MFA

Tính giá MFA Financial Inc

Đã đóng
MFA
₫235.811,73
+₫6.684,79(+2,91%)

*Dữ liệu cập nhật lần cuối: 2026-04-20 06:57 (UTC+8)

Tính đến 2026-04-20 06:57, MFA Financial Inc (MFA) đang giao dịch ở ₫235.811,73, với tổng vốn hóa thị trường là ₫24,09T, tỷ lệ P/E là 5,46 và tỷ suất cổ tức là 7,03%. Giá cổ phiếu hôm nay biến động trong khoảng ₫231.201,53 và ₫236.272,75. Giá hiện tại cao hơn 1,99% so với mức thấp nhất trong ngày và thấp hơn 0,19% so với mức cao nhất trong ngày, với khối lượng giao dịch là 1,31M. Trong 52 tuần qua, MFA đã giao dịch trong khoảng từ ₫216.909,91 đến ₫236.272,75 và giá hiện tại cách mức cao nhất trong 52 tuần -0,19%.

Các chỉ số chính của MFA

Đóng cửa hôm qua₫229.126,94
Vốn hóa thị trường₫24,09T
Khối lượng1,31M
Tỷ lệ P/E5,46
Lợi suất cổ tức (TTM)7,03%
Số lượng cổ tức₫8.298,36
EPS pha loãng (TTM)1,70
Thu nhập ròng (FY)₫4,07T
Doanh thu (FY)₫20,17T
Ngày báo cáo thu nhập2026-05-06
Ước tính EPS0,31
Ước tính doanh thu₫1,58T
Số cổ phiếu đang lưu hành105,17M
Beta (1 năm)1.616
Ngày giao dịch không hưởng quyền2026-03-31
Ngày thanh toán cổ tức2026-04-30

Giới thiệu về MFA

MFA Financial, Inc., cùng với các công ty con của mình, hoạt động như một quỹ đầu tư bất động sản (REIT) tại Hoa Kỳ. Công ty đầu tư vào các tài sản thế chấp nhà ở, bao gồm chứng khoán đảm bảo bằng thế chấp không thuộc chính phủ (non-agency MBS), chứng khoán đảm bảo bằng thế chấp của chính phủ (agency MBS), và chứng khoán chuyển giao rủi ro tín dụng; các khoản vay toàn bộ nhà ở, bao gồm các khoản vay đã mua có hiệu quả, các khoản vay đã mua bị giảm tín dụng, và các khoản vay không hiệu quả; cùng các tài sản liên quan đến quyền dịch vụ thế chấp. Công ty đã chọn được đánh thuế như một REIT và sẽ không phải chịu thuế thu nhập liên bang nếu phân phối ít nhất 90% thu nhập chịu thuế của mình cho cổ đông. MFA Financial, Inc. được thành lập vào năm 1997 và có trụ sở chính tại New York, New York.
Lĩnh vựcBất động sản
Ngành nghềREIT - Thế chấp
CEOCraig L. Knutson
Trụ sở chínhNew York City,NY,US
Trang web chính thứchttps://www.mfafinancial.com
Nhân sự (FY)307,00
Doanh thu trung bình (1 năm)₫65,71B
Thu nhập ròng trên mỗi nhân viên₫13,27B

Tìm hiểu thêm về MFA Financial Inc (MFA)

Bài viết Gate Learn

Hiểu và Ngăn chặn gian lận Tiền điện tử

Hiểu những chiến thuật này là phòng thủ đầu tiên của bạn. Cho dù đó là kích hoạt xác thực đa yếu tố (MFA), xác minh URL hoặc xem xét cẩn thận cơ hội đầu tư, việc thực hiện các biện pháp tích cực có thể bảo vệ tài sản của bạn. Hướng dẫn này khám phá các chiến lược mà những kẻ lừa đảo sử dụng, những dấu hiệu đỏ để chú ý và các mẹo hữu ích để giữ cho khoản đầu tư kỹ thuật số của bạn an toàn trước gian lận.

2025-01-14

Vì sao cần lựa chọn SÀN GIAO DỊCH TIỀN ĐIỆN TỬ AN TOÀN / BẢO MẬT? Giải pháp bảo vệ tài sản kỹ thuật số của bạn

Khi lựa chọn sàn giao dịch tiền điện tử, việc bảo vệ tài sản luôn được ưu tiên hàng đầu. Gate được thành lập năm 2013, là một trong những sàn giao dịch tiền điện tử lâu đời nhất trên thế giới. Sàn phục vụ hơn 37 triệu người dùng, hỗ trợ hơn 3.500 loại tài sản kỹ thuật số và duy trì quỹ dự phòng vượt mức 10 tỷ USD.

2025-09-11

Cách mà tội phạm mạng sử dụng YouTube và GitHub để phát tán phần mềm độc hại tiền điện tử

Trong cảnh quan nguy hiểm ngày càng biến đổi của mối đe dọa mạng, hai nền tảng truyền thống được coi là nơi an toàn cho việc tạo nội dung, học tập và cộng tác mã nguồn mở đã trở thành mục tiêu phân phối phần mềm độc hại nhằm đánh cắp tiền điện tử và dữ liệu cá nhân — YouTube và GitHub. Vậy, tội phạm mạng đang sử dụng YouTube và GitHub như thế nào để lan truyền phần mềm độc hại và bạn có thể bảo vệ bản thân như thế nào?

2024-11-25

Câu hỏi thường gặp về MFA Financial Inc (MFA)

Giá cổ phiếu MFA Financial Inc (MFA) hôm nay là bao nhiêu?

x
MFA Financial Inc (MFA) hiện đang giao dịch ở mức ₫235.811,73, với biến động 24h qua là +2,91%. Phạm vi giao dịch 52 tuần là từ ₫216.909,91 đến ₫236.272,75.

Mức giá cao nhất và thấp nhất trong 52 tuần của MFA Financial Inc (MFA) là bao nhiêu?

x

Tỷ lệ giá trên thu nhập (P/E) của MFA Financial Inc (MFA) là bao nhiêu? Nó chỉ ra điều gì?

x

Vốn hóa thị trường của MFA Financial Inc (MFA) là bao nhiêu?

x

Lợi nhuận trên mỗi cổ phiếu (EPS) hàng quý gần đây nhất của MFA Financial Inc (MFA) là bao nhiêu?

x

Bạn nên mua hay bán MFA Financial Inc (MFA) vào thời điểm này?

x

Những yếu tố nào có thể ảnh hưởng đến giá cổ phiếu MFA Financial Inc (MFA)?

x

Làm thế nào để mua cổ phiếu MFA Financial Inc (MFA)?

x

Cảnh báo rủi ro

Thị trường chứng khoán tiềm ẩn rủi ro cao và biến động giá mạnh. Giá trị khoản đầu tư của bạn có thể tăng hoặc giảm, và bạn có thể không thu hồi được toàn bộ số tiền đã đầu tư. Hiệu suất hoạt động trong quá khứ không phải là chỉ báo đáng tin cậy cho kết quả tương lai. Trước khi đưa ra bất kỳ quyết định đầu tư nào, bạn nên đánh giá cẩn thận kinh nghiệm đầu tư, tình hình tài chính, mục tiêu đầu tư và khả năng chấp nhận rủi ro của mình, đồng thời tự mình nghiên cứu. Nếu cần thiết, hãy tham khảo ý kiến của một cố vấn tài chính độc lập.

