Trong một dấu hiệu phù hợp của thời đại, các kế hoạch được sắp đặt cẩn thận của hacker đã bị một đặc vụ AI phá vỡ.

Đó là ngày 25 tháng 9 năm 2026 và Alex, một người chơi poker trực tuyến chuyên nghiệp, đang sử dụng tác nhân Claude AI của mình để xem xét một số số liệu thống kê về cách chơi. (Alex chỉ đồng ý nói chuyện với WIRED dưới một bút danh để tránh mọi nguy cơ bị trả thù từ những kẻ đe dọa.) Sau khi cơ sở dữ liệu SQL của Alex gặp sự cố và cần được đặt lại, đặc vụ Claude nhận thấy điều đáng ngờ: Một chương trình có tên MeshAgent đang hoạt động ở chế độ nền, nơi nó dường như có khả năng chụp màn hình của Alex và thậm chí kiểm soát toàn bộ máy của anh ấy.

Nhờ báo cáo của đặc vụ Claude, Alex có thể thấy chương trình đã được cài đặt vào ngày 24 tháng 4 chứ không phải do chính Alex cài đặt. Alex cho biết người đại diện đã xác định được 11 sự kiện được đánh dấu thời gian khi chương trình chụp màn hình của anh ấy dựa trên các lỗi đồ họa mà nó gây ra trong các trường hợp chia sẻ màn hình. Trong suốt 11 năm đó, Alex đã chơi một phiên trên ACR, còn được gọi là Americas Cardroom, một nhà điều hành poker trực tuyến lớn trên toàn thế giới.

Anh ấy kiểm tra lịch sử ván bài của mình và nhanh chóng tìm thấy thông tin đáng lo ngại nhất: Cùng một đối thủ, chơi dưới tay cầm OxOO, đã ở cùng bàn của anh ấy trong 10 trong số 11 phiên đó.

Tay cầm đã quen thuộc. Alex và một số người bạn trong cộng đồng đặt cược cao đã chia sẻ những nghi ngờ về hành vi của người chơi này trong quá khứ. Alex đã kiểm tra số liệu thống kê về tỷ lệ thắng của người chơi thông qua một trang web theo dõi công khai; về mặt thiên văn, họ cao hơn những người chơi giỏi nhất thế giới, một điều không thể thống kê được dựa trên mẫu ván bài được chơi. Theo quan điểm của Alex, rõ ràng người chơi này đang gian lận.

Một cuộc điều tra của Alex và các thành viên khác của cộng đồng đặt cược cao trong những ngày tiếp theo đã xác nhận nỗi sợ hãi của anh ấy — và sau đó là một số điều khác. Alex là một trong hàng trăm người chơi bị cáo buộc là mục tiêu của loại phần mềm độc hại này bởi cùng một tác nhân đe dọa được báo cáo trong khoảng thời gian nhiều năm. Alex, người đầu tiên phát hiện ra MeshAgent trên máy tính của anh ấy, tuyên bố rằng anh ấy “chỉ” bị lừa khoảng 30.000 USD, một số tiền tương đối vừa phải đối với trình độ anh ấy chơi; nhiều đồng nghiệp của anh ấy không may mắn như vậy.

Với hàng triệu đô la được cho là đã bị đánh cắp trên các trang web lớn nhất trên internet, thế giới poker đang tìm kiếm câu trả lời về việc tại sao chương trình này lại được phép tiếp tục lâu như vậy, liệu các trang web lớn có nghiêm túc chấp nhận rủi ro sau khi nó được báo cáo hay không và liệu bản thân poker trực tuyến có bị xâm phạm không thể khắc phục được hay không.

Poker chưa bao giờ thiếu những tranh cãi về gian lận; poker trực tuyến đặc biệt là như vậy. Phương pháp “siêu người dùng”, trong đó kẻ gian lận có được quyền truy cập trái phép vào thẻ của đối thủ và do đó có thể hành động với thông tin hoàn hảo để chống lại họ, là một trong những phương pháp đầu tiên xuất hiện trực tuyến.

