Tấn công kỹ thuật xã hội trở thành mối đe dọa lớn đối với bảo mật tài sản mã hóa

Trong những năm gần đây, các cuộc tấn công kỹ thuật xã hội nhằm vào người dùng tiền mã hóa ngày càng gia tăng, tạo ra mối đe dọa nghiêm trọng đối với bảo mật tài sản. Kể từ năm 2025, các sự kiện lừa đảo kỹ thuật xã hội nhằm vào người dùng của một nền tảng giao dịch nổi tiếng đã xảy ra thường xuyên, thu hút sự chú ý rộng rãi trong ngành. Từ các cuộc thảo luận trong cộng đồng, có thể thấy rằng các sự kiện loại này không phải là trường hợp đơn lẻ, mà là một loại lừa đảo có tổ chức và kéo dài.

Vào ngày 15 tháng 5, nền tảng giao dịch này đã phát hành thông báo, xác nhận những suy đoán trước đó về việc tồn tại "kẻ nội gián" trong nền tảng. Bộ Tư pháp Mỹ đã bắt đầu điều tra sự cố rò rỉ dữ liệu này.

Bài viết này sẽ tổng hợp thông tin từ nhiều nhà nghiên cứu an ninh và nạn nhân, tiết lộ các phương thức chính mà kẻ lừa đảo sử dụng, và thảo luận từ hai góc độ của nền tảng và người dùng về cách đối phó hiệu quả với các trò lừa đảo như vậy.

Phân tích lịch sử

"Trên nền tảng xã hội vào ngày 7 tháng 5, thám tử trên chuỗi Zach cho biết: "Chỉ trong tuần qua, đã có hơn 45 triệu đô la Mỹ bị đánh cắp từ người dùng của một nền tảng giao dịch do lừa đảo kỹ thuật xã hội."

Trong năm qua, Zach đã nhiều lần công khai các sự kiện người dùng của nền tảng bị đánh cắp, một số nạn nhân đã mất đến hàng chục triệu đô la. Cuộc điều tra chi tiết mà anh công bố vào tháng 2 năm 2025 cho thấy, chỉ trong khoảng thời gian từ tháng 12 năm 2024 đến tháng 1 năm 2025, tổng số tiền bị đánh cắp do các trò lừa đảo tương tự đã vượt quá 65 triệu đô la. Nền tảng này đang phải đối mặt với một cuộc khủng hoảng "lừa đảo xã hội" nghiêm trọng, loại tấn công này đang tiếp tục xâm hại bảo mật tài sản của người dùng với quy mô trung bình hàng năm là 300 triệu đô la. Zach cũng chỉ ra:

• Các băng nhóm chủ đạo của loại lừa đảo này chủ yếu được chia thành hai loại: một loại là những kẻ tấn công cấp thấp đến từ một nhóm nào đó, loại còn lại là các tổ chức tội phạm mạng có trụ sở tại Ấn Độ;
• Mục tiêu tấn công của băng nhóm lừa đảo chủ yếu là người dùng Mỹ, phương pháp gây án tiêu chuẩn hóa, quy trình câu chuyện đã trưởng thành;
• Số tiền thiệt hại thực tế có thể cao hơn nhiều so với thống kê có thể nhìn thấy trên chuỗi, vì không bao gồm các thông tin chưa công khai như hồ sơ đơn hàng của dịch vụ khách hàng và báo cáo của cảnh sát.

Thủ đoạn lừa đảo

Trong sự kiện này, hệ thống kỹ thuật của nền tảng không bị tấn công, kẻ lừa đảo đã lợi dụng quyền hạn của nhân viên nội bộ để lấy được một phần thông tin nhạy cảm của người dùng. Những thông tin này bao gồm: tên, địa chỉ, thông tin liên lạc, dữ liệu tài khoản, ảnh chứng minh nhân dân, v.v. Mục đích cuối cùng của kẻ lừa đảo là sử dụng các phương pháp kỹ thuật xã hội để hướng dẫn người dùng chuyển tiền.

