Trò lừa bịp xã hội nhắm vào người dùng tài sản tiền điện tử: Khám phá phương thức gây án và chiến lược phòng ngừa

Trong những năm gần đây, các cuộc tấn công kỹ thuật xã hội nhắm vào người dùng tài sản tiền điện tử ngày càng trở nên tràn lan, trở thành một mối đe dọa lớn đối với sự an toàn của tài sản. Kể từ năm 2025, rất nhiều vụ lừa đảo kỹ thuật xã hội nhắm vào người dùng của một nền tảng giao dịch nổi tiếng đã liên tục xuất hiện, gây ra sự chú ý rộng rãi. Từ các cuộc thảo luận trong cộng đồng có thể thấy, những sự kiện này không phải là trường hợp riêng lẻ, mà là một loại trò lừa bịp có đặc điểm bền vững và tổ chức.

Vào ngày 15 tháng 5, nền tảng này đã phát hành thông báo xác nhận những suy đoán trước đó về việc tồn tại "kẻ nội gián" bên trong. Bộ Tư pháp Hoa Kỳ đã tiến hành điều tra vụ rò rỉ dữ liệu này.

Bài viết này sẽ thông qua việc sắp xếp thông tin từ nhiều nhà nghiên cứu an ninh và nạn nhân, tiết lộ các phương thức chính mà kẻ lừa đảo thực hiện, và từ hai góc độ của nền tảng và người dùng thảo luận về các chiến lược đối phó.

Lịch sử

Nhà điều tra trên chuỗi Zach đã đề cập trong bản cập nhật trên nền tảng xã hội vào ngày 7 tháng 5: "Chỉ trong tuần trước, đã có hơn 45 triệu đô la bị đánh cắp từ người dùng của một nền tảng giao dịch do lừa đảo kỹ thuật xã hội."

Trong năm qua, Zach đã nhiều lần tiết lộ các sự kiện người dùng của nền tảng này bị đánh cắp, một số nạn nhân bị thiệt hại lên đến hàng chục triệu đô la. Cuộc điều tra chi tiết mà anh công bố vào tháng 2 năm 2025 cho thấy chỉ trong khoảng thời gian từ tháng 12 năm 2024 đến tháng 1 năm 2025, tổng số tiền bị đánh cắp do các trò lừa bịp tương tự đã vượt quá 65 triệu đô la. Nền tảng này đang phải đối mặt với một cuộc khủng hoảng "lừa đảo xã hội" nghiêm trọng, loại tấn công này tiếp tục xâm phạm an toàn tài sản của người dùng với quy mô lên đến 300 triệu đô la mỗi năm.

Zach còn chỉ ra:

• Các băng nhóm đứng đầu loại lừa đảo này chủ yếu được chia thành hai loại: một loại là những kẻ tấn công cấp thấp đến từ những vòng tròn cụ thể, loại còn lại là các tổ chức tội phạm mạng có trụ sở tại Ấn Độ;
• Mục tiêu tấn công của bọn lừa đảo chủ yếu là người dùng Mỹ, phương pháp phạm tội được chuẩn hóa, quy trình lời nói trưởng thành;
• Số tiền thiệt hại thực tế có thể cao hơn nhiều so với thống kê có thể thấy trên chuỗi, vì không bao gồm các thông tin không công khai như phiếu hỗ trợ khách hàng không thể lấy được và hồ sơ báo cáo của cảnh sát.

Trò lừa bịp

Trong sự kiện này, hệ thống kỹ thuật của nền tảng không bị xâm nhập, kẻ lừa đảo đã lợi dụng quyền hạn của nhân viên nội bộ để lấy được một phần thông tin nhạy cảm của người dùng. Những thông tin này bao gồm: tên, địa chỉ, thông tin liên lạc, dữ liệu tài khoản, ảnh chứng minh thư, v.v. Mục đích cuối cùng của kẻ lừa đảo là sử dụng phương pháp kỹ thuật xã hội để hướng dẫn người dùng chuyển tiền.

