Tấn công kỹ thuật xã hội trở thành mối đe dọa lớn đối với bảo mật tài sản mã hóa

Trong những năm gần đây, các cuộc tấn công kỹ thuật xã hội trong lĩnh vực mã hóa tài sản ngày càng gia tăng, trở thành một mối đe dọa lớn đối với sự an toàn của người dùng. Kể từ năm 2025, các vụ lừa đảo kỹ thuật xã hội nhắm vào người dùng của một nền tảng giao dịch cụ thể đã xảy ra thường xuyên, gây ra sự chú ý rộng rãi trong ngành. Từ các cuộc thảo luận trong cộng đồng, có thể thấy rằng các sự kiện này không phải là trường hợp cá biệt, mà là một loại lừa đảo có tổ chức và liên tục.

Vào ngày 15 tháng 5, một nền tảng giao dịch đã phát hành thông báo xác nhận những suy đoán trước đó về việc tồn tại "người trong cuộc" trong nội bộ nền tảng. Theo thông tin, Bộ Tư pháp Hoa Kỳ đã bắt đầu điều tra về sự kiện rò rỉ dữ liệu này.

Bài viết này sẽ thông qua việc sắp xếp thông tin từ nhiều nhà nghiên cứu an ninh và nạn nhân để tiết lộ các phương thức chính của kẻ lừa đảo, đồng thời thảo luận về các chiến lược đối phó hiệu quả từ cả hai góc độ nền tảng và người dùng.

Lịch sử nhìn lại

Nhà điều tra chuỗi Zach trong bản cập nhật ngày 7 tháng 5 đã chỉ ra: "Chỉ trong tuần qua, đã có hơn 45 triệu đô la bị đánh cắp từ người dùng của một nền tảng giao dịch do lừa đảo kỹ thuật xã hội."

Trong năm qua, Zach đã nhiều lần tiết lộ sự cố người dùng bị đánh cắp trên nền tảng này, một số nạn nhân đã mất lên đến hàng chục triệu đô la. Trong cuộc điều tra chi tiết vào tháng 2 năm 2025, ông cho biết chỉ riêng từ tháng 12 năm 2024 đến tháng 1 năm 2025, tổng số tiền thiệt hại từ các vụ lừa đảo như vậy đã vượt quá 65 triệu đô la. Nền tảng này đang đối mặt với một cuộc khủng hoảng "lừa đảo xã hội" nghiêm trọng, loại tấn công này đã liên tục xâm phạm bảo mật tài sản của người dùng với quy mô lên đến 300 triệu đô la mỗi năm.

Zach còn chỉ ra:

• Các băng nhóm đứng đầu loại lừa đảo này chủ yếu được chia thành hai loại: một loại là những kẻ tấn công cấp thấp đến từ Com圈, loại còn lại là các tổ chức tội phạm mạng có trụ sở tại Ấn Độ;
• Các băng nhóm lừa đảo chủ yếu nhắm vào người dùng Mỹ, phương thức phạm tội được chuẩn hóa, quy trình trò chuyện đã trưởng thành;
• Số tiền thiệt hại thực tế có thể cao hơn nhiều so với thống kê có thể thấy trên chuỗi, vì không bao gồm thông tin chưa công khai như đơn yêu cầu dịch vụ khách hàng không thể lấy và hồ sơ báo cáo của cảnh sát.

Thủ đoạn lừa đảo

Trong sự kiện này, hệ thống kỹ thuật của nền tảng không bị tấn công, kẻ lừa đảo đã lợi dụng quyền hạn của nhân viên nội bộ để lấy được một phần thông tin nhạy cảm của người dùng. Những thông tin này bao gồm: tên, địa chỉ, thông tin liên lạc, dữ liệu tài khoản, ảnh chứng minh thư, v.v. Mục đích cuối cùng của kẻ lừa đảo là sử dụng các phương pháp kỹ thuật xã hội để hướng dẫn người dùng chuyển khoản.

