Khám phá sự công nghiệp hóa của các cuộc tấn công lừa đảo trong thế giới mã hóa

Kể từ tháng 6 năm 2024, đội ngũ an ninh đã phát hiện ra một lượng lớn các giao dịch lừa đảo và cạn kiệt tài chính tương tự. Chỉ trong tháng 6, số tiền liên quan đã vượt quá 55 triệu USD. Bước vào tháng 8 và 9, các hoạt động lừa đảo liên quan ngày càng gia tăng, thể hiện xu hướng ngày càng nghiêm trọng. Trong toàn bộ quý 3 năm 2024, các cuộc tấn công lừa đảo đã trở thành phương thức gây thiệt hại kinh tế lớn nhất, với tổng cộng hơn 243 triệu USD từ 65 cuộc tấn công. Phân tích cho thấy, các cuộc tấn công lừa đảo thường xuyên gần đây rất có thể liên quan đến nhóm công cụ lừa đảo nổi tiếng Inferno Drainer. Nhóm này đã tuyên bố "nghỉ hưu" vào cuối năm 2023, nhưng hiện tại dường như đã quay trở lại, phát động một loạt các cuộc tấn công quy mô lớn.

Bài viết này sẽ phân tích các phương thức thực hiện tội phạm điển hình của các nhóm lừa đảo mạng như Inferno Drainer, Nova Drainer, và liệt kê chi tiết các đặc điểm hành vi của chúng, nhằm giúp người dùng nâng cao khả năng nhận diện và phòng ngừa lừa đảo mạng.

Lừa đảo như một dịch vụ ( Scam-as-a-Service ) khái niệm

Trong thế giới mã hóa, một số đội lừa đảo đã phát triển một mô hình độc hại mới có tên là "Scam-as-a-Service"(SaaS). Mô hình này đóng gói các công cụ và dịch vụ lừa đảo để cung cấp cho những tội phạm khác theo cách hàng hóa. Inferno Drainer là đại diện tiêu biểu trong lĩnh vực này, với số tiền lừa đảo vượt quá 80 triệu USD trong khoảng thời gian từ tháng 11 năm 2022 đến tháng 11 năm 2023 khi họ lần đầu tiên thông báo ngừng cung cấp dịch vụ.

Inferno Drainer giúp người mua nhanh chóng phát động tấn công bằng cách cung cấp các công cụ và cơ sở hạ tầng lừa đảo sẵn có, bao gồm website lừa đảo phía trước và phía sau, hợp đồng thông minh và tài khoản mạng xã hội. Những kẻ lừa đảo mua dịch vụ SaaS có thể giữ lại phần lớn tiền lừa đảo, trong khi Inferno Drainer sẽ lấy 10%-20% hoa hồng. Mô hình này đã giảm đáng kể rào cản kỹ thuật của việc lừa đảo, khiến tội phạm mạng trở nên hiệu quả và quy mô hơn, dẫn đến việc tấn công lừa đảo tràn lan trong ngành công nghiệp mã hóa, đặc biệt là những người dùng thiếu nhận thức về an ninh dễ trở thành mục tiêu tấn công hơn.

Cơ chế hoạt động của SaaS

Các ứng dụng phi tập trung điển hình (DApp) thường bao gồm giao diện phía trước (như trang web hoặc ứng dụng di động) và hợp đồng thông minh trên blockchain. Người dùng kết nối với giao diện phía trước của DApp thông qua ví blockchain, trang phía trước sẽ tạo ra giao dịch blockchain tương ứng và gửi nó đến ví của người dùng. Sau đó, người dùng sử dụng ví blockchain để ký phê duyệt giao dịch này, sau khi ký xong, giao dịch sẽ được gửi đến mạng blockchain và gọi hợp đồng thông minh tương ứng để thực hiện các chức năng cần thiết.

Kẻ tấn công lừa đảo thông qua việc thiết kế giao diện người dùng và hợp đồng thông minh độc hại, khéo léo dụ dỗ người dùng thực hiện các hoạt động không an toàn. Họ thường dẫn dắt người dùng nhấp vào liên kết hoặc nút độc hại, từ đó lừa đảo họ phê duyệt một số giao dịch độc hại ẩn giấu, thậm chí trong một số trường hợp, trực tiếp dụ dỗ người dùng tiết lộ khóa riêng. Khi người dùng đã ký những giao dịch độc hại này hoặc tiết lộ khóa riêng, kẻ tấn công có thể dễ dàng chuyển tài sản của người dùng vào tài khoản của mình.

