Tin tặc tung “chiêu độc” để lấy cắp tiền điện tử của người dùng

Nhiều người sở hữu các loại tiền điện tử tại Việt Nam và trên thế giới đã dính phải “chiêu lừa” của các tin tặc, khiến họ mất đi một lượng tiền điện tử giá trị lớn.

Với việc các loại tiền điện tử ngày càng tăng giá và ngày càng nhiều người đổ tiền vào đầu tư, thị trường tiền điện tử trở thành “mảnh đất màu mỡ” của tin tặc. Nhiều người nắm giữ tiền điện tử đã bị mất một số tiền giá trị lớn sau khi dính “chiêu lừa” của các tin tặc.

Mới đây, hãng nghiên cứu bảo mật Check Point Research đã lên tiếng cảnh báo về một hình thức lừa đảo mới nhằm vào những người đang nắm giữ tiền điện tử trên phạm vi toàn cầu, bao gồm cả Việt Nam. Theo đó, tin tặc sẽ tạo ra những trang web hoặc extension (phần mềm mở rộng trên trình duyệt) giả mạo, với giao diện giống hệt trang web hoặc extension của các loại ví tiền điện tử phổ biến, như Phantom App, MetaMask hay PancakeSwap…

Giao diện của trang web lừa đảo giống hệt trang web thật

Không dừng lại ở đó, tin tặc sẽ chi tiền để mua quảng cáo trên Google để đưa các trang web lừa đảo của mình lên top đầu trong danh sách tìm kiếm. Nhiều người không kiểm tra kỹ đường dẫn của trang web đã truy cập nhầm vào các trang web giả mạo, thay vì trang web thực sự của các ví tiền điện tử.

Trên trang web giả mạo này sẽ có hộp thoại để yêu cầu người dùng đăng nhập vào tài khoản ví điện tử. Nhiều người dùng không nhận ra các trang web giả mạo đã không ngần ngại điền thông tin đăng nhập, sau đó điền mã xác nhận mật khẩu OTP (được cấp thông qua ứng dụng trên smartphone) để đăng nhập vào tài khoản ví điện tử.

Chỉ trong một thời gian ngắn, tin tặc sẽ sử dụng các thông tin đăng nhập này (bao gồm cả mã OTP) để truy cập vào ví điện tử của người dùng và lấy cắp sạch toàn bộ số tiền điện tử đang có trong đó.

Trong trường hợp nạn nhân truy cập vào trang web giả mạo và tạo một ví điện tử mới, họ sẽ được cấp một Recovery Phrase (cụm từ khôi phục tài khoản, là chuỗi 12 từ tiếng Anh người dùng có thể sử dụng để đăng nhập vào ví điện tử trên bất kỳ thiết bị nào). Trong trường hợp nạn nhân sử dụng cụm từ khôi phục tài khoản này để đăng nhập, họ sẽ đăng nhập vào tài khoản của tin tặc và mọi khoản tiền được chuyển vào đó thực chất sẽ được chuyển đến ví điện tử của tin tặc.

Theo nghiên cứu của các chuyên gia bảo mật Check Point Research, chỉ trong vòng vài ngày gần đây, các tin tặc đã lấy cắp số tiền điện tử trị giá hơn 500.000 USD trên toàn cầu nhờ vào chiêu lừa này.

Trên các hội nhóm giao dịch tiền điện tử tại Việt Nam, nhiều người cũng đã phản ánh mình bị mất toàn bộ tiền điện tử trong ví vì dính phải những “chiêu lừa” tương tự như Check Point Research đã cảnh báo.

Trang web giả mạo (phanton.app) thậm chí còn xuất hiện phía trên trang web thật (phantom.app) trên công cụ tìm kiếm Google

Do tính ẩn danh của các giao diện tiền điện tử, việc xác định danh tính của những kẻ lừa đảo và lấy cắp tiền từ ví điện tử là bất khả thi, do vậy, các nạn nhân đành phải chấp nhận mất trắng số tiền của mình mà không thể xác định được thủ phạm.

“Tôi tin rằng chúng ta đang đứng trước xu hướng tội phạm mạng mới, nơi những kẻ lừa đảo sẽ sử dụng công cụ tìm kiếm của Google để làm phương tiện tấn công, thay vì lừa đảo qua email như trước đây”, Oded Vanunu, Giám đốc Nghiên cứu lỗ hổng bảo mật của Check Point cho biết. “Theo quan sát của chúng tôi, mỗi quảng cáo của tin tặc trên Google đều được lựa chọn từ khóa một cách cẩn thận để nổi bật trên kết quả tìm kiếm. Các trang web lừa đảo được thiết kế một cách tỉ mỉ và giống hệt trang web thật”.

“Tôi kêu gọi cộng đồng tiền điện tử phải kiểm tra thật kỹ đường dẫn của các trang web mà mình truy cập để tránh mắc bẫy của tin tặc vào thời điểm này”, Vanunu cho biết thêm.

Phát hiện của Check Point Research đã gióng lên một hồi chuông cảnh báo về chất lượng của các quảng cáo trên Google, khi công cụ tìm kiếm này đã không kiểm duyệt kỹ càng các nội dung được quảng cáo trên trang web của mình.

Sau khi Check Point công bố báo cáo về chiêu thức lừa đảo tiền điện tử, phía Google đã lập tức xóa bỏ những quảng cáo của các trang web lừa đảo.

“Hành vi này vi phạm các chính sách của chúng tôi và chúng tôi đã lập tức xóa các nội dung quảng cáo và tạm ngưng các tài khoản quảng cáo vi phạm. Chúng tôi luôn điều chỉnh các cơ chế hoạt động của mình để ngăn chặn các hành vi vi phạm này”, đại diện của Google cho biết.

Theo một nghiên cứu của GOBankingRates, trang web chuyên đánh giá về các dịch vụ ngân hàng và tài chính, 2020 là năm đạt kỷ lục về số vụ lừa đảo liên quan đến tiền điện tử, với hơn 26.500 vụ lừa đảo được báo cáo, khiến các nạn nhân mất số tiền hơn 419 triệu USD. Số các vụ lừa đảo liên quan đến tiền điện tử có xu hướng tiếp tục tăng mạnh trong năm 2021. Theo một cuộc khảo sát của công ty tư vấn tài chính Motley Fool, chỉ trong quý I/2021, đã có 14.079 vụ lừa đảo liên quan đến tiền điện tử được ghi nhận tại riêng nước Mỹ, khiến các nạn nhân bị mất số tiền hơn 215 triệu USD.