Lỗ hổng macOS CVE-2026-65400: Khi kẻ tấn công không cần mật khẩu, tài sản số của bạn nằm trong tay nào?

Khoảng 1 giờ sáng, một nhà giao dịch nhận được thông báo đăng nhập lạ trên chiếc MacBook quen thuộc. Anh ta tắt máy, nghĩ rằng mình vừa bị lừa qua một trang web giả mạo. Nhưng vài ngày sau, toàn bộ số tiền trong ví điện tử biến mất. Không có mã độc được phát hiện, không có tin nhắn lừa đảo, không có lỗi giao dịch. Tất cả những gì anh ta nhận được là một khoảng lặng – khoảng lặng sau khi một bản vá bảo mật được công bố, khi những kẻ săn mồi nhanh chân đã tận dụng xong lỗ hổng trước khi đám đông kịp nâng cấp. Bí mật nằm ở khoảng lặng giữa hai cơn sóng hype. Trong lúc thị trường tiền điện tử ồn ào với những câu chuyện tăng giá, một lỗ hổng hệ điều hành đang âm thầm mở ra cánh cửa hậu cho những kẻ săn mồi. Và giống như mọi cuộc săn mồi trong tự nhiên, kẻ tấn công luôn chọn thời điểm con mồi ít ngờ nhất. Lỗ hổng được đặt mã hiệu CVE-2026-65400 nằm trong tính năng Screen Sharing – "chia sẻ màn hình" – một công cụ điều khiển từ xa được tích hợp sẵn trong macOS. Đây là một tính năng mà người dùng cá nhân hiếm khi kích hoạt, nhưng lại là cứu cánh cho các nhân viên IT khi cần hỗ trợ đồng nghiệp từ xa. Với một lỗ hổng bỏ qua xác thực, bất kỳ ai biết địa chỉ IP của máy tính đều có thể kết nối và đăng nhập bằng một tài khoản bất kỳ – không cần mật khẩu. Các nhà nghiên cứu bảo mật sau khi phân tích bản vá của Apple đã xác định nguyên nhân nằm ở quá trình xác thực của dịch vụ screensharingd, một dịch vụ được kế thừa từ giao thức VNC hàng chục năm trước. Họ công bố mã khai thác mẫu (PoC) chỉ vài ngày sau thông báo chính thức. Apple đã phát hành bản vá macOS 26.6.1, nhưng theo thống kê, phần lớn người dùng không nâng cấp ngay lập tức. Họ bỏ qua bản cập nhật vì sợ ứng dụng không tương thích, hoặc đơn giản là chưa sẵn sàng khởi động lại máy. Và trong vài tuần đó, máy tính của họ giống như một căn nhà không khóa cửa. Đối với một doanh nghiệp, quy trình kiểm tra hồi quy có thể khiến việc triển khai vá lỗi kéo dài từ một đến ba tháng. Nhưng đối với một cá nhân nắm giữ tiền điện tử, ba tuần không vá là một canh bạc với toàn bộ tài sản. Với người dùng tiền điện tử, vấn đề không dừng lại ở việc mất quyền riêng tư. Một khi kẻ tấn công có toàn quyền kiểm soát máy tính, chúng có thể đọc clipboard – nơi bạn thường dán địa chỉ ví, nơi seed phrase thường được sao chép một cách vô tư. Chúng có thể cài keylogger để ghi lại phím bấm, thay đổi địa chỉ ví trong các giao dịch, hoặc đơn giản là mở trình quản lý mật khẩu và xem toàn bộ dữ liệu. Những chiếc ví phần mềm như MetaMask hay Phantom đều nằm trong trình duyệt; chỉ cần mở một tab và nhập mật khẩu – vốn cũng nằm trong chuỗi khóa iCloud – kẻ tấn công có thể chuyển toàn bộ số dư ra ngoài. Ngay cả khi bạn dùng ví cứng Ledger, các file seed phrase lưu trên máy vẫn có thể bị đọc nếu bạn không sử dụng thiết bị đó đúng cách. Trong quá trình nhiều năm kiểm toán các giao thức tài chính phi tập trung, tôi thường nhắc khách hàng rằng ranh giới giữa "tài sản" và "vật dụng cá nhân" là một đường mờ. Nhưng lỗ hổng này xóa bỏ hoàn toàn ranh giới đó. Bởi vì nó không chỉ đánh cắp tiền của bạn trong một giao dịch lừa đảo; nó đánh cắp toàn bộ bối cảnh số của bạn – những gì bạn đã làm, những nơi bạn đã ghé, những dự án bạn đã tương tác. Với những kẻ tấn công có tổ chức, đây là một mỏ vàng thông tin để lên kế hoạch tấn công tiếp theo. Chúng có thể theo dõi bạn trong một tháng để hiểu thói quen giao dịch trước khi ra tay. Hãy hình dung một quy trình khai thác điển hình. Ban đầu, kẻ tấn công quét toàn bộ địa chỉ IPv4 trên internet để tìm các cổng đang mở của dịch vụ Screen Sharing. Khi tìm thấy một máy tính phản hồi, chúng sử dụng lỗ hổng CVE-2026-65400 để đăng nhập với quyền người dùng hiện tại. Tiếp theo, chúng cài một cửa hậu âm thầm – có thể là một phần mềm dọn dẹp hoặc một bản cập nhật giả mạo – để duy trì quyền truy cập lâu dài. Sau đó, chúng bắt đầu thu thập dữ liệu: tìm các tệp có tên chứa "wallet", "seed", "backup", "private", hay thậm chí là lục tung ảnh chụp màn