ExfilSquad và nghịch lý vĩ mô: Vụ rò rỉ 10 vạn dữ liệu cảnh sát Anh đang định hình lại cuộc chiến thanh khoản tiền mã hóa

Đầu tháng 8/2025, một tổ chức mang tên ExfilSquad đưa lên dark web một danh sách được cho là dữ liệu của hơn 114.000 người đăng ký hệ thống PNLD của cảnh sát Anh, cùng với thông tin của 2.615 nhân viên Cơ quan Công tố Hoàng gia, 617 nhân viên Bộ Nội vụ, 588 nhân viên Cơ quan Tội phạm Quốc gia và 402 nhân viên Bộ Quốc phòng. Kèm theo đó là một tối hậu thư: "Hãy thông minh lên, trả tiền đi." Không có mã hóa ổ cứng, không có hệ thống bị khóa. Chỉ có một thứ duy nhất: dữ liệu bị đánh cắp và lời đe dọa công khai toàn bộ nếu không nhận được tiền chuộc. Điều khiến tôi chú ý không phải là vụ việc này gây chấn động thế nào, mà là cách nó phơi bày một mắt xích ngày càng quan trọng trong chuỗi tấn công: kênh thanh toán và rửa tiền mã hóa. Tờ The Times đã xác nhận tính xác thực của danh sách, và các nhà nghiên cứu độc lập đặt câu hỏi về con số 135.000 bản ghi mà ExfilSquad tuyên bố. Nhưng chính sự không chắc chắn đó lại là cốt lõi của vấn đề. Một tổ chức ransomware mới nổi, với dữ liệu có thể bị thổi phồng, đang đặt cược toàn bộ vào một phương thức đã trở thành "chuẩn mực mới" của tội phạm mạng: trộm dữ liệu, đe dọa công khai, nhận tiền qua crypto và rửa qua mixer, privacy coin hoặc sàn giao dịch phi tập trung. Hãy nhìn vào cấu trúc của vụ tấn công này. ExfilSquad được mô tả như một tổ chức mới nổi, nhưng cách hành xử của chúng không hề non trẻ. Việc chỉ dựa vào đe dọa rò rỉ dữ liệu thay vì mã hóa tập tin cho thấy bọn chúng hiểu rõ vũ khí thực sự của mình: thông tin nhạy cảm của lực lượng thực thi pháp luật, bao gồm tên, email và lĩnh vực công tác. Đây không phải là một vụ tống tiền đơn thuần – nó là một kho đạn cho các cuộc tấn công nhằm vào chính những người bảo vệ trật tự. Tôi đã ngồi trong phòng nghiên cứu của một quỹ đầu tư ở San Francisco vào năm 2017, khi chúng tôi đánh giá hơn 20 ICO và nhận ra rằng dòng tiền có thể di chuyển xuyên biên giới nhanh hơn bất kỳ quy định nào. Hôm nay, nhìn vào ExfilSquad, tôi thấy sự tiến hóa của một hệ sinh thái tội phạm tinh vi đang sử dụng chính hạ tầng tài chính phi tập trung như một vũ khí. Khung phân tích thanh khoản của tôi chưa bao giờ trở nên phù hợp đến vậy. Trong bối cảnh lãi suất toàn cầu đang trải qua một chu kỳ thắt chặt chưa từng có kể từ năm 2008, dòng tiền đổ vào các tài sản rủi ro bị siết lại, nhưng dòng tiền đổ vào các hoạt động phi pháp lại có một quỹ đạo riêng. ExfilSquad không cần đến thị trường tăng để kiếm tiền. Chúng cần một kênh thanh toán không thể bị đóng băng, một phương thức rửa tiền có thể xóa dấu vết, và một hệ thống trao đổi phi tập trung hoạt động ngoài vòng kiểm soát của các ngân hàng trung ương. Đó chính là điểm gặp gỡ giữa tội phạm mạng và nghịch lý vĩ mô: trong khi các chính phủ siết chặt KYC/AML, thì nhu cầu về các kênh tài chính ẩn danh càng trở nên khan hiếm và có giá trị hơn. Cũng giống như lệnh cấm cồn ở Mỹ những năm 1920 không xóa bỏ nhu cầu uống rượu, mà chỉ tạo ra một thị trường chợ đen bạo lực hơn, việc siết chặt các công cụ ẩn danh có thể đang đẩy các tổ chức tội phạm vào tay các phương thức rửa tiền tinh vi và khó truy dấu hơn. Nhìn vào tuyên bố của ExfilSquad, tôi thấy có một điểm kỹ thuật mà hầu hết các bản tin bỏ qua. Các nhà nghiên cứu nghi ngờ tính xác thực của 135.000 bản ghi, và điều này quan trọng không chỉ vì nó đặt câu hỏi về mức độ nghiêm trọng của vụ việc, mà còn vì nó tiết lộ chiến lược đàm