ro không dừng ở ví cá nhân. Lập trình viên thường có quyền truy cập kho mã nguồn doanh nghiệp, dịch vụ đám mây và hệ thống nội bộ. WaterPlum có thể tận dụng thông tin đăng nhập và quyền sẵn có trên thiết bị để xâm nhập hệ thống của công ty, khách hàng hoặc đối tác, tiếp tục đánh cắp bí mật thương mại, di chuyển ngang trong mạng nội bộ, hoặc dùng dữ liệu nhạy cảm để tống tiền. "Trạm làm việc từ xa" ẩn trong nhà ở nước ngoài Bằng lái, hộ chiếu và giấy tờ định danh bị đánh cắp còn được sử dụng cho mục đích khác: chuyển cho các nhân sự IT Triều Tiên để mạo danh nạn nhân nộp hồ sơ xin việc ở nước ngoài và tạo nguồn ngoại tệ. NPA và FBI nhận định WaterPlum chủ yếu phát tán mã độc qua tin tuyển dụng giả, còn các nhân sự IT Triều Tiên giả làm lập trình viên ở nước ngoài để thâm nhập doanh nghiệp; hai nhóm có sự chồng lấn về nhân sự và hạ tầng. NPA và FBI cho biết thành viên WaterPlum và một số nhân sự IT Triều Tiên có liên hệ với Cục 313 thuộc Ban Công nghiệp Quân sự, trực thuộc Ban Chấp hành Trung ương Đảng Lao động Triều Tiên. Để vượt qua quy trình xác minh danh tính và địa điểm làm việc, các nhân sự IT Triều Tiên phối hợp với trung gian ở nước ngoài: dựng máy tính làm việc tại nhà dân địa phương, cung cấp thông tin định danh và nhận lương hộ, trong khi người thực sự làm việc từ xa đặt tại Triều Tiên, Nga và khu vực khác. Mô hình này tạo ra các "điểm trung chuyển làm việc từ xa" nhằm che giấu vị trí và danh tính thật. Nhờ sử dụng máy tính và mạng tại Nhật Bản hoặc Mỹ, họ có thể đăng nhập hệ thống doanh nghiệp khiến công ty tin rằng nhân sự đang hiện diện tại địa phương. Người hỗ trợ sẽ nhận máy do công ty cấp, cung cấp giấy tờ và tài khoản ngân hàng, sau đó chuyển khoản lương cho người vận hành thực. NPA cho biết đây là lần đầu cơ quan chức năng Nhật phát hiện một cơ sở kiểu này ngay trong lãnh thổ Nhật Bản. Điều tra cũng ghi nhận các đối tượng liên quan không chỉ hỗ trợ che giấu danh tính và xin việc, mà còn chuyển hàng chục triệu yên ra nước ngoài, bao gồm cả tài sản crypto. Thông báo cảnh báo doanh nghiệp hoặc cá nhân cung cấp việc làm, thanh toán cho nhân sự IT Triều Tiên, hoặc hỗ trợ giấy tờ định danh, tài khoản ngân hàng hay thiết bị truy cập từ xa có thể vi phạm pháp luật địa phương và vi phạm lệnh trừng phạt đối với Triều Tiên. Rủi ro họ mang lại cho doanh nghiệp không chỉ là dòng tiền lương chảy về Triều Tiên. Có trường hợp một nhân sự IT Triều Tiên tống tiền chủ sử dụng lao động do tranh chấp lương và công khai mã nguồn độc quyền của công ty; một trường hợp khác được thuê bảo trì website đã cố tình sửa đổi khiến trang web không thể truy cập. Làm giả hồ sơ để ứng tuyển vào sàn giao dịch crypto tại Nhật Doanh nghiệp tiền mã hóa là một trong các ngành bị nhân sự IT Triều Tiên nhắm tới. Tháng 5/2025, một