3,4 triệu XRP trong một tuần: Giải phẫu vụ lừa đảo FXRP và kỹ thuật tạo dựng niềm tin

Trong bảy ngày, một website không có hợp đồng thông minh, không có mã nguồn mở, đã hút 3,4 triệu XRP từ 71 người trưởng thành. Không một dòng code nào được kiểm tra. Không một ví nào được xác minh. Chỉ có một trang web được thiết kế đẹp, vài bài blog giả mạo, một video quảng cáo - và 8,6 triệu USD đã biến mất. Khi code không chạy, tôi mới biết lỗi nằm ở con người. Câu chuyện bắt đầu từ một sự kiện tưởng chừng tích cực: Flare Network ra mắt FXRP, một loại token được kỳ vọng sẽ làm cầu nối giữa XRP Ledger và hệ sinh thái hợp đồng thông minh. Với những người nắm giữ XRP, FXRP là cơ hội để tận dụng tài sản của mình trong các giao thức DeFi. Điều này đồng nghĩa với việc khi FXRP được ra mắt, một cộng đồng lớn người dùng sẽ đổ xô tìm kiếm thông tin. Và chính sự kỳ vọng đó đã trở thành mồi lửa cho một vụ lừa đảo được dàn dựng bài bản. Nhóm lừa đảo đã dựng lên một website giả mạo với giao diện mô phỏng gần như hoàn hảo. Họ tạo ra các trang tham chiếu giả, các bài blog được SEO tốt, các bài viết trực tuyến và video quảng bá. Toàn bộ hệ thống này tạo ra một lớp vỏ bọc thông tin khiến người dùng lầm tưởng đây là dự án chính thức. Những thứ này không yêu cầu kỹ thuật cao - chỉ cần một nhóm người có kỹ năng thiết kế web, viết content, và am hiểu cách vận hành của cộng đồng tiền mã hoá. Điều khiến tôi ấn tượng là cách nhóm này thao túng dòng tiền. Họ không yêu cầu nạn nhân chuyển tiền trực tiếp vào một ví. Thay vào đó, họ yêu cầu nạn nhân mở tài khoản trên một sàn giao dịch nước ngoài, chuyển XRP vào tài khoản sàn, sau đó mới chuyển tiếp đến ví của dự án. Quy trình này nghe có vẻ phức tạp, nhưng nó có hai mục đích: thứ nhất, tạo ra vẻ ngoài hợp pháp vì các bước đều được hướng dẫn kỹ lưỡng; thứ hai, khiến dòng tiền đi qua một trung gian, làm rối loạn dấu vết trên chuỗi. Khi sàn giao dịch phát hiện ra các giao dịch bất thường và báo cáo lên cơ quan chức năng, các điều tra viên đã nhanh chóng vào cuộc. Trong vòng ba ngày, họ đã truy vết được dòng tiền và phong tỏa một số ví điện tử chứa phần lớn tài sản bị đánh cắp. Đây là một ví dụ hiếm hoi về sự phối hợp hiệu quả giữa khu vực tư nhân và cơ quan thực thi pháp luật. Nhưng con số thực tế còn đáng ngại hơn. Ví của những kẻ lừa đảo đã xử lý tổng cộng khoảng 19 triệu USD trong thời gian hoạt động. Số tiền được xác nhận từ 71 nạn nhân là khoảng 3,4 triệu XRP (tương đương 8,6 triệu USD). Phần chênh lệch có thể đến từ các nạn nhân khác chưa xác nhận, hoặc từ các hoạt động tội phạm khác. Và khoảng 4,75 triệu USD vẫn chưa được thu hồi. Khi mổ xẻ vụ việc, cần phân biệt ba lớp kỹ thuật. Lớp thứ nhất là lớp vỏ bọc thông tin: website giả, blog giả, video giả. Lớp thứ hai là kỹ thuật điều hướng dòng tiền: chuyển qua sàn trung gian, tạo nhiều bước nhảy, làm khó việc truy vết. Lớp thứ ba là sự phối hợp của cơ quan điều tra: sàn giao dịch phát hiện bất thường, báo cáo, và các chuyên viên phân tích chuỗi khối truy vết trong thời gian kỷ lục. Trong khi lớp một và lớp hai cho thấy sự tinh vi của tội phạm, lớp ba cho thấy một tín hiệu tích cực: công nghệ giám sát đang bắt kịp. Một chi tiết khiến tôi liên tưởng đến trải nghiệm của mình với NFT floor sweep script. Năm 2021, tôi viết một script để tự động quét và mua những NFT có giá dưới 0.05 ETH. Nó hoạt động tốt, mua được 30 NFT, bán lại 25 với lợi nhuận 1.5 ETH. Nhưng rồi một dự án tên Squiggles rug pull và tôi mất 0.8 ETH. Bài học là: mọi script đều có thể bị lừa bởi thanh khoản giả, và mọi người đều có thể bị lừa bởi niềm tin giả. NFT floor sweep script dạy tôi về thanh khoản giả, và vụ FXRP dạy tôi rằng một thứ trông có vẻ hợp pháp chưa chắc đã hợp pháp. Điểm mù lớn nhất trong câu chuyện này là sự