Hai trang web lớn trong thời kỳ đầu của poker trực tuyến, Tuyệt đối Poker và Ultimate Bet, được coi là những câu chuyện cảnh báo vào giữa những năm 2000. Trong các trường hợp riêng biệt, những kẻ lừa đảo siêu người dùng có thể có được quyền truy cập nội bộ vào các trang web và người chơi lừa đảo để kiếm được hàng triệu đô la. (Phần lớn chiến lợi phẩm đã được hoàn lại cho người chơi sau một cuộc điều tra.) Những sự cố nổi bật đó đã dẫn đến các biện pháp an ninh được thắt chặt từ nhiều trang poker hàng đầu.

Một sự cố siêu người dùng nhỏ khác xảy ra vào năm 2013, khi một người chơi có số tiền đặt cược cao ở Phần Lan cho biết máy tính xách tay của anh ta đã bị đánh cắp khỏi phòng khách sạn trong một giải đấu European Poker Tour ở Barcelona. Khi chiếc máy tính xách tay được phục hồi, nó đã bị nhiễm phần mềm độc hại cho phép hacker xem màn hình của anh ta từ xa. Và có lẽ vụ bê bối siêu người dùng nổi tiếng nhất đã diễn ra trên kênh trực tiếp: Trong một câu chuyện đến tận SportsCenter, một người chơi tên là Mike Postle đã bị buộc tội ăn cắp hơn 250.000 đô la từ các trò chơi được phát trực tiếp tại Stones Gambling Hall vào năm 2018 và 2019 với sự hỗ trợ của những người quan sát được cho là đồng phạm bị cáo buộc có quyền truy cập vào dữ liệu thẻ trực tiếp, người đã cung cấp thông tin vào điện thoại của Postle. (Postle phủ nhận các cáo buộc, cho rằng đó là “tin giả”.)

Tuy nhiên, bên ngoài một sự cố tương đối nhỏ (và được khắc phục nhanh chóng) vào năm 2023, thế giới poker trực tuyến đã nhiều năm trôi qua mà không có sự cố siêu người dùng nào được xác nhận—cho đến tận bây giờ. Và một số điều đã biết về nỗ lực mới nhất này báo hiệu một kẻ đe dọa khôn ngoan hơn những vụ bê bối trước đó, cộng với mức độ kiên nhẫn thường không thấy trong các cuộc tấn công như thế này.

WolfSec, một chuyên gia an ninh mạng, người tư vấn cho nhiều người chơi poker đặt cược cao về các biện pháp bảo mật, cho biết: “Theo truyền thống, khi bạn thấy những loại tác nhân đe dọa có động cơ tài chính này, chúng sẽ có quyền truy cập vào một hệ thống và ngay sau khi vào đó, chúng sẽ thực hiện một phạm vi những gì chúng có quyền truy cập và sau đó chúng sẽ tấn công tất cả mọi người cùng một lúc và tiêu sạch tất cả các ví”. Anh ấy là người đầu tiên đưa tin về vụ lừa đảo MeshAgent vào ngày 29 tháng 9, trên tài khoản X của mình. (WolfSec đã đồng ý nói chuyện với WIRED với điều kiện tên thật của anh ấy không được sử dụng vì lo ngại bị tin tặc trả thù; WIRED đã xác nhận độc lập thông tin đăng nhập của anh ấy với tư cách là chuyên gia an ninh mạng.)

