1,1 triệu camera IoT, một wildcard MQTT và bài toán niềm tin mà blockchain chưa thể trả lời
Đồng nghiệp của nhà nghiên cứu Sammy Azdoufal vừa mua một chiếc baby monitor trên Amazon. Anh ấy hỏi: Nó có thực sự an toàn không? Đó là câu hỏi mà bất kỳ ai cũng nên đặt ra trước khi cắm điện một thiết bị mới. Nhưng câu trả lời thường chỉ là một cái nhún vai, sau đó là hy vọng rằng thương hiệu in trên hộp biết mình đang làm gì. Hóa ra, niềm hy vọng đó là một khoản nợ trị giá hàng tỷ USD.
Tại DEF CON 34, bức màn được vén lên về Meari Technology, một công ty ODM có trụ sở tại Hàng Châu, âm thầm vận hành một phần lớn ngành công nghiệp nhà thông minh. Meari không chỉ sản xuất camera; họ xây dựng toàn bộ hệ sinh thái, từ firmware, hạ tầng đám mây đến ứng dụng di động. Toàn bộ khối kiến trúc này được bán lại cho hơn 300 thương hiệu trắng. Nếu bạn sử dụng camera Arenti, BOIFUN, COCOCAM, PetTec, SV3C, Joystek, Luvion hay Vimar, rất có thể bạn đang chạy trên nền tảng của Meari mà không hề hay biết. Với 1,1 triệu thiết bị đã đăng ký tại 118 quốc gia, đây không còn là lỗi của một sản phẩm cụ thể, mà là một cuộc giám sát kiến trúc quy mô lớn.
Báo cáo kiểm tra mang tên '1.1 Million Cameras, One Wildcard: Architectural Surveillance in an IoT Cloud' phơi bày một loạt lỗ hổng nghiêm trọng. Đáng chú ý nhất là CVE-2026-33356: máy chủ MQTT không triển khai danh sách kiểm soát truy cập (ACL) cho từng thiết bị. Bất kỳ tài khoản CloudEdge nào đã xác thực đều có thể đăng ký ký tự đại diện 'meari/#' và nhận toàn bộ luồng dữ liệu từ mọi camera trên nền tảng. Trong thực nghiệm, 14.204 tin nhắn từ 2.117 thiết bị khác nhau đã bị thu thập chỉ trong năm phút. Không cần mã độc phức tạp, không cần truy cập vật lý, và cũng không cần khai thác từng lỗ hổng riêng lẻ. Chỉ cần một tài khoản hợp lệ và một ký tự đại diện.
Hãy đọc lại con số ấy: 14.204 tin nhắn trong năm phút. Đó là hàng nghìn đoạn ghi hình từ phòng khách, phòng ngủ của trẻ nhỏ, không gian riêng tư gia đình. Meari gọi đây là cơ sở hạ tầng cho nhà thông minh, nhưng kiến trúc của họ cho phép một tài khoản bất kỳ trở thành người đứng giữa toàn bộ mạng lưới. Với những tín hiệu điều khiển lẫn nhau, kẻ tấn công không chỉ quan sát, mà còn có thể ngầm thao túng hành vi của thiết bị. Trong một hệ thống không có ranh giới phân quyền giữa các thiết bị, quyền riêng tư không chỉ bị giảm, mà bị xóa bỏ hoàn toàn.
Vấn đề càng trở nên nguy hiểm khi chúng ta kết nối các camera này với trợ lý AI như Alexa, Google Home hoặc Home Assistant. Camera là mắt và tai của tác nhân AI trong nhà. Khi nguồn camera bị xâm phạm, tác nhân AI thừa hưởng sự phơi nhiễm giám sát đó. Sự tin tưởng bị phá vỡ tại lớp thị giác, biến trợ lý đáng tin cậy thành một con mắt không mời mà đến. Đây chính là vấn đề 'thâm hụt niềm tin' mà các hệ thống AI gia đình sẽ phải đối mặt.
