Anthropic đã công bố một báo cáo về cách các mô hình của họ đã bị lợi dụng cho các cuộc tấn công mạng, giám sát và tuyên truyền: chín tháng quan sát từ tháng 12 năm 2025 đến tháng 8 năm 2026, với ba mươi bảy chiến dịch được đánh dấu. Đằng sau những tiêu đề về tin tặc AI, một chi tiết quan trọng đối với độc giả Telegram đã bị bỏ qua: từ Telegram xuất hiện năm mươi ba lần trong báo cáo, trong khi từ "cryptocurrency" không xuất hiện một lần nào.
Không có "bitcoin", "ví" hay "blockchain". Từ "crypto" duy nhất trong hai trăm sáu mươi nghìn ký tự là cryptographic software trong bảng mua sắm quốc phòng của Nga, tức là mật mã học chứ không phải tiền tệ. Trong khi đó, Telegram được nhắc đến thường xuyên hơn cả WhatsApp, X/Twitter và Instagram cộng lại.
Vai trò của Telegram trong các hoạt động này
Không phải là một ứng dụng nhắn tin nơi những kẻ tấn công trao đổi. Trong báo cáo, nó thực hiện sáu vai trò khác nhau, và hầu hết chúng không phải là những vai trò mà nó thường được mô tả.
| Vai trò | Chi tiết |
|---|---|
| Dây chuyền | Các khóa bị đánh cắp đã được xác minh được đưa vào một nhóm, được sắp xếp theo chủ đề |
| Kênh thoát dữ liệu | «Telegram bot streams» — một trong sáu cách dữ liệu thoát khỏi nạn nhân |
| Kho chứa | Một nhóm chat nơi chứa các tài sản đánh cắp và được giao dịch từ đó |
| Cửa hàng trưng bày | Một cửa hàng thẻ bị đánh cắp, được xây dựng dưới dạng Mini App |
| Điều khiển | Kênh C2 của phần mềm độc hại, với ID chat được liệt kê trong các chỉ số |
| Ngụy trang | Một tệp thực thi có tên Telegram và biểu tượng của nó |
Và vai trò thứ bảy — mục tiêu: việc trích xuất các nhóm kín, việc làm lộ danh tính thành viên và bot báo cáo hàng loạt được mô tả trong phần về giám sát.
Dây chuyền, được sắp xếp theo chủ đề chat
Một nhà điều hành với các biệt danh MeowSHA, frkoo và blazespider — một trong những chi nhánh của nhóm ShinyHunters — đã duy trì mười máy làm việc trên AWS EC2. Họ đã tải xuống 1,8 triệu APK Android khác nhau từ nhiều cửa hàng ứng dụng, dịch ngược chúng và tìm kiếm các bí mật được nhúng bên trong bằng máy quét TruffleHog. Những gì tìm thấy được kiểm tra tính hợp lệ và được gửi theo thời gian thực đến một nhóm Telegram, được sắp xếp thành hơn một trăm loại nguồn.
Tiếp theo là cơ chế mà bạn nên đọc các bảng chỉ số. Có hai nhóm. Nhóm "ClintonHog" nhận được làn sóng khóa đã được xác minh đầu tiên. Trong nhóm thứ hai, "ChatMignon", có 471 chủ đề forum, mỗi chủ đề cho một loại trình phát hiện bí mật. Các chủ đề forum trong siêu nhóm được thiết kế như các chuyên mục để trò chuyện; ở đây chúng trở thành một bảng định tuyến: khóa AWS rơi vào nhánh của nó, token GitHub vào nhánh của nó, khóa cổng thanh toán vào nhánh của nó. TruffleHog có hơn tám trăm trình phát hiện, vì vậy khoảng một nửa danh mục đã có ít nhất một lần phát hiện được xác nhận và xứng đáng có một chủ đề riêng.
Việc phân loại hàng hóa bị đánh cắp là phần nhàm chán và tốn công nhất trong công việc của người mua. Ở đây, nó không được viết mới: nó được lấy sẵn từ ứng dụng nhắn tin.