Nhưng hacker này đã không làm bất cứ điều gì trong số đó, mặc dù nhiều người chơi trong số này nắm giữ lượng tiền điện tử lớn và các khoản đầu tư khác có thể truy cập được trên máy của họ. Thay vào đó, kẻ tấn công dường như đang thực hiện trinh sát nâng cao. Trên thực tế, WolfSec tin rằng chính tác nhân đe dọa này đã cố gắng tấn công máy của người chơi vào đầu năm 2022 bằng cách sử dụng một kỹ thuật cơ bản hơn; bởi vì không có khoản tiền nào bị đánh cắp vào thời điểm đó nên không có hành động nào khác được thực hiện sau khi người chơi xóa phần mềm độc hại khỏi máy tính của họ.

Tuy nhiên, có vẻ như hacker chỉ đang chờ đợi thời cơ và cải tiến phương pháp của mình để chuẩn bị cho một cuộc tấn công cuối cùng.

Thay vì nhắm mục tiêu trực tiếp vào từng người chơi, cuộc tấn công gần đây hơn này liên quan đến các chương trình phần mềm của bên thứ ba có tên IntuitiveTables và Jurojin. Các chương trình này cho phép các chuyên gia chơi hàng chục ván bài poker trực tuyến cùng một lúc. Bằng cách sử dụng các công cụ “nhiều bàn” phổ biến này, người chơi có thể chuyển đổi giữa các trò chơi trực tiếp bằng một lần nhấn phím, đặt cược hoặc chơi bằng phím nóng và các hành động khác giúp chơi ở nhiều bàn ảo cùng lúc dễ dàng hơn. WolfSec cho biết hacker đã xâm phạm cả hai ứng dụng, đẩy phần mềm độc hại tới hơn một nghìn người dùng ước tính.

Trong trường hợp của Jurojin, kẻ tấn công đã giành được quyền truy cập vào hệ thống của chính nhà phát triển để cập nhật phần mềm và có thể cung cấp tác nhân truy cập từ xa cho người dùng hiện tại thông qua các bản cập nhật tự động, thông thường.

Nhà phát triển Bảng trực quan đang chạy Jurojin trên máy tính thử nghiệm của họ và máy đó có tác nhân truy cập từ xa như một phần của bản cập nhật phần mềm bị xâm nhập của Jurojin. Bằng cách sử dụng tác nhân này, kẻ tấn công đã thêm mã độc vào ứng dụng Bảng trực quan trước khi nhà phát triển ký chứng chỉ bảo mật cho bản dựng cập nhật của ứng dụng. Phiên bản chứa mã độc đó đã được đăng lên trang web Intuitive Tables dưới dạng tải xuống công khai và tất cả những người cài đặt phiên bản ứng dụng đó đều vô tình cài đặt một cửa hậu trên máy tính của họ.

Trong cả hai trường hợp, mã độc được phân phối thông qua kênh cập nhật tiêu chuẩn hoặc bản phát hành chính thức, do đó cả người dùng và ứng dụng chống vi-rút của họ đều không phát hiện thấy điều gì bất thường.

Phiên bản sửa đổi của Bảng trực quan hoạt động giống hệt như phiên bản sạch, ngoại trừ một ngoại lệ: Nó cũng kiểm tra tên người dùng của họ trong tệp của người chơi.

WolfSec cho biết: “Nếu bạn nằm trong một danh sách mã hóa cứng được lưu trữ trên cơ sở hạ tầng của kẻ tấn công, mà [phần mềm độc hại] đã tiếp cận và tải xuống cũng như so sánh tên người dùng của bạn, thì danh sách đó sẽ hoạt động như một chương trình độc hại và tải xuống các tệp độc hại bổ sung”. “Nếu bạn không có trong danh sách đó thì nó sẽ trở thành chương trình bình thường và không làm gì độc hại cả.”

Danh sách này dường như chủ yếu bao gồm những người chơi đặt cược cao thường xuyên trên một số trang web. Tất cả những người chơi trong danh sách dường như đã cài đặt chương trình MeshAgent một cách bí mật trên máy của họ. Hacker đã sẵn sàng tấn công.

