Sự phát triển của công nghệ blockchain đã tạo ra một nghịch lý lớn trong kỷ nguyên kỹ thuật số: sự minh bạch tuyệt đối đi kèm với ảo tưởng về tính ẩn danh. Trong khi nhiều người dùng vẫn tin rằng các địa chỉ ví dưới dạng mã băm phức tạp là lá chắn bảo vệ danh tính, thực tế on-chain lại cho thấy một bức tranh hoàn toàn khác. Theo nhận định từ các chuyên gia tại Tấn Phát Digital, việc theo dõi ví crypto không còn đòi hỏi những kỹ thuật siêu đẳng như trong các bộ phim giả tưởng; thay vào đó, nó là một quá trình phân tích dữ liệu có hệ thống, sử dụng các thuật toán phân cụm địa chỉ, giám sát thời gian thực và khai thác các rò rỉ dữ liệu ngoài chuỗi (off-chain). Các tác nhân đe dọa, từ những cá nhân trục lợi MEV đến các nhóm tội phạm mạng có sự bảo trợ của quốc gia như Lazarus Group, đã biến blockchain thành một sân chơi của sự giám sát không ngừng nghỉ. Báo cáo này sẽ đi sâu vào các cơ chế kỹ thuật mà hacker sử dụng để định danh, theo dõi và cuối cùng là chiếm đoạt tài sản của mục tiêu thông qua việc khai thác các đặc tính cốt lõi của sổ cái công khai.
Nền tảng kỹ thuật của sự giám sát: Phân cụm địa chỉ và Phân tích on-chain
Cốt lõi của việc theo dõi ví bắt đầu từ khả năng liên kết nhiều địa chỉ tưởng chừng như riêng biệt về một thực thể duy nhất thông qua các phương pháp heuristic (phép thử đúng-sai). Blockchain, đặc biệt là các hệ thống dựa trên mô hình UTXO (Unspent Transaction Output) như Bitcoin và Cardano, cung cấp các manh mối cấu trúc mà hacker có thể khai thác để phá vỡ tính ẩn danh.
Heuristic đồng sở hữu đầu vào (Multi-input Heuristic)
Đây là kỹ thuật quan trọng nhất trong việc phân cụm địa chỉ. Nguyên lý cơ bản dựa trên cấu trúc của một giao dịch blockchain: khi một thực thể muốn gửi một lượng tiền lớn hơn số dư của một địa chỉ duy nhất, họ phải gộp nhiều UTXO từ các địa chỉ khác nhau mà họ kiểm soát vào một giao dịch. Để thực hiện điều này, người gửi phải cung cấp chữ ký hợp lệ cho tất cả các địa chỉ đầu vào đó, điều này chứng minh một cách toán học rằng một thực thể duy nhất nắm giữ các khóa riêng tư cho toàn bộ các địa chỉ này.
Hacker sử dụng các thuật toán như Union-Find để nhóm các địa chỉ này lại thành từng cụm (clusters). Kết quả là, chỉ từ một giao dịch đơn lẻ, một hacker có thể xác định được toàn bộ "hệ sinh thái" ví của một cá nhân hoặc tổ chức. Các nghiên cứu cho thấy mỗi thực thể trung bình kiểm soát khoảng 9.67 địa chỉ trên mạng lưới Cardano, và con số này thậm chí còn cao hơn đối với các thực thể hoạt động tích cực trên Bitcoin.
Heuristic địa chỉ thối lại (Change Address Heuristic)
Trong mô hình UTXO, mỗi khi một giao dịch được thực hiện, toàn bộ số dư của UTXO đầu vào phải được chi tiêu. Nếu số tiền gửi đi ít hơn tổng đầu vào, phần còn lại sẽ được gửi về một "địa chỉ thối lại" (change address). Các phần mềm ví hiện đại thường tự động tạo ra một địa chỉ mới cho mỗi giao dịch thối lại để bảo vệ quyền riêng tư, nhưng hacker có thể nhận diện chúng thông qua các mẫu hành vi cụ thể:
Trạng thái địa chỉ: Địa chỉ thường chưa từng xuất hiện trên blockchain trước đó, giúp hacker xác định đây là địa chỉ mới của cùng một chủ sở hữu.
