Proxy cư trú là internet của ai đó tại nhà. Không phải là "bể 100 triệu IP" trừu tượng, mà là một bộ định tuyến, tivi hoặc điện thoại cụ thể, qua đó lưu lượng truy cập của người khác đang diễn ra vào thời điểm này. Câu hỏi mà hầu như không ai đặt ra khi mua: ai và với giá bao nhiêu đã đồng ý cho đi kênh này. Câu trả lời xác định chất lượng của bể, tình trạng pháp lý của nó, và khả năng bạn đang chia sẻ nút ra với phần mềm độc hại của người khác.
Vào năm 2026, câu hỏi này lần đầu tiên có những con số rõ ràng. Bitsight TRACE đã liệt kê các nút của 30 dịch vụ proxy, Infoblox đã xem xét vấn đề từ góc độ mạng doanh nghiệp, và các khoản thanh toán của các dịch vụ "thu nhập thụ động" nằm trong quyền truy cập công khai. Chúng ta tổng hợp tất cả lại và tính toán kinh tế.
Ba nguồn IP cư trú
Bất kỳ bể cư trú nào cũng được hình thành theo một trong ba cách, và chúng hoàn toàn khác nhau.
- Chia sẻ tự nguyện có trả tiền. Người dùng cài đặt ứng dụng như Honeygain, Pawns.app hoặc EarnApp và nhận thanh toán cho lưu lượng truy cập đã cho đi. Sự đồng ý là có, nó là sự đồng ý có ý thức, chủ sở hữu có thể tắt ứng dụng bất cứ lúc nào.
- SDK trong phần mềm miễn phí. Nhà phát triển tích hợp thư viện proxy vào ứng dụng của mình — VPN, trình chuyển đổi tệp, khách hàng phát trực tuyến — và nhận tiền cho mỗi thiết bị được cài đặt. Người dùng về mặt hình thức đã "đồng ý", khi chấp nhận EULA, nhưng không đưa ra lựa chọn có ý thức.
- Lây nhiễm. Thiết bị bị đưa vào bể thông qua infostiler hoặc cửa hậu được cài đặt sẵn trên bộ giải mã tivi giá rẻ. Không có sự đồng ý nào cả.
Cả ba loại này được bán dưới một nhãn hiệu "proxy cư trú" và với cùng một mức giá. Sự khác biệt chỉ có thể thấy qua các dấu hiệu gián tiếp — và chính vì vậy, bạn cần biết cách đọc chúng.
Giá thanh toán cho một gigabyte lưu lượng truy cập tại nhà
Các mức giá của kênh đầu tiên là công khai, không khó để đối chiếu:
- Pawns.app — cố định $0,20 cho mỗi gigabyte, thanh toán tối thiểu $5.
- EarnApp — khoảng $0,36 cho mỗi gigabyte ở Mỹ và lên đến $0,24 ở các khu vực khác; theo các ước tính khác, khoảng giá rộng hơn, $0,30–0,90 tùy thuộc vào địa lý. Mức tối thiểu là $2,50.
- Honeygain — 3 tín dụng cho 10 MB, nhu cầu và tỷ lệ thực tế phụ thuộc nhiều vào quốc gia (lưu lượng từ Mỹ đắt hơn lưu lượng từ Ấn Độ). Thanh toán tối thiểu là $20.
Kết quả thực tế cho kết nối tại nhà ở Mỹ khi đồng thời chạy nhiều ứng dụng là khoảng một đô la mỗi ngày. Đây chính là giới hạn trên của "thu nhập thụ động": không phải là một doanh nghiệp, mà chỉ là một khoản nhỏ cho việc đăng ký.
Giờ đây, phần thứ hai của phương trình. Giá bán lẻ lưu lượng cư trú từ các nhà cung cấp lớn vào năm 2026 — từ $3,75 cho mỗi gigabyte tại Decodo (trước đây là Smartproxy) đến $8 cho mỗi gigabyte tại Bright Data theo mức giá trả theo mức sử dụng. Lưu lượng từ trung tâm dữ liệu có giá khoảng $0,60 cho mỗi gigabyte.
So sánh: chủ sở hữu kênh nhận được $0,20–0,36, người mua cuối cùng trả $3,75–8. Sự chênh lệch 15–30 lần này không phải là sự tham lam của trung gian, mà là chi phí cho tất cả những gì ở giữa: cơ sở hạ tầng quay vòng, loại bỏ các nút chết, nhắm mục tiêu địa lý, hỗ trợ, rủi ro pháp lý. Nhưng hiểu được quy mô con số giải thích điều chính: một phần của thị trường có cám dỗ mạnh mẽ để không trả tiền cho chủ sở hữu thiết bị. Chính từ đó mà các kênh số hai và ba phát sinh.
