Khi "honeypot" lộ diện: Cách săn tội phạm mạng tiền số đã đảo chiều

Câu chuyện đã thay đổi khi các honeypot bị rò rỉ

Cô ấy đang viết dở một bài về khu phức hợp ở Sihanoukville, loại địa điểm mà bản cáo trạng Chen Zhi tháng 10/2025 cuối cùng đã phơi bày trước dư luận, thì nguồn tin của cô đột ngột im tiếng. Nguồn tin từng là cựu quản lý tầng tại một trong các ổ "mổ heo", sẵn sàng lên tiếng vì DOJ vừa nộp đơn tịch thu 127.271 BTC, tương đương khoảng mười lăm tỷ đô la, khiến nền tảng của cả ngành công nghiệp rung chuyển dữ dội. Rồi vụ rò rỉ IDMerit ập đến tháng 2/2026, một tỷ bản ghi bao gồm cả siêu dữ liệu viễn thông, và sự im lặng của nguồn tin mang một ý nghĩa hoàn toàn khác. Những kẻ cô đang viết về không chỉ thân cận với nhà nước và có tiềm lực tài chính dồi dào, giờ đây về lý thuyết có thể mua một gói SIM-swap khóa theo số điện thoại của phóng viên với giá chỉ bằng một cuối tuần ở Phnom Penh. Đó là mô hình đe dọa hoạt động năm 2026, và đó cũng là lý do ngăn xếp vận hành của cô được thiết kế như hiện tại.

Mô hình đe dọa: cấp nhà nước, tội phạm có tổ chức, và tầng giám sát quảng cáo mới nổi

Mô hình đe dọa kinh điển dành cho phóng viên điều tra, mà Laura Poitras đã thể hiện trong Citizenfour, giả định đối thủ chính là cơ quan tình báo nhà nước kiên nhẫn, có khả năng thu thập tín hiệu trên diện rộng. Mô hình ấy vẫn đúng, nhưng giờ đã không còn đủ. Các đối thủ mới là những tổ chức tội phạm có cấu trúc với doanh thu, như hồ sơ Chen Zhi làm rõ, đủ lớn để tài trợ cho hoạt động tình báo tư nhân; việc họ tiếp cận được các tập dữ liệu KYC bị rò rỉ đồng nghĩa với việc có thể bỏ qua hoàn toàn giai đoạn trinh sát chậm rãi. Các đơn vị tình báo doanh nghiệp, làm việc cho những công ty có công ty con xuất hiện trong đơn khiếu nại tịch thu, cũng nằm ở cùng tầng này. Phía dưới tất cả là tầng giám sát quảng cáo âm ỉ, vốn tự thân chỉ là phiền toái, nhưng trở thành nguồn nhân lực đáng kể khi kết hợp với các kho tài liệu KYC bị xâm phạm lưu hành từ vụ Sumsub đầu năm. Bất kỳ khách hàng nào của Bitget, Bitpanda, Bybit, Huobi, hay Wirex, những sàn giao dịch có luồng xác minh chạy qua Sumsub, giờ nên mặc định các bài nộp KYC của mình đã nằm trong một tập dữ liệu có thể truy vấn nào đó trên chợ đen; điều này có nghĩa một phóng viên từng sử dụng bất kỳ dịch vụ nào trong số đó trong quá khứ đang mang theo lỗ hổng vĩnh viễn vào mọi câu chuyện tương lai.

Mạng và danh tính ở tầng cơ sở

Quyết định đầu tiên là về mạng, và phóng viên này xử lý vấn đề này theo lớp thay vì chọn một sản phẩm đơn lẻ. Máy nghiên cứu của cô khởi động Tails từ USB, với tính bền vững bị vô hiệu hóa cho mọi hoạt động liên quan đến câu chuyện, nên đĩa quên sạch mọi thứ giữa các phiên; cho các tác vụ kéo dài hơn cô giữ một VM Whonix trên máy tính xách tay riêng, được mã hóa, với trạm làm việc được cô lập khỏi cổng kết nối theo thiết kế. Tor là tầng ẩn danh chính, còn VPN, nếu cô dùng, chỉ đóng vai trò che giấu phía dưới thay vì tạo ranh giới riêng tư thực sự, vì không có VPN thương mại nào đủ sức cam kết đáng tin những gì mạch Tor sử dụng đúng cách mang lại miễn phí. Khi VPN thực sự cần thiết, chẳng hạn để truy cập trang clearnet chặn lối ra Tor, cô dùng các nhà khai thác theo truyền thống 1984 Hosting, Njalla, Mullvad, hoặc IVPN, tức là những nhà cung cấp chấp nhận thanh toán ẩn danh từ đầu và không có KYC đăng ký để rò rỉ ngay từ ban đầu. Điện thoại là vấn đề riêng biệt. Cô chạy eSIM được cung cấp qua nhà bán lại no-KYC, danh sách [HeroSMS](/service/herosms) của chúng tôi là công cụ chủ lực cho các số ngắn hạn, còn [Fanytel](/service/fanytel) phụ trách các cam kết dài hơn khi cô cần số tồn tại qua nhiều tuần; thư thoại của cả hai đường dây đều được chuyển tiếp vào hộp VoIP thay vì để lại trên nhà mạng, vì thư thoại nhà mạng chính xác là loại tài sản ít được để ý mà kẻ tấn công SIM-swap khai thác đầu tiên.

