Một đồng nghiệp của nhà nghiên cứu bảo mật Sammy Azdoufal vừa mua một chiếc baby monitor trên Amazon. Trước khi cắm điện, anh ta hỏi một câu nghe có vẻ ngây ngô: "Nó có an toàn không?" Đây là câu hỏi mà hầu hết chúng ta tự đặt ra mỗi khi cắm một thiết bị mới, và thường kết thúc bằng một cái nhún vai cùng hy vọng rằng thương hiệu in trên hộp biết mình đang làm gì. Hóa ra, niềm hy vọng đó là một khoản nợ trị giá nhiều tỷ đô la.
Tại DEF CON 34, bức màn đã được vén lên về Meari Technology, một nhà sản xuất thiết kế theo hợp đồng có trụ sở tại Hàng Châu, Trung Quốc, đang âm thầm vận hành phần lớn ngành công nghiệp nhà thông minh. Meari không chỉ làm camera; họ xây dựng toàn bộ hệ sinh thái — firmware, backend đám mây, ứng dụng di động — và bán cho hơn 300 thương hiệu. Nếu bạn từng mua camera từ Arenti, BOIFUN, COCOCAM, PetTec, SV3C, Joystek, Luvion hoặc Vimar, rất có thể bạn đang chạy trên nền tảng của Meari. Với 1,1 triệu thiết bị đã đăng ký tại 118 quốc gia, quy mô của hệ thống này là một con số biết nói.
Báo cáo với tựa đề "1,1 Million Cameras, One Wildcard: Architectural Surveillance in an IoT Cloud" đã hé lộ một loạt lỗ hổng nghiêm trọng. Nghiêm trọng nhất là CVE-2026-33356: MQTT broker của Meari thiếu danh sách kiểm soát truy cập theo từng thiết bị. Nói một cách dễ hiểu, bất kỳ tài khoản CloudEdge nào được xác thực cũng có thể đăng ký nhận dữ liệu từ wildcard 'meari/#' và quan sát toàn bộ thiết bị trên nền tảng theo thời gian thực. Trong quá trình nghiên cứu, các nhà nghiên cứu đã thu được 14.204 thông điệp từ 2.117 thiết bị riêng biệt chỉ trong năm phút.
Kiến trúc, không phải bản vá
MQTT là giao thức publish/subscribe nhẹ, được dùng phổ biến trong IoT vì nó tiêu tốn ít băng thông và phù hợp với thiết bị nhúng. Trong một kiến trúc chuẩn, broker phải kiểm tra quyền subscribe của từng client cho từng topic. Meari thiếu lớp kiểm tra này. Hậu quả là một tài khoản người dùng thông thường có thể mở rộng quyền đọc sang toàn bộ cụm thiết bị bằng một ký tự đại diện. CVE-2026-33356: CloudEdge → meari/# → 1,1 triệu thiết bị. Đây không phải lỗ hổng phần mềm thông thường; đây là lỗ hổng kiến trúc. Bất kỳ bản vá ACL nào cũng chỉ là miếng dán trên một bức tường đã nứt từ móng.
Chúng ta đang kết nối những thiết bị này với các tác nhân AI như Alexa, Google Home và Home Assistant. Khi nguồn camera bị xâm phạm, tác nhân AI của bạn thừa hưởng toàn bộ rủi ro giám sát đó. Niềm tin vỡ ngay tại tầng thị giác — biến một trợ lý thân thiện thành một vị khách không mời. Tôi đã từng phân tích về "trust deficit" trong các hệ thống phi tập trung; vụ Meari là minh chứng rõ ràng rằng vấn đề niềm tin không chỉ nằm ở blockchain hay DeFi, mà nằm ở lớp cảm biến vật lý mà chúng ta đang đặt trong phòng ngủ của chính mình.
