Ly kỳ vụ cướp 24 triệu USD tiền số từ một ‘cá voi’ lão làng: Chủ mưu là cậu nhóc 15 tuổi, lôi kéo cả 1 nhóm hacker cùng phạm tội

Buổi chiều năm 2018, Michael Terpin, 60 tuổi, bất ngờ nhận được email cảnh báo về một thiết bị lạ vừa được cấp quyền truy cập tài khoản. Ông lập tức hét lên với vợ mình là Maxine: “Anh nghĩ chúng ta lại bị hack rồi!”.

Trước đó một năm, số điện thoại của ông Michael Terpin từng bị tấn công một lần, song thiệt hại không nhiều. Hacker khi đó không thể tìm ra quyền truy cập ví tiền số của Terpin - nhà đầu tư lão làng nổi tiếng. Nhà mạng T-Mobile US và AT&T sau đó cam kết cải thiện mức độ bảo mật cao hơn cho khách hàng.

Bảy tháng sau, cam kết trên đổ sông đổ biển. Chiếc điện thoại BlackBerry cũ mà ông Terpin hiếm khi sử dụng đã bị nhắm mục tiêu. 

Terpin tức giận kiểm tra các ví tiền số, sau đó yêu cầu phía nhà mạng ngắt kết nối dịch vụ. Đáng tiếc, tài khoản lưu trữ nhiều coin nhất của ông lại không được xử lý đầu tiên. 

Kết cục, 60.000 USD đồng Steem ‘không cánh mà bay’. Skycoin trị giá hàng triệu USD cũng biến mất, trong khi đồng Triggers gặp tình cảnh tương tự. Được biết, 3 triệu Trigger của ông Terpin trị giá khoảng 22,7 triệu USD. 

Tháng 8/2018, Michael Terpin kiện AT&T đòi 224 triệu USD bồi thường. Trong đơn khiếu nại, ông cáo buộc phía nhà mạng không thể bảo vệ dữ liệu của mình, vậy nên phải chịu trách nhiệm. 

“AT&T chẳng khác nào đưa một tên trộm chìa khóa phòng và két sắt để lấy cắp đồ của khách”, ông Terpin tức giận nói. 

Năm ngoái, FBI nhận được 2.056 đơn khiếu nại về tình trạng lừa đảo hoán đổi SIM (tương tự câu chuyện của ông Terpin), với tổng thiệt hại lên tới 71,6 triệu USD. Các chuyên gia cho biết con số thực tế có thể sẽ còn cao hơn. 

Hành trình tìm kiếm công lý vô hình chung cuốn Terpin vào thế giới của những kẻ lừa đảo trẻ tuổi điên cuồng bị ám ảnh bởi sức mạnh, song thực chất là ‘đâm sau lưng nhau’. Mối quan hệ giữa Nicholas Truglia và Chris David là một ví dụ. 

Một tháng sau khi Terpin kiện AT&T, Nicholas Truglia, 20 tuổi, đưa một số người bạn từ hộp đêm trở về nhà. Anh chàng giả vờ buồn rầu, rằng chiếc máy tính xách tay quý giá lưu trữ khóa tiền số ngoại tuyến của mình đã bị mất. Không ai biết nó hiện đang nằm trong tay Chris David - người được Truglia nhờ giấu hộ để qua mặt cảnh sát. 

Một số cuộc trò chuyện với Nicholas Truglia đã được ‘tay sai vặt’ David bí mật ghi âm lại. Nội dung chủ yếu được y hỏi lái sang nguồn gốc số tiền khổng lồ của Truglia. “Ai là nạn nhân lớn nhất trong các vụ hoán đổi SIM? Người đang kiện AT&T à?”, David hỏi dò. 

“Michael Terpin”, Truglia cười khểnh. “Ông ta chắc hẳn đã có một ngày tuyệt vời, đi ngủ và nghĩ ‘Chà, mình đang có 24 triệu USD trong tài khoản’. Nực cười nhỉ”. 

Sáng hôm ấy, ông Michael Terpin và vợ bị đánh thức bởi tiếng chuông từ số điện thoại lạ. Người gọi xử lý giọng nói bằng phần mềm nhằm tránh lộ danh tính, sau đó khẳng định biết kẻ chủ mưu đứng sau vụ ăn cướp trắng trợn. Terpin nhấn mạnh với đầu dây bên kia rằng mình sẵn lòng treo thưởng hậu hĩnh để có được thông tin xác thực.