Cấu trúc đầu ra: Chỉ xuất hiện duy nhất một địa chỉ mới trong số các đầu ra, giúp phân biệt với địa chỉ của người nhận thực sự.
Giá trị giao dịch: Thường có số thập phân lẻ hơn so với số tiền gửi tròn, cho phép hacker dự đoán luồng tiền dư của nạn nhân.
Quy luật thời gian: Địa chỉ được tạo ra đồng thời với giao dịch gốc, liên kết vĩnh viễn địa chỉ mới vào cụm địa chỉ cũ.
Việc xác định địa chỉ thối lại cho phép hacker duy trì sự theo dõi liên tục ngay cả khi nạn nhân cố gắng phân tán tài sản sang các ví mới. Đây là một quá trình xác định có tính hệ thống, biến các nỗ lực ẩn danh hóa thủ công trở nên vô dụng trước các công cụ phân tích tự động.
Xem thêm: Blockchain Explorer là gì?
Sweeper Bots: Kẻ săn mồi tự động trong Mempool
Khi hacker đã có được khóa riêng tư (private key) hoặc cụm từ khôi phục (seed phrase) của nạn nhân, chúng thường không hành động ngay lập tức nếu số dư hiện tại thấp hoặc nếu tài sản nằm ở các dạng token khó thanh khoản. Thay vào đó, chúng triển khai Sweeper Bots (robot quét tiền) để giám sát ví 24/7.
Cơ chế hoạt động và cuộc đua phí Gas
Sweeper Bot hoạt động dựa trên việc giám sát Mempool—hàng đợi nơi các giao dịch chờ được xác nhận bởi các thợ đào hoặc người xác thực. Khi người dùng nhận thấy ví mình bị xâm nhập và cố gắng nạp một lượng tiền nhỏ (ví dụ: ETH hoặc BNB) vào làm phí gas để rút các tài sản giá trị khác ra, bot sẽ phát hiện giao dịch nạp tiền này ngay khi nó vừa được phát tán lên mạng lưới.
Ngay lập tức, bot sẽ tạo ra một giao dịch rút tiền của chính nó, nhắm mục tiêu vào số tiền vừa được nạp vào hoặc các token giá trị trong ví. Điểm mấu chốt là hacker sẽ đặt mức phí gas cực cao (Gas_{hacker} > Gas_{user}) để đảm bảo thợ đào sẽ ưu tiên thực hiện giao dịch của chúng trước. Trong cấu trúc của Ethereum và các mạng tương đương EVM, thứ tự thực hiện giao dịch trong một khối phụ thuộc phần lớn vào mức phí mà người dùng sẵn sàng chi trả. Điều này tạo ra một cuộc tấn công "front-running" (chạy trước) không thể tránh khỏi đối với những người dùng phổ thông.
MEV và Trích xuất giá trị tối đa
Việc theo dõi ví không chỉ giới hạn ở các ví bị đánh cắp khóa. Các hacker chuyên nghiệp còn theo dõi ví của các "Cá voi" (Whales) để thực hiện các chiến lược MEV (Maximal Extractable Value). Thông qua các bot GPS (Generalized Profit-Seeker), hacker quét các giao dịch đang chờ xử lý, mô phỏng kết quả của chúng và thực hiện các cuộc tấn công Sandwich.
Trong một cuộc tấn công Sandwich, hacker đặt giao dịch của mình ở cả hai đầu giao dịch của nạn nhân:
Giao dịch trước (Front-run): Mua token trước để đẩy giá lên.
Giao dịch nạn nhân: Thực hiện lệnh mua với mức giá đã bị đẩy cao, tiếp tục tăng áp lực giá.
Giao dịch sau (Back-run): Hacker bán ngay lập tức để thu lợi nhuận từ sự trượt giá mà nạn nhân phải chịu.
