Năm 2022 ghi nhận 303 sự cố tấn công thị trường tiền điện tử, các hacker chủ yếu sử dụng 5 mánh khóe phổ biến để đánh cắp tiền của các nhà đầu tư.
DeFi chuẩn bị tâm lý đối mặt với các vụ hack diễn ra với tần suất lớn
Sau quá trình nghiên cứu, công ty bảo mật blockchain SlowMist đã đưa ra 5 mánh khóe mà các hacker đã sử dụng trong việc xâm nhập bất hợp pháp và đánh cắp tài sản của các nhà đầu tư.
Trong năm 2022, ghi nhận 303 vụ đánh cắp dữ liệu và sự cố bảo mật blockchain, trong đó có 31,6% vụ việc lừa đảo, rugpull. Trước đó, Sở Bảo vệ và Đổi mới Tài chính California (DFPI) đã đưa ra 17 trang web tiền điện tử bị nghi ngờ lừa đảo đối với các nhà môi giới và website tiền điện tử.
Phần mềm chiếm bookmark
Một trong những mánh khóe chính là mạo danh trình duyệt, chiếm quyền điều khiển trình duyệt hiện tại và đánh cắp bookmark (quản lý dấu trang) cùng dữ liệu duyệt web. Các hacker đã lợi dụng điều này để chiếm quyền truy cập vào tài khoản Discord của chủ sở hữu dự án.
Cách thức mà chúng thực hiện là lừa đảo người dùng click và địa chỉ liên kết ma khi đăng nhập vào Discord. Trước đó, nhóm tội phạm sẽ chèn JavaScript code vào bookmarks thông qua các trang lừa đảo.
Người dùng vô tình truy cập vào web mạo danh sẽ khiến mã JavaScript được kích hoạt, lúc này hacker có được quyền truy cập vào thông tin của người dùng Discord và chủ dự án (bao gồm tên người dùng và mật khẩu truy cập).
Điều đáng nói, các tin tặc có thể đánh cắp tất cả các loại thông tin, bao gồm dữ liệu được tự động điền, thanh dấu trang, cookie trình duyệt, thông tin đăng nhập mạng riêng ảo (VPN), thông tin thẻ thanh toán, ví tiền điện tử, thông tin hệ điều hành, mật khẩu hay thậm chí cả Product Key của Windows.
Một số trình đánh cắp thông tin khác, cụ thể là Mercurial Grabber và 44Caliber cũng nhắm mục tiêu thông tin đăng nhập cho các nền tảng trò chơi phổ biến như Minecraft và Roblox.
Lừa đảo trên thị trường NFT
Sân chơi NFT khiến các nhà đầu tư đổ xô nghiên cứu và tham gia. Với mong muốn là những người tiên phong và gặt hái được những nguồn lợi khổng lồ, các ông lớn không ngần ngại chi cả hàng triệu USD để đạt được mục đích.
Theo SlowMist, trong số 22/56 các sự cố bảo mật NFT là kết quả của một cuộc tấn công và đánh cắp tài sản của người dùng.
Cách thức phổ biến mà tin tặc sử dụng chính là giả mạo người bán NFT để lừa người dùng ký vào các giao dịch NFT không có thực.
Ngoài ra, có một hình thức khác nữa là những kẻ lừa đảo tiếp cận người bán NFT trên thị trường và đặt giá thầu trên NFT bằng USDC (USD stablecoin). Tuy nhiên, họ lừa người bán tin rằng họ đang đặt giá thầu bằng WETH bằng cách sử dụng biểu tượng WETH làm ảnh hồ sơ của họ. Mối quan tâm ở đây là WETH có giá trị cao hơn nhiều so với USDC và như thế nhiều người đã bị lừa.
Trojan
Trojan là loại mã (virus/code độc) lây nhiễm máy tính ẩn trong các chương trình dường như vô hại hoặc sẽ cố lừa bạn cài đặt nó vào laptop.
Cách thức tấn công này thường xảy ra thông qua các tin nhắn riêng tư trên Discord, hacker sẽ mời bạn tham gia thử nghiệm một dự án mới, sau đó gửi một chương trình dưới dạng tệp nén có dung lượng khoảng 800 MB.
Sau khi tải xuống chương trình, tệp này sẽ quét các tệp chứa các cụm từ khóa như “ví” và tải chúng lên máy chủ của hacker.
Virus Trojan đánh lừa người dùng bằng cách thay cho việc tấn công trực tiếp bằng cửa trước rất dễ bị nhầm lẫn với phần mềm quét virus và tường lửa của máy tính phát hiện thì các tin tặc đã chèn mã độc vào bên trong các phần mềm khác.
“Blank Check” eth_sign
Cuộc tấn công “Blank Check” eth_sign cho phép các hacker sử dụng private key của bạn để ký bất kỳ giao dịch nào mà chúng chọn. Sau khi kết nối ví của bạn với một trang web lừa đảo, hộp ứng dụng chữ ký có thể bật lên với cảnh báo màu đỏ từ MetaMask.
Sau khi ký, nhóm hacker sẽ có quyền truy cập vào chữ ký của bạn và yêu cầu bạn ký thông qua ETHSign – một dapp ký kết các thỏa thuận điện tử, được xây dựng trên Ethereum.
Scam số cuối tài khoản giống nhau
Nhóm tấn công sẽ “nhử mồi” bằng 1 lượng nhỏ token/stablecoin có giá trị 0,1 USDT hoặc 0,001 USDT tới các tài khoản có địa chỉ tương đối giống nhau trừ một vài số cuối cùng.
Mục đích chính là bẫy người dùng sao chép sai địa chỉ trong lịch sử chuyển tiền của họ.
Ghi nhận nhiều dự án mạo hiểm sử dụng cầu nối cross-chain (Cross-chain bridge), đây vốn là mục tiêu của những tên trộm công nghệ. Theo thống kê, đã có 1,4 tỷ USD bị đánh cắp trong năm 2022.
Các vụ việc đánh cắp private key chiếm 6,6% các cuộc tấn công. Trong 10 vụ hack lớn nhất ngành tiền mã hoá năm 2022, đã có đến 4 vụ hack liên quan đến các cross-chain bridge như Ronin Network, Wormhole, Nomad, Harmony với tổng thiệt hại lên đến hơn 1,2 tỷ USD.
Nguồn Cointelegraph
Trader_Z
Các quan điểm và ý kiến được thể hiện bởi tác giả, hoặc bất kỳ người nào được đề cập trong bài viết này, chỉ nhằm mục đích cung cấp thông tin và chúng không cấu thành lời khuyên về tài chính, đầu tư hoặc các lời khuyên khác.