Một wildcard đổi lấy một tỷ đô
Từ góc nhìn thị trường, con số càng phản ánh sự thất bại mang tính cấu trúc. Thị trường baby monitor toàn cầu trị giá 1,87 tỷ USD, riêng thị trường Mỹ khoảng 540 triệu USD. Meari đã niêm yết trên sàn ChiNext của Sở Giao dịch Chứng khoán Thâm Quyến vào tháng 3/2025, giá cổ phiếu tăng gấp đôi chỉ trong hai ngày. Vậy mà các nhà bán lẻ vẫn tiếp tục bán những sản phẩm về mặt kiến trúc không thể bảo vệ quyền riêng tư của người dùng. Đây là một dạng khác của lỗ hổng Zbtlink ENDLESSDOORS đã tấn công vào tầng hạ tầng, nhưng luận điểm cấu trúc vẫn vậy: chúng ta đang mua sự tiện lợi bằng cái giá phơi bày toàn diện.
Bất chấp quy trình tiết lộ lỗ hổng kéo dài 70 ngày, phối hợp bởi Tod Beardsley của runZero, phản ứng ban đầu của Meari chỉ là gắn nhãn các sản phẩm bị ảnh hưởng là "lỗi thời". Trong khi đó, MQTT broker vẫn tiếp tục phát trực tuyến dữ liệu. Theo dòng thời gian tiết lộ trên GitHub của nhà nghiên cứu, không có thông báo trực tiếp nào cho người dùng theo Điều 34 GDPR, và người dùng vẫn đang chìm trong bóng tối. Sự thiếu trách nhiệm này chính là lý do khiến nhiều người quay sang các giải pháp local-first như Home Assistant, nơi quyền riêng tư được xem như một lợi thế cạnh tranh, thay vì một thứ bị bỏ quên.
Nhưng tôi sẽ dừng lại ở đó? Không. Vì nếu chỉ dừng lại, chúng ta lại rơi vào một cái bẫy mới: tin rằng "cục bộ" nghĩa là "an toàn". Hãy để tôi đưa ra một góc nhìn ngược dòng.
Blockchain không cứu được tầng cảm biến
Ngành crypto thường nói về việc blockchain sẽ cứu IoT, rằng DePIN sẽ thay thế các đám mây tập trung và on-chain sẽ đảm bảo niềm tin. Điều đó đúng cho đến khi chúng ta nhìn vào tầng cảm biến. Một camera có firmware đóng, có thể bị khai thác từ xa như Meari, sẽ không an toàn hơn chỉ vì dữ liệu của nó được ghi lên blockchain. Bạn không thể mint sự riêng tư từ một thiết bị đã bị tổn thương ngay từ gốc rễ. Blockchain có thể chứng minh dữ liệu không bị sửa đổi sau khi được tạo, nhưng nó không thể chứng minh camera không bị biến thành kẻ theo dõi ngay từ lúc ghi hình.
Đây là điểm mù lớn nhất của cả những người theo trường phái "mua sản phẩm từ thương hiệu lớn" lẫn những người tin vào "local-first". Thương hiệu lớn chỉ là lớp sơn; nền tảng ODM bên dưới mới là thứ định nghĩa độ an toàn. Còn local-first? Nếu bạn tự vận hành một hệ thống Home Assistant nhưng vẫn dùng camera firmware đóng, bạn chỉ đang chuyển rủi ro từ cloud của Meari sang sự chủ quan của chính mình. R:R của cuộc chơi này không bao giờ cân bằng: một lỗ hổng wildcard có thể biến 1,1 triệu thiết bị thành một mạng lưới giám sát khổng lồ, trong khi người dùng chỉ nhận được một lời hứa mỉm cười trên hộp hàng.
Tôi đã học được, từ năm 2017 khi lần đầu tham gia ICO, rằng không bao giờ được tin vào hype mà chỉ tin vào logic và dữ liệu. Tôi cũng học được từ những bot yield farming của tôi trong DeFi Summer 2020 rằng một vụ sập do impermanent loss không khác gì một lệnh stop-loss bị quét: nó đau, nhưng nó dạy bạn phải đặt cược có kỷ luật. Bảo mật IoT cũng vậy. Không phải vì bạn mua một chiếc camera đắt tiền mà bạn an toàn; bạn an toàn khi bạn biết chính xác ai có thể truy cập vào luồng dữ liệu của bạn, và điều gì xảy ra khi niềm tin đó bị phá vỡ.
