DeepSeek thành cỗ máy tấn công tự động: Bài học sống còn cho các dự án blockchain về an toàn AI

Một nhóm tin tặc Trung Quốc vừa biến DeepSeek API thành động cơ tấn công mạng tự động. Unit 42, đơn vị tình báo đe dọa của Palo Alto Networks, đã ghi nhận hơn 460 mục tiêu thực tế bị nhắm đến trong vài ngày. Trong đó có n8n, Langflow, Citrix NetScaler – những công cụ mà không ít dự án DeFi đang dùng để chạy bot giao dịch và tự động hóa quy trình. Tôi đã audit hợp đồng thông minh suốt 5 năm, nhưng chưa bao giờ thấy lỗ hổng nào có thể tự động hóa quy mô như thế này mà không cần con người can thiệp trực tiếp. Đây không phải là tin công nghệ thông thường. Đây là tín hiệu đầu tiên cho thấy AI không còn là công cụ hỗ trợ hacker – nó đang trở thành hacker. Bối cảnh cụ thể: kẻ tấn công sử dụng Hermes Agent làm khung xương, FofaMap MCP Server để quét mục tiêu, kho GitHub PoC làm nguồn khai thác và DeepSeek API đóng vai trò bộ não ra quyết định. Chúng thử qua Claude Code, Qwen, GLM, nhưng cuối cùng chọn DeepSeek. Lý do không phải vì mô hình này mạnh nhất, mà vì API của DeepSeek thiếu các lớp kiểm soát an toàn ở phía nhà cung cấp mà OpenAI hay Anthropic đã xây dựng. Kẻ tấn công thậm chí còn công khai thừa nhận: “Chúng tôi cần một thứ gì đó có thể thực thi lệnh mà không bị chặn”. Điều đó biến DeepSeek thành lựa chọn duy nhất khả thi trong mắt chúng. Số liệu biết nói. Trong một thử nghiệm, nhóm này lấy mẫu 25.209 n8n instances, chọn khoảng 100, quét 40, và phát hiện 3 mục tiêu dễ tổn thương chỉ trong vài phút. Một kỹ sư bảo mật làm thủ công sẽ cần hàng trăm giờ. Nhưng đây là phần quan trọng nhất: chuỗi tấn công không hoàn toàn tự động. Kẻ đứng sau vẫn phải tự khởi động Python HTTP server trong thư mục home, tự cấu hình YOLO mode cho agent, tự dọn log. Họ để lộ API key, kịch bản khai thác và toàn bộ nhật ký phiên vì thiếu kỷ luật vận hành. Điều đó giải thích vì sao mức độ trưởng thành của “AI weaponization” hiện tại chỉ mới ở giai đoạn POC, chưa phải sản phẩm đại trà. Kinh nghiệm từ những ngày tôi còn ngồi đọc từng dòng code ICO năm 2017 dạy tôi một bài học: lỗ hổng chết người thường không nằm ở thuật toán, mà nằm ở cấu hình mặc định và giả định sai về môi trường vận hành. Trường hợp DeepSeek cũng vậy. Vấn đề không phải là mô hình có bị “huấn luyện ác ý” hay không – mà là API mở ra một mặt phẳng tấn công mà không có lớp chặn nào ở giữa. Trong blockchain, chúng ta từng chứng kiến các vụ hack do con người viết mã sai. Bây giờ, khi AI agent tự quyết định bước tiếp theo, lỗi không còn nằm ở một dòng code mà nằm ở toàn bộ quy trình phê duyệt hành động. Nếu một bot giao dịch trên sàn phi tập trung được điều khiển bởi một LLM không có sandbox, kẻ tấn công có thể điều hướng bot đó rút toàn bộ thanh khoản của pool chỉ bằng một câu lệnh tự nhiên. Góc nhìn phản trực giác ở đây là: kẻ tấn công càng tự động hóa, chúng càng tự lộ diện. Chính vì agent chạy ở chế độ “YOLO”, không có hệ thống giám sát hành vi, nên Unit 42 có thể thu thập được toàn bộ chuỗi tấn công. Trong khi đó, OpenAI đã xác nhận họ chặn được tài khoản liên quan trước khi thông tin tình báo được chia sẻ công khai. Điều này tạo ra một nghịch lý chiến lược: các nền tảng AI có ít lớp bảo vệ hơn (như DeepSeek) trở nên hấp dẫn với tội phạm mạng, nhưng đồng thời cũng dễ bị theo dõi hơn vì nhật ký hoạt động của chúng lộ liễu. Các tổ chức bảo mật không cần phá mã hóa – chỉ cần chờ đối thủ tự vấp ngã. Nhưng điều đó không kéo dài mãi. Khi kẻ tấn công bắt đầu sử dụng một agent riêng để dọn dấu vết, cuộc chơi sẽ hoàn toàn thay đổi. Còn một điểm mù khác mà hầu hết báo cáo bỏ qua: kẻ tấn công dùng FofaMap-Platinum-Full-Expert MCP Server – một phiên bản trả phí của FOFA. Điều đó cho thấy chúng có nguồn lực tài chính hoặc chuỗi cung ứng ngầm. Đây không phải script kiddie. Và khi chúng chọn DeepSeek, điều đó cũng gián tiếp xác nhận DeepSeek đủ mạnh để xử lý các tác vụ agent phức tạp. Nếu không, kẻ tấn công đã không dùng đến. Vậy nên bài toán ở đây không phải là “cấm DeepSeek”, mà là “bất kỳ mô hình nào có API mở mà thiếu cơ chế kiểm soát ý định đều sẽ bị vũ khí hóa”. Đối với các dự án blockchain, thông điệp rất rõ ràng: nếu bạn đang chạy bot đầu tư, bot thanh khoản hoặc bất kỳ agent nào kết nối với LLM, bạn cần tự hỏi ba câu: AI của tôi có bị giới hạn quyền truy cập vào ví nóng không? Có hệ thống giám sát hành vi bất thường không? Có cơ chế dừng khẩn cấp tự động khi phát hiện một chuỗi hành động không thể đảo ngược không? Tôi đã từng mất 20 ETH trong vụ flash loan tấn công YAM chỉ vì tin vào lời hứa “lợi suất cao” mà không tự kiểm tra contract. Lần này, nếu bạn tin vào lời hứa “AI an toàn” của bất kỳ nhà cung cấp nào mà không kiểm tra lớp bảo vệ phía server, bạn có thể mất nhiều hơn thế. Không có hệ thống nào là bất khả xâm phạm. Nhưng có một sự khác biệt lớn giữa “không hoàn hảo” và “không có rào chắn”. DeepSeek đang ở vế thứ hai. Câu hỏi đặt ra cho toàn ngành: liệu chúng ta có chấp nhận một chuẩn AI an toàn tối thiểu cho các dịch vụ tài chính phi tập trung, hay chúng ta sẽ để những kẻ tấn công tự chọn cho mình công cụ ưa thích? Số phận của một DeFi protocol không nằm ở mã nguồn, mà nằm ở khả năng kiểm soát những con robot biết suy nghĩ đang vận hành nó. Tương lai thuộc về kẻ hiểu rõ điểm mù của cả hai phía.