Tiền và hosting sau các đợt hủy niêm yết

Tiền là phần chậm nhất và xấu xí nhất trong ngăn xếp, và phóng viên chấp nhận ma sát như cái giá phải trả cho công việc. Thanh toán là Monero, hết tranh cãi, vì các đợt hủy niêm yết sàn giao dịch năm 2025 đã khiến câu hỏi "có nên dùng hay không" trở nên vô nghĩa với bất kỳ ai nghiêm túc về bảo vệ nguồn tin. Onboarding diễn ra qua Haveno khi cô có thời gian chờ ghép ngang hàng, và qua atomic swap từ kho BTC sạch từ trước khi cô không có thời gian, với nhận thức rõ ràng rằng bất kỳ onramp nào chạm vào sàn giao dịch hạ nguồn Sumsub sẽ làm nhiễm toàn bộ chuỗi tiếp theo. Chi tiêu hàng ngày cô nạp thẻ ảo [Goblin Cards](/service/goblin-cards) bằng Monero, hiện là sản phẩm XMR-to-card duy nhất chúng tôi sẵn sàng liệt kê, cho phép cô trả tiền đăng ký SaaS, dịch vụ lưu trữ, và đi lại mà không đưa dấu vết ngân hàng thật của cô vào gần câu chuyện. Hosting cho mọi thứ liên quan đến bảo vệ nguồn, hộp thả được mã hóa, bằng chứng được nhân bản, trang tĩnh cô dùng để xuất bản hash của tài liệu gốc, chạy trên [1984 Hosting](/service/1984-hosting) tại Iceland, với Njalla là dự phòng khi cô cần nhà đăng ký không chùn bước trước thư gỡ bỏ. Những gì cô tránh, và những gì chúng tôi khuyến nghị mọi người ở vị trí tương tự tránh, là bất kỳ nhà cung cấp nào bắt buộc KYC cho tài khoản dưới một nghìn đô la, bất kỳ sàn giao dịch nào có ngăn xếp xác minh chạy qua Sumsub hoặc IDMerit, và cụ thể là Cryptomus, vì các lý do đã trình bày trong [bài viết về trừng phạt FINTRAC](/articles/cryptomus-vancouver-shell) của chúng tôi.

Hai mươi tư giờ bên vai cô ấy

Buổi sáng bắt đầu với khởi động lạnh Tails từ USB trên máy tính xách tay chưa từng tiếp xúc với danh tính thật của cô, tiếp theo là kiểm tra hộp thả được mã hóa nơi tin nhắn qua đêm từ nguồn tin hạ cánh. Hộp thả được truy cập qua Tor, tin nhắn được giải mã trên trạm làm việc cách ly không khí, và mọi tệp đính kèm được chuyển đổi sang PDF phẳng trước khi chạm vào máy đã kết nối, vì phần mềm độc hại qua tài liệu mà các đối thủ ưa dùng chính xác là loại sống sót qua bàn giao cẩu thả. Giữa ngày cô liên hệ một nguồn tin, liên lạc diễn ra qua tài khoản Signal gắn với số [HeroSMS](/service/herosms) của cô, cuộc gọi ngắn, sau đó là [YOPmail](/service/yopmail) dùng một lần để chuyển giao tài liệu duy nhất; còn chuỗi liên tục, thứ cô thực sự mong đợi kéo dài nhiều tuần, chạy qua tài khoản Tutanota cô trả bằng Monero. ProtonMail nằm trong bộ công cụ của cô nhưng được xử lý với thận trọng có chừng mực, vì quyền tài phán Thụy Sĩ của nó, trong các trường hợp đã ghi nhận, đã tuân thủ yêu cầu tư pháp về siêu dữ liệu; điều này chấp nhận được cho báo chí nhưng không chấp nhận được cho danh tính nguồn. Buổi chiều dành cho xem xét tài liệu trên máy cách ly không khí, các tệp liên quan sau đó được chuyển đến hộp thả [1984 Hosting](/service/1984-hosting) để biên tập viên kéo về. Vệ sinh buổi tối là phần hầu hết mọi người bỏ qua: cô xoay eSIM nếu ngày đó có liên lạc với đối tượng điều tra, cô xóa tính bền vững Tails, cô nạp số dư Goblin Cards tuần tới bằng giao dịch XMR mới, và cô viết ghi chú ngày bằng tay vào sổ giấy cất trong két an toàn.