Bể tự nguyện cũng có một hạn chế cấu trúc mà hiếm khi được đề cập. Người sẵn sàng giữ ứng dụng mở để kiếm một đô la mỗi ngày là một đối tượng hẹp, và phân bố của họ không đồng đều: có nhiều người tham gia ở nơi internet rẻ và ít ở nơi nhu cầu về địa chỉ cao nhất. Từ đó dẫn đến tình trạng thiếu hụt thường xuyên về "địa lý đắt tiền" và cám dỗ để lấy chúng thông qua SDK trong phần mềm miễn phí, nơi mà chủ sở hữu thiết bị không cần phải trả tiền. Khi nhà cung cấp hứa hẹn hàng chục triệu địa chỉ ở một quốc gia phương Tây cụ thể với giá thấp hơn nhiều so với thị trường, toán học của kênh tự nguyện không giải thích được quy mô đó.
15% các nút bị lây nhiễm: đo lường thay vì đoán mò
Bitsight TRACE đã thực hiện việc liệt kê các nút từ ngày 19 tháng 1 đến ngày 15 tháng 3 năm 2026 — 55 ngày quan sát, 53.346.368 địa chỉ IP duy nhất và gần 990 triệu sự kiện từ 30 dịch vụ proxy. Các bể lớn nhất theo hoạt động cao điểm: NetNut — 2,3 triệu nút, LunaProxy — 1,85 triệu, 711Proxy — 1,65 triệu, 922Proxy — 1,64 triệu, ThunderProxy — 1,47 triệu.
Tiếp theo, các nhà nghiên cứu đã so sánh các địa chỉ này với telemetry về phần mềm độc hại:
- 15,49% địa chỉ (8.222.677 IP) cho thấy dấu hiệu lây nhiễm hoạt động;
- 12,78% (6.785.708 IP) — hoạt động riskware;
- trong số các họ đã tìm thấy — Vo1d, Badbox, RootSTV/Pandoraspear, Gamarue.
Cần thận trọng trong việc diễn giải. Mức độ lây nhiễm cơ bản toàn cầu trên tất cả các địa chỉ là tương đương — 14–21%, tức là tỷ lệ phần trăm này không chứng minh rằng các bể được cấu thành từ botnet. Quan trọng hơn là: các nút của các dịch vụ cụ thể chắc chắn giao thoa với các họ phần mềm độc hại TV cụ thể. Một ví dụ điển hình — chiến dịch tháng 1 năm 2026 chống lại IPIDEA: trước khi bị tắt, cơ sở hạ tầng của nó đã chịu 302.238 lây nhiễm Vo1d, tức là 55% toàn bộ botnet toàn cầu, và một phần ba các nút RootSTV. Đến ngày 24 tháng 1, dịch vụ đã phục hồi về 2,24 triệu nút và khoảng 300.000 lây nhiễm Vo1d trước đó.
Một bức tranh tương tự cũng đã xảy ra trong sự kiện ồn ào nhất của năm: vào ngày 2 tháng 7 năm 2026, Nhóm Tình báo Đe dọa của Google cùng với FBI, IRS-CI và Lumen đã tắt NetNut — mạng dựa trên hơn hai triệu TV thông minh, bộ giải mã phát trực tuyến và thiết bị Android bị đánh cắp. Trong một tuần của tháng 6, họ đã đếm được 316 cụm mối đe dọa riêng biệt, sử dụng các nút ra để ngụy trang. Phân tích chi tiết về cách các nền tảng như LG bắt đầu loại bỏ proxy-SDK khỏi các tivi, chúng tôi đã thực hiện riêng.
65% mạng doanh nghiệp đã tham gia vào điều này
Phần bị đánh giá thấp nhất trong câu chuyện là "lưu lượng tại nhà" thực sự thường là lưu lượng văn phòng. Infoblox đã phân tích các yêu cầu DNS của khách hàng đám mây của mình và nhận được kết quả mà khó có thể bỏ qua:
- hơn 65% khách hàng vào năm 2026 đã truy cập vào các miền của dịch vụ proxy cư trú;
- trong ngành dược phẩm và thực phẩm — hơn 90% tổ chức;
- trong các lĩnh vực ngân hàng và nhà nước — hơn 60%;
- ít nhất trong bất kỳ lĩnh vực nào — 40%;
- tổng khối lượng yêu cầu DNS đến các miền proxy đã tăng từ khoảng 300–400 tỷ mỗi tháng vào đầu năm 2025 lên hơn 500 tỷ vào tháng 4 năm 2026.