Cách tấn công này đã thay đổi phương pháp đánh cá "tung lưới" truyền thống, chuyển sang "tấn công chính xác", được coi là lừa đảo xã hội "được thiết kế riêng". Đường điển hình của vụ án như sau:

1. Liên hệ với người dùng với tư cách là "dịch vụ khách hàng chính thức"

Kẻ lừa đảo sử dụng hệ thống điện thoại giả mạo để giả danh nhân viên hỗ trợ của nền tảng, tuyên bố rằng tài khoản của người dùng "gặp phải đăng nhập trái phép" hoặc "phát hiện bất thường trong việc rút tiền", tạo ra bầu không khí khẩn cấp. Sau đó, họ gửi email giả mạo hoặc tin nhắn, bao gồm số hiệu công việc giả mạo hoặc liên kết "quy trình khôi phục", hướng dẫn người dùng thực hiện các thao tác. Những liên kết này có thể dẫn đến giao diện nền tảng bị sao chép, thậm chí có thể gửi email có vẻ như đến từ tên miền chính thức, một số email sử dụng kỹ thuật chuyển hướng để vượt qua các biện pháp bảo vệ an toàn.

2. Hướng dẫn người dùng tải xuống ví tự quản lý

Kẻ lừa đảo lấy lý do "bảo vệ tài sản" để hướng dẫn người dùng chuyển tiền đến "ví an toàn", hỗ trợ người dùng cài đặt ví tự quản, và chỉ dẫn họ chuyển tài sản mà đáng lẽ đã được quản lý trên nền tảng vào ví mới được tạo.

3. Dẫn dụ người dùng sử dụng cụm từ ghi nhớ do kẻ lừa đảo cung cấp

Khác với việc "lừa đảo lấy cụm từ ghi nhớ" truyền thống, kẻ lừa đảo trực tiếp cung cấp một tập hợp các cụm từ ghi nhớ do chính họ tạo ra, dụ dỗ người dùng sử dụng chúng như là "ví mới chính thức".

4. Kẻ lừa đảo thực hiện việc đánh cắp tiền

Nạn nhân trong trạng thái căng thẳng, lo âu và tin tưởng vào "dịch vụ khách hàng", rất dễ rơi vào bẫy. Trong mắt họ, ví mới "do chính thức cung cấp" tự nhiên an toàn hơn ví cũ "có dấu hiệu bị xâm nhập". Kết quả là, ngay khi tiền được chuyển vào ví mới này, kẻ lừa đảo có thể ngay lập tức chuyển đi. Quan niệm "Không có chìa khóa của bạn, không có đồng coin của bạn" lại một lần nữa được chứng minh một cách tàn khốc.

Ngoài ra, một số email lừa đảo tuyên bố "do phán quyết của vụ kiện tập thể, nền tảng sẽ hoàn toàn chuyển sang ví tự quản lý", và yêu cầu người dùng hoàn thành việc chuyển tài sản trong thời gian quy định. Dưới áp lực thời gian khẩn cấp và tâm lý "chỉ thị chính thức", người dùng dễ dàng phối hợp thực hiện.

Theo các nhà nghiên cứu an ninh, những cuộc tấn công này thường được tổ chức có kế hoạch và thực hiện.

• Chuỗi công cụ lừa đảo hoàn thiện: Kẻ lừa đảo sử dụng hệ thống PBX để giả mạo số điện thoại gọi đến, mô phỏng cuộc gọi từ dịch vụ khách hàng chính thức. Khi gửi email lừa đảo, họ sẽ sử dụng công cụ mạng xã hội để giả mạo email chính thức, kèm theo "Hướng dẫn phục hồi tài khoản" để dẫn dắt chuyển khoản.
• Mục tiêu chính xác: Kẻ lừa đảo dựa vào dữ liệu người dùng bị đánh cắp mua từ các kênh bất hợp pháp, xác định các nhóm người dùng cụ thể làm mục tiêu chính, thậm chí còn sử dụng AI để xử lý dữ liệu bị đánh cắp, phân tách và tái cấu trúc số điện thoại, tạo ra các tệp theo lô, sau đó gửi tin nhắn lừa đảo thông qua phần mềm bẻ khóa.
• Quy trình lừa đảo liên tục: Từ điện thoại, tin nhắn đến email, đường đi của lừa đảo thường liền mạch, các cụm từ lừa đảo thường gặp bao gồm "Tài khoản đã nhận yêu cầu rút tiền", "Mật khẩu đã được đặt lại", "Tài khoản có đăng nhập bất thường" và tiếp tục dụ dỗ nạn nhân thực hiện "xác minh an toàn" cho đến khi hoàn thành việc chuyển tiền.

