DeadLock Ransomware sử dụng mã để tránh các phương pháp tiêu diệt truyền thống qua chuỗi khối Polygon

Các nhà nghiên cứu an ninh đã phát hiện ra một kỹ thuật sáng tạo và đáng lo ngại khi một hoạt động ransomware lợi dụng hợp đồng thông minh Polygon để duy trì hạ tầng chỉ huy và kiểm soát liên tục, qua đó hiệu quả tránh khỏi các nỗ lực tiêu diệt truyền thống. Phương pháp dựa trên mã này thể hiện một bước chuyển lớn trong cách tội phạm mạng có thể sử dụng công nghệ blockchain cho mục đích phạm pháp.

Group-IB, một công ty nghiên cứu an ninh mạng hàng đầu, đã công bố các phát hiện vào ngày 15 tháng 1 về cách mà dòng ransomware DeadLock—được quan sát lần đầu vào giữa năm 2025—sử dụng phương pháp mới này. Khác với các hoạt động ransomware truyền thống dựa vào các máy chủ tập trung dễ bị gián đoạn, mối đe dọa này sử dụng các hợp đồng thông minh công khai để lưu trữ và quản lý các địa chỉ proxy luân phiên, tạo ra một kiến trúc phân tán cực kỳ khó bị vô hiệu hóa.

Cách mã ransomware tránh bị phát hiện qua blockchain

Phương pháp kỹ thuật này tuy đơn giản nhưng rất hiệu quả. Khi DeadLock xâm nhập vào hệ thống của nạn nhân và thực thi payload mã hóa, phần mềm độc hại này chứa mã nhúng được lập trình để truy vấn một hợp đồng thông minh Polygon cụ thể theo định kỳ. Hợp đồng này hoạt động như một kho cấu hình động, lưu trữ các địa chỉ proxy hiện tại giúp thiết lập kênh liên lạc giữa kẻ tấn công và hệ thống bị xâm phạm.

Sự tinh tế của kiến trúc này nằm ở tính phi tập trung của nó. Kẻ tấn công có thể cập nhật các địa chỉ proxy trong hợp đồng thông minh bất cứ lúc nào, cho phép họ liên tục luân phiên hạ tầng của mình mà không cần phải triển khai lại malware trên các máy của nạn nhân. Quan trọng là ransomware chỉ thực hiện các hoạt động đọc dữ liệu trên blockchain—nạn nhân không tạo ra giao dịch nào và không phải trả phí gas. Tính năng chỉ đọc này đảm bảo hoạt động vẫn âm thầm và tiết kiệm chi phí.

Cơ chế luân phiên proxy này về cơ bản tạo ra một hệ thống liên lạc bền vững, tự cập nhật, mà các biện pháp tiêu diệt truyền thống của pháp luật khó có thể cắt đứt. Mỗi lần thay đổi proxy đều được ghi lại trên chuỗi, không thể sửa đổi, nhưng ngay lập tức có hiệu lực, khiến các nhà phòng thủ luôn phải đuổi theo các mục tiêu thay đổi liên tục.

Tại sao chiến lược mã này tránh được các biện pháp phòng thủ truyền thống

Mô hình đe dọa này khác biệt rõ ràng so với hạ tầng ransomware truyền thống. Các máy chủ chỉ huy và kiểm soát truyền thống, dù dễ bị gián đoạn và tịch thu, vẫn hoạt động từ các vị trí có thể xác định được. Cơ quan pháp luật có thể theo dõi, xác định và vô hiệu hóa các nguồn lực tập trung này. Kiến trúc blockchain phân tán của Polygon loại bỏ hoàn toàn điểm yếu này.