Vào đầu năm 2025, một số người chơi mới bắt đầu thường xuyên tham gia các trò chơi có mức đặt cược cao—một trên ACR (sử dụng tên gọi “JackKlompus”) và một trang web lớn toàn cầu khác có tên CoinPoker (tên gọi: “Châu Âu”). Điều kỳ lạ là, mặc dù không quen thuộc với những người thường xuyên tham gia các trò chơi này, nhưng người chơi vẫn từ chối xác định danh tính của mình trong các cuộc trò chuyện trên bàn, một yêu cầu phổ biến thường được những người chơi mới đưa ra trong trò chơi bài poker đặt cược cao. Các đối thủ mới cũng giành chiến thắng với tần suất không tưởng. (Sau này, khi các chuyên gia bắt đầu chia sẻ thông tin về trò chơi của họ, người ta kết luận rằng những người chơi này là cùng một người.)

Mike, một người chơi poker chuyên nghiệp đã nói chuyện với WIRED bằng bút danh do sợ bị tin tặc trả thù, đã chơi trên cả hai trang web vào thời điểm đó và ngồi cùng bàn với người chơi sử dụng những tay cầm này. Mike cho biết lúc đầu anh tự hỏi liệu thành công của người chơi bí ẩn có thể giải thích được bằng cách nào đó hay không. Có lẽ họ đang làm điều gì đó mới mà Mike và các đồng nghiệp chuyên nghiệp của anh ấy chưa phát hiện ra.

“Bạn có thể tha thứ cho điều đó” lúc đầu, Mike nói. “Có lẽ anh chàng này thực sự, thực sự tốt hay gì đó.”

Tuy nhiên, khi số lượng người chiến thắng ngày càng tăng, Mike và một số người bạn đặt cược cao trở nên nghi ngờ hơn. Ban đầu, họ nghi ngờ rằng người chơi đang sử dụng hỗ trợ thời gian thực thông qua các công cụ dựa trên lý thuyết trò chơi hoạt động tốt hơn những người chơi giỏi nhất của con người. Hỗ trợ theo thời gian thực bị cấm trên các trang web lớn, nhưng rất khó để cảnh sát hoàn hảo và là điều mà các chuyên gia thường xuyên chú ý. Mike gần như ngừng chơi cùng bàn với người chơi bí ẩn để đề phòng.

Giống như WolfSec, Mike phản ánh mức độ tương đối về kỹ năng và kỷ luật mà người chơi này sử dụng trong các phiên chơi năm 2025 đó, đặc biệt là so với những kẻ gian lận nổi tiếng khác trong lịch sử poker. Tài khoản thường sử dụng kích thước đặt cược tiêu chuẩn và chơi các ván bài bình thường. Trò chơi theo từng phiên của nó không bao giờ khiến quá nhiều người phải ngạc nhiên; chỉ có tỷ lệ thắng của tài khoản theo thời gian mới được xem xét kỹ lưỡng.

Nhưng vào tháng 6 năm 2026, Mike đã chơi một phiên đối đầu kéo dài hai giờ (một đối một) trên một trang web khác, ClubWPT Gold, trang mà sau này anh ấy xác định—sau khi đánh giá với nhóm bảo mật của trang web—đã chống lại cùng một người chơi từ các phiên năm 2025. Người chơi đã sử dụng một tay cầm khác để tránh bị phát hiện, vì vậy Mike không thấy có lý do gì để phải thận trọng hơn. Đối thủ chỉ đơn giản là điều khiển Mike, đưa ra mọi quyết định chính xác ngay cả ở những điểm dường như không thể - gần giống như anh ta có thể nhìn thấy quân bài của Mike. “Điều đó thật trắng trợn,” Mike nói.

Ngay sau buổi học, Mike đã nhắn tin cho một số người bạn trong thế giới đặt cược cao để nói rằng anh ấy nghĩ mình đã bị lừa.