Cách tấn công này đã thay đổi phương thức lừa đảo "đánh bắt bằng lưới" truyền thống, chuyển sang "tấn công chính xác", được coi là lừa đảo xã hội "được thiết kế riêng". Đường đi điển hình của vụ án như sau:

1. Liên hệ với người dùng với tư cách là "dịch vụ khách hàng chính thức"

Kẻ lừa đảo sử dụng hệ thống điện thoại giả mạo để giả danh nhân viên hỗ trợ của nền tảng, gọi điện cho người dùng nói rằng "tài khoản của họ gặp phải đăng nhập trái phép", hoặc "phát hiện bất thường trong việc rút tiền", tạo ra bầu không khí khẩn cấp. Họ sau đó sẽ gửi email hoặc tin nhắn lừa đảo giống thật, trong đó có mã số công việc giả mạo hoặc liên kết "quy trình phục hồi", và hướng dẫn người dùng thực hiện. Những liên kết này có thể trỏ đến giao diện nền tảng clone, thậm chí có thể gửi email có vẻ như đến từ tên miền chính thức, một số email sử dụng công nghệ chuyển hướng để vượt qua bảo vệ an toàn.

2. Hướng dẫn người dùng tải ví chính thức

Kẻ lừa đảo sẽ lấy lý do "bảo vệ tài sản" để hướng dẫn người dùng chuyển tiền vào "ví an toàn", đồng thời sẽ hỗ trợ người dùng cài đặt ví chính thức và chỉ dẫn họ chuyển tài sản vốn đang được lưu trữ trên nền tảng vào một ví mới được tạo ra.

3. Dẫn dắt người dùng sử dụng cụm từ ghi nhớ do kẻ lừa đảo cung cấp

Khác với việc "lừa đảo lấy từ khôi phục" truyền thống, kẻ lừa đảo trực tiếp cung cấp một bộ từ khôi phục mà họ tự tạo ra, dụ dỗ người dùng sử dụng nó như là "ví mới chính thức".

4. Kẻ lừa đảo thực hiện việc trộm cắp tài sản

Nạn nhân trong trạng thái lo lắng, căng thẳng và tin tưởng vào "dịch vụ khách hàng" rất dễ rơi vào bẫy. Trong mắt họ, ví mới "do chính thức cung cấp" tất nhiên an toàn hơn ví cũ "có nghi ngờ bị xâm nhập". Kết quả là, một khi tài sản được chuyển vào ví mới này, kẻ lừa đảo có thể ngay lập tức chuyển đi. "Chìa khóa không nằm trong tay bạn, thì coin cũng không thuộc về bạn" - trong các cuộc tấn công kỹ xã hội, quan niệm này lại một lần nữa được chứng minh một cách tàn khốc.

Ngoài ra, một số email lừa đảo tuyên bố "do phán quyết của vụ kiện tập thể, nền tảng sẽ hoàn toàn chuyển sang ví tự quản lý", và yêu cầu người dùng hoàn thành việc chuyển tài sản trước một ngày nhất định. Người dùng dưới áp lực thời gian cấp bách và sự gợi ý tâm lý từ "chỉ thị chính thức" sẽ dễ dàng hợp tác hơn.

Theo các nhà nghiên cứu an ninh, những cuộc tấn công này thường được tổ chức một cách có kế hoạch và thực hiện:

• Công cụ lừa đảo hoàn thiện: Kẻ lừa đảo sử dụng hệ thống PBX để giả mạo số điện thoại gọi đến, mô phỏng cuộc gọi từ dịch vụ khách hàng chính thức. Khi gửi email lừa đảo, chúng sẽ lợi dụng robot trên các nền tảng xã hội để giả mạo hộp thư chính thức, kèm theo "Hướng dẫn khôi phục tài khoản" để hướng dẫn chuyển khoản.
• Mục tiêu chính xác: Kẻ lừa đảo dựa vào dữ liệu người dùng bị đánh cắp mua từ các kênh mạng xã hội và dark web, nhắm mục tiêu người dùng ở khu vực Mỹ là mục tiêu chính, thậm chí còn sử dụng AI để xử lý dữ liệu bị đánh cắp, phân tách và tái cấu trúc số điện thoại, tạo ra các tệp TXT hàng loạt, sau đó sử dụng phần mềm bẻ khóa để gửi tin nhắn lừa đảo.
• Quy trình lừa đảo liên tục: Từ cuộc gọi, tin nhắn đến email, đường đi của lừa đảo thường liền mạch, các cụm từ lừa đảo phổ biến bao gồm "tài khoản đã nhận yêu cầu rút tiền", "mật khẩu đã được đặt lại", "tài khoản xuất hiện đăng nhập bất thường" và tiếp tục dụ dỗ nạn nhân thực hiện "xác thực an toàn", cho đến khi hoàn tất việc chuyển tiền trong ví.

