Chiêu thức lừa đảo tiền điện tử lại tiếp tục nâng cấp, gần đây nhiều người dùng ví phần cứng như Trezor, Ledger đã báo cáo nhận được thư vật lý giả mạo thông báo chính thức, trong đó yêu cầu quét mã QR để xác thực bắt buộc, thực chất là dụ người dùng nhập seed phrase để lấy cắp tài sản. Loại tấn công này không phải lần đầu xuất hiện, một lần nữa nhấn mạnh rủi ro rò rỉ dữ liệu cá nhân và lừa đảo xã hội trong thời gian dài.
Thư vật lý giả mạo thông báo chính thức, yêu cầu xác thực danh tính trong thời hạn
Nhóm an ninh mạng Dmitry Smilyanets cho biết, nhiều người dùng nhận được thư giấy ký tên từ Trezor hoặc Ledger, nội dung yêu cầu hoàn thành “kiểm tra xác thực danh tính (Authentication Check)” hoặc “kiểm tra giao dịch (Transaction Check)” trong thời hạn nhất định, nếu không thiết bị có thể bị hạn chế.
Theo báo cáo, hình thức thư rất tinh vi, bao gồm chữ ký giả, logo thương hiệu và tem chống giả, kèm theo mã QR để xác thực. Trong một số trường hợp, thư còn mạo danh Giám đốc điều hành của Trezor, Matěj Žák, ký tên.
Quét mã QR dẫn đến website giả, dụ nhập seed phrase
Dmitry Smilyanets báo cáo rằng, mã QR trong thư sẽ dẫn người nhận đến trang web độc hại giả mạo trang chính thức, yêu cầu nhập seed phrase của ví để hoàn tất “xác thực an toàn”. Một khi seed phrase bị nhập, dữ liệu sẽ được gửi qua API phía sau đến kẻ tấn công, cho phép họ nhập ví trên các thiết bị khác và chuyển tài sản đi.
Trezor, Ledger khẳng định chính thức, họ chưa từng và sẽ không bao giờ yêu cầu người dùng cung cấp seed phrase qua website, email hay thư vật lý. Seed phrase bị lộ sẽ tương đương với việc mất quyền kiểm soát ví.
Nguồn gốc tấn công: Ledger từng rò rỉ dữ liệu cá nhân thành danh sách đen
Loại lừa đảo qua thư vật lý này có thể chính xác đến từng người nhận, liên quan đến các vụ rò rỉ dữ liệu trong nhiều năm qua. Năm 2020, Ledger đã gặp sự cố bảo mật liên quan đến đối tác thương mại điện tử Shopify, khiến hàng trăm nghìn tên khách hàng và địa chỉ thực tế bị lộ. Năm 2023, Ledger Connect Kit cũng gặp tấn công chuỗi cung ứng. Đầu năm 2024, Trezor cũng báo cáo rò rỉ thông tin liên lạc của 66.000 người dùng.
Chỉ mới tháng trước, Ledger vừa bị hacker tấn công qua nhà cung cấp dịch vụ thanh toán bên thứ ba Global-e, dẫn đến rò rỉ tên và thông tin liên lạc của người dùng, dù chính thức khẳng định không liên quan đến khoá riêng và thông tin thanh toán, nhưng vẫn có thể trở thành mục tiêu lừa đảo qua email. Dù thiết bị ví an toàn, nhưng khi dữ liệu cá nhân bị lộ, vẫn có thể bị lợi dụng nhiều lần.
(Global-e, nhà cung cấp dịch vụ thanh toán của Ledger, bị rò rỉ dữ liệu cá nhân, chính thức phản hồi “Thiết bị ví an toàn”)
Chiêu thức lừa đảo tiến hóa: Từ email đến xã hội giả mạo trực tiếp
Quan sát xu hướng tấn công gần đây, phương thức lừa đảo đã mở rộng từ email, tin nhắn giả mạo dịch vụ khách hàng, đến giả mạo ứng dụng, thậm chí gửi thiết bị phần cứng giả và thư vật lý. Thư vật lý giúp giảm cảnh giác của người dùng, đặc biệt khi thiết kế rất giống thật, dễ gây nhầm lẫn. Các cuộc tấn công liên tục này phản ánh rủi ro trong ngành công nghiệp tiền điện tử về bảo vệ dữ liệu và phụ thuộc vào bên thứ ba.
Dmitry Smilyanets nhắc nhở, đối với người dùng, hàng phòng thủ quan trọng nhất vẫn là nguyên tắc cơ bản: “Trong mọi trường hợp, không tiết lộ seed phrase cho bất kỳ ai.” Trong bối cảnh các sự cố an ninh mạng liên tục xảy ra, cách nâng cao cảnh giác của người dùng và an toàn chuỗi cung ứng sẽ tiếp tục là thách thức lớn của ngành.