Tuyên bố từ chối trách nhiệm

Nội dung trên trang này chỉ được cung cấp cho mục đích thông tin và không cấu thành tư vấn đầu tư, tư vấn tài chính hoặc khuyến nghị giao dịch. Gate sẽ không chịu trách nhiệm đối với bất kỳ tổn thất hoặc thiệt hại nào phát sinh từ các quyết định tài chính đó. Hơn nữa, xin lưu ý rằng Gate có thể không cung cấp đầy đủ dịch vụ tại một số thị trường và khu vực pháp lý nhất định, bao gồm nhưng không giới hạn ở Hoa Kỳ, Canada, Iran và Cuba. Để biết thêm thông tin về các Khu vực bị hạn chế, vui lòng tham khảo Thỏa thuận người dùng.

Thị trường giao dịch khác

Bài viết hot về MFA Financial Inc (MFA)

DeepFlowTech

DeepFlowTech

3 tiếng trước
Tác giả: Zengineer Biên dịch: Deep潮 TechFlow Deep潮 giới thiệu: Ngày 18 tháng 4, Kelp DAO bị đánh cắp 292 triệu USD, là vụ DeFi lớn nhất từ đầu năm 2026 đến nay. Lỗ hổng không nằm trong mã hợp đồng thông minh, mà ở cấu hình nút xác thực LayerZero cross-chain bridge dạng 1-of-1 — một điểm yếu duy nhất có thể giả mạo tin nhắn xuyên chuỗi. 12 ngày trước, tác giả đã dùng công cụ kiểm tra an ninh mã nguồn mở do chính mình phát triển để quét Kelp, đã từng đánh dấu điểm rủi ro này. Bài viết này tổng kết toàn bộ quá trình tấn công, cũng thành thật tự phê bình về 3 điều công cụ đã làm chưa đúng lúc đó. Kelp DAO là gì Kelp DAO là một giao thức staking lại thanh khoản xây trên EigenLayer. Cơ chế như sau: người dùng gửi ETH hoặc token staking (stETH, ETHx) vào hợp đồng Kelp, hợp đồng sau đó ủy thác tài sản cho các nút vận hành của EigenLayer để thực hiện staking lại — đồng thời cung cấp an toàn cho nhiều dịch vụ AVS (Actively Validated Services, dịch vụ xác thực chủ động). Đổi lại, người dùng nhận được rsETH làm chứng chỉ. Khác với việc staking trực tiếp trên EigenLayer (tài sản bị khóa), rsETH là token có tính thanh khoản — có thể giao dịch, dùng làm tài sản thế chấp trong các giao thức vay như Aave, hoặc xuyên chuỗi. Để thực hiện tính thanh khoản xuyên chuỗi này, Kelp dùng tiêu chuẩn OFT (Omnichain Fungible Token, token đồng nhất toàn chuỗi) của LayerZero để triển khai rsETH trên hơn 16 chuỗi. Khi bạn chuyển rsETH từ Ethereum sang một chuỗi Layer 2, mạng xác thực phi tập trung DVN (Decentralized Verifier Network) của LayerZero sẽ kiểm tra tính hợp lệ của tin nhắn xuyên chuỗi này. Kiến trúc cầu nối này chính là trung tâm của câu chuyện phía sau. Kelp do Amitej Gajjala và Dheeraj Borra (trước đây là đồng sáng lập Stader Labs) khởi xướng, ra mắt tháng 12 năm 2023, TVL đạt đỉnh 2.09 tỷ USD, quản trị bằng token KERNEL theo hình thức multi-sig 6/8 và khóa thời gian 10 ngày để nâng cấp hợp đồng. Token quản trị này điều hành 3 dòng sản phẩm: Kelp, Kernel, Gain. Vụ bị đánh cắp Ngày 18 tháng 4 năm 2026, hacker rút ra 116,500 rsETH từ cầu nối xuyên chuỗi của Kelp DAO, trị giá khoảng 292 triệu USD — là vụ tấn công DeFi lớn nhất từ đầu năm 2026 đến nay. Nguyên nhân chính không phải do lỗ hổng hợp đồng thông minh, mà là vấn đề cấu hình: một thiết lập DVN dạng 1-of-1 (chỉ có 1 nút xác thực, chỉ cần 1 chữ ký là đủ) khiến hacker có thể giả mạo tin nhắn xuyên chuỗi bằng cách tấn công phá vỡ nút duy nhất này. 12 ngày trước, ngày 6 tháng 4, công cụ kiểm tra an ninh mã nguồn mở của tác giả đã từng đánh dấu điểm rủi ro này. Nói rõ: vụ bị đánh cắp này là do người thật mất tiền thật. Người gửi WETH trong Aave hoặc các giao thức khác, không liên quan đến rsETH, đã bị phong tỏa tài khoản; nhiều LP trong các giao thức phải gánh chịu khoản nợ xấu mà họ không ký hợp đồng. Bài viết phân tích chuyện đã xảy ra, công cụ của chúng tôi đã phát hiện ra gì — nhưng cái giá thực tế người thiệt hại phải trả còn quan trọng hơn mọi bảng điểm rủi ro. Báo cáo đầy đủ đăng trên GitHub, thời gian commit có thể xác minh công khai. Dưới đây là kể lại những gì chúng tôi đã phát hiện, những gì bỏ lỡ, và ý nghĩa của vụ việc đối với công cụ an ninh DeFi. 46 phút, chấn động DeFi Vào 17:35 UTC ngày 18 tháng 4, hacker tấn công phá vỡ nút xác thực DVN độc lập đó, rồi "phê duyệt" một tin nhắn giả mạo xuyên chuỗi. Endpoint của LayerZero thấy DVN đã xác nhận, gửi tin qua lzReceive đến hợp đồng OFT của Kelp — hợp đồng làm theo, đã mint ra 116,500 rsETH trên mạng chính Ethereum. Tin nhắn tuyên bố các chuỗi khác đã khóa tài sản trị giá tương đương làm bảo đảm. Thực tế, các tài sản đó hoàn toàn không tồn tại. Tiếp theo là một quy trình rửa tiền tiêu chuẩn của DeFi: Dùng rsETH làm tài sản thế chấp gửi vào Aave V3, Compound V3, Euler Dùng các tài sản không có bảo đảm này vay khoảng 236 triệu USD WETH Tập trung khoảng 74,000 ETH, rút ra qua Tornado Cash Sau 46 phút, lúc 18:21, hợp đồng của Kelp đã bị tạm dừng khẩn cấp và khóa multi-sig. Hacker sau đó hai lần truy đuổi (mỗi lần 40,000 rsETH, khoảng 100 triệu USD), đều bị revert — lần này, lệnh tạm dừng đã ngăn chặn được khoảng 200 triệu USD. Tuy nhiên, phạm vi ảnh hưởng vẫn rất lớn. Aave V3 đã phải gánh khoản nợ xấu khoảng 177 triệu USD. Giá token AAVE giảm 10.27%. ETH giảm 3%. Tỷ lệ sử dụng WETH trên Aave lập tức đạt 100%, người gửi tiền vội vàng rút lui. Hơn 20 chuỗi L2 có rsETH, trong một đêm, đều trở thành tài sản có giá trị nghi vấn. Ngày 6 tháng 4, báo cáo đã phát hiện gì Đầu tháng 4, ngay sau khi Drift Protocol bị đánh cắp 285 triệu USD ngày 1 tháng 4, tôi đã viết một bộ khung đánh giá rủi ro kiến trúc AI mở, tên là crypto-project-security-skill — dựa trên dữ liệu công khai (DeFiLlama, GoPlus, Safe API, xác thực trên chuỗi) để đánh giá các giao thức DeFi. Nó không phải là công cụ quét mã hay xác thực hình thức. Sự kiện Drift giúp tôi nhận ra: nguyên nhân gây thiệt hại lớn nhất không nằm trong mã hợp đồng, mà ở các lỗ hổng quản trị, sơ suất cấu hình, điểm mù kiến trúc — những chỗ mà các công cụ quét mã không thể nhìn thấy. Vì vậy, tôi đã phát triển một công cụ đánh giá riêng các tầng này: cấu trúc quản trị, phụ thuộc oracle, cơ chế kinh tế, kiến trúc xuyên chuỗi, so sánh với các mô hình tấn công nổi tiếng như Drift, Euler, Ronin, Harmony, Mango. Ngày 6 tháng 4, tôi đã thực hiện một cuộc kiểm tra toàn diện Kelp DAO. Báo cáo đầy đủ công khai trên GitHub, có dấu thời gian không thể chỉnh sửa. Điểm tổng thể của báo cáo dành cho Kelp là 72/100 (nguy cơ trung bình). Sau này xem lại, điểm này còn quá cao — các lỗ hổng thông tin xuyên chuỗi chưa rõ ràng, đáng ra phải làm điểm số thấp hơn. Nhưng dù xếp mức trung bình, báo cáo vẫn chỉ rõ ra điểm tấn công thực tế đã bị khai thác sau này. Dưới đây là phần trích đoạn trong báo cáo về "lỗ hổng thông tin" — liên quan đến cấu hình DVN của Kelp, chính là nguyên nhân dẫn đến vụ mất 292 triệu USD: Chú thích hình: Trong phần "Lỗ hổng thông tin" của báo cáo ngày 6 tháng 4, cấu hình DVN không minh bạch bị chỉ rõ trực tiếp Tiếp theo, đối chiếu từng điểm chúng tôi đã đánh dấu, và cách bị tấn công thực tế. Phát hiện 1: Cấu hình DVN không minh bạch (cảnh báo sớm) Báo cáo: 「Cấu hình LayerZero DVN (bộ xác thực của các chuỗi, yêu cầu ngưỡng) chưa được công khai」 Thực tế xảy ra: Kelp dùng cấu hình DVN dạng 1-of-1. Một nút duy nhất. Một điểm yếu duy nhất. Hacker chỉ cần tấn công phá vỡ nút này là có thể giả mạo tin xuyên chuỗi. Nếu cấu hình là 2-of-3 (được khuyến nghị tối thiểu trong ngành), hacker phải tấn công phá vỡ nhiều xác thực viên độc lập cùng lúc. Điều cần làm rõ: Đây là vấn đề của Kelp, không phải của LayerZero. LayerZero là hạ tầng — cung cấp khung DVN, còn mỗi giao thức tự chọn cấu hình: số nút xác thực (1-of-1, 2-of-3, 3-of-5...), dùng nút của ai, ngưỡng của từng chuỗi. Khi Kelp triển khai cầu OFT, chọn cấu hình 1-of-1. LayerZero hoàn toàn hỗ trợ 2-of-3 hoặc cao hơn — chỉ là Kelp không bật. Ví dụ: AWS cung cấp MFA (xác thực đa yếu tố). Nếu tài khoản của bạn bị xâm nhập vì chưa bật MFA, đó là lỗi của bạn, không phải của AWS. LayerZero đặt cơ chế an toàn đó ra đó, Kelp không dùng. Báo cáo của chúng tôi lúc đó không thể xác định chính xác ngưỡng DVN (vì Kelp chưa từng tiết lộ), nhưng rõ ràng liệt kê cấu hình không minh bạch này thành lỗ hổng chưa giải quyết và rủi ro. Không tiết lộ rõ ràng chính là một dấu hiệu đỏ. Phát hiện 2: Điểm yếu đơn điểm trên 16 chuỗi (trực tiếp) Báo cáo: 「Điểm yếu đơn điểm của LayerZero DVN có thể ảnh hưởng đến 16 chuỗi hỗ trợ rsETH」 Thực tế: Tin giả mạo đã thành công trên mạng chính Ethereum, lan sang tất cả các chuỗi khác đã triển khai rsETH. LayerZero đã chủ động tạm dừng tất cả cầu OFT từ Ethereum ra ngoài. Người nắm giữ rsETH trên hơn 20 chuỗi L2, trong một đêm, không rõ còn bảo đảm hay không. Đây là rủi ro hệ thống của đa chuỗi: rsETH cùng lúc trên Arbitrum, Optimism, Base, Scroll... nhưng tất cả giá trị đều dựa vào tài sản trên mạng chính Ethereum. Khi cầu nối chính bị tấn công, tất cả các chuỗi L2 chứa rsETH đều mất bảo đảm — người nắm giữ không thể rút, cũng không thể xác minh giá trị token của mình còn hay không. Các dịch vụ như earnETH của Lido (dưới dạng rsETH), cầu của Ethena qua LayerZero — đều bị tạm dừng. V phạm vi ảnh hưởng vượt xa Kelp. Phát hiện 3: Kiểm soát quản trị xuyên chuỗi chưa xác thực (vấn đề liên quan) Báo cáo: 「Chưa xác minh quyền kiểm soát quản trị cấu hình LayerZero OFT của các chuỗi — đặc biệt: quyền này có thuộc về multi-sig 6/8 và khóa thời gian 10 ngày, hay do các khóa quản trị riêng biệt kiểm soát」 Thực tế: Cấu hình DVN rõ ràng không nằm dưới quản trị chặt chẽ của core protocol. Nếu việc thay đổi cấu hình cầu nối cũng do multi-sig 6/8 và khóa thời gian 10 ngày kiểm soát, thì cấu hình 1-of-1 cần 6 trong 8 người đồng ý — cấu hình này khó mà không có ai quản lý. Điều này hé lộ một điểm