Phân tích trên chuỗi

Thông qua hệ thống chống rửa tiền và theo dõi trên chuỗi để phân tích một số địa chỉ của kẻ lừa đảo, phát hiện rằng những kẻ lừa đảo này có khả năng thao tác trên chuỗi mạnh mẽ, dưới đây là một số thông tin quan trọng:

Mục tiêu tấn công của kẻ lừa đảo bao gồm nhiều tài sản mà người dùng nắm giữ, thời gian hoạt động của các địa chỉ này tập trung từ tháng 12 năm 2024 đến tháng 5 năm 2025, các tài sản mục tiêu chủ yếu là BTC và ETH. BTC là mục tiêu lừa đảo chính hiện nay, nhiều địa chỉ đã thu lợi hàng trăm BTC một lần, với giá trị mỗi giao dịch lên đến hàng triệu đô la.

Sau khi có được vốn, kẻ lừa đảo nhanh chóng sử dụng một quy trình rửa tiền để đổi và chuyển đổi tài sản, mô hình chính như sau:

• Tài sản loại ETH thường được trao đổi nhanh chóng qua một DEX thành DAI hoặc USDT, sau đó được phân tán chuyển đến nhiều địa chỉ mới, một phần tài sản vào nền tảng giao dịch tập trung;
• BTC chủ yếu được chuyển qua chuỗi sang Ethereum thông qua giao thức liên chuỗi, sau đó đổi thành DAI hoặc USDT để tránh rủi ro theo dõi.

Nhiều địa chỉ lừa đảo vẫn ở trạng thái "tĩnh" sau khi nhận DAI hoặc USDT, vẫn chưa được chuyển đi.

Để tránh tương tác giữa địa chỉ của mình với các địa chỉ nghi vấn, từ đó phải đối mặt với rủi ro tài sản bị đóng băng, người dùng được khuyên nên sử dụng hệ thống chống rửa tiền và theo dõi trên chuỗi để kiểm tra rủi ro của địa chỉ mục tiêu trước khi giao dịch, nhằm hiệu quả tránh các mối đe dọa tiềm tàng.

Biện pháp ứng phó

nền tảng

Hiện nay, các phương pháp bảo mật chủ yếu là bảo vệ ở "cấp độ kỹ thuật", trong khi lừa đảo xã hội thường vượt qua những cơ chế này, trực tiếp tấn công vào tâm lý và lỗ hổng hành vi của người dùng. Do đó, nên khuyến nghị các nền tảng tích hợp giáo dục người dùng, đào tạo an toàn và thiết kế tính khả dụng, xây dựng một hệ thống "hướng về con người" để bảo vệ an toàn.

• Định kỳ gửi nội dung giáo dục chống lừa đảo: Tăng cường khả năng phòng chống lừa đảo của người dùng thông qua cửa sổ pop-up ứng dụng, giao diện xác nhận giao dịch, email và các phương tiện khác;
• Tối ưu hóa mô hình quản lý rủi ro, giới thiệu "nhận diện hành vi bất thường tương tác": Hầu hết các cuộc lừa đảo xã hội đều sẽ dụ dỗ người dùng thực hiện một loạt các thao tác trong thời gian ngắn (như chuyển khoản, thay đổi danh sách trắng, liên kết thiết bị, v.v.). Nền tảng nên dựa trên mô hình chuỗi hành vi để nhận diện các tổ hợp tương tác nghi ngờ (như "tương tác thường xuyên + địa chỉ mới + rút tiền lớn"), kích hoạt thời gian bình tĩnh hoặc cơ chế kiểm tra thủ công.
• Quy định kênh dịch vụ khách hàng và cơ chế xác minh: Kẻ lừa đảo thường giả mạo dịch vụ khách hàng để đánh lừa người dùng, nền tảng nên thống nhất mẫu điện thoại, tin nhắn, email, và cung cấp "cổng xác minh dịch vụ khách hàng", làm rõ kênh giao tiếp chính thức duy nhất, tránh nhầm lẫn.