Vì dữ liệu hợp đồng thông minh được sao chép trên hàng nghìn nút phân tán toàn cầu, không có điểm thất bại duy nhất. Việc vô hiệu hóa một địa chỉ proxy đơn lẻ trở nên vô nghĩa khi malware tự động lấy các địa chỉ cập nhật từ hợp đồng thông minh không thể sửa đổi. Hạ tầng này đạt được khả năng phục hồi chưa từng có nhờ vào tính phi tập trung—một đặc điểm khiến các biện pháp tiêu diệt truyền thống trở nên hầu như vô hiệu.

Phân tích của Group-IB đã xác định nhiều hợp đồng thông minh liên quan đến chiến dịch này được triển khai hoặc cập nhật từ cuối năm 2025 đến đầu năm 2026, xác nhận hoạt động liên tục. Công ty ước tính hiện tại số nạn nhân còn hạn chế, chưa có liên kết rõ ràng với các mạng lưới ransomware liên kết hoặc các nền tảng rò rỉ dữ liệu công khai.

Phân biệt quan trọng: Sử dụng mã sai mục đích so với lỗ hổng của giao thức

Các nhà nghiên cứu nhấn mạnh một điểm rõ ràng quan trọng: DeadLock không khai thác lỗ hổng của chính Polygon, cũng không xâm phạm các hợp đồng thông minh của bên thứ ba do các giao thức DeFi, ví tiền điện tử hoặc dịch vụ cầu nối vận hành. Hoạt động này không phát hiện hoặc lợi dụng bất kỳ lỗ hổng zero-day hay lỗi giao thức nào.

Thay vào đó, kẻ đe dọa khai thác đặc điểm vốn có của chuỗi công khai—tính minh bạch, không thể sửa đổi, và dữ liệu có thể đọc công khai trên chuỗi. Kỹ thuật này mang tính chất tương tự như các cuộc tấn công “EtherHiding” trước đây, vốn cũng tận dụng đặc điểm vốn có của blockchain chứ không phải các lỗi công nghệ.

Sự khác biệt này rất quan trọng đối với toàn bộ hệ sinh thái. Người dùng Polygon không gặp rủi ro kỹ thuật trực tiếp từ việc xâm phạm giao thức. Blockchain hoạt động đúng như thiết kế. Tuy nhiên, trường hợp này cho thấy cách các sổ cái công khai có thể được tái sử dụng để hỗ trợ hạ tầng tội phạm theo những cách vượt qua các biện pháp bảo vệ truyền thống.

Hệ quả cho sự phát triển của cảnh quan đe dọa

Trong khi hoạt động DeadLock hiện tại còn hạn chế, các chuyên gia an ninh mạng cảnh báo rằng phương pháp này có khả năng nhân rộng đáng kể. Kỹ thuật này rẻ, không đòi hỏi hạ tầng đặc biệt, và khó bị chặn hoặc phản ứng một cách hệ thống. Nếu các nhóm ransomware lớn hơn hoặc các tổ chức tội phạm khác bắt đầu áp dụng các phương pháp tương tự, các tác động về an ninh có thể tăng lên đáng kể.

Chiến lược dựa trên mã này về cơ bản làm dân chủ hóa hạ tầng chỉ huy và kiểm soát bền vững, mang lại khả năng tránh né mạnh mẽ cho các nhóm đe dọa có nguồn lực hạn chế. Khi công nghệ blockchain lan rộng trên nhiều mạng lưới và các giải pháp Layer 2 mở rộng, khả năng bị lợi dụng tương tự sẽ càng tăng.

Thông báo của Group-IB như một cảnh báo sớm cho thấy sự kết hợp giữa độ tinh vi của ransomware và khả năng của blockchain tạo ra các vector tấn công mới, đòi hỏi các chiến lược phòng thủ mới mẻ và giám sát chủ động. Trường hợp này nhấn mạnh rằng tính minh bạch của blockchain công khai, dù có lợi cho các ứng dụng hợp pháp, cũng đồng thời tạo điều kiện cho các phương pháp sáng tạo của các tác nhân đe dọa nhằm tránh các biện pháp phòng thủ dựa trên mã và hạ tầng.