phán của một tổ chức mới. Khi tôi tham gia đánh giá các dự án ICO, tôi đã học được rằng một đội ngũ yếu kém thường thổi phồng số liệu để che giấu sự thiếu hụt năng lực. ExfilSquad có vẻ đang làm điều tương tự: chúng có thể đã đánh cắp một lượng dữ liệu thực, nhưng việc khuyếch đại con số lên 135.000 là một đòn tâm lý, một nỗ lực để khiến các nhà đàm phán của chính phủ Anh phải ngồi vào bàn với nỗi sợ lớn hơn thực tế. Điều này càng trở nên thú vị khi đặt cạnh một quyết định chính sách mà The Times nhắc đến: chính phủ Anh đang có kế hoạch cấm khu vực công trả tiền chuộc. Đây là một sự thay đổi mang tính bước ngoặt, và nó sẽ tác động đến toán kinh tế của các tổ chức ransomware một cách sâu sắc hơn nhiều so với những gì người ta nghĩ. Nếu các mục tiêu khu vực công không thể trả tiền, thì giá trị kỳ vọng của một vụ tấn công vào chúng sẽ sụt giảm. Nhưng liệu điều đó có thực sự làm giảm số vụ tấn công? Trong quá trình nghiên cứu về CBDC tại Stanford, tôi đã phân tích các chu kỳ khủng hoảng và nhận thấy một quy luật: khi một cánh cửa bị đóng sập, bọn tội phạm không biến mất, chúng chỉ di chuyển sang cánh cửa khác. Đây là góc nhìn phản trực giác của tôi về vụ việc này. Dư luận đang đổ dồn sự chú ý vào việc ExfilSquad có thể sử dụng mixer hoặc Monero để rửa tiền, và nhiều người sẽ kêu gọi siết chặt hơn nữa các công cụ này. Nhưng một lệnh cấm trả tiền chuộc khu vực công lại vô tình tạo ra một thị trường thứ cấp nguy hiểm. Nếu cảnh sát Anh không được phép trả tiền, ExfilSquad không có lý do gì để giữ dữ liệu cho riêng mình. Chúng sẽ bán khối dữ liệu này trên dark web cho các tổ chức tình báo nước ngoài, các nhà môi giới dữ liệu phi pháp, hoặc các nhóm khủng bố đang tìm kiếm thông tin về lực lượng thực thi pháp luật. Hậu quả của việc dữ liệu 100.000 cảnh sát rơi vào tay các cơ quan tình báo thù địch còn nghiêm trọng hơn nhiều so với việc phải trả một khoản tiền chuộc. Đã đến lúc phải nhìn thẳng vào bản chất của vụ việc này. Đây không phải là một câu chuyện về "tội phạm sử dụng crypto". Đây là một câu chuyện về sự thất bại của hạ tầng bảo mật khu vực công và về một chính sách vĩ mô đang được hoạch định dựa trên những phản ứng tức thời. Trong khi chính phủ Anh chuẩn bị đưa ra dự luật cấm trả tiền chuộc, họ có thể đã vô tình tạo ra một động lực để các tổ chức ransomware nhắm vào các công ty tư nhân và các cơ quan địa phương có ngân sách yếu hơn, nơi khả năng chi trả và sự thiếu hụt các biện pháp phòng thủ tạo ra một mảnh đất màu mỡ. Khi tôi mất 150 ETH trong cuộc khủng hoảng năm 2022, tôi học được rằng thị trường crypto không bao giờ vận hành trong chân không. Mỗi vụ việc, dù là một dự án DeFi sụp đổ hay một cuộc tấn công ransomware, đều là một mảnh ghép trong bức tranh thanh khoản toàn cầu. ExfilSquad, với tư cách là một tổ chức mới nổi, nhận ra rằng dữ liệu không chỉ là một thứ hàng hóa trong nền kinh tế số, mà là một loại tiền tệ. Chúng không cần phải tạo ra một đồng coin, chúng chỉ cần lấy được dữ liệu, chuyển nó thành Bitcoin hoặc Monero, và để các lớp ẩn danh của crypto làm phần còn lại. Sự thật về khả năng truy vết chuỗi là một điều mà nhiều người trong chúng ta – những kẻ hoài nghi vĩ mô – đã biết từ lâu: blockchain không phải là một công cụ ẩn danh tuyệt đối. Nhưng sự kết hợp giữa mixer, privacy coin và các sàn giao dịch phi tập trung không tuân thủ đã tạo ra một vùng xám đủ rộng để các tổ chức như ExfilSquad tin rằng chúng có thể thoát khỏi sự truy lùng. Trong báo cáo phân tích của tôi, tôi đã chỉ ra rằng