Cơ chế rất đơn giản: nhân viên cài đặt ứng dụng kiếm tiền từ lưu lượng trên máy tính xách tay làm việc, tiện ích mở rộng cho trình duyệt hoặc khách hàng phát trực tuyến miễn phí với SDK được nhúng — và địa chỉ doanh nghiệp bắt đầu phục vụ các yêu cầu của người khác. Đối với bộ phận an ninh, điều này có nghĩa là lưu lượng ra của công ty đột nhiên không còn thuộc về công ty nữa, và IP của nó có thể bị đưa vào danh sách đen vì hành động của người khác.
Điều gì cần làm với điều này cho quản trị viên: tìm kiếm trong các nhật ký DNS các yêu cầu đến các miền của dịch vụ kiếm tiền từ lưu lượng, chặn chúng trên máy phân giải, cấm cài đặt các ứng dụng như vậy bằng chính sách và kiểm tra riêng các thiết bị đột nhiên tạo ra nhiều kết nối ra ngoài trong giờ không làm việc. Đối với các nhiệm vụ làm việc hợp pháp, nơi cần địa chỉ bên ngoài, có các proxy được quản lý ở cấp độ mạng — với nhật ký, kiểm soát và trách nhiệm rõ ràng.
Điều gì cần lưu ý cho người mua proxy
Kết luận thực tiễn không phải là "proxy cư trú là xấu" — chúng vẫn là công cụ hữu ích ở những nơi cần địa chỉ nhà thực sự. Kết luận là nguồn gốc của bể đã không còn là một khái niệm trừu tượng và ảnh hưởng trực tiếp đến những gì bạn sẽ nhận được cho số tiền của mình.
Ảnh hưởng thực tiễn của bể bẩn: nút ra của bạn đồng thời được sử dụng bởi phần mềm độc hại của người khác cho việc tấn công password spray hoặc gửi thư; địa chỉ bị đưa vào danh sách chặn; tỷ lệ thành công của bạn giảm, và bạn quy trách nhiệm cho "các hệ thống chống bot yếu". Thêm vào đó là rủi ro về danh tiếng và pháp lý: lưu lượng đi qua thiết bị mà chủ sở hữu không biết về bạn.
Những điều cần hỏi nhà cung cấp trước khi mua:
- IP đến từ đâu. Câu trả lời rõ ràng sẽ là "các ứng dụng đối tác có thanh toán" hoặc "dải ISP theo hợp đồng", chứ không phải "mạng lớn nhất thế giới".
- Có loại bỏ không. Nhà cung cấp có loại bỏ các nút đã xuất hiện trong danh sách chặn và nguồn cấp dữ liệu phần mềm độc hại không — và tần suất như thế nào.
- Thế nào về các đảm bảo cho lưu lượng. Hoàn tiền cho các yêu cầu không thành công và thanh toán minh bạch gián tiếp cho thấy rằng nhà cung cấp tự tin vào chất lượng của các nút.
- Có cần loại cư trú không. Đối với nhiều nhiệm vụ, proxy trung tâm dữ liệu với giá rẻ hơn gấp sáu lần là đủ, và ở những nơi cần địa chỉ nhà sống, câu hỏi về nguồn gốc được giải quyết bằng cách chọn nhà cung cấp, chứ không phải loại proxy.
Cần kiểm tra riêng cách mà bể của bạn trông như thế nào từ phía bảo vệ: các thiết bị phát hiện năm 2026 nhận diện các nút cư trú không phải qua ASN, mà qua các dấu hiệu hành vi và mạng — cách mà IP intelligence hiện đại được cấu thành, chúng tôi đã phân tích chi tiết. Nếu bể bị ô nhiễm, điều đó sẽ rõ ràng với bạn qua các chỉ số và hệ thống chống bot qua dữ liệu của nó.
Tóm tắt
Bể cư trú là một nền kinh tế, chứ không phải là ma thuật. Chủ sở hữu kênh tại nhà nhận được $0,20–0,36 cho mỗi gigabyte, người mua cùng một gigabyte được bán với giá $3,75–8, và trong sự chênh lệch này chứa đựng toàn bộ sự khác biệt giữa bể đối tác trung thực và mạng trên các thiết bị bị lây nhiễm. Các phép đo năm 2026 cho thấy rằng 15,49% trong số 53 triệu nút được liệt kê có dấu hiệu lây nhiễm hoạt động, và 65% mạng doanh nghiệp đã tham gia vào lưu lượng này theo cách này hay cách khác.
Kết luận thực tiễn duy nhất: hãy hỏi về nguồn gốc của các địa chỉ trước khi mua, chứ không phải sau khi có lệnh cấm hàng loạt đầu tiên. Proxy cư trú nên được mua ở những nơi thực sự cần thiết, và từ nhà cung cấp có thể giải thích nguồn gốc của IP — chúng tôi đã tổng hợp các tiêu chí lựa chọn trong một danh sách kiểm tra riêng.
```