Lỗ hổng macOS CVE-2026-65400: Khi 'không cần mật khẩu' trở thành cánh cửa cho kẻ trộm crypto

Một lỗ hổng nghiêm trọng vừa được công bố trên macOS, được đánh dấu CVE-2026-65400. Nó cho phép bất kỳ kẻ tấn công nào đăng nhập vào máy Mac thông qua tính năng Screen Sharing mà không cần mật khẩu, thậm chí có thể dùng một tài khoản bất kỳ. Tôi đọc dòng thông báo này và dừng lại. Với một người làm bảo mật DeFi, đây không chỉ là lỗi của Apple. Đây là lời nhắc nhở rằng lớp bảo mật thấp nhất của hệ thống — hệ điều hành — có thể sụp đổ bất cứ lúc nào, và toàn bộ tài sản tiền mã hoá ngồi trên đó sẽ bốc hơi. Điều kiện khai thác rất đơn giản: người dùng phải bật Screen Sharing. Tính năng này mặc định tắt, nhưng thực tế nó được bật trên một lượng lớn máy Mac của các nhà phát triển, trader và nhân viên IT. Họ bật lên để tiện remote vào máy từ xa, hoặc do bộ phận kỹ thuật doanh nghiệp cấu hình sẵn. Với người dùng crypto, việc bật remote desktop để theo dõi ví, giao dịch, hoặc chạy bot là chuyện thường ngày. Cửa sổ tấn công không cần nhiều thứ: chỉ cần một máy Mac đang bật tính năng này và kết nối với mạng có thể truy cập từ bên ngoài. Không cần mật khẩu. Không cần lừa đảo. Chỉ cần biết địa chỉ IP. Về mặt kỹ thuật, đây là một lỗ hổng authentication bypass trong dịch vụ screensharingd. Giao thức này có nguồn gốc từ VNC, một chuẩn remote desktop ra đời từ những năm 1990, với nhiều luồng xác thực chồng chéo. Kẻ tấn công gửi yêu cầu kết nối đến cổng 5900, và thay vì bị hỏi mật khẩu, nó được cấp quyền truy cập ngay lập tức. Nghiên cứu bảo mật đã reverse engineer bản vá của Apple và xác nhận rằng gốc rễ nằm ở logic xử lý phiên đăng nhập, không phải lỗi cấu hình. Apple đã phát hành bản vá trong macOS 26.6.1, nhưng bản vá chỉ chặn một đường khai thác cụ thể, không phải thiết kế lại toàn bộ cơ chế xác thực. Nói cách khác, đây là một miếng băng dán lên vết thương hở. Với cộng đồng blockchain, hậu quả của lỗ hổng này nặng hơn nhiều so với một vụ rò rỉ dữ liệu thông thường. Một khi kẻ tấn công có toàn quyền điều khiển desktop, chúng có thể đọc file seed phrase, chiếm quyền trình duyệt để ký giao dịch, cài keylogger, hoặc thậm chí giả làm người dùng để xác nhận một giao dịch chuyển token sang ví của chúng. Tôi từng audit các hợp đồng thông minh với hàng trăm nghìn USD bị khoá vì một dòng code sai. Nhưng sự thật phũ phàng là: dù smart contract có hoàn hảo đến đâu, nếu chiếc máy tính kết nối với ví bị chiếm quyền, thì mọi tầng bảo vệ trên blockchain đều vô nghĩa. Đây là lý do tôi luôn nói với các team dự án rằng bảo mật không dừng ở layer code mà phải đến tận thiết bị của người dùng. Điểm mù của đợt khai thác này nằm ở chỗ mọi người bàn về lỗi của Apple, nhưng ít ai đặt câu hỏi ngược lại: tại sao người dùng crypto lại bật Screen Sharing trên máy chính? Tôi nhớ hồi đợt DeFi summer 2020, tôi xây dựng một framework đánh giá rủi ro gồm bảy tiêu chí, trong đó có reentrancy guard, oracle, access control. Nhưng chưa bao giờ tôi đưa hạng mục 'endpoint security' vào. Chúng ta quá tập trung vào mã