Mỹ truy tố công dân Malaysia sau khi triệt phá băng lừa đảo ở Madagascar

Một vụ lừa đảo NFT giả bị lật tẩy từ hai châu lục

Bộ Tư pháp Mỹ (DOJ) vừa công bố bản truy tố nhằm vào một công dân Malaysia và năm đồng phạm, cáo buộc họ điều hành đường dây lừa đảo đặt tại Madagascar, chiếm đoạt hơn 516.695 USD từ 74 ví tiền mã hóa của nạn nhân ở nhiều bang như Maryland, Oregon, Nevada và Minnesota. Điều đáng chú ý không chỉ nằm ở số tiền, mà ở cách vụ việc được phát hiện: một đơn vị của FBI đã sang tận Madagascar, tiếp cận hơn 3.000 thiết bị và dựng lại đường đi của dòng tiền từ báo cáo nạn nhân tại Mỹ tới các "compound" lừa đảo ở thủ đô Antananarivo.

Đây là một mắt xích trong bức tranh rộng hơn: ngành công nghiệp trung tâm lừa đảo (scam center) đang lan từ Đông Nam Á sang châu Phi, và các cơ quan thực thi pháp luật buộc phải phối hợp xuyên quốc gia để theo đuổi.

Chuyện gì đã xảy ra

Theo cáo trạng được công bố hôm thứ Ba, Chui Kok Wa bị cho là đã phối hợp và cấp vốn cho đường dây cùng các đồng phạm ở Trung Quốc. Nhóm này bị cáo buộc chuyển hoạt động sang Madagascar trong năm trước, sau khi lực lượng chức năng triệt phá các trung tâm lừa đảo ở Campuchia. Cáo trạng nêu Wa lãnh đạo một nhóm khoảng 20 người; năm người bị truy tố cùng anh ta đến từ Cameroon, Rwanda, Kenya và Uganda, gồm Gislen Neukeu, Shamusa Ninsiima, Clement Mugiraneza, Merveille Mudacumura và Nicodemus Monyancha.

Ảnh: The Record

Cách thức lừa đảo khá quen thuộc nhưng được tổ chức bài bản: các đối tượng tiếp cận nạn nhân qua ứng dụng hẹn hò, giả làm phụ nữ xinh đẹp, rồi dụ nạn nhân kết nối ví tiền mã hóa vào các website giả mạo để "đầu tư NFT". Khi nạn nhân đã nạp tiền, chúng tiếp tục thúc giục nạp thêm trong lúc âm thầm rút dần tiền khỏi ví. Cáo trạng cho biết Wa cung cấp cho nhân viên các kịch bản cùng hình ảnh để gửi cho nạn nhân, và các hợp đồng thu được cho thấy người lao động được trả 900 USD/tháng, kèm phần trăm trên số tiền lừa được. Họ làm việc qua đêm ở Madagascar để khớp với giờ ban ngày ở Mỹ.

Dòng tiền bị chuyển tới các ví do Wa kiểm soát trên những nền tảng như Binance, sau đó được đẩy tiếp tới tài khoản của những người ở Trung Quốc. DOJ cho biết đã gỡ một số website được dùng để khoác vẻ hợp pháp cho kế hoạch NFT. Các chuyên gia blockchain tại Chainalysis và các nền tảng tiền mã hóa như Tether đã hỗ trợ truy vết số tiền bị đánh cắp.

Cuộc đột kích và những điểm nghẽn ngoại giao

Tháng 8, một đơn vị FBI sang Madagascar và tiếp cận được hơn 3.000 thiết bị, qua đó nối được báo cáo của nạn nhân Mỹ với những kẻ thực hiện hành vi lừa đảo trong các compound ở Antananarivo. Trong chuyến đi, các đặc vụ cùng Cảnh sát Quốc gia Madagascar (MNP) đã tới 13 compound lừa đảo, nhưng bị cản trở khi muốn phỏng vấn nghi phạm.

Theo DOJ, Madagascar đã hồi hương nhiều nghi phạm về Trung Quốc trước khi cuộc điều tra hoàn tất. Cơ quan này cho biết phía Mỹ đã kêu gọi chính phủ Madagascar hợp tác, dẫn độ sáu bị can, đồng thời nêu rằng họ đã có lệnh triệu tập nhân chứng quan trọng để phỏng vấn 15 nhân viên của đường dây — những người tự nhận là nạn nhân buôn người và bị Wa ngược đãi, nhưng được cho là đang bị giam tại Madagascar.

Bộ Tư pháp Madagascar chưa trả lời đề nghị bình luận, nhưng trong ba tháng gần đây đã nhiều lần nhấn mạnh việc hợp tác với Trung Quốc để dẫn độ hàng trăm công dân Trung Quốc bị cáo buộc liên quan tới các trung tâm lừa đảo. Theo bài gốc, ít nhất 49 người Trung Quốc được cho là đã bị dẫn độ vào thứ Hai. Cáo trạng cũng nêu lực lượng chức năng Madagascar đã bắt 400 người, trong đó có 40 lãnh đạo người Trung Quốc của đường dây, nhưng FBI không được phép phỏng vấn các lãnh đạo này trước khi họ bị hồi hương về Trung Quốc hoặc được thả. Hiện chưa rõ Wa và năm đồng phạm có còn ở Madagascar hay không; DOJ cũng không trả lời đề nghị bình luận.