Cách tấn công này đã thay đổi phương pháp lừa đảo truyền thống "rải lưới", chuyển sang "tấn công chính xác", có thể nói là "được thiết kế riêng" cho các trò lừa bịp xã hội. Đường điển hình của vụ án như sau:

1. Liên hệ với người dùng dưới danh nghĩa "dịch vụ khách hàng chính thức"

Kẻ lừa đảo sử dụng hệ thống điện thoại giả mạo để mạo danh nhân viên hỗ trợ của nền tảng, gọi điện cho người dùng và nói rằng "tài khoản của họ gặp phải đăng nhập trái phép" hoặc "phát hiện bất thường trong việc rút tiền", tạo ra bầu không khí khẩn cấp. Sau đó, họ sẽ gửi email hoặc tin nhắn giả mạo, trong đó có chứa số hiệu công việc giả hoặc liên kết "quy trình khôi phục", và hướng dẫn người dùng thực hiện các thao tác. Những liên kết này có thể dẫn đến giao diện nền tảng bị sao chép, thậm chí có thể gửi email có vẻ như đến từ miền chính thức, một số email đã sử dụng công nghệ chuyển hướng để vượt qua các biện pháp bảo vệ an toàn.

2. Hướng dẫn người dùng tải ví mới

Kẻ lừa đảo sẽ viện lý do "bảo vệ tài sản" để hướng dẫn người dùng chuyển tiền vào "ví an toàn", họ cũng sẽ hỗ trợ người dùng cài đặt ví mới và chỉ dẫn họ chuyển tài sản vốn được lưu trữ trên nền tảng vào một ví mới được tạo ra.

3. Đưa ra hướng dẫn người dùng sử dụng từ ghi nhớ do kẻ lừa đảo cung cấp

Khác với "lừa đảo chiếm đoạt từ khóa nhớ" truyền thống, kẻ lừa đảo trực tiếp cung cấp một bộ từ khóa nhớ do chính họ tạo ra, dụ dỗ người dùng sử dụng nó như "ví mới chính thức".

4. Kẻ lừa đảo thực hiện việc trộm tiền

Nạn nhân trong trạng thái căng thẳng, lo âu và tin tưởng vào "dịch vụ khách hàng" rất dễ rơi vào bẫy. Trong mắt họ, ví mới "do chính thức cung cấp" dĩ nhiên an toàn hơn ví cũ "có dấu hiệu bị xâm nhập". Kết quả là, ngay khi tiền được chuyển vào ví mới này, kẻ lừa đảo có thể ngay lập tức chuyển đi. Quan niệm "khóa không do bạn kiểm soát, tức là tài sản không thuộc về bạn" lại một lần nữa được xác thực một cách tàn khốc.

Ngoài ra, một số email lừa đảo tuyên bố "do phán quyết của vụ kiện tập thể, nền tảng sẽ hoàn toàn chuyển sang ví tự quản" và yêu cầu người dùng hoàn thành việc chuyển tài sản trước một ngày cụ thể. Dưới áp lực thời gian khẩn cấp và sự ám chỉ tâm lý của "chỉ thị chính thức", người dùng dễ dàng hợp tác trong việc thực hiện.

Theo các nhà nghiên cứu an ninh, những cuộc tấn công này thường được lên kế hoạch và thực hiện một cách có tổ chức:

• Công cụ lừa đảo hoàn thiện: Kẻ lừa đảo sử dụng hệ thống PBX để giả mạo số điện thoại gọi đến, mô phỏng cuộc gọi từ dịch vụ khách hàng chính thức. Khi gửi email lừa đảo, họ sẽ sử dụng các công cụ đặc biệt để giả mạo hộp thư chính thức, kèm theo "Hướng dẫn khôi phục tài khoản" để hướng dẫn chuyển tiền.
• Mục tiêu chính xác: Những kẻ lừa đảo dựa vào dữ liệu người dùng bị đánh cắp mua từ các kênh cụ thể và mạng tối, xác định người dùng trong khu vực cụ thể làm mục tiêu chính, thậm chí còn sử dụng công cụ AI để xử lý dữ liệu bị đánh cắp, phân tách và tái cấu trúc số điện thoại, tạo ra các tệp hàng loạt, sau đó sử dụng phần mềm bẻ khóa để gửi tin nhắn lừa đảo.
• Quy trình lừa đảo liên tục: từ điện thoại, tin nhắn đến email, con đường lừa đảo thường liền mạch, câu chữ lừa đảo thường gặp bao gồm "tài khoản nhận được yêu cầu rút tiền", "mật khẩu đã được đặt lại", "tài khoản có đăng nhập bất thường" và các câu khác, liên tục dụ dỗ nạn nhân thực hiện "xác minh an toàn" cho đến khi hoàn tất việc chuyển ví.

