885.000 số điện thoại bị nhắm trong chiến dịch ví crypto giả

Khoảng 885.000 số điện thoại đã trở thành mục tiêu của một chiến dịch lừa đảo tiền mã hóa sử dụng ứng dụng ví giả. Kẻ tấn công giả danh bộ phận hỗ trợ khách hàng để chiếm đoạt cụm từ khôi phục (seed phrase) của người dùng.

Công ty an ninh mạng Rapid7 cho biết trong báo cáo công bố ngày 17 rằng chiến dịch này được đặt tên “Operation Asterix”. Hai nhà nghiên cứu Anna Sirokova (Anna Sirokova) và Jan Recinsky (Jan Recinsky) của Rapid7 cho biết họ đã phát hiện dữ liệu số điện thoại gốc, công cụ xác minh tài khoản, bảng điều khiển lừa đảo, kịch bản gọi thoại, ứng dụng ví giả và mã rò rỉ trên Telegram tại một thư mục web bị lộ.

Trong số dữ liệu mục tiêu, tệp lớn nhất chứa 316.002 số điện thoại di động tại Đức. Ngoài ra còn có danh sách liên quan đến Hong Kong, Bulgaria, Anh, Mỹ, các công ty fintech Canada và hãng ví Ledger.

Trong dữ liệu số điện thoại Đức, 43.066 tài khoản được xác định có liên kết với tài khoản người dùng tiền mã hóa. Rapid7 gọi đây là tỷ lệ trúng đích khoảng 13,6%.

Nhật ký thu hồi được cho thấy 5.576 tài khoản liên quan đến Binance đang nằm trong hàng chờ tấn công. Rapid7 cũng phát hiện công cụ dùng để kiểm tra hàng loạt xem một tài khoản có tồn tại trên Kraken hay không.

Kẻ tấn công dẫn dụ người dùng cài đặt ứng dụng giả mạo Ledger, Trezor và Exodus. Sau khi người dùng nhập cụm từ khôi phục dùng để phục hồi ví, kẻ tấn công sẽ chiếm quyền truy cập ví.

Cụm từ khôi phục là thông tin cốt lõi để khôi phục ví. Nếu người dùng nhập cụm từ này vào ứng dụng hoặc trang web giả, kẻ tấn công có thể chuyển ví hoặc rút tài sản.

Chiến dịch lần này không dừng lại ở việc thu thập danh sách số điện thoại. Kẻ tấn công đối chiếu số điện thoại với thông tin tài khoản sàn giao dịch, rồi kết hợp email hỗ trợ khách hàng giả và cuộc gọi điện thoại để tiếp cận nạn nhân.

Điểm đáng chú ý là cách thức này dễ tạo lòng tin hơn so với lừa đảo qua tin nhắn đơn thuần. Báo cáo của Rapid7 không đề cập đến việc số điện thoại Việt Nam có nằm trong danh sách mục tiêu hay không, nhưng cách giả danh trung tâm hỗ trợ của sàn giao dịch hoặc hãng ví hoàn toàn có thể được áp dụng với người dùng trong nước.

Rapid7 cũng phát hiện dấu vết cho thấy kẻ tấn công đã sử dụng công cụ lập trình AI trong quá trình phát triển chiến dịch. Các prompt, lịch sử dòng lệnh shell và tệp dự án thu hồi được cho thấy AI được dùng để đóng gói ứng dụng Electron, làm rối mã nguồn, xử lý lỗi khi build, chỉnh sửa hạ tầng lừa đảo và chuẩn bị phát tán mã độc.

Lừa đảo tiền mã hóa thường nhắm vào hành vi con người hơn là lỗ hổng kỹ thuật. Công ty bảo mật blockchain Hacken cho biết trong quý 1 năm nay, ngành tiền mã hóa thiệt hại tổng cộng 482 triệu USD, trong đó lừa đảo và thao túng tâm lý (social engineering) chiếm 306 triệu USD.

Điểm khác biệt của vụ việc lần này nằm ở việc số điện thoại, xác minh tài khoản sàn giao dịch, ứng dụng ví giả và liên hệ bằng giọng nói được kết hợp thành một quy trình liền mạch. Dữ liệu mà Rapid7 công bố không xác định số tiền thiệt hại cụ thể, chỉ xác nhận được hạ tầng tấn công và cách kẻ xấu chọn lọc mục tiêu.

Người dùng không nên nhập cụm từ khôi phục ví vào ứng dụng, trang web, email, cuộc gọi tư vấn hay kênh hỗ trợ khách hàng qua tin nhắn. Khi nhận được liên hệ tự xưng là sàn giao dịch hoặc hãng ví, người dùng nên tự mở ứng dụng hoặc trang web chính thức để kiểm tra thông báo trước khi làm theo bất kỳ hướng dẫn nào.