mù quản trị phổ biến: nhiều giao thức đặt quy trình nâng cấp hợp đồng chính có multi-sig và khóa thời gian, nhưng các thay đổi vận hành — như cấu hình cầu nối, tham số oracle, quản lý whitelist — thường chỉ có một admin key kiểm soát. Kelp quản trị theo chuẩn hàng đầu (6/8 multi-sig + 10 ngày khóa), nhưng các biện pháp bảo vệ này không mở rộng tới điểm tấn công lớn nhất: cầu xuyên chuỗi. Phát hiện 4: Mô phỏng mô hình tấn công Ronin/Harmony (trực tiếp) Báo cáo: 「Các ví dụ lịch sử liên quan đến an toàn cầu. Việc triển khai LayerZero của Kelp trên 16 chuỗi mang tính phức tạp vận hành tương tự Ronin」 Thực tế: Đường tấn công gần như sao chép hoàn toàn kịch bản Ronin — phá vỡ xác thực cầu nối, giả mạo tin nhắn, rút sạch tài sản. Công cụ của chúng tôi dùng mô-đun nhận dạng mô hình tấn công, so sánh kiến trúc giao thức với các mô hình tấn công lịch sử, xác định đây là một trong các hướng tấn công nguy hiểm nhất. Lịch sử: Năm 2022, Ronin bị tấn công 5 trong 9 xác thực viên, mất 625 triệu USD; cùng năm, Horizon của Harmony bị tấn công 2 trong 5 xác thực viên, mất 100 triệu USD. Trường hợp của Kelp còn nghiêm trọng hơn — chỉ có 1 xác thực viên, mức độ bảo vệ cực thấp. Công cụ có thể phát hiện rủi ro này vì nó tự động so sánh kiến trúc giao thức với các mô hình tấn công lịch sử, chứ không chỉ dựa vào mã. Phát hiện 5: Không có quỹ bảo hiểm (làm tăng thiệt hại) Báo cáo: 「Giao thức hiện không có quỹ bảo hiểm riêng, cũng không có cơ chế chia sẻ thiệt hại để hấp thụ các khoản phạt」 Thực tế: Không có quỹ dự phòng, thiệt hại 292 triệu USD bị các giao thức phía dưới gánh hết. Khoản dự trữ thu hồi của Aave chỉ đủ để gỡ 30% khoản nợ xấu 177 triệu USD. Các LP trong các giao thức khác, không ký hợp đồng với rsETH, phải chịu thiệt hại lớn nhất. Hacker dùng rsETH làm tài sản thế chấp gửi vào Aave V3, Compound V3, Euler, rồi vay WETH thật. Khi rsETH bị xác nhận không có bảo đảm, các vị thế này trở thành nợ xấu không thể thanh lý — tài sản thế chấp thành giấy lộn, nhưng WETH đã mất. Tỷ lệ WETH trên Aave lập tức đạt 100%, người gửi tiền muốn rút cũng không được. Nếu bạn là người gửi WETH trên Aave, dù chưa từng dùng rsETH, cũng bị ảnh hưởng. Các hợp đồng bảo hiểm của Kelp và Nexus Mutual chỉ bảo vệ một số sản phẩm nhất định, không bao gồm rủi ro chính của giao thức rsETH. Điều này thể hiện trách nhiệm chưa rõ ràng của cả hai phía. Phía Kelp: một giao thức quản lý 1.3 tỷ USD TVL, không có quỹ bảo hiểm, không có cơ chế hấp thụ thiệt hại. Khi cầu bị tấn công, không có gì để giảm thiểu thiệt hại. Phía Aave: chấp nhận rsETH làm tài sản thế chấp, nhưng không đánh giá đúng rủi ro cấu hình cầu nối xuyên chuỗi. Các tham số rủi ro của Aave (LTV, ngưỡng thanh lý) thiết kế cho biến động giá bình thường, không tính đến rủi ro "cầu bị tấn công khiến tài sản thế chấp mất giá trong một đêm". Khoản dự trữ thu hồi không đủ để gỡ 30% nợ xấu. Về bản chất, đây là thất bại trong định giá rủi ro: Aave coi rsETH như một tài sản biến động bình thường, trong khi thực tế nó mang theo rủi ro tail của cầu nối bị tấn công. Sự phối hợp của hai bên đã làm trầm trọng thêm thiệt hại — Kelp không có quỹ bảo hiểm để ngăn chặn tài sản thế chấp xấu, Aave chưa có mô hình rủi ro đủ tinh vi để hạn chế rủi ro này trong kịch bản xấu. Chúng tôi đã sai ở đâu Có 3 điều đáng làm tốt hơn: Đánh giá rủi ro còn quá cao. Chúng tôi xếp rủi ro cầu nối xuyên chuỗi là "trung bình". Trong báo cáo, 5 lỗ hổng thông tin chưa rõ ràng có 3 liên quan đến cấu hình LayerZero, phù hợp với các mô hình tấn công Ronin/Harmony — đáng ra phải xếp là "cao" hoặc "nghiêm trọng". Không minh bạch chính là tín hiệu cảnh báo lớn hơn. Chúng tôi chưa thể xuyên thấu cấu hình. Báo cáo liên tục yêu cầu Kelp tiết lộ ngưỡng DVN, nhưng chúng tôi không thể xác minh độc lập. Đây chính là điểm mù cấu trúc mà các công cụ kiểm tra mã không thể nhìn thấy: tập trung vào logic mã, không thể phát hiện rủi ro cấu hình. Chúng tôi đã đánh dấu vấn đề, nhưng chưa thể trả lời rõ. Chúng tôi chưa kiểm tra trên chuỗi. Cấu hình DVN thực ra có thể đọc trực tiếp qua hợp đồng EndpointV2 của LayerZero. Chúng tôi hoàn toàn có thể truy vấn registry ULN302 để xác minh ngưỡng DVN của Kelp, thay vì coi là "chưa công khai". Nếu kiểm tra lúc đó, sẽ thấy rõ cấu hình 1-of-1, không cần Kelp tiết lộ. Đây là hướng cải thiện cụ thể nhất của công cụ: trong bước đánh giá xuyên chuỗi, thêm xác minh cấu hình DVN trên chuỗi. Phát hiện chưa đủ cụ thể, chưa đủ hành động. Việc nói "cấu hình DVN chưa tiết lộ" chỉ là quan sát thiếu dữ liệu — không dự đoán được tấn công. Các rủi ro như tập trung oracle, phụ thuộc cầu nối, thiếu bảo hiểm đều phổ biến trong nhiều giao thức cross-chain. Công cụ đã đánh dấu điểm không minh bạch của Kelp, nhưng cũng từng phát hiện các mô