Quy mô của các hoạt động này là vô cùng lớn, với ước tính hàng triệu đô la lợi nhuận được trích xuất mỗi ngày trên mạng lưới Ethereum đơn lẻ.
Theo dõi thông qua các công cụ Blockchain Analytics chuyên nghiệp
Hacker ngày càng trở nên tinh vi khi sử dụng chính các công cụ được thiết kế cho mục đích tuân thủ và nghiên cứu để thực hiện các hoạt động giám sát mục tiêu. Các nền tảng như Nansen, Chainalysis, Arkham Intelligence và Etherscan cung cấp các tính năng mạnh mẽ cho phép hacker thiết lập các hệ thống cảnh báo tự động.
Hệ thống Watchlist và Cảnh báo thời gian thực
Các công cụ phân tích hiện đại cho phép người dùng dán nhãn (label) các địa chỉ ví và thiết lập "Watchlist Alerts". Khi một ví mục tiêu thực hiện bất kỳ hành động nào—từ nạp/rút tiền, hoán đổi (swap) token trên DEX, đến việc phê duyệt một hợp đồng thông minh mới—hacker sẽ nhận được thông báo tức thì qua Telegram, Discord hoặc Email.
Sự kết hợp giữa dữ liệu on-chain và các nhãn thực thể (entity labels) giúp hacker phân loại mục tiêu một cách hiệu quả:
Ví cá voi (Whales): Để theo dõi biến động thị trường hoặc tấn công Sandwich.
Ví của các nhà phát triển dự án: Để phát hiện sớm các đợt bán tháo hoặc lỗ hổng trong các hợp đồng mới triển khai.
Ví của nạn nhân đã bị đánh cắp thông tin: Để chờ đợi thời điểm nạp thêm tài sản phí gas.
Dưới đây là các công cụ phổ biến được hacker và nhà phân tích sử dụng:
Arkham: Cung cấp tính năng Visualizer và Entity Labeling nhằm liên kết địa chỉ ví với danh tính thực hoặc tổ chức cụ thể.
Nansen: Chuyên về Smart Money Tracking để theo dõi luồng tiền của các quỹ đầu tư và các ví cá lớn.
Bubblemaps: Cung cấp bản đồ phân bổ Token để phát hiện các cụm ví đang tập trung quyền kiểm soát.
Tenderly: Hỗ trợ Real-time Tracing để giám sát các lệnh gọi hàm chi tiết bên trong các hợp đồng thông minh.
Dune Analytics: Cho phép chạy các truy vấn SQL tùy chỉnh để phân tích sâu các mẫu hành vi tài chính trên quy mô lớn.
Xem thêm: Blockchain có ẩn danh hoàn toàn không?
De-anonymization: Khi IP và dữ liệu ngoài chuỗi lên tiếng
Blockchain có thể là ẩn danh, nhưng quá trình tương tác với nó thường để lại các dấu vết kỹ thuật số mà hacker có thể sử dụng để định danh người dùng. Đây là quá trình "De-anonymization" (giải ẩn danh), biến một mã băm vô hồn thành một con người cụ thể.
Rò rỉ địa chỉ IP qua các dịch vụ RPC
Phần lớn người dùng hiện tương tác qua các ví trình duyệt như MetaMask. Các ví này gửi yêu cầu qua các dịch vụ RPC như Infura. Nghiên cứu mới nhất chỉ ra rằng kẻ tấn công có thể thực hiện de-anonymization với tỷ lệ thành công lên tới 95% bằng cách khai thác sự tương quan thời gian giữa các gói tin TCP và các giao dịch trên sổ cái.
Việc nắm giữ địa chỉ IP cho phép hacker:
Xác định vị trí địa lý: Khoanh vùng mục tiêu để thực hiện các cuộc tấn công vật lý hoặc lừa đảo.
Tấn công DDoS: Làm tê liệt khả năng tương tác mạng của nạn nhân trong thời điểm quan trọng.