Ranh giới mờ giữa nạn nhân và thủ phạm

Một điểm đáng chú ý về mặt điều tra: FBI và các nhà điều tra gặp khó khi phân biệt nạn nhân buôn người với những người được trả tiền để thực hiện lừa đảo. Một số người đang bị giam ở Madagascar khai là nạn nhân buôn người, nhưng dữ liệu thu được từ thiết bị trong các trung tâm lừa đảo cho thấy họ được trả lương và có hợp đồng lao động — điều mà FBI chưa từng thấy ở các nạn nhân buôn người bị ép thực hiện hành vi lừa đảo.

Trong chuyến đi, các đặc vụ FBI đã phỏng vấn ba công dân Brazil. Những người này cho biết họ trả lời quảng cáo tuyển dụng trên mạng rồi bị đưa tới các compound lừa đảo ở Campuchia; do chiến tranh giữa Campuchia và Thái Lan, các nhân chứng này được chuyển tới Antananarivo, Madagascar vào tháng 5/2026. Cáo trạng cảnh báo một số nạn nhân khác cho biết các trung tâm lừa đảo đang được chuyển sang các nước châu Phi khi lực lượng chức năng tăng cường chú ý tới Đông Nam Á.

Vì sao độc giả kỹ thuật Việt Nam nên quan tâm

Với người làm bảo mật và kỹ thuật, vụ việc này mang vài tín hiệu thực tế.

Thứ nhất, kỹ thuật tấn công không cao siêu nhưng chuỗi thao tác rất hiệu quả: tiếp cận qua ứng dụng hẹn hò, dựng website giả, dụ kết nối ví, rồi khai thác tâm lý "nạp thêm để gỡ". Đây là mô hình lừa đảo social engineering kết hợp crypto drainer, không cần khai thác lỗ hổng zero-day. Các đội bảo mật ở Việt Nam làm sản phẩm ví, sàn giao dịch hay ứng dụng hẹn hò có thể dùng vụ việc này làm ví dụ khi huấn luyện người dùng về rủi ro kết nối ví vào website lạ.

Thứ hai, việc truy vết dòng tiền dựa nhiều vào dữ liệu on-chain và sự hợp tác của các nền tảng như Chainalysis, Tether. Với các doanh nghiệp trong nước có xử lý crypto, việc lưu log, giữ bằng chứng và có quy trình phối hợp với cơ quan chức năng khi có yêu cầu là yếu tố then chốt — không chỉ để tuân thủ mà còn để hỗ trợ nạn nhân.

Thứ ba, câu chuyện dịch chuyển địa bàn từ Campuchia sang Madagascar cho thấy các trung tâm lừa đảo có khả năng thích ứng nhanh với áp lực thực thi pháp luật. Điều này đặt ra bài toán cho các đội threat intelligence: theo dõi không chỉ hạ tầng kỹ thuật mà cả dấu hiệu dịch chuyển nhân sự, thiết bị (như Starlink) và dòng tiền.

Thứ tư, về mặt chính sách, DOJ cho biết đã thu giữ hàng nghìn USD và các thiết bị Starlink trong các cuộc đột kích ở nhiều địa điểm tại Đông Nam Á và châu Phi. Chính phủ Mỹ ước tính khoảng 8,65 tỷ USD đã bị đánh cắp từ người Mỹ trong năm 2025 thông qua các compound lừa đảo. Một báo cáo gần đây của Quốc hội Mỹ cho thấy các trang hẹn hò là mắt xích quan trọng của nền kinh tế lừa đảo, trở thành điểm tiếp xúc đầu tiên trước khi tương tác được chuyển sang các ứng dụng nhắn tin truyền thống.

Ai nên đọc và có thể làm gì

• Đội bảo mật sản phẩm: rà lại luồng cảnh báo khi người dùng kết nối ví với domain mới, bổ sung phát hiện drainer và cảnh báo trước khi ký giao dịch.
• Đội chống gian lận (fraud/trust & safety): nghiên cứu mẫu kịch bản "mỹ nhân + NFT" để cập nhật rule phát hiện trên ứng dụng hẹn hò, mạng xã hội.
• Doanh nghiệp crypto/fintech: chuẩn bị quy trình phối hợp với cơ quan chức năng, lưu trữ log đủ lâu, và có kênh làm việc với các đơn vị phân tích blockchain.
• Người dùng cá nhân: không kết nối ví vào website do người quen qua mạng gửi, không nạp thêm tiền khi bị thúc giục "để rút được", kiểm tra domain trước khi ký giao dịch.

Lưu ý và hạn chế

Cáo trạng là cáo buộc, chưa phải kết luận có tội; các bị can chưa được xét xử. Hiện chưa rõ Wa và năm đồng phạm có còn ở Madagascar hay không, và DOJ không trả lời đề nghị bình luận. Một số thông tin về việc dẫn độ và giam giữ do phía Mỹ nêu, trong khi Bộ Tư pháp Madagascar chưa phản hồi. Ngoài ra, các con số thiệt hại và số người bị bắt lấy từ cáo trạng và bài gốc; bối cảnh rộng hơn về quy mô ngành lừa đảo vẫn còn nhiều điểm chưa được công bố.

Kết

Vụ việc cho thấy cuộc chiến chống trung tâm lừa đảo ngày càng ít mang tính cục bộ: một cú click của nạn nhân ở Maryland có thể dẫn tới một compound ở Antananarivo, một giao dịch trên Binance và một nhóm điều hành ở Trung Quốc. Với người làm kỹ thuật, giá trị lớn nhất nằm ở việc hiểu rõ chuỗi tấn công để xây dựng phòng thủ — từ cảnh báo người dùng tới truy vết dòng tiền và phối hợp với cơ quan chức năng.

Nguồn: The Record