Tài khoản YY520CN xuất hiện trong hồ sơ điều tra lỗ hổng NFT

Tài khoản Telegram “YY520CN”, được cho là có liên quan đến các cuộc tấn công nhằm vào tổ chức tài chính Hàn Quốc, cũng xuất hiện trong hồ sơ điều tra lỗ hổng của một sàn giao dịch quà tặng NFT. CrowdStrike cho biết tên tài khoản trùng khớp trong hai hồ sơ.

Công ty an ninh mạng Mỹ CrowdStrike công bố phát hiện này trong báo cáo ngày 7, sau khi phân tích nhật ký hội thoại với công cụ AI liên quan đến các cuộc tấn công. Công ty cũng cho biết cùng tên tài khoản được dùng trong hoạt động có khả năng nhắm vào một nền tảng thanh toán của Trung Quốc.

CrowdStrike tìm thấy nhật ký cho thấy kẻ tấn công yêu cầu công cụ lập trình AI Claude Code viết hồ sơ xin việc cho một nhà nghiên cứu bảo mật. Yêu cầu có thông tin nhận dạng như tài khoản Telegram, nơi cư trú tại thành phố Mậu Danh, tỉnh Quảng Đông, Trung Quốc và trình độ học vấn.

Hồ sơ cũng định đề cập đến hoạt động liên quan đến ARTEX, công cụ được cho là đã dùng trong cuộc tấn công vào tổ chức tài chính Hàn Quốc. Báo cáo mô tả ARTEX là công cụ tìm kiếm lỗ hổng bảo mật. Tuy nhiên, hồ sơ có điểm không khớp giữa tuổi và năm sinh, nên CrowdStrike chưa xác nhận thông tin nhận dạng có thuộc về kẻ tấn công thực sự hay không.

Kẻ tấn công cũng hỏi AI cách tìm các kênh bán dữ liệu cá nhân bị rò rỉ tại Hàn Quốc và các nhóm Telegram liên quan. CrowdStrike đánh giá nhận định về việc đối tượng sử dụng tiếng Trung và có động cơ tài chính ở mức độ tin cậy “trung bình”.

Việc trùng tên tài khoản cho thấy cùng một tên xuất hiện trong hồ sơ liên quan đến cuộc tấn công tổ chức tài chính và hồ sơ điều tra lỗ hổng nền tảng NFT. Riêng dữ kiện này chưa đủ để kết luận hai hoạt động do cùng một người thực hiện; việc nền tảng NFT có thực sự bị xâm nhập hay không cũng chưa được xác nhận.