Phân tích trên chuỗi

Sử dụng hệ thống chống rửa tiền và theo dõi trên chuỗi để phân tích một số địa chỉ của kẻ lừa đảo, phát hiện rằng những kẻ lừa đảo này có khả năng thao tác trên chuỗi mạnh mẽ, dưới đây là một số thông tin quan trọng:

Mục tiêu tấn công của kẻ lừa đảo bao phủ nhiều loại tài sản mà người dùng nắm giữ, thời gian hoạt động của những địa chỉ này tập trung trong khoảng từ tháng 12 năm 2024 đến tháng 5 năm 2025, tài sản mục tiêu chủ yếu là BTC và ETH. BTC là mục tiêu lừa đảo chính hiện nay, nhiều địa chỉ thu lợi một lần lên đến hàng trăm BTC, mỗi giao dịch có giá trị lên tới hàng triệu đô la.

Sau khi nhận được资金, kẻ lừa đảo nhanh chóng sử dụng một quy trình rửa tiền để đổi và chuyển nhượng tài sản, mô hình chính như sau:

• Tài sản loại ETH thường được hoán đổi nhanh chóng qua một DEX thành DAI hoặc USDT, sau đó phân tán chuyển đến nhiều địa chỉ mới, một phần tài sản vào nền tảng giao dịch tập trung;
• BTC chủ yếu được chuyển đến Ethereum thông qua cầu nối chuỗi chéo, sau đó được đổi thành DAI hoặc USDT để tránh rủi ro theo dõi.

Nhiều địa chỉ lừa đảo vẫn ở trạng thái "tĩnh" sau khi nhận DAI hoặc USDT, vẫn chưa được chuyển ra.

Để tránh việc địa chỉ của mình tương tác với các địa chỉ nghi vấn, từ đó đối mặt với rủi ro tài sản bị đóng băng, khuyến nghị người dùng trước khi giao dịch nên sử dụng hệ thống chống rửa tiền và theo dõi trên chuỗi để kiểm tra rủi ro của địa chỉ mục tiêu, nhằm hiệu quả tránh các mối đe dọa tiềm ẩn.

Biện pháp ứng phó

nền tảng

Hiện nay, các biện pháp bảo mật chính chủ yếu là bảo vệ "ở cấp độ kỹ thuật", trong khi lừa đảo qua xã hội thường vượt qua những cơ chế này, trực tiếp tấn công vào tâm lý và lỗ hổng hành vi của người dùng. Do đó, khuyến nghị các nền tảng nên tích hợp giáo dục người dùng, đào tạo an toàn và thiết kế khả dụng, xây dựng một hệ thống phòng thủ an toàn "hướng về con người".

• Định kỳ gửi nội dung giáo dục chống lừa đảo: Thông qua cửa sổ pop-up trong ứng dụng, giao diện xác nhận giao dịch, email và các phương tiện khác để nâng cao khả năng phòng chống lừa đảo của người dùng;
• Tối ưu hóa mô hình quản lý rủi ro, đưa vào "nhận diện hành vi bất thường tương tác": Hầu hết các cuộc lừa đảo xã hội sẽ dụ dỗ người dùng thực hiện một loạt các thao tác trong thời gian ngắn (như chuyển khoản, thay đổi danh sách trắng, liên kết thiết bị, v.v.). Nền tảng nên dựa trên mô hình chuỗi hành vi để nhận diện các tổ hợp tương tác đáng ngờ (như "tương tác thường xuyên + địa chỉ mới + rút tiền lớn"), kích hoạt thời gian tĩnh lặng hoặc cơ chế xem xét thủ công.
• Quy định kênh chăm sóc khách hàng và cơ chế xác minh: Kẻ lừa đảo thường giả mạo nhân viên chăm sóc khách hàng để đánh lừa người dùng, nền tảng nên thống nhất mẫu điện thoại, tin nhắn, email và cung cấp "cổng xác minh nhân viên chăm sóc khách hàng", làm rõ kênh giao tiếp chính thức duy nhất, tránh gây nhầm lẫn.