người dùng

• Thực hiện chính sách tách biệt danh tính: tránh việc sử dụng cùng một email, số điện thoại trên nhiều nền tảng khác nhau, giảm thiểu rủi ro liên đới, có thể sử dụng công cụ kiểm tra rò rỉ để định kỳ kiểm tra xem email có bị rò rỉ hay không.
• Kích hoạt danh sách trắng chuyển khoản và cơ chế làm mát rút tiền: Đặt địa chỉ đáng tin cậy trước, giảm thiểu rủi ro mất mát tài sản trong các tình huống khẩn cấp.
• Tiếp tục theo dõi thông tin an ninh: Thông qua các kênh công ty an ninh, phương tiện truyền thông, nền tảng giao dịch, v.v., để hiểu rõ các động thái tấn công mới nhất và giữ cảnh giác. Hiện tại, một số tổ chức an ninh đang phát triển nền tảng mô phỏng lừa đảo Web3 sẽ sớm ra mắt, nền tảng này sẽ mô phỏng nhiều phương pháp lừa đảo điển hình, bao gồm tiêm độc xã hội, lừa đảo chữ ký, tương tác hợp đồng độc hại, v.v., và kết hợp các trường hợp thực tế đã được thu thập từ các cuộc thảo luận lịch sử, liên tục cập nhật nội dung cảnh. Giúp người dùng nâng cao khả năng nhận diện và ứng phó trong môi trường không rủi ro.
• Lưu ý rủi ro ngoại tuyến và bảo vệ quyền riêng tư: Sự rò rỉ thông tin cá nhân cũng có thể gây ra vấn đề an toàn cho bản thân.

Kể từ đầu năm nay, những người làm trong lĩnh vực mã hóa/ người dùng đã gặp phải nhiều sự kiện đe dọa đến an toàn cá nhân. Do dữ liệu bị rò rỉ lần này bao gồm tên, địa chỉ, thông tin liên lạc, dữ liệu tài khoản, ảnh chứng minh nhân dân và các nội dung khác, người dùng liên quan cũng cần nâng cao cảnh giác và chú ý đến vấn đề bảo mật tài sản.

Tóm lại, hãy giữ thái độ hoài nghi và liên tục xác minh. Đối với các hoạt động khẩn cấp, hãy yêu cầu bên kia tự chứng minh danh tính và xác minh độc lập qua các kênh chính thức, tránh đưa ra quyết định không thể đảo ngược dưới áp lực.

Tóm tắt

Sự kiện này một lần nữa phơi bày ra rằng, trước các phương thức tấn công xã hội ngày càng trưởng thành, ngành công nghiệp vẫn còn thiếu sót rõ rệt trong việc bảo vệ dữ liệu khách hàng và bảo mật tài sản. Điều đáng cảnh giác là, ngay cả khi các vị trí liên quan của nền tảng không có quyền hạn về tài chính, việc thiếu ý thức và khả năng an toàn đủ cũng có thể dẫn đến hậu quả nghiêm trọng do vô tình rò rỉ thông tin hoặc bị cám dỗ. Khi quy mô của nền tảng ngày càng mở rộng, độ phức tạp trong việc quản lý an ninh nhân sự cũng tăng lên, đã trở thành một trong những rủi ro khó khăn nhất trong ngành. Do đó, bên cạnh việc tăng cường cơ chế an toàn trên chuỗi, nền tảng cũng phải xây dựng một "hệ thống phòng thủ chống lại tấn công xã hội" bao trùm nhân viên nội bộ và dịch vụ bên ngoài một cách có hệ thống, đưa rủi ro con người vào chiến lược an toàn tổng thể.

Ngoài ra, một khi phát hiện ra rằng cuộc tấn công không phải là sự kiện riêng lẻ, mà là một mối đe dọa liên tục có tổ chức và quy mô, nền tảng nên phản ứng ngay lập tức, chủ động kiểm tra các lỗ hổng tiềm ẩn, nhắc nhở người dùng phòng ngừa và kiểm soát phạm vi thiệt hại. Chỉ khi đáp ứng đồng thời ở cả cấp độ kỹ thuật và tổ chức, mới có thể giữ vững niềm tin và ranh giới trong môi trường an ninh ngày càng phức tạp.