hình tương tự ở hàng chục giao thức chưa bị tấn công. Trong bối cảnh chưa có tỷ lệ báo động giả, tuyên bố "chúng tôi đã dự đoán" là phóng đại. Thật ra, chúng tôi đã đặt ra những câu hỏi đúng mà ít ai để ý, và một trong số đó đúng vào điểm then chốt. Về "minh bạch có trách nhiệm" Câu hỏi công bằng: nếu ngày 6 tháng 4 chúng tôi đã đánh dấu các rủi ro này, tại sao chưa kịp thông báo Kelp trước khi bị tấn công ngày 18 tháng 4? Chúng tôi không thông báo. Lý do: báo cáo chỉ phát hiện ra sự thiếu minh bạch — "cấu hình DVN chưa công khai", chứ không phải là lỗ hổng cụ thể có thể khai thác. Chúng tôi không biết cấu hình là 1-of-1, chỉ biết là không rõ. Không có dữ liệu cụ thể để tiết lộ. "Cầu của bạn không có tài liệu" là một quan sát quản trị, chứ không phải báo cáo bug bounty phù hợp. Xem lại, chúng tôi hoàn toàn có thể liên hệ trực tiếp với đội ngũ Kelp, hỏi về ngưỡng DVN của họ. Cuộc trao đổi đó có thể giúp tiết lộ cấu hình 1-of-1, thúc đẩy sửa chữa. Chúng tôi đã không làm vậy. Đây là bài học: dù phát hiện có vẻ mơ hồ, không phù hợp để công khai, thì hỏi riêng vẫn đáng giá. Về ý nghĩa của vụ việc đối với DeFi Kelp bị đánh cắp — giống Drift cách đây 17 ngày — không phải do lỗ hổng mã hợp đồng. Các công cụ tự động như Slither, Mythril, hay GoPlus cũng không thể phát hiện. Lỗ hổng nằm trong cấu hình triển khai, thiếu sót quản trị, quyết định kiến trúc — nằm trên mã nguồn. Điều này chính là chủ đề chính của crypto-project-security-skill: An toàn giao thức không chỉ là mã nguồn. Một giao thức có thể có Solidity hoàn hảo, được kiểm tra 5 lần bởi các công ty hàng đầu, thưởng bug 250.000 USD — nhưng vẫn bị mất 292 triệu USD vì cấu hình xác thực cầu nối. Công cụ này đã mở mã nguồn trên GitHub — ai cũng có thể xem xét phương pháp, chạy thử hoặc cải tiến. Thời gian 12 ngày. Các tín hiệu đã có từ lâu. Vấn đề là: làm thế nào để hệ sinh thái xây dựng được công cụ có thể phát hiện các tín hiệu này trước khi cầu nối khác sụp đổ. Bạn có thể làm gì Nếu bạn đang nắm giữ tài sản trong các giao thức DeFi có cầu nối xuyên chuỗi: Tự chạy một lần kiểm tra. Công cụ là mã nguồn mở. Không cần tin chúng tôi — tự xác minh. Kiểm tra cấu hình xác thực cầu nối. Nếu một giao thức không muốn tiết lộ ngưỡng DVN, coi đó là dấu hiệu đỏ. Báo cáo của chúng tôi làm như vậy, và chứng minh đúng. Đừng nghĩ rằng kiểm tra mã nguồn là đủ. Kelp đã có hơn 5 lần kiểm tra mã bởi các công ty uy tín (Code4rena, SigmaPrime, MixBytes). Kiểm tra mã truyền thống không nhằm mục đích phát hiện rủi ro cấu hình như ngưỡng DVN — đó là phân tích khác, không phải trách nhiệm của các công ty kiểm toán. Đánh giá bảo hiểm. Nếu một giao thức không có quỹ bảo hiểm, và bạn là LP trong nền tảng cho vay chấp nhận token của nó làm tài sản thế chấp, thì bạn đang gián tiếp bảo hiểm cho nó. Lần này, người gửi WETH trên Aave đã học bài đắt giá nhất. Bức tranh lớn hơn: AI Agent như một lớp an toàn Bài viết này nói về một công cụ và một vụ bị đánh cắp. Nhưng ý tưởng lớn hơn là: AI Agent có thể trở thành lớp an toàn độc lập cho nhà đầu tư DeFi. Mô hình an toàn truyền thống trong crypto: giao thức thuê các công ty kiểm toán, các công ty kiểm toán kiểm tra mã, rồi phát báo cáo. Mô hình này có điểm mù — vụ Kelp chính là ví dụ, nó tập trung vào mã đúng đắn, bỏ qua các rủi ro về cấu hình, quản trị, kiến trúc. Claude Code và các công cụ kỹ năng như vậy mang đến một hướng đi khác: bất kỳ ai cũng có thể dùng dữ liệu công khai, trong vài phút, chạy một đánh giá rủi ro AI hỗ trợ cho bất kỳ giao thức nào. Bạn không cần bỏ ra 200.000 USD thuê kiểm toán. Bạn không cần biết đọc Solidity. Bạn để agent so sánh kiến trúc giao thức với các mô hình tấn công đã biết, nó sẽ giúp bạn đặt ra các câu hỏi cần thiết trước khi gửi tiền. Điều này không thay thế kiểm toán chuyên nghiệp — nhưng giảm ngưỡng cho việc thực hiện thẩm định sơ bộ, để mọi người đều có thể dùng. Một LP đang cân nhắc đầu tư vào một giao thức staking lại mới, giờ có thể chạy một audit defi, nhận một báo cáo đánh giá cấu trúc về quản trị, oracle, cầu nối, cơ chế kinh tế. Đây là bước chuyển thực sự trong việc tự bảo vệ của các nhà đầu tư nhỏ lẻ và trung bình. Báo cáo của Kelp còn chưa hoàn hảo. Nó xếp rủi ro cầu nối là trung bình, đáng ra phải là nghiêm trọng. Nó chưa xuyên thấu cấu hình. Nhưng nó đã đặt ra đúng câu hỏi — nếu đội ngũ Kelp hoặc bất kỳ LP nào nghiêm túc xem xét các vấn đề này, thiệt hại 292 triệu USD hoàn toàn có thể tránh khỏi. Tham khảo CoinDesk: 2026 年最大加密攻击——Kelp DAO 被盗 2.92 亿美元 Crypto Briefing: Kelp DAO 遭 2.92 亿美元桥接攻击 DL News: 黑客攻击 DeFi 协议 Kelp DAO,损失约 3 亿美元 Bitcoin.com: ZachXBT 披露 KelpDAO 2.8 亿美元以上攻击事件 鉅亨網:2.93 亿美元的漏洞不在程式码里 Aave 在 X 上的官方声明 Kelp DAO 完整安全报告(2026 年 4 月 6 日) crypto-project-security-skill 源代码
0
0
0
0
動區BlockTempo