Phân tích trên chuỗi

Phân tích một số địa chỉ của những kẻ lừa đảo đã được công khai, phát hiện rằng những kẻ lừa đảo này có khả năng thao tác trên chuỗi khá mạnh, dưới đây là một số thông tin quan trọng:

Mục tiêu tấn công của kẻ lừa đảo bao gồm nhiều tài sản mà người dùng nắm giữ, thời gian hoạt động của những địa chỉ này tập trung từ tháng 12 năm 2024 đến tháng 5 năm 2025, tài sản mục tiêu chủ yếu là BTC và ETH. BTC là mục tiêu lừa đảo chính hiện nay, nhiều địa chỉ đã thu lợi hàng trăm BTC một lần, với giá trị mỗi giao dịch lên tới hàng triệu đô la.

Sau khi có được vốn, kẻ lừa đảo nhanh chóng sử dụng một quy trình rửa tiền để đổi và chuyển tài sản, mô hình chính như sau:

• Tài sản thuộc loại ETH thường được trao đổi nhanh chóng qua một DEX thành DAI hoặc USDT, sau đó được phân tán chuyển đến nhiều địa chỉ mới, một phần tài sản được chuyển vào nền tảng giao dịch tập trung;
• BTC chủ yếu được chuyển qua cầu nối chuỗi chéo sang Ethereum, sau đó đổi thành DAI hoặc USDT, nhằm tránh rủi ro bị theo dõi.

Nhiều địa chỉ lừa đảo vẫn ở trạng thái "tĩnh" sau khi nhận DAI hoặc USDT, chưa được chuyển đi.

Để tránh tương tác với các địa chỉ nghi ngờ, khiến tài sản có nguy cơ bị đóng băng, người dùng được khuyến nghị trước khi giao dịch hãy sử dụng hệ thống chống rửa tiền và theo dõi trên chuỗi để kiểm tra rủi ro của địa chỉ mục tiêu, nhằm hiệu quả tránh khỏi các mối đe dọa tiềm ẩn.

Biện pháp ứng phó

Cấp độ nền tảng

Hiện nay, các biện pháp bảo mật chính chủ yếu là bảo vệ ở mức "công nghệ", trong khi đó, các trò lừa bịp xã hội thường vượt qua những cơ chế này, tấn công trực tiếp vào tâm lý và lỗ hổng hành vi của người dùng. Do đó, chúng tôi khuyến nghị các nền tảng tích hợp giáo dục người dùng, đào tạo an toàn và thiết kế khả năng sử dụng, xây dựng một hệ thống "hướng tới con người" để bảo vệ an toàn.

• Định kỳ gửi nội dung giáo dục chống lừa đảo: Thông qua cửa sổ pop-up của ứng dụng, giao diện xác nhận giao dịch, email và các phương tiện khác để nâng cao khả năng phòng chống lừa đảo của người dùng;
• Tối ưu hóa mô hình quản lý rủi ro, đưa vào "nhận diện hành vi bất thường tương tác": Hầu hết các trò lừa bịp xã hội sẽ dụ dỗ người dùng hoàn thành một loạt các thao tác trong thời gian ngắn (như chuyển tiền, thay đổi danh sách trắng, gắn thiết bị, v.v.). Nền tảng nên dựa trên mô hình chuỗi hành vi để nhận diện các tổ hợp tương tác khả nghi (như "tương tác thường xuyên + địa chỉ mới + rút tiền số lượng lớn"), kích hoạt thời gian suy nghĩ hoặc cơ chế xem xét thủ công.
• Quy định kênh dịch vụ khách hàng và cơ chế xác minh: Những kẻ lừa đảo thường giả mạo dịch vụ khách hàng để đánh lừa người dùng, nền tảng nên thống nhất số điện thoại, tin nhắn, mẫu email, và cung cấp "cổng xác minh dịch vụ khách hàng", làm rõ kênh giao tiếp chính thức duy nhất, tránh gây nhầm lẫn.