Các phương pháp lừa đảo phổ biến bao gồm:

1. Giả mạo giao diện trước của dự án nổi tiếng: Kẻ tấn công tinh vi mô phỏng trang web chính thức của một dự án nổi tiếng, tạo ra giao diện trước có vẻ hợp pháp, khiến người dùng nhầm tưởng rằng họ đang tương tác với một dự án đáng tin cậy.

2. Lừa đảo airdrop token: Quảng bá rầm rộ trên mạng xã hội cơ hội "airdrop miễn phí", "bán trước sớm", "đúc NFT miễn phí", dụ dỗ nạn nhân nhấp vào liên kết và phê duyệt giao dịch độc hại.

3. Sự kiện hack giả mạo và lừa đảo phần thưởng: Tuyên bố rằng một dự án nổi tiếng đã bị tấn công bởi hacker hoặc tài sản bị đóng băng, đang phát bồi thường hoặc phần thưởng cho người dùng, dụ dỗ người dùng kết nối ví.

Mô hình SaaS về cơ bản là động lực lớn nhất cho sự gia tăng mạnh mẽ của các cuộc lừa đảo phishing trong hai năm qua. Các nhà cung cấp công cụ SaaS như Inferno Drainer hoàn toàn loại bỏ rào cản kỹ thuật của các cuộc lừa đảo phishing, cung cấp dịch vụ cho những người mua thiếu kỹ thuật tương ứng để tạo và lưu trữ các trang web lừa đảo, và trích một phần lợi nhuận từ các khoản lừa đảo.

Cơ chế phân chia phần thưởng của Inferno Drainer

Vào ngày 21 tháng 5 năm 2024, Inferno Drainer đã công khai một thông điệp xác thực chữ ký trên etherscan để tuyên bố trở lại và tạo ra một kênh Discord mới. Bằng cách phân tích một giao dịch lừa đảo điển hình, chúng ta có thể thấy cách hoạt động của Inferno Drainer:

1. Sử dụng chỉ thị CREATE2 để tạo hợp đồng chia phần.
2. Gọi hợp đồng đã tạo, phê duyệt token của nạn nhân cho địa chỉ lừa đảo và địa chỉ phân chia.
3. Chuyển vào địa chỉ phân chia và người mua tỷ lệ mã thông báo tương ứng, hoàn thành việc phân chia.

Trong một giao dịch được quan sát, người mua dịch vụ câu cá đã nhận được 82,5% số tiền phi pháp, trong khi Inferno Drainer giữ lại 17,5%.

Các bước đơn giản để tạo trang web lừa đảo

Với sự trợ giúp của SaaS, kẻ tấn công chỉ cần vài bước đơn giản để tạo ra một trang web lừa đảo:

1. Vào kênh TG do Drainer cung cấp, sử dụng lệnh đơn giản để tạo tên miền và địa chỉ IP miễn phí.
2. Chọn một mẫu từ những mẫu đã cung cấp và hoàn thành cài đặt trong vài phút.
3. Chờ nạn nhân truy cập vào trang web và phê duyệt giao dịch độc hại.

Toàn bộ quá trình chỉ mất vài phút, giảm đáng kể chi phí tội phạm và rào cản kỹ thuật.

Đề xuất an toàn

Để phòng ngừa các cuộc tấn công lừa đảo như vậy, người dùng nên:

• Cảnh giác với bất kỳ tuyên truyền nào về "bánh bao rơi từ trên trời", chỉ tin tưởng vào trang web chính thức hoặc các dự án đã được kiểm toán chuyên nghiệp.
• Kiểm tra URL cẩn thận trước khi kết nối ví, và sử dụng công cụ tra cứu tên miền WHOIS để xác minh thời gian đăng ký của trang web.
• Bảo vệ thông tin cá nhân, không cung cấp từ ghi nhớ hoặc khóa riêng cho các trang web đáng ngờ.
• Kiểm tra kỹ trước khi phê duyệt giao dịch xem có liên quan đến hoạt động Permit hoặc Approve không.
• Theo dõi thông tin cảnh báo an toàn, kịp thời rút lại các quyền hạn nghi ngờ hoặc chuyển nhượng tài sản.