動區BlockTempo

04-16 23:53
Cloudflare 在 Agents Week 2026 正式發布 Cloudflare Mesh,以雙向多對多網路拓撲取代傳統 VPN 與 SSH 隧道,讓 AI 代理能在 Zero Trust 政策框架內直接存取私有基礎設施,並免費提供 50 節點起步方案。 (前情提要:Cloudflare接入Kimi K2.5後每天跑70億 token,安全審計成本省下77% ) (背景補充:Cloudflare 選 Coinbase 還是 Stripe?這一票決定 AI 代理支付標準 ) 本文目錄 Toggle * VPN 的死穴:它假設你隨時在場 * Mesh 的技術底層:雙向、全域、自動穿透 NAT * Zero Trust 政策自動套用到代理流量 * 路線圖與尚未兌現的承諾 * 開發者現在能做什麼 凌晨三點,你的 AI Agent 正試圖發出第一萬次 API 請求,而你的 VPN 卻還在跳轉視窗,苦苦等待它手動登入。 這是 2026 年工程團隊的真實現況,當 AI 代理開始自主查詢資料庫、串接私有服務時,我們才發現:現有的網路工具(VPN、SSH、Bastion Host)全都是為「人類」設計的。它們需要點擊、需要互動、需要人類介入。 面對全程無需人手的 AI 時代,這些工具反而成了系統中最脆弱的單點故障。 為此,Cloudflare 昨(14)日在其年度「Agents Week 2026」正式發布 **Cloudflare Mesh**,直接宣告自己要填補這個架構缺口,用一套原生為 AI 代理設計的私有網路基礎設施,取代那些為人類手動操作而生的舊工具。 ### VPN 的死穴:它假設你隨時在場 傳統 VPN 的信任模型建立在一個隱含前提上:有一個「人」在驗證身份、發起連線、對存取行為負責。這個前提在 AI 代理時代遇到困難。 代理不會等待互動式 MFA 提示。它無法手動設定 SSH 隧道。更關鍵的是,一旦 VPN 連線建立,你幾乎沒有任何機制知道代理在另一端究竟做了什麼:它可以在幾毫秒內掃遍你從未預期它碰觸的資料。 另一個極端選項是把服務暴露在公網,但這等於把鑰匙插在門上。Cloudflare 在公告中直接點名這三條路的共同死穴:「這些方案都無法讓你看見代理連線後實際在做什麼。」 Cloudflare Mesh 的設計起點,就是先解決可見性再談連通性。 ### Mesh 的技術底層:雙向、全域、自動穿透 NAT 與 Cloudflare 既有產品 Cloudflare Tunnel 相比,Mesh 最關鍵的架構差異在於方向性。 Tunnel 是單向的:流量從外部進入你的基礎設施。Mesh 則是雙向多對多(bidirectional, many-to-many):任何節點都可以主動發起連線到任何其他節點,流量路由透過 Cloudflare 遍佈全球 330 個城市的網路骨幹完成。 這個設計直接處理了企業環境中最讓工程師頭痛的問題:NAT 穿透。家用網路、辦公室防火牆、雲端 VPC:各種複雜的 NAT 配置通常需要手動設定轉發規則,Mesh 宣稱全部自動處理。 對開發者而言,與 Cloudflare Developer Platform 的整合才是最直接的誘因。只要在 wrangler.jsonc 中繫結 Mesh,Workers 和 Durable Objects 就能透過 env.MESH.fetch() 直接呼叫私有服務,就像呼叫任何外部 API 一樣——但流量全程不離開 Cloudflare 的 Zero Trust 政策框架。 名稱層面也有一次品牌整合:原本的 WARP Connector 改名為「Cloudflare Mesh node」,WARP Client 改名為「Cloudflare One Client」,統一收攏到 Mesh 產品線。 ![](https://img-cdn.gateio.im/social/moments-01411aa9cc-57f185ab08-8b7abd-badf29) ### Zero Trust 政策自動套用到代理流量 Cloudflare 強調,Mesh 不是一個獨立的新產品,而是 Cloudflare One SASE 套件的原生延伸。 這意味著企業現有的 Gateway 政策、裝置健康狀態檢查、資料外洩防護(DLP)等,無需重新設定就能自動套用到代理發起的流量。 這一點對企業資安團隊意義重大。AI 代理的問題不只是「能不能連進去」,更是「連進去之後有沒有人管」。Mesh 把代理流量納入既有的治理框架,而非為代理另開一個難以稽核的側門。 定價方面,Cloudflare 給出了相對寬鬆的免費門檻:任何 Cloudflare 帳戶都可免費使用 50 個節點加 50 個使用者,對小型團隊或個人開發者的「代理存取家庭實驗室」場景幾乎零門檻。 ### 路線圖與尚未兌現的承諾 值得注意的是,Cloudflare 公告中大篇幅描述的多個核心功能,目前仍列在路線圖而非已上線狀態。 * **Hostname Routing**(讓代理能用 wiki.local、api.staging.internal 這類內網域名直接解析存取)預計 2026 年夏季推出 * **Mesh DNS**(自動為每個節點分配 postgres-staging.mesh 格式的主機名稱)更晚 * **Identity-Aware Routing **— 能區分流量是由主體代理(Principal)、贊助者(Sponsor)、還是子代理(Agent)發起,這功能目前列為「計劃中」,沒有明確時間表。 Containers 支援(Docker、Kubernetes、CI/CD 環境中部署 Mesh node)也要等到 2026 年底。 換句話說,今天能用的 Mesh,主要是 Workers/Durable Objects 的 VPC 繫結,加上節點到節點的基礎連通能力。更精細的代理身份治理,還需要等待。 ### 開發者現在能做什麼 對於已在 Cloudflare One 生態系的團隊,Mesh 無需額外申請,直接在現有帳戶中啟用。Workers VPC 整合需要在 wrangler.jsonc 中新增 Mesh 繫結,之後透過 env.MESH.fetch() 呼叫私有端點。 對於還在評估的團隊,現階段最適合的驗證場景是:讓 coding agent 存取 staging 資料庫、或讓部署在雲端的代理呼叫辦公室內網 API,這兩個場景的基礎連通能力今天就能測試。 Hostname Routing 上線前,ip:port 的直連方式仍是主要選項,不算理想但可用。真正讓代理「感覺像在內網」的域名解析體驗,要等夏季之後。 ![](https://img-cdn.gateio.im/social/moments-df0e03344e-1750384ce9-8b7abd-badf29) #####
1
0
0
0
TechubNews