Chainalysis và Elliptic đã có khả năng giám sát dòng chảy của mixer đến các sàn giao dịch lớn. Nhưng điều đó chỉ đúng với các sàn tập trung – nơi có nghĩa vụ KYC. Còn với các sàn phi tập trung, nơi không có danh tính, mọi thứ trở nên khó khăn hơn gấp bội. Khi tôi viết phần phân tích kỹ thuật về cuộc tấn công này, tôi nhận ra rằng ExfilSquad không chỉ là một tổ chức tội phạm mạng, mà còn là một tín hiệu thị trường. Sự xuất hiện của nó trong bối cảnh chính phủ Anh đang tranh luận về luật cấm trả tiền chuộc và các cơ quan thực thi pháp luật trên toàn cầu đang tăng cường trấn áp mixer cho thấy một cuộc chạy đua vũ trang đang diễn ra. Bên này là các nhà làm luật, với những công cụ thô sơ như lệnh cấm và trừng phạt. Bên kia là các tổ chức tội phạm, với sự linh hoạt của công nghệ và khả năng thích nghi không giới hạn. Nhưng có một điều mà ExfilSquad có thể đã bỏ qua – một điểm mù trong chiến lược của chúng. Sự phóng đại về khối lượng dữ liệu không chỉ là một vũ khí tâm lý chống lại nạn nhân, mà còn là một vũ khí chống lại chính chúng. Khi các nhà nghiên cứu bắt đầu nghi ngờ tính xác thực, họ sẽ tìm cách xác minh. Và quá trình xác minh đó không chỉ làm lộ ra sự lừa dối của ExfilSquad, mà còn có thể đưa ra những manh mối về cách thức tấn công, về cơ sở hạ tầng mà chúng sử dụng, và về những công cụ mã hóa mà chúng tin tưởng. Mỗi một tuyên bố phóng đại là một vết nứt trên lớp mặt nạ ẩn danh của chúng. Tôi đã nhìn thấy điều này nhiều lần trong thế giới Web3. Những dự án có đội ngũ kém năng lực thường hứa hẹn những điều không tưởng để thu hút vốn, nhưng chính những lời hứa đó lại là mảnh bằng chứng quan trọng nhất để truy ra sự gian dối của họ. Với ExfilSquad, việc tự nhận đã tấn công cả Microsoft là một dấu hiệu cảnh báo rõ ràng. Microsoft là một trong những công ty có hạ tầng bảo mật mạnh nhất thế giới. Một tổ chức mới nổi, với kỹ thuật xâm nhập chỉ dựa vào đánh cắp dữ liệu, hiếm khi có khả năng vượt qua các lớp phòng thủ của Microsoft. Tôi đặt cược rằng tuyên bố này là một sự tự đề cao, một cách để tăng uy tín trên diễn đàn dark web. Và nếu tôi đúng, điều đó có nghĩa là khả năng thực sự của ExfilSquad thấp hơn nhiều so với những gì chúng muốn thể hiện. Đây là nơi mà khung phân tích thanh khoản của tôi kết nối với thực tế của tội phạm mạng. Trong thị trường crypto, thanh khoản là huyết mạch. Trong thế giới ransomware, thanh khoản của dữ liệu – tức khả năng biến dữ liệu thành tiền mặt mà không bị truy vết – là huyết mạch của cả tổ chức. ExfilSquad đã chọn một mô hình "chi phí thấp": không cần phát triển phần mềm mã hóa phức tạp, không cần duy trì botnet, chỉ cần xâm nhập và đánh cắp. Điều đó làm giảm rào cản gia nhập, nhưng đồng thời cũng làm giảm sức mạnh đàm phán khi dữ liệu không thực sự có giá trị như tuyên bố. Bối cảnh vĩ mô ở đây vô cùng quan trọng. Khi Cục Dự trữ Liên bang Mỹ tăng lãi suất, thanh khoản toàn cầu bị rút khỏi các thị trường tài sản rủi ro. Nhưng thanh khoản của tội phạm lại không bị ảnh hưởng theo cách đó. Các tổ chức ransomware không quan tâm đến lãi suất, họ quan tâm đến khả năng chuộc lại của nạn nhân. Và trong một môi trường kinh tế khó khăn, các tổ chức tư nhân có thể trở nên dễ bị tổn thương hơn, sẵn sàng trả tiền hơn để bảo vệ hoạt động kinh doanh của mình. Nếu chính phủ Anh thực sự thông qua lệnh cấm trả tiền chuộc cho khu vực công, các tổ chức ransomware sẽ nhanh chóng điều chỉnh mô hình kinh doanh để nhắm vào các công ty tư nhân giàu có, nơi có thể thanh toán mà không cần lo lắng