Một nhà đầu tư tiền điện tử đã mất 2,5 triệu đô la stablecoin sau khi trở thành nạn nhân của hai vụ lừa đảo phishing chuyển khoản giá trị bằng không trong vòng ba giờ. Vụ việc làm dấy lên lo ngại về các chiến thuật tấn công giả mạo địa chỉ.
Nhà đầu tư tiền điện tử mất 2,5 triệu đô la vì lừa đảo phishing kép
Một nạn nhân duy nhất đã bị lừa đảo hai lần trong vòng ba giờ, mất tổng cộng 2,5 triệu đô la stablecoin.
Theo dữ liệu được chia sẻ vào ngày 26 tháng 5 bởi công ty tuân thủ tiền điện tử Cyvers, nạn nhân đã gửi 843.000 USD giá trị USDt (USDT) và sau đó khoảng ba giờ, gửi thêm 2,6 triệu USDt. Cyvers cho biết vụ lừa đảo sử dụng một phương pháp được gọi là chuyển khoản giá trị bằng không, một hình thức lừa đảo onchain tinh vi.
Chuyển khoản giá trị bằng không là một kỹ thuật lừa đảo onchain lạm dụng các chức năng chuyển token để đánh lừa người dùng gửi tiền thật cho kẻ tấn công. Kẻ tấn công khai thác chức năng transferFrom để chuyển không token nào từ ví của nạn nhân đến một địa chỉ giả mạo.
Vì số lượng được chuyển là bằng không, nên không cần chữ ký bằng khóa riêng của nạn nhân để đưa vào onchain. Do đó, các nạn nhân sẽ thấy giao dịch đi trong lịch sử của họ.
Nạn nhân có thể tin tưởng địa chỉ này vì nó có trong lịch sử giao dịch của họ, nhầm nó là một người nhận đã biết hoặc an toàn. Sau đó, họ có thể gửi tiền thật đến địa chỉ của kẻ tấn công trong một giao dịch trong tương lai.
Trong một trường hợp nổi tiếng, một kẻ lừa đảo sử dụng tấn công phishing chuyển khoản bằng không đã đánh cắp 20 triệu đô la USDT trước khi bị nhà phát hành stablecoin đưa vào danh sách đen vào mùa hè năm 2023.
HÌNH THỨC NÂNG CAO CỦA TẤN CÔNG GIẢ MẠO ĐỊA CHỈ
Chuyển khoản giá trị bằng không được coi là một sự phát triển của tấn công giả mạo địa chỉ – một chiến thuật trong đó kẻ tấn công gửi một lượng nhỏ tiền điện tử từ một địa chỉ ví giống với địa chỉ thật của nạn nhân, thường có cùng các ký tự bắt đầu và kết thúc. Mục tiêu là đánh lừa người dùng vô tình sao chép và sử dụng lại địa chỉ của kẻ tấn công trong các giao dịch trong tương lai, dẫn đến mất tiền.
Kỹ thuật này khai thác cách người dùng thường dựa vào so khớp địa chỉ một phần hoặc lịch sử clipboard khi gửi tiền điện tử. Các địa chỉ tùy chỉnh có các ký tự bắt đầu và kết thúc tương tự cũng có thể được kết hợp với chuyển khoản giá trị bằng không.
MỐI ĐE DỌA GIA TĂNG TRÊN CÁC BLOCKCHAIN
Một nghiên cứu vào tháng 1 năm 2025 cho thấy hơn 270 triệu nỗ lực tấn công giả mạo đã xảy ra trên BNB Chain và Ethereum từ ngày 1 tháng 7 năm 2022 đến ngày 30 tháng 6 năm 2024. Trong số đó, 6.000 nỗ lực đã thành công, dẫn đến thiệt hại hơn 83 triệu đô la.
Báo cáo theo sau công ty an ninh mạng tiền điện tử Trugard và giao thức tin cậy onchain Webacy công bố một hệ thống dựa trên trí tuệ nhân tạo để phát hiện tấn công giả mạo địa chỉ ví tiền điện tử. Công cụ mới được cho là có điểm thành công là 97%, được kiểm tra trên các trường hợp tấn công đã biết.
Magazine: Crypto scam hub expose stunt goes viral, Kakao detects 70K scam apps: Asia Express