TechubNews

04-16 10:23
Viết bài: Công nghệ Mạng lưới An toàn Mờ chậm Ngày 7 tháng 4 năm 2026, Cục Điều tra Liên bang Mỹ (FBI) đã phát hành "Báo cáo Tội phạm Mạng Internet năm 2025". Báo cáo này trùng với kỷ niệm 25 năm thành lập Trung tâm Báo cáo Tội phạm Mạng (IC3) của FBI, dựa trên hơn 1 triệu đơn khiếu nại thu thập được trong năm 2025, phân tích sâu về quy mô thiệt hại lịch sử vượt 20,8 tỷ USD, hình mẫu nạn nhân, lừa đảo đầu tư và các loại tội phạm cốt lõi khác, đồng thời tập trung vào xu hướng phát triển của trí tuệ nhân tạo (AI) trong lừa đảo mạng và những bước đột phá của cơ quan thực thi pháp luật trong việc truy thu tài sản. Bài viết này sẽ phân tích nội dung chính của báo cáo, giúp độc giả nhanh chóng nắm bắt các biến động trong mối đe dọa an ninh mạng toàn cầu năm 2025, nâng cao nhận thức và khả năng phòng ngừa các hình thức lừa đảo mạng phức tạp và các mối đe dọa dựa trên AI. Điểm chính thứ nhất: Dữ liệu khiếu nại của IC3 năm 2025 1. Tình hình chung Năm 2025, IC3 nhận được tổng cộng 1.008.597 đơn khiếu nại, tổng thiệt hại lên tới 20,877 tỷ USD, tăng 26% so với năm 2024, trung bình mỗi vụ gây thiệt hại khoảng 20.699 USD. Trong đó, 85% thiệt hại do lừa đảo mạng gây ra. 2. Các vấn đề liên quan đến tiền mã hóa Số đơn khiếu nại liên quan đến tiền mã hóa là 181.565, gây thiệt hại tích lũy 11,366 tỷ USD, tăng 22% so với năm 2024. Trong đó, có 18.589 nhà đầu tư bị thiệt hại trên 100.000 USD. Trong tất cả các đơn khiếu nại, nhóm trên 60 tuổi chiếm tỷ lệ cao nhất. Điểm chính thứ hai: Phân tích nhóm nạn nhân 1. Phân bố theo độ tuổi tổng thể - Trên 60 tuổi: 201.266 đơn khiếu nại, thiệt hại khoảng 7,75 tỷ USD. - Từ 50-59 tuổi: 124.820 đơn, thiệt hại khoảng 3,68 tỷ USD. - Từ 40-49 tuổi: 167.066 đơn, thiệt hại khoảng 2,96 tỷ USD. - Từ 30-39 tuổi: 153.293 đơn, thiệt hại khoảng 1,74 tỷ USD. - Từ 20-29 tuổi: 112.069 đơn, thiệt hại khoảng 560 triệu USD. - Dưới 20 tuổi: 31.254 đơn, thiệt hại khoảng 67,1 triệu USD. 2. Nhóm nạn nhân liên quan đến tiền mã hóa Trong các vụ lừa đảo đầu tư tiền mã hóa, nhóm trên 60 tuổi có số lượng khiếu nại nhiều nhất (13.685 vụ), thiệt hại lên tới 2,76 tỷ USD, vượt xa các nhóm tuổi khác. Nhóm này cũng bị thiệt hại nặng nhất trong các vụ lừa đảo ATM/Kiosk tiền mã hóa, với 6.188 vụ, thiệt hại khoảng 257 triệu USD. Do thiếu hiểu biết về các công nghệ tài chính mới nổi và phương thức thanh toán như ATM tiền mã hóa, chuyển khoản QR code, cộng với ý thức phòng tránh lừa đảo còn yếu, nhóm trên 60 tuổi trở thành mục tiêu chính của các kẻ lừa đảo. Đáng chú ý, nhiều nạn nhân sau lần bị lừa đầu tiên lại tiếp tục bị lừa lần hai do tin tưởng vào các dịch vụ "truy tìm lại tiền" giả mạo — trong "Lừa đảo truy tìm lại tiền" (Recovery Scams), nhóm tuổi này đứng đầu với 2.529 vụ khiếu nại, thiệt hại vượt 540 triệu USD. 3. Các loại lừa đảo chính mà nhóm trên 60 tuổi gặp phải - Các loại lừa đảo nhiều nhất: Lừa đảo qua mạng / mạo danh danh tính, lừa đảo hỗ trợ kỹ thuật / dịch vụ khách hàng, lừa đảo đầu tư, rò rỉ dữ liệu cá nhân, lừa đảo tình cảm / tin tưởng. - Các loại lừa đảo gây thiệt hại lớn nhất: Lừa đảo đầu tư, lừa đảo hỗ trợ kỹ thuật / dịch vụ khách hàng, lừa đảo tình cảm / tin tưởng, lừa đảo qua email thương mại (BEC), mạo danh quan chức chính phủ. Điểm chính thứ ba: Phân tích các loại tội phạm 1. Theo số lượng đơn khiếu nại - Lừa đảo qua mạng / lừa đảo điện tử: 191.561 vụ. - Đe dọa tống tiền: 89.129 vụ. - Lừa đảo đầu tư: 72.984 vụ. - Rò rỉ dữ liệu cá nhân: 67.456 vụ. - Chưa thanh toán / chưa giao hàng: 56.478 vụ. 2. Theo số tiền thiệt hại - Lừa đảo đầu tư: khoảng 8,649 tỷ USD. - Lừa đảo qua email thương mại (BEC): khoảng 3,047 tỷ USD. - Lừa đảo hỗ trợ kỹ thuật / dịch vụ khách hàng: khoảng 2,135 tỷ USD. - Rò rỉ dữ liệu cá nhân: khoảng 1,315 tỷ USD. - Lừa đảo tình cảm / tin tưởng: khoảng 929 triệu USD. 3. Các tội phạm liên quan đến tiền mã hóa Số đơn khiếu nại nhiều nhất: Lừa đảo đầu tư (61.559 vụ), đe dọa tống tiền (23.797 vụ). Tổng thiệt hại lớn nhất: Lừa đảo đầu tư (khoảng 7,28 tỷ USD), lừa đảo hỗ trợ kỹ thuật / dịch vụ khách hàng (khoảng 1,23 tỷ USD). Điểm chính thứ tư: Thành tựu trong truy thu tài sản và chống tội phạm mạng 1. Tình hình chung về tội phạm mạng Năm 2025, IC3 nhận được 452.868 đơn khiếu nại về tội phạm mạng, thiệt hại 176,97 tỷ USD, chiếm 85% tổng thiệt hại trong năm. Các loại hình giao dịch bị khiếu nại nhiều nhất gồm tiền mã hóa, chuyển khoản qua điện chuyển / ACH, thẻ ghi nợ / thẻ tín dụng, chuyển khoản P2P, thẻ quà tặng / thẻ trả trước, séc / ngân phiếu, và tiền mặt. 2. Các phương thức lừa đảo điển hình Tiếp nhận tài khoản: khoảng 4.700 vụ, thiệt hại 359 triệu USD Lừa đảo chuyển phát nhanh vàng: khoảng 725 vụ, thiệt hại 311 triệu USD. Lừa đảo câu lạc bộ đầu tư: khoảng 1.600 vụ, thiệt hại 160 triệu USD. Lừa đảo mạo danh quan