Niềm tin là một vị trí tài chính
Hãy nhìn vào bảng cân đối tín dụng của doanh nghiệp này. Meari niêm yết cổ phiếu với mức định giá tăng vọt, nhưng tài sản thực sự của họ — dữ liệu camera của bạn — đang bị phơi bày qua một wildcard. Công thức rất ngắn: CVE-2026-33356 → một tài khoản CloudEdge → meari/# → toàn bộ thiết bị. Công thức này không cần đòn bẩy tài chính, nhưng mức độ phá hủy tương đương với một vụ tháo chạy thanh khoản. Lệnh short danh tiếng của Meari có lẽ đã được kích hoạt từ lâu, nhưng người dùng cuối vẫn đứng ở phía long với stop-loss không được đặt.
Điều quan trọng nhất chính là kiến trúc. Chúng ta có thể dùng blockchain để lưu dấu vân tay firmware, chúng ta có thể dùng smart contract để quản lý quyền truy cập thiết bị, nhưng nếu thiết bị vật lý vẫn nằm trong tay một nhà sản xuất không có trách nhiệm giải trình, mọi lớp xác minh đều vô nghĩa. Tôi đã từng audit các giao thức DeFi; một giao thức có admin key rút được TVL chỉ sau một cú click không bao giờ được tôi chạm tới, dù APY có cao đến đâu. Camera Meari cũng thuộc nhóm đó: một mớ admin key phủ bóng lên toàn bộ 1,1 triệu thiết bị.
Sự thật khó nuốt là chúng ta đã mua một hệ sinh thái giám sát mà không hề đọc hợp đồng. Khi một thương hiệu bỏ logo lên nắp hộp, họ không bảo đảm an toàn; họ chỉ bảo đảm rằng sản phẩm có thể được bán. Còn Meari, họ bán nền tảng cho 300 thương hiệu, và cùng với đó, bán luôn lỗ hổng cho bất kỳ ai biết cách gọi MQTT. 14.204 thông điệp trong năm phút chỉ là mẫu thử. Hãy nhân con số đó lên 24 giờ, lên 118 quốc gia, lên một triệu thiết bị — bạn sẽ thấy thước phim kinh dị không hồi kết.
Quản trị đang thất bại ở đâu?
Bài toán bảo mật này không phải là một bản vá. Meari có thể cập nhật ACL, có thể chặn wildcard, nhưng kiến trúc tín nhiệm đã sai từ gốc. Một nền tảng cho phép bất kỳ tài khoản nào đăng ký toàn bộ hệ thống bằng một ký tự đại diện, dù vô tình hay cố ý, không xứng đáng để ta giao phó hình ảnh phòng ngủ của con mình. Cũng giống như một giao thức DeFi có admin key rút được tiền của người dùng mà không cần nhiều chữ ký: bạn có thể may mắn trong một thời gian, nhưng rủi ro là "khi nào", không phải "nếu".
Tôi nhớ lại những gì tôi đã làm trong bear market 2022. Khi thị trường lao dốc 70%, tôi không chạy theo cảm xúc; tôi mua Bitcoin ở 20.000 USD và ETH ở 1.200 USD, đồng thời giữ một kế hoạch short để phòng hộ. Kỷ luật đó giúp tôi sống sót qua đợt thanh lý hàng loạt. Bảo mật camera cũng nên được xử lý với cùng nguyên tắc: đặt trước kịch bản xấu nhất, biết chính xác mức cắt lỗ, và không bao giờ giao phó tài sản của bạn — hay khuôn mặt của con bạn — cho một thực thể có quyền rút lui mà không có điều kiện.
Vậy câu hỏi cốt lõi không phải là "camera nào an toàn". Câu hỏi cốt lõi là: bạn có thể kiểm chứng được ai đang nhìn vào nguồn dữ liệu đó không? Nếu câu trả lời là "không" — thì về mặt kỹ thuật, bạn đang vận hành một bộ phát sóng riêng tư cho một mạng lưới giám sát không xác định. Một chiếc baby monitor thông minh có thể là thiết bị IoT duy nhất đặt trong phòng ngủ, nhưng nó cũng có thể là mắt kính của một kẻ lạ từ bên kia thế giới. Không có blockchain nào, không có thương hiệu nào, cứu được bạn khỏi một lớp cảm biến đã hỏng.