Những con số tài chính cũng đáng chú ý. Thị trường baby monitor toàn cầu đạt 1,87 tỷ USD, Mỹ chiếm khoảng 540 triệu USD. Bản thân Meari lên sàn ChiNext tại Shenzhen vào tháng 3/2025, cổ phiếu tăng gấp đôi chỉ sau hai ngày giao dịch. Các nhà bán lẻ vẫn tiếp tục bán sản phẩm có kiến trúc không thể bảo vệ quyền riêng tư. Nếu so với lỗ hổng Zbtlink ENDLESSDOORS, có thể thấy đây không phải chuyện của một công ty duy nhất. Chuỗi cung ứng phần cứng và đám mây đang bị 'tối ưu hóa chi phí' đến mức bảo mật chỉ còn là một dòng ghi chú.
Điều tệ hơn là phản hồi của Meari. Dù có thời gian tiết lộ 70 ngày do Tod Beardsley của runZero điều phối, Meari gọi các sản phẩm bị ảnh hưởng là 'lỗi thời'. Máy chủ MQTT vẫn tiếp tục truyền dữ liệu. Theo mốc thời gian trên GitHub của nhà nghiên cứu, chưa có xác nhận nào về việc thông báo trực tiếp đến người dùng theo Điều 34 GDPR. Người dùng bị bỏ lại trong bóng tối. Một trong những cách giải thích được chấp nhận là chi phí thông báo sẽ lớn hơn chi phí sửa lỗi, và đổ lỗi cho 'sản phẩm lỗi thời' là cách rẻ nhất để tránh pháp lý.
Đến đây, giới blockchain thường nhanh chóng nhìn vào câu chuyện này và nói rằng các mạng DePIN, hạ tầng vật lý phi tập trung, sẽ là câu trả lời. Nhưng hãy cẩn thận với lối mòn tư duy đó. CVE-2026-33356 không phải là bài toán tập trung hóa hay phi tập trung hóa; nó là bài toán kiểm soát phân quyền ở tầng truyền tải. Một MQTT broker chạy trên mạng lưới do cộng đồng vận hành, được khuyến khích bằng token, vẫn tạo ra thảm họa nếu ACL không được cấu hình đúng. Token hóa không thay thế được chức năng mã hóa đầu cuối và xác thực danh tính. Blockchain minh bạch cho giao dịch, nhưng không tự động minh bạch cho luồng video riêng tư.
Trong quá trình làm việc với các dự án tài sản số, tôi đã đọc nhiều whitepaper IoT+Web3. Hầu hết chỉ tập trung vào phần thưởng token cho người dùng thay vì phần hạ tầng ghi hình. Họ nói nhiều về quyền sở hữu dữ liệu nhưng ít mô tả chi tiết cách chống lại một tài khoản đăng ký wildcard. Thực tế, một lớp token bổ sung không tạo ra bảo mật; nó tạo ra nhiều động lực tài chính hơn để khai thác lỗ hổng. Nhà đầu tư cần cảnh giác với những dự án dùng hai chữ 'phi tập trung' để che giấu sự yếu kém trong thiết kế bảo mật.
Ở Việt Nam, câu chuyện camera trẻ em, camera an ninh nội địa cũng đang được bán tràn lan trên các sàn thương mại điện tử. Người dùng chọn theo giá, theo tên quen thuộc, nhưng không có cách nào biết được nhà sản xuất thật sự đứng sau là ai. Bảo mật không phải thứ có thể nhìn thấy trên vỏ hộp. Các giải pháp local-first như Home Assistant, nơi dữ liệu không rời khỏi nhà, đang trở thành một lựa chọn đắt đỏ hơn nhưng an toàn hơn. Trong một môi trường mà mô hình ODM phổ biến, quyền riêng tư không còn là mặc định, mà phải được mua bằng công sức và tiền bạc.
Chúng ta phải ngừng giả định rằng một thương hiệu trên hộp có nghĩa là an toàn. Mô hình tin cậy của nhà thông minh coi nguồn camera là riêng tư. Meari đã chứng minh điều ngược lại. Với cộng đồng blockchain, câu hỏi gai góc hơn: nếu hạ tầng mà bạn token hóa cũng dựa trên sự lơ là như vậy, thì hợp đồng thông minh có thể chịu trách nhiệm khi hàng triệu em bé bị theo dõi bất hợp pháp không? Hay câu trả lời lại là một nhãn dán 'lỗi thời'?