chức chính phủ: khoảng 32.000 vụ, thiệt hại 798 triệu USD. 3. Các mối đe dọa mạng Năm 2025, các loại mối đe dọa mạng được báo cáo cho IC3 gồm: Rò rỉ dữ liệu: chiếm 39%, là loại phổ biến nhất. Phần mềm tống tiền: chiếm 36%, xếp thứ hai. Thay thế SIM: chiếm 10%. Phần mềm độc hại: chiếm 9%. Mạng botnet: chiếm 7%. Trong đó, 3.600 vụ lừa đảo bằng phần mềm tống tiền gây thiệt hại trên 32 triệu USD. Các biến thể phần mềm tống tiền chính gồm Akira, Qilin, INC./Lynx/Sinobi, BianLian, Play, Ransomhub, Lockbit, Dragonforce, SAFEPA, Medusa. Đối mặt với tình hình tấn công bằng phần mềm tống tiền ngày càng phổ biến, FBI đề xuất các biện pháp phòng ngừa then chốt sau: Tạo bản sao lưu ngoại vi hoặc offline, duy trì định kỳ các cơ chế sao lưu và khôi phục; Trong quá trình cài đặt phần mềm, xóa bỏ mật khẩu và thông tin xác thực mặc định; Vô hiệu hóa và loại bỏ các giao thức không cần thiết theo mặc định; Kích hoạt xác thực đa yếu tố (MFA) cho tất cả các dịch vụ càng nhiều càng tốt; Bảo vệ các điểm xâm nhập ban đầu; Thực hiện phân đoạn mạng để ngăn chặn sự lây lan của phần mềm tống tiền; Cập nhật kịp thời tất cả hệ điều hành, phần mềm và firmware. 4. Thành tựu trong truy thu tài sản Năm 2025, FBI RAT phối hợp với FFKC đã chặn 3.900 vụ, phong tỏa 679 triệu USD, tỷ lệ thành công trong phong tỏa là 58%. "Chiến dịch Nâng cao" (Operation Level Up) đã cảnh báo hơn 8.000 nạn nhân và giúp họ tránh thiệt hại tiềm năng hơn 500 triệu USD. Hợp tác với các cơ quan thực thi pháp luật Ấn Độ để chống lại lừa đảo qua trung tâm cuộc gọi, qua 27 chiến dịch phối hợp đã bắt giữ hơn 475 đối tượng. Trong các dự án chống gian lận tài chính, đã phong tỏa và truy thu nhiều khoản tiền lớn. Điểm chính thứ năm: Ứng dụng trí tuệ nhân tạo (AI) trong tội phạm mạng 1. Tình hình chung Năm 2025, IC3 nhận hơn 22.000 đơn khiếu nại liên quan đến AI, thiệt hại tổng cộng vượt 893 triệu USD. 2. Theo số lượng đơn khiếu nại Lừa đảo đầu tư: 4.356 vụ. Đe dọa tống tiền: 1.764 vụ. Rò rỉ dữ liệu cá nhân: 1.204 vụ. Lừa đảo qua mạng / mạo danh: 803 vụ. Quấy rối / theo dõi: 763 vụ. 3. Theo số tiền thiệt hại Lừa đảo đầu tư: khoảng 632 triệu USD. Lừa đảo qua email thương mại (BEC): khoảng 30 triệu USD. Lừa đảo hỗ trợ kỹ thuật / dịch vụ khách hàng: khoảng 19,46 triệu USD. Lừa đảo tình cảm / tin tưởng: khoảng 19,04 triệu USD. Rò rỉ dữ liệu cá nhân: khoảng 18,77 triệu USD. 4. Các ứng dụng cụ thể của AI trong các tình huống lừa đảo điển hình Theo báo cáo, AI đã được ứng dụng rộng rãi trong các tình huống lừa đảo điển hình sau: - Lừa đảo qua email thương mại (BEC): sử dụng AI tạo ra email giả mạo giọng nói của các lãnh đạo cấp cao hoặc phát ra lệnh chuyển khoản qua giọng nói, thiệt hại trong năm 2025 vượt quá 30 triệu USD; - Lừa đảo tình cảm / tin tưởng: tạo ra danh tính giả và kịch bản hội thoại bằng AI, thậm chí dùng công nghệ clone giọng nói để mô phỏng cảnh cầu cứu của người thân, thiệt hại vượt quá 19 triệu USD; - Lừa đảo tuyển dụng: sử dụng giọng nói giả mạo hoặc công nghệ deepfake trong phỏng vấn từ xa để lấy quyền truy cập nội bộ doanh nghiệp, thiệt hại gần 13 triệu USD; - Lừa đảo đầu tư: dùng AI để tạo nội dung liên lạc cá nhân hàng loạt, giả mạo video và giọng nói của người nổi tiếng hoặc chuyên gia, thiệt hại vượt quá 632 triệu USD. Nhìn chung, AI đang làm giảm ngưỡng dễ bị lừa đảo và tăng cường khả năng quy mô và ngụy trang của các cuộc tấn công. Tổng kết Báo cáo "Tội phạm mạng Internet năm 2025" của FBI đã tiết lộ rõ hơn về sự tiến hóa sâu sắc của hệ sinh thái tội phạm mạng hiện nay: một mặt, quy mô lừa đảo tiếp tục tăng, tiền mã hóa vẫn là phương tiện chuyển tiền và rửa tiền quan trọng; mặt khác, các phương thức tội phạm đang chuyển từ "lừa đảo cơ hội" truyền thống sang "hoạt động chính xác, công nghiệp hóa", đặc biệt là trong nhóm người cao tuổi và sự lan rộng của "lừa đảo truy tìm lại tiền" cùng các hình thức lừa đảo thứ cấp khác, phản ánh việc tội phạm tận dụng sâu sắc tâm lý và hành vi của nạn nhân. Đồng thời, việc ứng dụng công nghệ trí tuệ nhân tạo đang làm giảm ngưỡng dễ bị lừa đảo và mở rộng quy mô tấn công, khiến tội phạm mạng dần trở thành hệ thống đe dọa phức tạp có tự động hóa và quy mô lớn. Dù các cơ quan thực thi pháp luật đã đạt được thành tựu bước đầu trong việc chặn dòng tiền và hợp tác xuyên quốc gia, nhưng quy mô thiệt hại và xu hướng tăng trưởng vẫn rất đáng lo ngại. Đối với người dùng phổ thông, việc xây dựng khả năng nhận diện rủi ro cơ bản và ý thức phòng chống lừa đảo đã trở thành "bài học bắt buộc" trong kỷ nguyên số; còn đối với các doanh nghiệp và cơ quan quản lý, việc nâng cao khả năng nhận diện tổng hợp dòng tiền, hành vi bất thường và tín hiệu bất thường qua công nghệ, cùng tăng cường hợp tác liên vùng, sẽ là chìa khóa để đối phó với các loại tội phạm mạng mới trong tương lai.
0
0
0
0