Một nhà đầu tư tiền điện tử đã được báo cáo mất 783 Bitcoin, trị giá hơn 91 triệu đô la, trong một trong những vụ lừa đảo kỹ thuật xã hội lớn nhất trong lịch sử gần đây. Sự việc ngày 19 tháng 8, được phát hiện bởi điều tra viên trên chuỗi ZachXBT, nhấn mạnh những lỗ hổng con người dai dẳng trong bảo mật tiền điện tử - ngay cả đối với những người dùng có kinh nghiệm.
Trong khi hầu hết các tiêu đề về tiền điện tử tập trung vào các cuộc khai thác hợp đồng thông minh và vi phạm sàn giao dịch, cuộc tấn công mới nhất này là một ví dụ điển hình về cách những kẻ lừa đảo vượt qua các hệ thống phức tạp bằng cách thao túng sự tin tưởng.
Trong trường hợp này, kẻ tấn công được cho là đã đóng giả làm hỗ trợ khách hàng cho cả sàn giao dịch tiền điện tử và nhà cung cấp ví phần cứng, thuyết phục nạn nhân cung cấp thông tin nhạy cảm dưới vỏ bọc hỗ trợ kỹ thuật.
Mức độ của cuộc tấn công - một trong những vụ trộm tiền điện tử kỹ thuật xã hội lớn nhất được biết đến cho đến nay - là một lời nhắc nhở rõ ràng rằng liên kết yếu nhất trong chuỗi bảo mật thường không phải là mã, mà là hành vi của con người.
Vụ trộm 91 triệu đô: Những điều chúng ta biết cho đến nay
Sự việc này được phát hiện khi ZachXBT, một nhà điều tra blockchain ẩn danh, báo cáo về sự chuyển động đột ngột của một lượng lớn BTC. Theo dữ liệu trên chuỗi và tweet của ZachXBT ngày 21 tháng 8, 783 BTC bị đánh cắp đã được chuyển ngay sau khi vi phạm, với nhiều khoản tiền được chảy vào Wasabi Wallet, một dịch vụ trộn Bitcoin nổi tiếng với các tính năng tăng cường quyền riêng tư.
“Một nạn nhân gần đây đã mất 783 BTC (~91 triệu đô) trong một cuộc lừa đảo kỹ thuật xã hội. Các quỹ đã di chuyển trong tuần này qua Wasabi,” ZachXBT viết trên X (trước đây là Twitter).
Mặc dù danh tính của nạn nhân chưa được tiết lộ, quy mô của vụ trộm cho thấy mục tiêu có khả năng là một cá nhân có giá trị ròng cao hoặc nhà đầu tư tổ chức. Cách tiếp cận của kẻ tấn công - đóng giả làm đại diện sàn giao dịch và kỹ thuật viên ví phần cứng - dường như được chế tác cẩn thận để khai thác lòng tin và sự bối rối.
Cuộc lừa đảo được cho là liên quan đến nhiều cấp độ giả danh và chiến thuật phishing, nơi kẻ tấn công bắt đầu liên lạc và dần thuyết phục nạn nhân tiết lộ các thông tin bảo mật quan trọng, có thể bao gồm cả khóa riêng hoặc cụm từ khôi phục.
Kỹ thuật xã hội là gì - và tại sao nó nguy hiểm như vậy?
Các cuộc tấn công kỹ thuật xã hội không dựa vào xâm nhập vào hệ thống, mà dựa vào thao túng người để tự họ cấp quyền truy cập. Trong thế giới tiền điện tử, điều này thường xuất hiện dưới dạng:
- Hỗ trợ kỹ thuật giả mạo liên hệ với người dùng để giúp với "vấn đề tài khoản"
- Những người giả danh trên Discord, Telegram hoặc email giả làm thành viên nhóm hoặc nhà cung cấp ví
- Liên kết hay tệp tin tải xuống độc hại từ những thực thể có vẻ đáng tin cậy
- Deepfake hoặc lừa đảo qua giọng nói (vishing) để giả mạo nhân viên thực thụ
Không giống như các vụ tấn công sức mạnh hoặc khai thác hợp đồng thông minh, kỹ thuật xã hội không yêu cầu vi phạm kỹ thuật, làm cho nó cực kỳ khó phát hiện cho đến khi quá muộn.