Hóa ra anh ấy đã đúng. Khi thông tin về vụ hack được công khai trên tài khoản X của WolfSec, ClubWPT Gold đã điều tra. Randy Lundy, người đứng đầu bộ phận điều hành khách hàng của ClubWPT Gold, cho biết trang web đã cấm tài khoản mà Mike đã chơi và hoàn trả số tiền thua lỗ cho anh ấy.

Tính đến thời điểm này, sự hiện diện của kẻ bị cáo buộc là kẻ gian lận trong vòng kết nối trực tuyến đã là một bí mật mở trên toàn cộng đồng. Trên thực tế, Mario Mosböck, đại sứ poker của CoinPoker, người được ủy quyền phát biểu về phản ứng của công ty đối với vụ hack, cho biết trang này đã bắt đầu điều tra người chơi này ngay từ năm 2025, cấm họ và hoàn trả hơn 100.000 USD tiền bị cho là bị đánh cắp cho những người chơi bị ảnh hưởng. (Mosböck cho biết việc trả lại tiền đã bị trì hoãn vài tháng vì kẻ bị cáo buộc gian lận đã kháng cáo việc tịch thu lên cơ quan quản lý.) Tỷ lệ thắng đơn giản và số liệu thống kê về phong cách chơi của người chơi dường như là bằng chứng của hành vi sai trái, ngay cả khi trang web không thể xác định rõ ràng hành vi gian lận đã xảy ra như thế nào.

Vậy thì làm thế nào mà kẻ bị cáo buộc gian lận lại được phép tiếp tục lừa đảo những người chơi như Alex và Mike trên nhiều trang web được cho là có uy tín khác hơn một năm sau đó?

Patrick Howard, một người chơi poker chuyên nghiệp và là người sáng lập công ty huấn luyện Mobius Poker, cho biết: “Họ đã xác nhận nhiều lần rằng họ đã xem báo cáo của tôi nhưng vì lý do gì đó mà họ không hành động”.

“Họ” mà anh ấy đang đề cập đến là GGPoker, được cho là trang web nổi tiếng nhất trên thế giới dành cho những người chơi không phải người Mỹ. Howard cho biết ông đã gửi báo cáo lên trang web vào đầu tháng 9 năm 2026, vài tuần trước khi vụ hack MeshAgent được công khai, nêu bật hành vi bất thường của kẻ gian lận và kêu gọi trang web điều tra.

Howard nói: “Tôi đã tìm thấy nhiều điểm ngoại lệ có độ lệch chuẩn từ ba đến bốn lần,” và đó là thông qua một mẫu lịch sử bàn tay hạn chế được bạn bè và khách hàng gửi cho anh ấy. Anh ấy đã gửi những phát hiện của mình cho nhóm GGPoker nhưng không nhận được phản hồi. Anh ấy chỉ nhận được phản hồi sau khi WolfSec tiết lộ công khai về vụ hack trên X, với trang web nói với anh ấy rằng “không có bằng chứng thuyết phục” để hành động vào thời điểm anh ấy khiếu nại.

Nhiều trang poker trực tuyến khác nhau đã xử lý vụ việc theo cách khác nhau. Người chơi phần lớn ca ngợi CoinPoker vì đã chủ động cấm người chơi chỉ dựa trên tỷ lệ thắng và xu hướng chơi, được chấp nhận là dấu hiệu rõ ràng về việc gian lận ở mức tiền cược cao như vậy và với số lượng mẫu lớn như vậy; trong khi ClubWPT Gold dường như chỉ bị ảnh hưởng sau này trong kế hoạch, trang web đó dường như cũng đã hành động dứt khoát khi phát hiện ra nó.

Nhưng hacker vẫn hoạt động trên GGPoker và ACR cho đến cuối tháng 9, bị cáo buộc đã đánh cắp từ 1,5 triệu đến 4 triệu USD, dựa trên ước tính của các nguồn mà WIRED đã nói về câu chuyện này.