hình. Chúng cũng có thể kết nối với các phiên giao dịch đang mở trên sàn, thay đổi địa chỉ rút tiền, hoặc đợi đến lúc bạn nạp tiền vào ví rồi mới rút cạn. Điều đáng sợ nhất là thời gian. Không có bất kỳ dấu hiệu nào cho thấy một phiên đăng nhập từ xa đã xảy ra. Log hệ thống có thể bị xóa, hoạt động có thể được ngụy trang thành một tác vụ nền của hệ điều hành. Chỉ đến khi bạn mở một giao dịch lớn lên một địa chỉ lạ, bạn mới nhận ra mình đã mất tài sản từ lâu. Vào thời điểm đó, blockchain không thể giúp bạn thu hồi tiền, bởi vì giao dịch là hợp lệ và vĩnh viễn. Điều này giải thích tại sao trong nhiều vụ trộm cắp tiền điện tử nổi tiếng, thủ phạm không phải là hacker phá khóa mã hóa, mà là một máy tính đã bị xâm nhập từ xa trong nhiều tuần. Một góc nhìn phản trực giác: nhiều người tự trấn an rằng họ an toàn khi chưa bao giờ bật Screen Sharing. Nhưng trong môi trường doanh nghiệp, tính năng này thường được bật tự động thông qua các công cụ quản trị thiết bị (MDM). Bạn có thể không bao giờ kích hoạt nó, nhưng bộ phận IT của công ty có thể đã kích hoạt cho bạn khi họ thiết lập máy. Và trong một mạng lưới ngang hàng – vốn là tinh thần của blockchain – một chiếc máy tính bị xâm nhập có thể trở thành bàn đạp để tấn công các máy khác thông qua các kết nối tin cậy. Lỗ hổng này cũng có thể bị khai thác để cài phần mềm đào tiền ẩn, khiến máy tính chạy chậm mà bạn tưởng chỉ là sự cố phần cứng. Cryptojacking không cần phải đánh cắp ví, nhưng nó ăn trộm tài nguyên tính toán của bạn, và nó là một dấu hiệu cho thấy kẻ tấn công có khả năng chiếm quyền kiểm soát máy của bạn. Bí mật nằm ở khoảng lặng giữa hai cơn sóng hype. Khi thị trường im lặng nhất, những cuộc tấn công âm thầm nhất lại hoạt động mạnh mẽ nhất. Nếu bạn lưu trữ tài sản số của mình trên một chiếc máy tính được nối mạng mà không có tường lửa, không có ví cứng, không có xác thực hai lớp, thì bạn đang tin tưởng vào một nền bảo mật mà ngay cả Apple – một công ty nổi tiếng về quyền riêng tư – cũng không thể đảm bảo tuyệt đối. Chúng ta thường mặc định rằng những hệ điều hành tốt nhất không thể bị tấn công từ xa, nhưng lỗ hổng này là một lời nhắc nhở rằng không có phần mềm nào là miễn dịch vĩnh viễn. Từ góc nhìn chiến lược, sự kiện này có thể thay đổi cách các quỹ đầu tư tiền điện tử lựa chọn công cụ làm việc. Tôi đã chứng kiến nhiều quỹ vận hành theo mô hình "macOS-first", nơi tài sản được quản lý trên các máy Mac với mức độ tin cậy cao. Sau khi lỗ hổng này được công bố, ít nhất một cuộc đánh giá lại toàn diện về quy trình bảo mật sẽ diễn ra. Các nhà quản lý rủi ro sẽ yêu cầu nhân viên sử dụng thiết bị tách biệt cho giao dịch, hoặc chuyển sang các thiết bị chạy hệ điều hành có tính kiểm soát cao hơn. Đây là một sự xói mòn nhỏ nhưng có thật của niềm tin vào hệ sinh thái Apple, và nó sẽ có tác động tích lũy theo thời gian. Nhưng có một cách phản ứng khác, mang tính chất thị trường: lỗ hổng này có thể kích thích nhu cầu về các giải pháp bảo mật phi tập trung. Nếu một hệ điều hành đóng như macOS có thể bị xâm nhập bởi một lỗ hổng duy nhất, thì việc dựa vào một công ty phần mềm duy nhất để bảo vệ tài sản của bạn là một kiến trúc rủi ro. Các dự án ví an toàn dựa trên công nghệ đa chữ ký, tính toán đa bên (MPC) và xác thực sinh trắc học sẽ trở nên hấp dẫn hơn. Các nhà phát triển có thể bắt đầu xây dựng các giải pháp chạy trên môi trường cô lập, hoặc tích hợp xác thực phần cứng bên ngoài trực tiếp trên hệ điều hành. Xu hướng "tự quản lý tài sản" vì thế sẽ tiến thêm một bước từ khẩu hiệu thành một yêu cầu kỹ thuật. Câu hỏi cuối cùng tôi muốn đặt ra: nếu kẻ tấn công có thể đăng nhập vào máy của bạn mà không cần mật khẩu, thì tài sản của bạn trong một chiếc ví phần mềm có thực sự là của bạn? Bạn có thể khóa cửa trước, nhưng nếu kẻ trộm có chìa khóa của cửa sổ, thì mọi ổ khóa khác chỉ là trang trí. Hãy cập nhật ngay lập tức, tắt Screen Sharing nếu không dùng, chuyển sang ví cứng, và bật xác thực hai lớp ngay cả khi bạn nghĩ nó bất tiện. Bí mật nằm ở khoảng lặng giữa hai cơn sóng hype. Đừng để khoảng lặng tiếp theo là lúc bạn nhận ra mình đã mất tất cả.