Và với các giao dịch không thể đảo ngược của tiền điện tử, một khi quỹ đã được chuyển, gần như không thể phục hồi - đặc biệt khi được rửa qua các công cụ bảo vệ quyền riêng tư như Wasabi hoặc máy trộn như ChipMixer và Tornado Cash.
Lịch sử lặp lại: Tiếng vang của vụ tấn công Genesis năm 2024
Vụ trộm 91 triệu đô trong tuần này cũng xảy ra gần một năm sau một vụ lừa đảo lớn tương tự, trong đó kẻ tấn công đã đánh cắp 243 triệu đô từ các chủ nợ của Genesis bằng các phương pháp kỹ thuật xã hội. Trong trường hợp đó, những kẻ tấn công giả danh các quản trị viên đáng tin cậy và thuyết phục người dùng ký vào các giao dịch độc hại hoặc cung cấp cụm từ khôi phục.
Thời điểm này đã khiến một số nhà phân tích bảo mật nghi ngờ, gợi ý rằng các vụ lừa đảo quy mô lớn có thể được lên kế hoạch chiến lược để trùng khớp với các ngày quan trọng - kỷ niệm các cuộc tấn công trước đó, sự kiện thị trường lớn, hoặc cập nhật giao thức - khi sự phân tán và quá tải nhận thức có thể làm giảm cảnh giác.
Trong khi ngành công nghiệp tiền điện tử đã có những bước tiến đáng kể trong lưu trữ lạnh, ví đa chữ ký, thiết bị phần cứng và truy cập sinh trắc học, không công cụ nào trong số này có thể bảo vệ hoàn toàn chống lại tầng lớp con người. Theo dữ liệu từ Chainalysis và CertiK, kỹ thuật xã hội chiếm hơn 25% tổng số tổn thất lớn trong ngành công nghiệp tiền điện tử năm 2024, chỉ đứng sau lỗi hợp đồng thông minh.
Và đối tượng không chỉ là người mới. “Chúng tôi đang thấy các nhà đầu tư tinh vi rơi vào những trò lừa đảo này,” ông Chris Blec, chuyên gia an ninh mạng nói. “Những người giả danh thường kiên nhẫn, thông thạo thông tin, và kỹ năng thao túng tâm lý. Họ không đoán mật khẩu - họ đang kiếm được lòng tin.”
Dấu hiệu cảnh báo và bài học cho các nhà đầu tư
Sự việc này là một ví dụ đáng sợ về sự cần thiết phải cẩn trọng, hoài nghi, và áp dụng các giao thức xác minh. Các chuyên gia khuyến nghị các biện pháp tốt sau:
- Không bao giờ chia sẻ cụm từ khôi phục hoặc khóa riêng - không dịch vụ hợp pháp nào yêu cầu điều đó.
- Xác minh các liên hệ hỗ trợ một cách độc lập - sử dụng trang web chính thức, không phải liên kết gửi qua DM hoặc email.
- Kích hoạt danh sách trắng giao dịch và cảnh báo ví phần cứng đối với tất cả các giao dịch gửi đi.
- Sử dụng thiết lập đa chữ ký nơi mà một bên không thể di chuyển quỹ một mình.
- Giáo dục các thành viên trong nhóm và gia đình - đặc biệt là những người tham gia vào quản lý các ví chung hoặc tổ chức.
Các nhà cung cấp ví, sàn giao dịch, và nền tảng DeFi cũng chịu trách nhiệm. Hiện nhiều công ty đã triển khai các cảnh báo mạo danh hỗ trợ, cảnh báo lừa đảo thời gian thực, và các chiến dịch giáo dục người dùng để ngăn chặn các sự cố này. Tuy nhiên, như trường hợp này cho thấy, cần nhiều nỗ lực hơn nữa.