Khai thác dữ liệu ISP: Liên kết sâu hơn với danh tính thực qua các rò rỉ dữ liệu từ bên thứ ba.
Social Engineering và Định danh qua mạng xã hội
Hacker sử dụng kỹ thuật trinh sát nguồn mở (OSINT) để theo dõi mục tiêu trên X, Discord và Telegram. Việc người dùng vô tình công khai địa chỉ ví để nhận airdrop, liên kết ví với tên miền.eth hoặc.sol, tạo ra các mỏ neo danh tính. Một khi hacker đã liên kết được một địa chỉ ví với một tài khoản mạng xã hội, mọi quyền riêng tư on-chain của người dùng đó coi như chấm dứt.
Nghệ thuật của sự lừa dối: Tấn công đầu độc địa chỉ (Address Poisoning)
Tấn công đầu độc địa chỉ là một phương thức theo dõi và lừa đảo tinh vi, nhắm vào thói quen sao chép-dán (copy-paste) và sự thiếu cảnh giác của người dùng.
Cơ chế tạo địa chỉ tương đồng (Vanity Address)
Hacker sử dụng phần mềm tạo địa chỉ tùy chỉnh để tạo ra các ví có vài ký tự đầu và cuối giống hệt với các địa chỉ mà nạn nhân thường xuyên tương tác. Do các giao diện ví thường rút gọn phần giữa của địa chỉ, sự khác biệt này gần như không thể bị phát hiện nếu chỉ nhìn lướt qua.
Quy trình đầu độc lịch sử giao dịch
Theo dõi hành vi: Hacker sử dụng bot giám sát lịch sử giao dịch của mục tiêu để xác định các đối tác thường xuyên.
Gửi tiền rác (Dust): Hacker gửi một lượng tài sản cực nhỏ từ địa chỉ giả đến ví của nạn nhân.
Tạo bẫy: Giao dịch giả hiện trong danh sách gần nhất. Khi nạn nhân cần chuyển tiền thật, họ dễ dàng sao chép nhầm địa chỉ của hacker từ lịch sử.
Các số liệu từ năm 2024 và 2025 cho thấy quy mô của loại hình này rất lớn, với hơn 270 triệu nỗ lực tấn công được ghi nhận. Một vụ việc điển hình vào tháng 12 năm 2025 đã chứng kiến một nhà giao dịch mất gần 50 triệu USDT chỉ vì lỗi sao chép địa chỉ đã bị đầu độc.
Khai thác quyền phê duyệt: ERC-20, Permit và Permit2
Việc theo dõi ví không chỉ dừng lại ở số dư mà còn ở các quyền phê duyệt (approvals) mà người dùng đã cấp cho các hợp đồng thông minh. Các phê duyệt thường có thời hạn vĩnh viễn và số lượng không giới hạn, tạo ra rủi ro cực lớn.
Rủi ro từ phê duyệt vô hạn và Permit2
Nhiều giao thức DeFi yêu cầu phê duyệt mức tối đa để tiết kiệm gas. Hacker theo dõi các lệnh này qua Etherscan. Nếu chúng chiếm được frontend của web hoặc tìm thấy lỗ hổng trong hợp đồng đã phê duyệt, chúng có thể rút sạch tài sản mà không cần thêm sự cho phép nào.
Với các tiêu chuẩn như Permit và Permit2, việc phê duyệt có thể thực hiện qua chữ ký off-chain. Hacker đã tận dụng tính năng này để phát triển các bộ công cụ lừa đảo như Inferno Drainer:
Theo dõi và dẫn dụ: Hacker dùng quảng cáo giả mạo để dẫn nạn nhân đến trang web lừa đảo.
Ký thông báo: Trang web yêu cầu ký một thông báo "Login" hoặc "Verify". Thực chất đây là chữ ký Permit2 cấp quyền rút token.
Trì hoãn: Hacker không rút tiền ngay. Chúng theo dõi ví trong nhiều ngày, chờ khi số dư cao nhất mới thực hiện lệnh rút trên chuỗi.