Bài viết này “Cẩn thận ví lạnh! Người dùng Trezor, Ledger liên tục nhận thư vật lý chứa mã QR lừa đảo” lần đầu xuất hiện trên Chain News ABMedia.
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể đến từ bên thứ ba và không đại diện cho quan điểm hoặc ý kiến của Gate. Nội dung hiển thị trên trang này chỉ mang tính chất tham khảo và không cấu thành bất kỳ lời khuyên tài chính, đầu tư hoặc pháp lý nào. Gate không đảm bảo tính chính xác hoặc đầy đủ của thông tin và sẽ không chịu trách nhiệm cho bất kỳ tổn thất nào phát sinh từ việc sử dụng thông tin này. Đầu tư vào tài sản ảo tiềm ẩn rủi ro cao và chịu biến động giá đáng kể. Bạn có thể mất toàn bộ vốn đầu tư. Vui lòng hiểu rõ các rủi ro liên quan và đưa ra quyết định thận trọng dựa trên tình hình tài chính và khả năng chấp nhận rủi ro của riêng bạn. Để biết thêm chi tiết, vui lòng tham khảo
Tuyên bố miễn trừ trách nhiệm.
Bài viết liên quan
Khai thác Resolv USR Kích hoạt Mint 50M và Depeg Sắc nét
Resolv Labs gặp phải một sự cố bảo mật khi những kẻ tấn công đã mint 50M token USR không được bảo đảm, gây ra một cuộc bán tháo nhanh chóng khiến USR mất giá. Những nỗ lực khôi phục đang được tiến hành, với các khoản lỗ ước tính là $25M, trong khi các hoạt động của giao thức vẫn bị tạm dừng.
CryptoFrontNews11giờ trước
Hacker giả mạo trang Google Play Store, thực hiện cuộc tấn công khai thác tiền điện tử và cướp ví điện tử nhắm vào người dùng Brazil
Gần đây, những kẻ tấn công mạng đã tiến hành cuộc tấn công malware Android ở Brazil thông qua một trang web lừa đảo giả mạo Google Play Store, lôi kéo người dùng tải xuống ứng dụng giả mạo "INSS Reembolso". Malware này có tính ẩn giấu cao, thực hiện khai thác tiền điện tử và hỗ trợ nhiều chức năng kiểm soát từ xa, một số biến thể còn chứa trojan ngân hàng, có khả năng thay thế địa chỉ chuyển tiền.
GateNews13giờ trước
Resolv Labs Tạm Dừng Giao Thức Sau Khi $23M Exploit Gây Ra Depeg Stablecoin USR
Resolv Labs đã dừng giao thức tài chính phi tập trung ( DeFi) vào sáng sớm Chủ Nhật sau khi một lỗ hổng cho phép kẻ tấn công tạo ra hàng chục triệu đồng USR stablecoin không có tài sản đảm bảo, khiến token rơi xuống dưới mức 1 đô la.
Cái gì đã gây ra Vụ Hack Resolv Labs và Sự Depeg của USR?
Sự cố đã xảy ra với giao thức Resol
Coinpedia14giờ trước
Resolv Phải Chịu Lỗ 80M $USR Khi Những Kẻ Khai Thác Chuyển Hướng Quỹ Qua Các DEX Hàng Đầu
Mạng Resolv đã bị khai thác nghiêm trọng, làm mất 80M $USR tokens. Những kẻ tấn công nhanh chóng hoán đổi các tài sản bị đánh cắp trên các sàn giao dịch phi tập trung để che giấu dấu vết của họ. Nền tảng đã tạm dừng hoạt động và đang điều tra các nỗ lực phục hồi trong khi kêu gọi người dùng cảnh báo.
BlockChainReporter14giờ trước
Chồng kiện vợ vì trộm hơn 2.000 Bitcoin! Thẩm phán: Khả năng thắng kiện của nguyên đơn rất cao
Tòa án Cao cấp Anh gần đây đã xét xử một vụ án mất trộm Bitcoin, trong đó nguyên đơn Ping Fai Yuen cáo buộc vợ ly thân Fun Yung Li đã lén lút chụp ảnh để trộm Bitcoin từ ví phần cứng của anh ta, trị giá khoảng 1.76 tỷ đô la Mỹ. Bằng chứng từ ghi âm và lệnh khám xét hỗ trợ yêu cầu của nguyên đơn, tòa án đã quyết định duy trì lệnh tịch thu tài sản nhưng bác bỏ một phần đơn kiện. Thẩm phán cho rằng nguyên đơn có khả năng thắng kiện rất cao và đề nghị khai mạc phiên tòa sớm nhất.
区块客14giờ trước