Tại sao các công cụ bảo mật quyền riêng tư làm phức tạp nỗ lực phục hồi
Một trong những thách thức lớn nhất trong việc phục hồi tiền điện tử bị đánh cắp là che giấu qua các ví và máy trộn quyền riêng tư. Trong trường hợp này, nhiều BTC bị đánh cắp đã được gửi đến Wasabi Wallet, một nền tảng sử dụng CoinJoin - một giao thức trộn kết hợp các giao dịch của nhiều người dùng để phá vỡ dấu vết.
Trong khi các công cụ bảo mật quyền riêng tư phục vụ cho các mục đích chính đáng, chẳng hạn như bảo vệ tiền của các nhà hoạt động và che giấu danh tính người dùng khỏi sự giám sát, chúng cũng có thể được dùng để rửa tiền trái phép và làm phức tạp công tác điều tra blockchain.
Do đó, cơ quan thực thi pháp luật gặp phải những hạn chế nghiêm trọng trong việc theo dõi hoặc đóng băng tiền điện tử bị đánh cắp, trừ khi kẻ tấn công mắc lỗi hoặc cố gắng rút tiền qua một sàn giao dịch đã được quản lý.
Việc giám sát liên tục của ZachXBT có thể giúp truy vết các chuyển động tiếp theo, nhưng nếu không có danh tính ngoài đời thực hoặc sự tham gia của KYC của sàn, khả năng phục hồi vẫn mờ mịt.
Phản hồi của ngành: Giáo dục, trải nghiệm người dùng, và phát hiện lừa đảo sử dụng trí tuệ nhân tạo
Trong tình huống xảy ra lần này, các chuyên gia bảo mật lại kêu gọi cải thiện việc hướng dẫn người dùng, bao gồm mô phỏng lừa đảo, hướng dẫn tương tác và hệ thống phát hiện gian lận với trí tuệ nhân tạo có khả năng cảnh báo hành vi đáng ngờ trước khi tiền bị xâm phạm.
Các công ty như Ledger, Trezor, Coinbase, và MetaMask đã bắt đầu kết hợp cảnh báo lừa đảo thời gian thực, tích hợp danh sách đen lừa đảo, và xác minh hỗ trợ trong ví. Tuy nhiên, hầu hết các hệ thống này vẫn là tùy chọn - và chưa hiệu quả hoàn toàn.
Một số đề xuất xây dựng các tầng nhận dạng phi tập trung và danh tiếng ví vào các giao thức tương lai, cho phép người dùng xác minh các đại lý hỗ trợ chính thức hoặc tạo điểm tin cậy cho địa chỉ ví. Nhưng điều này vẫn đang ở giai đoạn phát triển sớm.
Suy nghĩ cuối cùng
Mất 783 BTC do một cuộc tấn công kỹ thuật xã hội là một trong những lời nhắc nhở lớn nhất và thấm thía rằng bảo mật tiền điện tử không chỉ là kỹ thuật - đó là sự canh chừng của con người. Khi sự chấp nhận Web3 tăng lên, sự tinh vi của những trò lừa đảo cũng phát triển tương ứng.
Mặc dù các cuộc kiểm toán mã, thiết lập đa chữ ký, và tầng quyền riêng tư là quan trọng, phòng thủ quan trọng nhất vẫn là giáo dục và hoài nghi. Trong một hệ thống tài chính không cần phép, không thể đảo ngược, một sai lầm nhỏ có thể tiêu tan một cuộc đời tích lũy.
Cho đến khi ngành công nghiệp tìm thấy cách tốt hơn để bảo vệ người dùng khỏi chính họ, kỹ thuật xã hội sẽ tiếp tục là mối đe dọa dai dẳng nhất của tiền điện tử.