Cửa hàng thẻ bị đánh cắp dưới dạng Mini App
Cửa hàng trưng bày của nhà điều hành được đặt trên một tên miền mô phỏng cảnh sát quốc gia Pháp — policenationale[.]cc; Anthropic đặc biệt lưu ý rằng đây không phải là một mồi nhử lừa đảo, mà là thương hiệu của một cửa hàng tội phạm. Hàng hóa — "fiches", các bản ghi thẻ thanh toán, được làm giàu bằng thông tin BIN, dữ liệu đầy đủ của chủ thẻ và bản đồ tương tác các địa chỉ của nạn nhân.
Tất cả những thứ này được gửi đến người mua thông qua một Mini App Telegram, được hỗ trợ bởi nền tảng Soraki trên PostgreSQL và GraphQL. Nền tảng tương tự cũng chứa các dữ liệu rò rỉ của Pháp được tổng hợp lại, bao gồm một tập hợp bốn trăm nghìn bản ghi của nhà mạng viễn thông với IBAN và BIC, và cung cấp chúng thông qua tìm kiếm.
Ngăn xếp công nghệ được mô tả chính xác bằng những từ mà các studio Mini App bình thường tự mô tả: bot, Mini App, GraphQL, Postgres. Chỉ có hàng hóa là khác.
Tiền điện tử ở đâu trong báo cáo
Nó không phải là một chủ đề — nhưng nó là một mục tiêu, và đây là ba câu chuyện khác nhau.
Tên miền giả mạo. Trong các chỉ số thỏa hiệp, bên cạnh các mồi nhử email là ari-chain[.]com, arichain[.]network, bitmart-mystery[.]com và defi-claim[.]xyz. Hai cái đầu tiên bắt chước Arichain — một L1 thực sự với lượng khán giả đang chờ airdrop. Cái thứ ba — bắt chước một cơ chế mà sàn giao dịch BitMart thực sự thực hiện: "hộp bí ẩn" với phần thưởng. Cái thứ tư không giả vờ là bất cứ thứ gì cụ thể: một trang yêu cầu bồi thường như một thể loại.
Nhà máy tài khoản. Một tác nhân khác, được theo dõi trong báo cáo với mã GTG-50020, đã tự động hóa việc đăng ký: proxy dân cư, trình duyệt chống phát hiện, bot điền vào biểu mẫu đăng ký trên các sàn giao dịch và thị trường, bộ giải captcha thương mại, tự động kiểm tra hộp thư điện tử và tự động hoàn thành các bước xác minh danh tính. Các tài khoản đã được xác minh sẵn sàng được lưu trữ.
Đánh chặn xác minh. Với cùng một tác nhân, nạn nhân bị dẫn đến một tên miền giả mạo trang xác minh, nơi proxy ngược của nó truyền tải luồng KYC thực sự. Người dùng thực hiện xác minh chính hãng — với tài liệu thật, — và nhà điều hành lấy phiên và tài liệu đã sẵn sàng từ giữa quá trình và đăng nhập bằng chúng từ máy của mình.
Tiền bạc trong báo cáo có rất nhiều, chỉ là không phải dưới dạng tiền xu: thẻ, tống tiền từ một triệu rưỡi đến hai triệu rưỡi đô la cho 26 gigabyte dữ liệu bị rò rỉ, bán lại quyền truy cập và khóa bị đánh cắp từ các nhà cung cấp AI. Một trong những nhà điều hành, theo lời tự nhận, còn nhận được các khoản thanh toán bug-bounty hợp pháp, hai nghìn và năm nghìn đô la, từ các công ty mà chính anh ta đã tấn công và tống tiền.
Từ laundering xuất hiện mười lăm lần trong báo cáo và không một lần nào liên quan đến tiền: họ rửa nguồn gốc, thuộc tính và sự tin cậy — để câu chuyện của nhà nước trông giống như một tiếng nói độc lập. TON không được nhắc đến chút nào.