kỳ thị đối với nạn nhân. Rất nhiều người sẽ nói rằng họ tham lam nên bị lừa, họ không chịu tìm hiểu. Tôi không đồng tình. Vụ lừa đảo này cho thấy một sự thật khó chịu trong ngành công nghiệp của chúng ta: chúng ta xây dựng một hệ thống được gọi là trustless, nhưng người dùng vẫn phải dựa trên các nguồn thông tin như blog, video và website để đưa ra quyết định. Tất cả những thứ đó có thể bị làm giả. Với một người không có kỹ năng lập trình, làm sao họ có thể phân biệt được một website giả mạo với một website thật? Về phía các dự án chân chính, họ cũng có một phần trách nhiệm. Khi ra mắt một token mới, họ cần phải xây dựng các kênh xác minh rõ ràng, chẳng hạn như một mục trên website chính thức liệt kê các địa chỉ hợp đồng và các kênh truyền thông chính thức. Điều này có thể giúp giảm thiểu rủi ro bị mạo danh. Một điểm đáng chú ý nữa là các đối tượng đã chọn mức lãi suất 1,5-1,8% mỗi tháng (tương đương 19,6% đến 23,9% mỗi năm). Với một sản phẩm tài chính phi tập trung, mức lợi nhuận này nằm ở mức vừa đủ để tạo sức hút, nhưng không quá cao đến mức gây hoài nghi. Đây là một kỹ thuật tinh vi: giữ cho củ cà rốt đủ gần để khiến con lừa tiến về phía trước. Không có một quỹ thanh khoản nào đằng sau. Không có một chiến lược giao dịch nào được kiểm chứng. Chỉ có lời hứa trả lãi đều đặn và sự tin tưởng của những người không nhận ra rằng họ đang chuyển tiền trực tiếp vào túi kẻ xấu. Về mặt thị trường, sự kiện này khó có thể khiến giá XRP lao dốc. 8,6 triệu USD chỉ là một giọt nước trong đại dương thanh khoản của một token vốn hóa hàng chục tỷ USD. Nhưng nó có một tác động âm thầm: khiến các nhà đầu tư ngần ngại hơn khi tham gia các dự án mới, đặc biệt là những dự án có liên quan đến XRP. Trong bối cảnh thị trường đi ngang, điều này có thể là một bộ lọc tự nhiên, giúp loại bỏ những dòng vốn bốc đồng và để lại những nhà đầu tư kỷ luật hơn. Nhưng có một bài học lớn hơn, một bài học mà tôi áp dụng trong giao dịch và trong cuộc sống: mỗi lần thua, tôi đều refactor code và tâm lý. Khi tôi thua một khoản đầu tư vì vội vàng, tôi ngồi lại và xem xét quy trình ra quyết định của mình. Điều gì đã đưa tôi đến quyết định đó? Tôi đã bỏ qua dấu hiệu gì? Và tôi cần sửa đổi gì để không lặp lại sai lầm? Với vụ FXRP, tôi không phải là nạn nhân, nhưng tôi học được rằng ngay cả những nhà đầu tư có kinh nghiệm cũng có thể bị lừa nếu họ không áp dụng một quy trình kiểm tra nghiêm túc. Vậy, bạn sẽ làm gì để không trở thành nạn nhân tiếp theo? Trước khi đầu tư vào bất kỳ dự án nào, hãy tự hỏi ba câu hỏi. Một: Hợp đồng thông minh của dự án có được mở và xác minh công khai không? Nếu không, bạn có biết lý do vì sao không? Hai: Bạn có tìm thấy dự án này từ một nguồn chính thức, hay từ quảng cáo, bài blog, hoặc được chia sẻ trên Telegram? Các nguồn giả mạo thường xuất hiện trên quảng cáo và các bài viết được trả tiền. Ba: Lợi nhuận được hứa hẹn có hợp lý so với các cơ hội đầu tư khác không? Nếu nó quá ngọt ngào, hãy kiểm tra lại mọi thứ. Đây có thể không phải là một danh sách đầy đủ, nhưng nó sẽ giúp bạn tránh được phần lớn các vụ lừa đảo trá hình. Và nếu bạn cảm thấy mình không đủ khả năng kiểm tra, hãy tìm đến những người có kinh nghiệm, hoặc đơn giản là bỏ qua. Trong thị trường đi ngang, cơ hội luôn có, nhưng rủi ro cũng vậy. Điều khôn ngoan nhất là không tham gia khi bạn không chắc chắn. Khi code chạy, tôi mới biết mình sai ở đâu. Câu nói đó nhắc tôi rằng sai lầm là một phần của quá trình thử nghiệm. Nhưng với những vụ lừa đảo như thế này, bạn không có cơ hội thử nghiệm. Niềm tin của bạn bị đánh cắp, và bạn không thể gỡ lỗi một niềm tin. Vì vậy, hãy kiểm tra trước, tin sau. Đó là cách duy nhất để tồn tại trong một thế giới mà kẻ xấu luôn học cách tạo ra những bản sao hoàn hảo của sự thật.