Ca lâm sàng: Vụ tấn công Bybit 1,5 tỷ USD
Vào tháng 2 năm 2025, vụ trộm 1,5 tỷ đô la từ ví lạnh của Bybit là sự kết hợp đỉnh cao giữa theo dõi chuỗi cung ứng và giám sát on-chain. Nhóm Lazarus đã xâm nhập vào hệ thống Safe{Wallet} qua một máy trạm của nhà phát triển.
Vào ngày 19 tháng 2 năm 2025, hacker chỉnh sửa tệp JavaScript trên máy chủ S3. Mã độc chỉ kích hoạt khi nhận diện địa chỉ ví nguồn là ví lạnh của Bybit:
Trigger = (Address_{source} == Address_{Bybit_Cold})
Khi quản trị viên Bybit thực hiện lệnh chuyển tiền, mã độc âm thầm thay đổi nội dung giao dịch thành lệnh delegatecall dẫn đến hợp đồng của hacker, cho phép chúng thêm hàm rút tiền và siphoning sạch tài sản mà không cần thêm chữ ký nào khác.
Nhận biết các dấu hiệu ví đang bị theo dõi
Mất phí Gas ngay lập tức: Dấu hiệu rõ ràng của Sweeper Bot. Nếu bạn nạp phí gas và nó biến mất trong vài giây, ví của bạn đã bị kiểm soát private key.
Giao dịch "Dust" thường xuyên: Hacker đang cố gắng phân cụm địa chỉ của bạn hoặc chuẩn bị cho một cuộc tấn công đầu độc địa chỉ.
Yêu cầu ký thông báo bất thường: Đặc biệt là các định dạng JSON phức tạp liên quan đến Permit2 khi bạn đang dùng DApp.
Các biện pháp phòng chống từ góc nhìn của Tấn Phát Digital
Mặc dù việc theo dõi on-chain là một thách thức lớn, người dùng có thể áp dụng các chiến lược sau để bảo vệ tài sản:
Trừu tượng hóa tài khoản (Account Abstraction - ERC-4337)
Sự ra đời của ví thông minh (Smart Accounts) giúp tăng cường bảo mật đáng kể:
Whitelisting (Danh sách trắng): Chỉ cho phép chuyển tiền đến các địa chỉ đã được phê duyệt trước, giúp vô hiệu hóa hoàn toàn bẫy đầu độc địa chỉ.
Transaction Limits (Hạn mức giao dịch): Thiết lập giới hạn số tiền có thể rút hàng ngày, ngăn chặn Sweeper Bot rút sạch tài sản ngay lập tức.
Paymasters (Trình thanh toán hộ): Cho phép trả phí gas bằng các loại token khác hoặc được tài trợ phí, tránh lộ diện luồng tiền phí gas native.
Social Recovery (Khôi phục xã hội): Giúp khôi phục quyền truy cập ví thông qua bạn bè hoặc thiết bị khác, loại bỏ hoàn toàn rủi ro từ seed phrase.
Quản lý quyền riêng tư và phê duyệt
Sử dụng các giải pháp như Wasabi Wallet (giao thức CoinJoin) giúp trộn lẫn giao dịch, làm gián đoạn thuật toán phân cụm. Ngoài ra, việc sử dụng nút RPC riêng tư hoặc VPN giúp ngăn rò rỉ IP. Người dùng nên thường xuyên dùng Revoke.cash để thu hồi các quyền phê duyệt không còn cần thiết.
Câu hỏi thường gặp (FAQs)
Dusting attack là gì? Hacker gửi một lượng cực nhỏ tiền điện tử đến hàng triệu địa chỉ để "đánh dấu" và theo dõi cách bạn quản lý hoặc gộp các khoản tiền này, từ đó xác định danh tính chủ sở hữu.
Address clustering hoạt động như thế nào? Đây là kỹ thuật gom nhóm nhiều địa chỉ ví khác nhau có khả năng thuộc cùng một thực thể dựa trên các quy luật về cấu trúc giao dịch và hành vi chi tiêu.