Điều này có ý nghĩa gì đối với bạn
Việc đánh chặn xác minh phá vỡ kiểm tra thông thường "liệu đây có phải là trang web thật không". Trang web là thật, luồng dữ liệu là thật, tài liệu được gửi đến dịch vụ thật — chỉ có con đường bạn đến đó là bị giả mạo. Chỉ có một điều hiệu quả ở đây: không bắt đầu xác minh qua liên kết từ email, chat hoặc tìm kiếm, mà chỉ từ lối vào dịch vụ của chính bạn.
Mini App trong Telegram là một trang web được đóng gói, chứ không phải một ứng dụng đã được kiểm duyệt. Cửa hàng thẻ bị đánh cắp được phân phối chính xác theo cách này: nền tảng không phân biệt cửa hàng của kẻ mua hàng với một trò chơi.
Nếu bạn xuất bản một ứng dụng di động, hãy coi rằng APK của nó đã được tải xuống và dịch ngược. Một triệu tám trăm nghìn tệp trên mười máy được phân tích trong vài tuần, và một token bot hoặc khóa cổng thanh toán được nhúng được tìm thấy bởi máy quét trong vài giây.
Một tài khoản đã được xác minh trên sàn giao dịch không còn là bằng chứng rằng đó là một người thật: nhà máy tạo ra những tài khoản như vậy theo dây chuyền, cùng với việc vượt qua KYC.
Điều gì có thể thấy từ các số tài khoản
Ở cuối chương về nhà điều hành là một bảng với các địa chỉ Telegram của cơ sở hạ tầng của anh ta: chính người đó, bốn bot của anh ta và hai nhóm. Địa chỉ ở đây không phải là tên như @durov, mà là một số nội bộ mà Telegram cấp khi đăng ký.
Các số tăng dần, vì vậy bảng tự xác định thời gian mà không cần bất kỳ yêu cầu nào đến Telegram. Tài khoản cá nhân của nhà điều hành rõ ràng cũ hơn các bot của anh ta: anh ta đã sử dụng ứng dụng nhắn tin rất lâu trước khi xây dựng dây chuyền cho nó. Ngược lại, các bot gần như liền kề nhau — chúng được tạo trong một phiên cài đặt, cho một nhiệm vụ cụ thể. Cả hai nhóm đều nằm trong phạm vi mà Telegram đặt các phòng mới tạo.
Tức là, quá trình sản xuất, trông có vẻ được sắp xếp hợp lý trong báo cáo, đã được lắp ráp không lâu trước khi nó bị tắt.
Vai trò của Telegram trong các chương khác
Trong phần về giám sát, mô hình đã chuyển đổi các cuộc trò chuyện được lấy hàng loạt từ hơn một trăm nhóm WhatsApp và hàng chục kênh Telegram thành dữ liệu có cấu trúc tiếng Trung. Cũng trong phần đó — một công cụ làm lộ danh tính người dùng ứng dụng nhắn tin được đặt hàng, một bộ giải "số điện thoại → danh tính" và một bot báo cáo hàng loạt. Một phân tích riêng biệt được đề cập về một bản trích xuất mới của một nhóm kín gồm 244 thành viên, với việc phân tích các mối quan hệ bên trong nó.
Trong phần mềm độc hại, Telegram hoạt động như cả vỏ bọc và đường ống: keylogger ghi lại các lần nhấn phím khi Telegram Desktop đang được tập trung; thành phần chụp màn hình hoạt động như một tệp thực thi có tên Telegram và biểu tượng của nó, và gửi ảnh chụp qua bot; một trang đăng nhập giả mạo của phần mềm diệt virus ESET NOD32 gửi các mật khẩu bị bắt được đến cùng một nơi.
Trong các hoạt động tuyên truyền, các kênh đã trở thành cả nguyên liệu thô và diễn đàn: các nguồn cho các bài viết của Sputnik được lấy từ các kênh Telegram, và kết quả cũng được xuất bản ở đó. Tập phim khó chịu nhất của phần này là một hoạt động mà một đặc vụ được giao nhiệm vụ nhân bản tài khoản cá nhân của một nhà hoạt động thực sự: mô hình đã đọc khoảng 8.400 bài đăng của anh ta, sao chép phong cách và tiến hành các cuộc trò chuyện chính trị trực tiếp với các liên hệ của anh ta.