Nhà sản xuất sẽ nói rằng sản phẩm đã "lỗi thời", rằng người dùng nên nâng cấp. Đây là một canh bạc đạo đức: biến nạn nhân thành người phải trả tiền để tự cứu mình. Nhưng chúng ta đã thấy mô hình này nhiều lần trong crypto — những dự án bơm TVL bằng incentive, rồi khi dòng vốn rút, họ đổ lỗi cho thị trường. APY liquidity mining không bao giờ tạo ra người dùng thực sự; nó chỉ mua thời gian. Còn ở đây, Meari không mua thời gian cho người dùng; họ mua thời gian cho chính cổ phiếu của họ trên sàn ChiNext.
Khi giá không phản ánh rủi ro
Hãy nhìn vào dòng tiền. Một nhà bán lẻ kiếm được lợi nhuận từ mỗi chiếc camera bán ra. Một nhà sản xuất kiếm được doanh thu từ phí nền tảng. Một nhà đầu tư kiếm được từ cổ phiếu tăng gấp đôi. Chỉ có người dùng cuối trả chi phí thực sự: sự riêng tư. Đây là một phi vụ chênh lệch thông tin kinh điển, và theo góc nhìn quant, phi vụ này có tỷ lệ risk/reward lệch hoàn toàn về phía kẻ nắm dữ liệu. Bạn không thể short một công ty vô trách nhiệm, nhưng bạn có thể tự bảo vệ mình bằng cách không tham gia trò chơi.
Điệp khúc quen thuộc "chúng ta cần quy định" cũng không đủ. Quy định có thể đến sau thảm họa, giống như mọi thứ khác. Trong khi đó, thị trường baby monitor vẫn được định giá 1,87 tỷ USD, và các sản phẩm Meari vẫn nằm trên kệ. Tín hiệu giá không phản ánh rủi ro kiến trúc; đây chính là sự định giá sai lớn nhất. Nếu bạn đặt cược vào việc công ty này sẽ thay đổi, bạn đang làm điều ngược lại với kỷ luật — bạn đang mua một tài sản có lỗ hổng wildcard mà không có kế hoạch phòng thủ.
Có một câu nói tôi hay dùng trong đội ngũ quant: "Đừng bao giờ chiến đấu với một vị trí không có stop-loss." Hệ sinh thái nhà thông minh hiện tại đang ở trạng thái đó. Các thương hiệu bán camera của Meari không biết — hoặc không quan tâm — rằng cả nền tảng có thể bị ai đó đăng ký toàn bộ bằng một wildcard. Người dùng thì càng không biết. Rủi ro nằm ở tầng kiến trúc, không phải ở tầng trải nghiệm, nên không một bản cập nhật app nào có thể cứu được.
Bài học dành riêng cho thị trường tiền mã hóa
Tôi lựa chọn viết về vụ việc này không chỉ vì nó gây sốc, mà vì nó đại diện cho một lớp mù tín nhiệm đang lan rộng. Từ hợp đồng thông minh bị rút tiền, đến API lộ quyền admin, cùng một mô thức: chúng ta tin vào bề mặt, trong khi thực thể đứng sau bề mặt sở hữu toàn bộ chìa khóa. CVE-2026-33356 chỉ là một ví dụ. Nhưng nếu bạn nhìn xung quanh nhà mình, từ loa thông minh đến khóa cửa, cùng một câu hỏi vẫn ám ảnh: ai có thể gọi meari/# bằng danh tính của bạn?
Kết luận của bài phân tích này không phải là một danh sách các thương hiệu cần tránh; đó là một lời cảnh báo mang tính kiến trúc. Hãy ngừng giả định rằng một cái tên trên hộp đồng nghĩa với bảo mật. Hãy ngừng nghĩ rằng local-first, hay blockchain, tự động ban cho bạn quyền riêng tư. Quyền riêng tư là một thuộc tính hệ thống, được thiết kế từ lớp chip đến lớp đám mây — và nếu bạn không thể kiểm tra nó, hãy coi nó như một vị trí thua lỗ đang chực chờ. Cắt lỗ sớm, xác minh kỹ, hoặc đừng tham gia. Trong thế giới của tôi, không có khái niệm "hy vọng là một chiến lược".