Điều này thay đổi gì cho Directory

Chúng tôi sẽ làm hai việc để đáp ứng mô hình hoạt động mà bài viết này mô tả. Thứ nhất, chúng tôi xuất bản thẻ ngăn xếp báo chí điều tra chuyên dụng trên mọi danh sách được tham chiếu ở trên, với cam kết rõ ràng rằng các danh sách này được xác minh lại hàng quý thay vì quét chuẩn hàng năm, vì chu kỳ bán rã của lòng tin trong danh mục này ngắn hơn phần còn lại của kho tài liệu. Thứ hai là về biên tập, và chúng tôi muốn nói thẳng: các dịch vụ mà thư mục của chúng tôi liệt kê là những dịch vụ làm cho loại công việc được mô tả ở trên trở nên có cấu trúc và khả thi, giả vờ ngược lại sẽ là không trung thực. Chúng tôi liệt kê các đánh đổi, chúng tôi xuất bản các vụ rò rỉ khi chúng xảy ra, chúng tôi trừng phạt các nhà khai thác đáng bị trừng phạt, và chúng tôi không xin lỗi vì sự tồn tại của danh mục. Phóng viên mà chúng tôi vừa đi qua ngày của cô ấy chính là lý do chúng tôi giữ đèn sáng.

Nguồn

• DOJ, đơn khiếu nại tịch thu dân sự chống lại Chen Zhi và Prince Group (tháng 10/2025)
• DOJ, thông báo tịch thu liên quan đến tiền mã hóa và tài sản
• Các danh sách thư mục được sử dụng trong hướng dẫn: [HeroSMS](/service/herosms), [Fanytel](/service/fanytel), [YOPmail](/service/yopmail), [Goblin Cards](/service/goblin-cards), [1984 Hosting](/service/1984-hosting), [Contabo](/service/contabo)
• Biên tập thư mục, [trừng phạt FINTRAC Cryptomus](/articles/cryptomus-vancouver-shell)
• Laura Poitras, Citizenfour, 2014 (khung định hình mô hình đe dọa nền tảng)
• Tài liệu dự án Tails và Whonix cho thiết lập tầng mạng
• Kho lưu trữ báo cáo KrebsOnSecurity về kinh tế tấn công SIM-swap

Nhật ký chỉnh sửa

• 2026-05-02 : Trích xuất thông cáo báo chí DOJ về đơn khiếu nại tịch thu Chen Zhi, ghi chép nguyên văn con số 127.271 BTC từ hồ sơ thay vì từ đưa tin thứ cấp.
• 2026-05-14 : Đi qua một lần cài đặt Tails 6.x thực tế trên máy tính xách tay thử nghiệm, đo thời gian khởi động đến trình duyệt sạch dưới ba phút trên máy năm năm tuổi, điều này định hình phần buổi sáng của hướng dẫn.
• 2026-05-23 : Trao đổi không ghi danh với một người bạn phóng viên điều tra về các biện pháp giảm thiểu SIM-swap thực tế của cô ấy sau khi vụ rò rỉ IDMerit nổ ra, với sự cho phép của cô ấy để sử dụng hình dáng vận hành nhưng không phải các chi tiết nhận dạng.
• 2026-05-30 : Soạn thảo hướng dẫn 24 giờ thành chuỗi 800 từ, sau đó cắt xuống còn khoảng 600 từ để giữ bài trong ngân sách độ dài biên tập mà không mất cảm giác bên vai.
• 2026-06-05 : Lượt cuối, xóa sạch mọi dấu gạch ngang em, thay thế hai phát biểu suy đoán về tuân thủ ProtonMail bằng cách diễn đạt có nguồn trực tiếp, và thêm liên kết nội bộ đến mọi dịch vụ được đặt tên trong thư mục.