người dùng

• Thực hiện chính sách tách biệt danh tính: Tránh chia sẻ cùng một địa chỉ email, số điện thoại trên nhiều nền tảng khác nhau để giảm thiểu rủi ro liên đới, có thể sử dụng công cụ kiểm tra rò rỉ để định kỳ kiểm tra xem email có bị rò rỉ hay không.
• Kích hoạt danh sách trắng chuyển khoản và cơ chế làm mát rút tiền: Đặt địa chỉ tin cậy trước, giảm rủi ro mất tiền trong trường hợp khẩn cấp.
• Tiếp tục theo dõi thông tin an ninh: Thông qua các kênh như công ty an ninh, truyền thông, nền tảng giao dịch, tìm hiểu về các kỹ thuật tấn công mới nhất và giữ cảnh giác. Hiện tại, nhiều tổ chức an ninh đang phát triển nền tảng mô phỏng lừa đảo Web3 sắp ra mắt, nền tảng này sẽ mô phỏng nhiều kỹ thuật lừa đảo điển hình, bao gồm tấn công xã hội, lừa đảo chữ ký, tương tác hợp đồng độc hại, và kết hợp với các trường hợp thực tế, liên tục cập nhật nội dung cảnh. Giúp người dùng nâng cao khả năng nhận diện và ứng phó trong môi trường không có rủi ro.
• Lưu ý đến rủi ro ngoại tuyến và bảo vệ quyền riêng tư: Việc lộ thông tin cá nhân cũng có thể gây ra vấn đề về an toàn cá nhân.

Điều này không phải là lo lắng vô căn cứ, từ đầu năm đến nay, những người làm trong lĩnh vực mã hóa/ người dùng đã gặp phải nhiều sự kiện đe dọa đến an toàn cá nhân. Xét thấy dữ liệu bị rò rỉ lần này bao gồm tên, địa chỉ, thông tin liên lạc, dữ liệu tài khoản, hình ảnh chứng minh nhân dân và các nội dung khác, người dùng liên quan cũng cần nâng cao cảnh giác và chú ý đến bảo mật tài sản.

Tóm lại, hãy giữ sự nghi ngờ và tiếp tục xác minh. Đối với mọi hoạt động khẩn cấp, hãy yêu cầu đối phương tự chứng minh danh tính và xác minh độc lập qua các kênh chính thức, tránh đưa ra quyết định không thể đảo ngược dưới áp lực.

Tóm tắt

Sự kiện này một lần nữa phơi bày ra rằng, đối mặt với các phương thức tấn công xã hội ngày càng trưởng thành, ngành vẫn còn những điểm yếu rõ rệt trong việc bảo vệ dữ liệu khách hàng và bảo mật tài sản. Điều đáng lưu ý là, ngay cả khi các vị trí liên quan trên nền tảng không có quyền truy cập vào tài chính, việc thiếu nhận thức và khả năng an ninh đủ cũng có thể gây ra hậu quả nghiêm trọng do vô tình rò rỉ thông tin hoặc bị phản bội. Khi nền tảng ngày càng mở rộng, độ phức tạp trong việc quản lý an ninh nhân sự cũng gia tăng, đã trở thành một trong những rủi ro khó khăn nhất mà ngành phải đối mặt. Do đó, bên cạnh việc củng cố cơ chế an ninh trên chuỗi, nền tảng cũng phải xây dựng một cách hệ thống "hệ thống phòng thủ xã hội" bao gồm cả nhân viên nội bộ và dịch vụ bên ngoài, đưa rủi ro con người vào trong chiến lược an ninh tổng thể.

Ngoài ra, một khi phát hiện cuộc tấn công không phải là sự kiện đơn lẻ, mà là một mối đe dọa liên tục có tổ chức và quy mô, nền tảng nên phản ứng ngay lập tức, chủ động kiểm tra các lỗ hổng tiềm ẩn, nhắc nhở người dùng phòng ngừa và kiểm soát phạm vi thiệt hại. Chỉ có đối phó ở cả hai cấp độ kỹ thuật và tổ chức, mới có thể giữ vững niềm tin và giới hạn trong môi trường an ninh ngày càng phức tạp.