Người gọi tự xưng là Sauce, thuộc cộng đồng chuyên hoán đổi SIM. Anh ta khẳng định 2 thành viên của băng đảng, Nick Truglia và Joseph O'Connor, chính là kẻ chủ mưu cướp trắng 24 triệu USD tiền số. 

Gần một năm sau vụ hack, David chủ động liên hệ với Terpin qua email để công khai bằng chứng ghi âm, phần vì muốn giảm nhẹ tội. Thông tin sau đó được chuyển tới FBI để ông làm đơn khởi kiện. 

Ít lâu sau, chính Joseph O'Connor, người mà Sauce buộc tội là kẻ cầm đầu vụ hack năm 2018, khẳng định rằng mình và Truglia không phải là người mà Terpin nên nhắm tới. Thủ phạm thực sự là Ellis Pinsky, một hacker chuyên nghiệp quê ở Irvington.

Ngày nay, những đứa trẻ tuổi teen tìm đến thế giới hacker bằng cách làm quen dần với việc phạm tội. Pinsky cũng vậy: dấn thân vào nghề, bắt đầu tự học viết mã bằng ngôn ngữ truy vấn để đột nhập vào cơ sở dữ liệu và đánh cắp thông tin nhân viên. Xâm nhập tài khoản email và mạng xã hội không nhất thiết là phải ‘bẻ khóa’. Các hackers chỉ cần giả làm nhà cung cấp dịch vụ là đã có thể khiến người dùng cung cấp mật khẩu ngay lập tức. 

Tối ngày 6/1/2018, Pinsky, khi đó 15 tuổi, nhận được tin nhắn từ một đối tác có tên là Harry. Harry nói rằng mình đã tìm thấy ‘con cá voi’ lớn nhất - người vô tư chia sẻ thông tin và số điện thoại của mình trên khắp các bài phỏng vấn: Michael Terpin.

Dưới sự giúp đỡ của Jahmil Smith, một nhân viên đang làm việc tại AT&T ở Norwich, Connecticut, Pinsky kiểm soát được số điện thoại của Terpin. Anh chàng cố gắng đặt lại mật khẩu cho các tài khoản trao đổi tiền số nhưng nhận ra ông Terpin sử dụng hình thức xác thực hai yếu tố để tăng cường bảo mật. 

Pinsky sau đó thử truy cập vào các tài khoản email và trang đăng nhập Microsoft để dò tìm tùy chọn đặt lại mật khẩu. Tại đây, sau khi xâm nhập thành công, Pinsky tìm thấy một tài liệu liệt kê khoảng hơn 10 loại ví tiền số khác nhau. Ví đựng đồng Steem, Skycoin và Triggers sau đó đã bị hack. 

Binance không cho phép trẻ vị thành niên như Pinsky sử dụng nền tảng, hơn nữa lại yêu cầu bất kỳ ai tạo tài khoản mới phải cung cấp ID chính phủ, vậy nên 2 hackers quyết định lập một nhóm ‘tình nguyện viên’ để họ nhận giúp đồng Triggers, chuyển đổi chúng thành Bitcoin, sau đó gửi lại vào ví cá nhân mình. Nick Truglia là một trong đó.

Pinsky gửi Nick Truglia một lượng Trigger trị giá khoảng 30.000 USD và nhận lại Bitcoin sau khi chuyển đổi. Số tiền sau đó tăng lên 100.000 USD, rồi 800.000 USD, song phía Truglia bặt vô âm tín. Trước sự thúc giục của Pinsky, Truglia luôn viện cớ vô lý, chẳng hạn như đang tập thể dục nên không thể chuyển lại Bitcoin. Lúc này, Pinsky nhanh chóng nhận ra mình đã bị lừa.

Giáng sinh năm 2018, mẹ của Pinsky nhận được email từ luật sư Terpin. Bà lúc này mới nhận ra con trai mình là một tội đồ. 