John Andress, người đứng đầu bộ phận liêm chính trò chơi của A5 Labs, một nền tảng an ninh mạng cung cấp dịch vụ chống gian lận cho ClubWPT Gold và các thương hiệu khác, cho biết: “Người chơi thất vọng vì họ đã báo cáo điều này trong một năm”. “Một số nền tảng đã hoàn toàn phớt lờ chúng.”

Điều này bất chấp những dấu hiệu mà nhiều người cảm thấy đã quá rõ ràng.

CoinPoker cho biết danh tính thực sự được cho là của người chơi đã được biết sớm trong quá trình này, sau khi công ty tiến hành một cuộc phỏng vấn bảo mật webcam với họ vào tháng 2 năm 2025. Tên mà người chơi đưa ra khớp với tên người chơi mà sau này người chơi sử dụng trên GGPoker, yêu cầu người chơi sử dụng tên thật của họ làm tay cầm thay vì bút danh cho một số trò chơi đặt cược cao. (WIRED không nêu tên người chơi vì họ chưa bị buộc tội nào. Người chơi đã không trả lời nhiều yêu cầu bình luận về câu chuyện này). Người phát ngôn của CoinPoker cho biết nhóm của họ cũng đã liên hệ với ACR để thông báo những phát hiện của họ và không nhận được phản hồi. (Yêu cầu nhận xét từ WIRED tới ACR và GGPoker không nhận được phản hồi.)

Để ghi nhận công lao của mình, GGPoker đã thừa nhận sự cố và công bố một số bản sửa lỗi trong một bài đăng trên blog ngày 15 tháng 10, bao gồm cấm các công cụ của bên thứ ba và thêm tính năng phát hiện bất thường về tỷ lệ thắng. Trang web cũng cho biết họ đã truy tìm số tiền của kẻ tấn công bị cáo buộc vào tài khoản Coinbase và đã yêu cầu công ty tiền điện tử hạn chế tài khoản và bảo quản hồ sơ của mình; họ cho biết họ cũng cung cấp địa chỉ ví cho các cơ quan giám sát trong ngành và cơ quan thực thi pháp luật.

Nhưng ACR lại đi theo hướng ngược lại: Vào ngày 18 tháng 10, họ gửi email cho người chơi tuyên bố rằng nhóm bảo mật của họ không tìm thấy kết quả trò chơi nào bị xâm phạm hoặc hành vi sai trái và sẽ không hoàn lại bất kỳ khoản tiền nào — mặc dù, trong cùng một email, họ đã thông báo một tính năng mới để ngăn các công cụ xem từ xa chụp ảnh các lá bài trên tay người chơi.

Các thực thể khác đã thực hiện hành động cụ thể: Cả Jurojin và IntuitiveTables (thông qua kênh Discord) đều phát hành các công cụ giúp người dùng phát hiện xem vụ hack MeshAgent có ảnh hưởng đến máy của họ hay không. AceGuardian, một nhóm nghiên cứu thuộc A5 Labs, đã đưa ra một công cụ “phát hiện siêu người dùng” mã nguồn mở được thiết kế để sử dụng trên bất kỳ trang web poker nào. WolfSec cho biết anh đã gửi đơn khiếu nại tới Trung tâm Khiếu nại Tội phạm Internet, cơ quan tội phạm mạng của FBI và đã làm việc với người chơi để cải thiện bảo mật máy. FBI, khi WIRED yêu cầu bình luận, sẽ không xác nhận việc nhận cũng như bất kỳ chi tiết nào về khiếu nại này.

Nhưng những nỗ lực này sẽ chỉ thành công nếu các trang web xử lý những sự cố này một cách kỹ lưỡng hơn và không bắt đầu hành động sau các cuộc tấn công lớn.

“Cuối cùng, các trang web phải cấm người chơi,” Howard nói. “Tôi nghĩ họ đã đánh rơi quả bóng ở đây.”

Bình luận

Quay lại đầu trang