Người dùng

• Thực hiện chính sách tách biệt danh tính: Tránh việc sử dụng cùng một email, số điện thoại trên nhiều nền tảng khác nhau, giảm thiểu rủi ro liên đới, có thể sử dụng công cụ kiểm tra rò rỉ để định kỳ kiểm tra xem email có bị rò rỉ hay không.
• Kích hoạt danh sách trắng chuyển khoản và cơ chế làm mát rút tiền: Đặt trước địa chỉ đáng tin cậy, giảm thiểu rủi ro mất mát tài sản trong trường hợp khẩn cấp.
• Tiếp tục theo dõi thông tin an ninh: thông qua các công ty an ninh, phương tiện truyền thông, nền tảng giao dịch và các kênh khác, để hiểu rõ những động thái mới nhất của phương pháp tấn công và duy trì sự cảnh giác.
• Lưu ý rủi ro ngoại tuyến và bảo vệ quyền riêng tư: Việc lộ thông tin cá nhân cũng có thể gây ra vấn đề an toàn cá nhân.

Điều này không phải là lo lắng vô lý, từ đầu năm đến nay, những người làm trong lĩnh vực Tài sản tiền điện tử/ người dùng đã gặp phải nhiều sự kiện đe dọa an toàn cá nhân. Do dữ liệu bị rò rỉ lần này chứa thông tin như tên, địa chỉ, thông tin liên lạc, dữ liệu tài khoản, ảnh chứng minh thư, những người dùng liên quan cũng cần nâng cao cảnh giác và chú ý đến an toàn.

Tóm lại, hãy giữ thái độ hoài nghi và tiếp tục xác minh. Đối với mọi thao tác khẩn cấp, hãy yêu cầu bên kia chứng minh danh tính và xác minh độc lập qua các kênh chính thức, tránh đưa ra quyết định không thể đảo ngược dưới áp lực.

Tóm tắt

Vụ việc này một lần nữa phơi bày rằng, khi đối mặt với những phương pháp tấn công xã hội ngày càng trưởng thành, ngành vẫn còn những thiếu sót rõ rệt trong việc bảo vệ dữ liệu khách hàng và tài sản. Điều đáng cảnh giác là, ngay cả khi các vị trí liên quan của nền tảng không có quyền truy cập vào tài chính, việc thiếu nhận thức và khả năng an ninh đủ cũng có thể dẫn đến những hậu quả nghiêm trọng do vô tình rò rỉ thông tin hoặc bị lừa gạt. Khi quy mô nền tảng ngày càng mở rộng, độ phức tạp trong việc kiểm soát an ninh nhân sự cũng tăng lên, trở thành một trong những rủi ro khó khăn nhất trong ngành. Do đó, bên cạnh việc tăng cường cơ chế an ninh trên chuỗi, nền tảng cũng cần xây dựng một "hệ thống phòng thủ chống lại tấn công xã hội" một cách hệ thống, bao gồm cả nhân viên nội bộ và dịch vụ bên ngoài, để đưa rủi ro con người vào trong chiến lược an ninh tổng thể.

Ngoài ra, ngay khi phát hiện ra rằng cuộc tấn công không phải là một sự kiện đơn lẻ, mà là một mối đe dọa có tổ chức, có quy mô và kéo dài, nền tảng nên có phản ứng ngay lập tức, chủ động kiểm tra các lỗ hổng tiềm ẩn, nhắc nhở người dùng phòng ngừa và kiểm soát phạm vi thiệt hại. Chỉ có ứng phó ở cả cấp độ kỹ thuật và tổ chức mới có thể giữ vững lòng tin và giới hạn trong một môi trường an ninh ngày càng phức tạp.