Nhà đầu tư Bitcoin mất 91 triệu USD vì chiêu trò lừa đảo social engineering: ZachXBT

Một nhà đầu tư tiền điện tử đã mất 783 Bitcoin—tương đương 91 triệu USD tại thời điểm xảy ra vụ tấn công—vào ngày thứ Ba sau khi trở thành nạn nhân của một chiêu trò lừa đảo tinh vi (social engineering), theo thông tin từ điều tra viên ẩn danh ZachXBT.

ZachXBT cho biết trong một tin nhắn trên Telegram rằng nạn nhân đã bị tiếp cận bởi những kẻ mạo danh nhân viên hỗ trợ khách hàng của một nhà sản xuất ví phần cứng và một sàn giao dịch tiền điện tử. Các công ty bị mạo danh không được tiết lộ trong báo cáo. Tuy nhiên hôm qua sàn Binance đã cảnh báo người dùng về việc lừa đảo này.

Tại thời điểm hiện tại, 783 Bitcoin có giá trị khoảng 88 triệu USD, do giá BTC đã giảm trong vài ngày gần đây.

Kẻ tấn công đã thực hiện một số khoản gửi vào Wasabi Wallet, một “mixer” Bitcoin tập trung vào quyền riêng tư, vốn đã ngừng cung cấp dịch vụ cho người dùng tại Mỹ từ năm ngoái, khi “số tiền bị đánh cắp bắt đầu được chuyển dần” qua nhiều ví khác nhau, theo ZachXBT.

Các cuộc tấn công bằng chiêu trò social engineering có thể đem lại lợi nhuận khổng lồ trong không gian tiền điện tử. ZachXBT lưu ý rằng vụ mất mát hôm thứ Ba xảy ra đúng một năm sau khi ông cáo buộc ba cá nhân đã đánh cắp 4.064 BTC, trị giá 243 triệu USD lúc đó, từ một cá nhân khác bằng phương thức tương tự.

Hai người đã bị bắt tại Florida một tháng sau đó, với cáo buộc chi tiêu số tiền đánh cắp cho xe sang, đồng hồ và bất động sản. Nhóm này nhắm vào một chủ nợ của sàn Genesis đã phá sản, mạo danh nhân viên hỗ trợ của Google, thuyết phục nạn nhân thay đổi cài đặt xác thực hai yếu tố.

Một số chiêu trò social engineering còn phức tạp hơn. Nó có thể đơn giản như “SIM swapping”, khi tội phạm thuyết phục nhà mạng chuyển dịch vụ điện thoại của nạn nhân sang thiết bị do chúng kiểm soát, theo báo cáo hàng năm của FBI.

Năm 2024, một nhân viên của SEC nổi tiếng đã trở thành nạn nhân của SIM swapping, ngay trước khi các quỹ ETF Bitcoin giao ngay ra mắt tại Mỹ. Tài khoản X của cơ quan này đã nhầm lẫn thông báo rằng các ETF đã được phê duyệt, và một cá nhân ở Alabama sau đó nhận án 14 tháng tù vì liên quan đến việc tạo điều kiện cho vụ lừa đảo.

FBI đã cảnh báo rõ ràng về các chiêu trò social engineering vào tháng 4 năm ngoái, lưu ý rằng mạo danh nhân viên, chuyển tiếp cuộc gọi để truy cập số điện thoại nạn nhân, và các chiến dịch lừa đảo (phishing) thu thập thông tin nhạy cảm là những phương thức phổ biến.

Ngay cả những người tìm việc cũng không an toàn. Tháng 2, trang tin an ninh mạng Bleeping Computer phát hiện một vụ lừa đảo social engineering, khi nhóm hacker Crazy Evil tạo ra một công ty crypto giả nhằm lừa ứng viên tải phần mềm độc hại rút tiền từ ví.

• ZachXBT vạch trần các nhân viên CNTT Triều Tiên sử dụng 30 danh tính giả trên các nền tảng phát triển
• ZachXBT cáo buộc Kaito thổi phồng quá mức số liệu người dùng

Vương Tiễn