sàn giao dịch tiền mã hóa tại Nhật nhận hồ sơ ứng tuyển vị trí kỹ sư từ ứng viên bị nghi là nhân sự IT Triều Tiên. Ứng viên truy cập tin tuyển dụng qua VPN và nộp CV bị làm giả. CV được trình bày rất "hoàn hảo": tuyên bố thành thạo nhiều ngôn ngữ lập trình, công nghệ blockchain, hệ thống tiền mã hóa và dịch vụ đám mây, mỗi nhóm kỹ năng liệt kê hơn 10 mục kinh nghiệm liên quan. Phần lý lịch cho thấy học ở các trường đại học châu Âu và làm việc ở nhiều thành phố thuộc châu Âu và châu Á trong thời gian ngắn. Trong phỏng vấn video, ứng viên nói sinh tại Malaysia và đang sống ở Phần Lan, tiếng mẹ đẻ là tiếng Mã Lai và tiếng Trung. Dù vậy, năng lực tiếng Anh không tương xứng với nền tảng học tập và kinh nghiệm công việc tự khai: chỉ trả lời được câu hỏi cơ bản và không giải thích chi tiết đa số kỹ năng kỹ thuật ghi trong CV. Thông báo cũng tổng hợp các dấu hiệu thường gặp khác ở nhóm ứng viên bị nghi ngờ, gồm: từ chối gặp trực tiếp, yêu cầu trả công bằng crypto, hay liếc sang một màn hình khác, đôi lúc nghe thấy giọng người khác ở nền, tín hiệu video/âm thanh thường xuyên bị giật và buffering. Hành vi liếc sang màn hình khác có thể là đang đọc câu trả lời do người khác cung cấp; dù trên camera chỉ có một người, nhiều người vẫn có thể phối hợp phía sau để dựng năng lực kỹ thuật. Thiết bị bị nhiễm: gỡ mã độc chưa đủ Khi phát hiện máy tính bị nhiễm, chỉ xóa mã độc vẫn chưa an toàn. Dù tài sản trong ví chưa bị chuyển đi, việc từng chạy mã không rõ nguồn gốc đồng nghĩa thiết bị và ví có thể đã bị lộ. Mã độc có thể đã lấy được khóa riêng, seed phrase hoặc thông tin đăng nhập trình duyệt, nhưng chưa hành động ngay. Kẻ tấn công cũng có thể duy trì cửa hậu và chờ thời điểm thuận lợi để chuyển tiền. Nhiều tổ chức quốc tế khuyến nghị không chạy trực tiếp mã do người lạ cung cấp trên thiết bị lưu trữ tài sản crypto hoặc xử lý dữ liệu nhạy cảm. Nếu bắt buộc kiểm thử, cần dùng sandbox hoặc máy ảo tách biệt với môi trường làm việc hằng ngày, đồng thời rà soát dự án trước khi chạy để phát hiện mã bị làm rối, khó đọc hoặc có cơ chế tự tải về. Đặc biệt thận trọng với các script có lệnh curl, base64, mshta, InvokeWebRequest hoặc các lệnh tải xuống, mã hóa, che giấu thực thi. Không chạy nếu chưa hiểu rõ mục đích. Nếu phần mềm diệt virus đã cảnh báo nhiễm, hoặc bạn từng chạy chương trình do một "nhà tuyển dụng" đáng ngờ cung cấp, cần ngắt kết nối mạng ngay. Kể cả khi gỡ mã độc sau đó, nên coi dữ liệu ví đã bị lộ: tạo một ví hoàn toàn mới trên thiết bị riêng, an toàn; chuyển toàn bộ tài sản sang ví mới; lưu seed phrase mới ở chế độ offline. Do nguy cơ còn cửa hậu chưa bị phát hiện trên máy nhiễm, cách an toàn nhất là sao lưu dữ liệu cần thiết rồi cài lại hoàn toàn hoặc reset hệ điều hành, thay vì tiếp tục sử dụng môi trường hiện tại.