Theo Terpin, nhóm của Pinsky thường tìm kiếm những “con mồi” nắm trong tay một lượng lớn tiền số và chiếm quyền kiểm soát điện thoại của họ bằng cách mua chuộc hoặc dụ dỗ các nhân viên làm việc trong nhà mạng. Nhóm hacker này, trong đó có cả những người chưa đủ tuổi vị thành niên, sau đó thay nạn nhân nhận tin nhắn xác thực, nắm thông tin và rút tất cả tiền số.

Trong đơn kiện của Terpin, ông cho biết Pinsky thường khoe khoang với bạn bè rằng từ khi 13 tuổi, cậu đã đánh cắp hơn 100 triệu USD tiền số, hàng trăm ngàn USD và một trong số đó đã được đổi thành tiền mặt giấu trong phòng ngủ.

“Pinsky và những đồng bọn của cậu ta quả thực là những ‘thiên tài máy tính độc ác’. Với bản chất vô tâm của mình, chúng sẵn sàng hủy hoại cuộc đời của các nạn nhân vô tội và tỏ ra phấn khích với những phi vụ hàng triệu USD của mình”, ông Michael Terpin nói trong đơn kiện.

Giống Pinsky, Nick Truglia cũng dấn thân vào hoạt động hoán đổi SIM. Một số nạn nhân của anh ta sống tại phía bắc California, nơi tập trung rất nhiều nhà đầu tư tiền số song lại là trụ sở của lực lượng đặc nhiệm chống tội phạm mạng đặc biệt. Các điều tra viên đã sớm lần ra dấu vết của Truglia và bắt đầu thu thập bằng chứng.

8 giờ sáng ngày 13/11/2018, Truglia bị bắt. Anh chàng nhận cáo buộc với 21 tội danh liên quan đến hành vi trộm cắp tiền số trị giá hơn 1 triệu USD, sau đó được đưa tới trại cải huấn Elmwood ở Milpitas, California. 

Tháng 4/2019, Tòa án Los Angeles ra phán quyết dựa trên một đạo luật cho phép các nạn nhân được bồi thường gấp 3 lần những thiệt hại mà họ phải chịu, tức khoảng 75,8 triệu USD. 

Bảy tháng sau, chỉ vài ngày sau khi được tại ngoại ở California, Truglia tiếp tục bị bắt với cáo buộc sử dụng tài khoản Binance để chuyển đổi tiền số bị đánh cắp, tức âm mưu lừa đảo chuyển khoản liên bang ở Quận phía Nam New York. Trong quá trình chờ được xét xử, Truglia bị giam lỏng tại nhà, không được truy cập Internet và cộng đồng lừa đảo. 

Tháng 12/2021, cảnh sát tìm thấy máy tính xách tay bí ẩn mà David giấu đi dạo nọ. Truglia nhận tội, sau đó bị kết án 18 tháng tù và buộc phải trả cho Terpin 20 triệu USD. 

Pinsky khi đó tránh được các cáo buộc hình sự bởi chưa đủ tuổi vị thành niên. Chàng trai cũng tình nguyên giao nộp 100.000 USD tiền mặt, một chiếc đồng hồ và số Bitcoin còn lại trị giá 2 triệu USD. Thời điểm đó, Bitcoin đã mất gần một nửa giá trị.

Hiện tại, Pinsky đang theo học tại Đại học New York, nghiên cứu khoa học máy tính và triết học. Mùa hè, anh chàng tham gia các lớp học thêm và thực tập kỹ sư phần mềm tại một công ty đầu tư mạo hiểm. Chia sẻ với Bloomberg, Pinsky nói muốn tốt nghiệp sớm và đang nung nấu ý định khởi nghiệp để sửa chữa lại lỗi lầm. 

Tháng 3/2023, gần 5 năm sau khi Terpin đệ đơn kiện AT&T, một thẩm phán liên bang ở California bác bỏ đơn kiện. Phía Terpin, người ước tính cho đến nay đã chi hơn 5 triệu USD cho các khoản phí pháp lý, ngay lập tức kháng cáo. Ông và các luật sư của mình lập luận rằng phán quyết trên đã tạo ra một tiền lệ nguy hiểm, cho phép các nhà mạng tiếp tục phớt lờ những lo ngại về bảo mật khiến khách hàng bị đánh cắp thông tin. 

Theo: Bloomberg

Bài viết: Huệ Anh/ Thiết kế: Hà Mĩ