về ràng buộc pháp lý. Trong một cuộc phỏng vấn với một tạp chí tài chính gần đây, tôi được hỏi liệu tôi có nghĩ rằng các vụ tấn công ransomware đang thúc đẩy việc chấp nhận crypto hay không. Câu trả lời của tôi là: chúng thúc đẩy sự chấp nhận của các kênh thanh toán phi tập trung, nhưng đổi lại, chúng cũng thúc đẩy các chính phủ siết chặt hơn nữa. Và ở đây chúng ta thấy một nghịch lý: mỗi một vụ ransomware thành công trong việc rửa tiền qua mixer sẽ là một viên gạch nữa được thêm vào bức tường quản lý. Tornado Cash đã bị OFAC trừng phạt vì bị cáo buộc rửa tiền cho nhóm Lazarus của Triều Tiên. Bây giờ, nếu ExfilSquad sử dụng một mixer tương tự để rửa tiền tấn công cảnh sát Anh, điều gì sẽ xảy ra với các mixer còn lại? Chúng sẽ bị săn đuổi, bị đóng cửa, và cuối cùng, các tổ chức tội phạm sẽ chuyển sang các giải pháp riêng tư hơn, khó bị theo dõi hơn. Cuộc chiến này không có hồi kết. Nhưng có một điều quan trọng hơn mà tất cả chúng ta cần lưu ý: đây là một vụ tấn công vào lực lượng cảnh sát, vào chính những người có nhiệm vụ bảo vệ chúng ta. Khi dữ liệu của họ bị lộ, nguy cơ bị đe dọa không chỉ dừng lại ở việc nhận những email lừa đảo. Hãy nhìn vào ví dụ mà các nhà phân tích đã chỉ ra: các sĩ quan cảnh sát Pháp từng bị lộ dữ liệu, và những kẻ tội phạm đã sử dụng thông tin đó để đe dọa trả thù. Điều này xảy ra ngay trong thế giới thực, nơi thông tin cá nhân của những người thực thi pháp luật trở thành mục tiêu của bọn tội phạm. Và trong một thế giới ngày càng kết nối, thông tin đó có thể đến từ bất cứ đâu – từ một vụ rò rỉ dữ liệu, từ một cuộc tấn công mạng, hoặc từ một giao dịch trên blockchain không thể truy vết. Nếu tôi phải rút ra một bài học từ vụ ExfilSquad, thì đó là: chúng ta đang sống trong một thời kỳ mà các ranh giới giữa tội phạm mạng, tài chính phi tập trung và chính sách công đang bị xóa nhòa. Các nhà đầu tư không thể chỉ nhìn vào biểu đồ giá, họ cần nhìn vào bức tranh toàn cảnh – nơi mà một vụ tấn công vào cảnh sát Anh có thể định hình lại quy định toàn cầu về privacy coin. Các nhà làm luật không thể chỉ đơn giản cấm trả tiền chuộc mà không tính đến hậu quả của việc dữ liệu bị bán cho các tổ chức thù địch. Và các nhà phát triển Web3 cần nhận thức rằng những công cụ họ xây dựng, dù có ý định tốt đẹp đến đâu, cũng có thể trở thành công cụ cho tội phạm. Sự trong sạch của sản phẩm không nằm ở ý định, mà nằm ở cách nó được sử dụng. Hãy để tôi kết thúc bằng một câu hỏi. Chính phủ Anh đang chuẩn bị cấm trả tiền chuộc trong khu vực công. Họ nhìn vào vụ ExfilSquad và thấy một lý do để hành động. Nhưng tôi nhìn vào vụ việc này và thấy một câu hỏi lớn hơn: Liệu việc cấm trả tiền chuộc có khiến dữ liệu của các cảnh sát viên Anh trở thành một món hàng trên chợ đen toàn cầu hay không? Và nếu điều đó xảy ra, ai sẽ là người chịu trách nhiệm cho những nguy hiểm mà họ phải đối mặt mỗi ngày? Crypto không tạo ra ExfilSquad, nhưng crypto đã cho chúng một kênh thanh toán và một cơ hội để biến dữ liệu thành tiền. Điều mà chúng ta đang chứng kiến không phải là một vụ tống tiền đơn thuần, mà là một cuộc chuyển dịch trong cán cân quyền lực giữa khu vực công và các tổ chức phi nhà nước. Khi dòng thanh khoản kỹ thuật số di chuyển nhanh hơn khả năng kiểm soát của chính phủ, câu hỏi không còn là "bọn tội phạm sẽ sử dụng công cụ gì" nữa, mà là "chúng ta có thể xây dựng một hệ thống an toàn hơn trước khi quá muộn hay không". Và tôi, với tư cách là một nhà quan sát vĩ mô, chỉ có thể nói rằng: cuộc chơi này mới chỉ bắt đầu.