Heuristic đồng sở hữu đầu vào (Multi-input) là gì? Một quy tắc giả định rằng nếu nhiều địa chỉ ví cùng đóng góp tiền cho một giao dịch duy nhất, chúng thuộc quyền kiểm soát của cùng một người vì cần có tất cả các khóa riêng tư để ký.
Địa chỉ IP có thể bị lộ qua ví crypto không? Có, khi bạn sử dụng các ví nhẹ hoặc plugin trình duyệt, địa chỉ IP của bạn có thể bị rò rỉ qua các yêu cầu RPC, giúp hacker liên kết danh tính thực với địa chỉ ví.
Sweeper bot làm gì khi ví bị hack? Nó giám sát hàng chờ giao dịch (mempool) và ngay lập tức thực hiện lệnh rút tiền với phí gas cực cao để chiếm đoạt bất kỳ khoản nạp tiền phí gas nào của bạn.
Tấn công Sandwich là gì? Hacker đặt lệnh mua trước và lệnh bán ngay sau giao dịch của nạn nhân để thu lợi từ sự trượt giá do chính nạn nhân tạo ra.
Phê duyệt vô hạn (Unlimited Approval) nguy hiểm ra sao? Nó cho phép một hợp đồng thông minh rút sạch loại token đó từ ví của bạn bất cứ lúc nào mà không cần bạn phải ký lại lần nữa.
Permit2 có rủi ro gì so với Permit thông thường? Do Permit2 rất linh hoạt và có thể phê duyệt nhiều token cùng lúc, hacker có thể lừa người dùng ký các thông báo phức tạp mà họ không hiểu hết để rút tiền.
Address Poisoning khác gì với Dusting Attack? Dusting dùng để theo dõi, còn Address Poisoning tạo địa chỉ trông gần giống địa chỉ bạn thường dùng để lừa bạn copy-paste sai địa chỉ khi chuyển tiền.
Vụ hack Bybit 1,5 tỷ USD được thực hiện thế nào? Hacker nhóm Lazarus đã tiêm mã độc vào hạ tầng đám mây của Safe{Wallet}, thay đổi giao diện để người dùng ký vào các lệnh chuyển quyền điều khiển ví lạnh cho chúng.
Account Abstraction (AA) là gì? Là công nghệ biến ví của bạn thành một hợp đồng thông minh có khả năng lập trình logic bảo mật riêng, thay vì chỉ là một cặp khóa riêng tư đơn giản.
ERC-4337 giúp ngăn chặn Sweeper Bot như thế nào? AA cho phép đặt giới hạn rút tiền và whitelisting địa chỉ nhận, khiến bot không thể rút sạch tiền sang một địa chỉ lạ ngay lập tức.
Việc sử dụng ERC-4337 có nhược điểm gì? Nó làm tăng độ phức tạp của giao dịch, dẫn đến phí gas cao hơn và có thể tăng nguy cơ bị tấn công từ chối dịch vụ (DoS) do logic xác thực phức tạp.
Các công cụ nào tốt nhất để theo dõi biến động cá voi hiện nay? Nansen, Arkham Intelligence và Bubblemaps là những công cụ hàng đầu cung cấp dữ liệu định danh và trực quan hóa luồng tiền chuyên nghiệp.
Làm thế nào để bảo mật ví tuyệt đối khỏi sự theo dõi? Sử dụng các ví hỗ trợ CoinJoin (như Wasabi), kết nối qua Tor/VPN, thường xuyên thu hồi quyền phê duyệt và không bao giờ copy địa chỉ từ lịch sử giao dịch.
Tấn Phát Digital nhấn mạnh rằng, trong tương lai, quyền riêng tư on-chain không còn là sự ẩn giấu các con số đơn thuần, mà là khả năng kiểm soát dữ liệu. Cho đến khi các công nghệ bảo mật như Zero-Knowledge Proofs trở nên phổ biến, sự cảnh giác và hiểu biết chính là lớp bảo vệ quan trọng nhất của mọi nhà đầu tư.
