X trở thành mắt xích yếu nhất của tiền điện tử khi tin tặc tấn công những người có ảnh hưởng bằng phương pháp lừa đảo tinh vi

Một chiến dịch lừa đảo mới đang nhắm vào trung tâm của thị trường tiền điện tử. X, từ lâu đã được coi là quảng trường kỹ thuật số nơi các nhà phát triển, nhà giao dịch và nhà đầu tư trao đổi ý tưởng và định hình câu chuyện, nền tảng này hiện đang bị tấn công.

Tin tặc đang chiếm đoạt tài khoản của những người có sức ảnh hưởng trong lĩnh vực tiền điện tử thông qua các cuộc tấn công lừa đảo tinh vi vượt qua xác thực hai yếu tố, biến chính không gian thúc đẩy sự đổi mới thành chiến trường nơi chúng có thể sử dụng để thao túng và lừa đảo.

Hình thức lừa đảo mới này có các cuộc tấn công tiên tiến đến mức có thể vượt qua xác thực hai yếu tố, biến một trong những trung tâm giao tiếp quan trọng nhất của cộng đồng tiền điện tử thành lỗ hổng lớn nhất.

Nhà phát triển tiền điện tử Zak Cole là một trong những người đầu tiên lên tiếng cảnh báo về mức độ nguy hiểm của chương trình lừa đảo

"Không phát hiện. Đang hoạt động. Chiếm đoạt toàn bộ tài khoản. Không giống như các hình thức lừa đảo truyền thống, cuộc tấn công này không dựa vào trang đăng nhập giả mạo hay mật khẩu bị đánh cắp. Thay vào đó, nó khai thác hệ thống xác thực ứng dụng riêng của X, trao cho kẻ tấn công quyền truy cập đặc quyền vượt qua cả 2FA và các biện pháp bảo vệ tiêu chuẩn."

Nhà nghiên cứu bảo mật Ohm Shah của MetaMask xác nhận rằng cuộc tấn công lừa đảo này là một chiến dịch tấn công rộng hơn vào các thực thể cả bên trong và bên ngoài thế giới tiền điện tử, vì các người mẫu OnlyFan cũng được cho là mục tiêu trong vụ lừa đảo này.

Tại sao những người có ảnh hưởng trong lĩnh vực tiền điện tử lại là mục tiêu chính

Trong thế giới tiền điện tử, danh tiếng và tầm ảnh hưởng chính là tiền tệ. Bằng cách chiếm đoạt tài khoản của các nhà phát triển, nhà nghiên cứu và người có sức ảnh hưởng, kẻ lừa đảo có thể ngay lập tức biến lượng khán giả khổng lồ thành vũ khí, phát tán các liên kết độc hại dưới vỏ bọc những tiếng nói đáng tin cậy. Đó là lý do tại sao chiến dịch này đặc biệt nguy hiểm: nó làm xói mòn ranh giới mong manh của niềm tin, yếu tố duy trì hoạt động của hệ sinh thái tiền điện tử trực tuyến.

Cuộc tấn công bắt đầu bằng một tin nhắn trực tiếp X chứa liên kết dường như trỏ đến Google Calendar. Việc sử dụng siêu dữ liệu một cách tinh vi đã đánh lừa hệ thống xem trước của X hiển thị "calendar.google.com", mặc dù tên miền thực tế là "x(.)ca-lendar(.)com", mới được đăng ký để phục vụ cho trò lừa đảo.

Trong trường hợp của Cole, anh ấy đã nhận được một liên kết lừa đảo tự xưng là công ty đầu tư mạo hiểm khổng lồ Andreessen Horowitz—một cái tên được tạo ra để xóa bỏ sự nghi ngờ.

Khi nhấp vào liên kết, người dùng sẽ được chuyển hướng đến trang xác thực X, tại đó người dùng sẽ được nhắc chấp thuận ứng dụng có nhãn "Lịch". Khi kiểm tra kỹ hơn, tên ứng dụng có chứa các ký tự Cyrillic giống "a" và "e", giúp phân biệt với phiên bản hợp lệ.

Sau khi được cấp quyền, ứng dụng độc hại sẽ yêu cầu các quyền rộng rãi - chỉnh sửa hồ sơ, đăng nội dung, theo dõi hoặc hủy theo dõi người dùng - về cơ bản là trao cho kẻ tấn công chìa khóa tài khoản. Một số nạn nhân có thể phát hiện ra sự bất nhất, chẳng hạn như chuyển hướng đến calendly.com, nhưng đối với hầu hết nạn nhân, quá trình chuyển giao diễn ra liền mạch.

Lời khuyên của Cole tuy thẳng thắn nhưng hiệu quả: hãy kiểm tra "ứng dụng đã kết nối" X của bạn và ngay lập tức thu hồi bất kỳ quyền "Lịch" đáng ngờ nào. Vì lỗ hổng này không dựa vào mật khẩu bị đánh cắp, ngay cả những người dùng am hiểu và có biện pháp bảo mật chặt chẽ vẫn có thể bị tấn công trừ khi họ kiểm tra kết nối ứng dụng của mình.

Sự phụ thuộc vào mạng xã hội của tiền điện tử là một quả bom hẹn giờ

Chiến dịch này nêu bật một sự thật khó chịu: tiền điện tử không sụp đổ khi blockchain gặp trục trặc; nó sụp đổ khi các kênh truyền thông bị xâm phạm. X đã trở thành trung tâm của tiền điện tử, nhưng các lỗ hổng bảo mật của nó hiện đang đe dọa làm suy yếu chính ngành công nghiệp này.

Khi tin tặc lợi dụng các tính năng nền tảng hàng ngày như xác thực ứng dụng, câu nói "người dùng nên cẩn thận hơn" không còn đúng nữa. Cho đến khi các nền tảng như X tăng cường phòng thủ, mọi tài khoản người có ảnh hưởng, nhà phát triển và sàn giao dịch đều có thể trở thành mục tiêu.

Rủi ro không thể cao hơn: trong thế giới tiền điện tử, một tài khoản bị chiếm đoạt không chỉ là tổn thất cá nhân—nó có thể gây ra hỗn loạn thị trường, rút ​​cạn ví tiền và phá hủy niềm tin ngay lập tức. Câu hỏi không phải là liệu X có phải là mắt xích yếu nhất của tiền điện tử hay không—mà là ngành công nghiệp này có thể chịu đựng được bao lâu để phớt lờ nó.