nguồn trên chuỗi mà quên rằng máy tính cá nhân là điểm yếu lớn nhất. CVE-2026-65400 phơi bày một sự thật khó nghe: ngành blockchain chi hàng trăm triệu USD để audit smart contract, nhưng bỏ quên việc bảo vệ chiếc máy tính đang chạy MetaMask và Telegram bot. Có một điều khiến tôi lo ngại hơn cả việc vá lỗi. Đó là tâm lý 'không phải chuyện của tôi' của các dự án. Khi một lỗ hổng như thế này xuất hiện, các team thường nói rằng đó là lỗi hệ điều hành, nằm ngoài phạm vi trách nhiệm của họ. Nhưng với người dùng cuối, ranh giới đó không tồn tại. Nếu họ mất tiền vì máy Mac bị hack, họ sẽ đổ lỗi cho sàn giao dịch, cho ví, cho dApp. Lỗ hổng không hề nằm ở logic của smart contract, mà nằm ở lòng tin đặt vào một hệ sinh thái không kiểm soát được bề mặt tấn công. Khi một dự án DeFi tuyên bố 'an toàn vì đã qua audit', câu đó chỉ đúng trong không gian của riêng nó, còn thực tế kẻ tấn công có thể đi qua con đường khác. Cần nói thêm về khía cạnh doanh nghiệp. Nhiều công ty crypto dùng Mac cho toàn bộ nhân viên kỹ thuật, và bộ phận IT thường bật Screen Sharing để hỗ trợ từ xa. Trong thời gian PoC công khai, cửa sổ lỗ hổng sẽ thu hẹp nhanh nhưng vẫn đủ rộng để gây thiệt hại. Bản vá có thể đến nhanh với cá nhân, nhưng doanh nghiệp cần thời gian kiểm thử tương thích trước khi triển khai đại trà, có thể mất vài tuần. Trong khoảng thời gian đó, các nhóm bảo mật phải lựa chọn giữa việc vô hiệu hoá Screen Sharing — gây gián đoạn vận hành — hoặc chấp nhận rủi ro. Từ góc nhìn của một auditor, tôi nhìn thấy một mô hình quen thuộc: nhiều dự án dành 90% ngân sách bảo mật cho việc audit code, và 10% cho việc quản lý thiết bị, trong khi thực tế khai thác thường bắt đầu từ thiết bị. Về mặt niềm tin, đây là lần đầu tiên một lỗ hổng macOS ở mức Critical có thể tạo ra tác động trực tiếp đến thị trường tiền mã hoá trong một khoảng thời gian ngắn. Trước đây chúng ta thấy các vụ hack sàn, hack bridge, hack smart contract. Nhưng một lỗ hổng cho phép remote root mà không cần mật khẩu sẽ thay đổi cách các quỹ đầu tư đánh giá rủi ro vận hành. Tôi dự đoán trong vòng vài tháng tới, các công ty bảo mật sẽ tích hợp thêm quy tắc phát hiện cấu hình bất thường trên macOS vào sản phẩm của họ, và các công ty crypto sẽ siết chặt chính sách quản lý thiết bị. Điều này không có gì mới, nhưng nó sẽ được thúc đẩy nhanh hơn sau sự kiện này. Câu hỏi tôi muốn đặt ra ở đây không phải 'Apple có thể vá được không', mà là 'liệu cộng đồng blockchain có sẵn sàng thừa nhận rằng bảo mật không chỉ nằm ở smart contract?' Khi một dự án tự hào nói rằng code của họ đã được đảm bảo, tôi luôn tự hỏi họ đã kiểm tra chiếc laptop của CEO chưa? Lỗ hổng không nằm ở logic, mà nằm ở lòng tin. Và lòng tin không thể vá bằng một bản cập nhật hệ điều hành. Nó chỉ có thể được xây dựng bằng một quy trình bảo mật toàn diện, từ lớp code đến lớp thiết bị. Còn với người dùng cá nhân, hãy tắt Screen Sharing ngay bây giờ, hoặc ít nhất là cập nhật macOS lên phiên bản mới nhất. Trong thế giới crypto, vài phút có thể là tất cả những gì kẻ tấn công cần.