Các nhà giao dịch meme coin đã trở thành mục tiêu của các trang lừa đảo ngụy trang thành màn hình xác minh Cloudflare, với một nhà giao dịch báo cáo thiệt hại khoảng 600.000 USD sau khi chạy một mã độc.
Các báo cáo thị trường vào ngày 16 tháng 9 cho biết một số trang meme coin phổ biến đã chuyển hướng khách truy cập đến các màn hình xác minh giả mạo, yêu cầu họ thực thi các lệnh trên máy tính, cho phép các mã độc chạy và có khả năng đánh cắp tài sản tiền điện tử.
Nhà giao dịch tiền điện tử @cladzsol cho biết anh đã mất khoảng 600.000 USD trong vụ việc, trong khi tài khoản tiền điện tử @insidecalls cảnh báo rằng cuộc tấn công liên quan đến một trang web hiển thị kiểm tra Cloudflare giả mạo trước khi yêu cầu người dùng chạy một tải trọng với quyền quản trị viên trên Windows.
Phương pháp này khác với nhiều cuộc tấn công rút ví dựa vào việc người dùng kết nối ví và chấp thuận một giao dịch blockchain độc hại. Trong trường hợp này, trang lừa đảo cố gắng khiến nạn nhân thực thi mã trực tiếp trên máy tính.
Các liên kết độc hại đã xuất hiện thông qua các trường trang web gắn liền với meme coin. Các nhà giao dịch quét các token mới ra mắt có thể mở các liên kết đó trong khi nghiên cứu một dự án, và cuối cùng lại truy cập vào một trang được thiết kế giống như một kiểm tra xác minh Cloudflare hợp pháp.
Theo các báo cáo, một khi người dùng làm theo hướng dẫn trên trang, một mã độc có thể được tải xuống và thực thi trên máy tính.
Inside Calls đã mô tả một chuỗi tương tự khi thảo luận về khoản lỗ mà @cladzsol phải chịu, nói rằng quy trình xác minh giả mạo yêu cầu người dùng chạy một tải trọng quản trị viên trên Windows. Nhà giao dịch sau đó cho biết sự cố đã khiến anh ta mất 600.000 USD.
Cuộc tấn công một phần dựa vào hành vi thường xuyên của các nhà giao dịch meme coin, những người thường xuyên di chuyển nhanh chóng giữa các trang token, tài khoản mạng xã hội và trang web dự án khi tìm kiếm các tài sản mới ra mắt.
Một số nền tảng theo dõi token và tổng hợp giao dịch hiển thị thông tin trang web và mạng xã hội được lấy từ siêu dữ liệu token. Các báo cáo về chiến dịch mới nhất cho biết các trường này có thể bị thay đổi bởi những người tạo token hoặc bởi những người sau này kiểm soát sự hiện diện cộng đồng của một dự án.
Do đó, kẻ tấn công có thể đặt một trang web độc hại vào một trường mà các nhà giao dịch có thể mong đợi chứa trang chủ chính thức của dự án. Các báo cáo đã nêu lên lo ngại về sự chậm trễ trong việc xem xét các liên kết được hiển thị bởi các dịch vụ tổng hợp như DexScreener, mặc dù không có bằng chứng nào được trình bày trong các báo cáo cho thấy DexScreener đã bị xâm phạm.
Chiến dịch mới nhất này tiếp nối một số cuộc tấn công trong đó các trang web, thương hiệu hoặc dịch vụ trực tuyến quen thuộc bị sao chép để thuyết phục người dùng tiền điện tử tương tác với phần mềm độc hại.
Vào tháng 8, một nhà giao dịch Hyperliquid đã mất khoảng 550.000 USD sau khi nhấp vào một quảng cáo được tài trợ trên Google dẫn đến một phiên bản giả mạo của nền tảng giao dịch phi tập trung. Công ty bảo mật blockchain Salus đã liên kết cơ sở hạ tầng phía sau trang web với hệ sinh thái Inferno drainer.
Vụ trộm ngày 13 tháng 8 liên quan đến một trang web Hyperliquid giả mạo được quảng bá thông qua kết quả tìm kiếm trả phí. Salus cho biết cơ sở hạ tầng bao gồm các mã độc, tạo lệnh phê duyệt, rút tiền tự động, rút tiền đa chuỗi và các công cụ để hợp nhất số tiền bị đánh cắp.
Crypto.news trước đây đã báo cáo vào tháng 7 rằng các dịch vụ rút ví thường sử dụng các trang web dự án giả mạo, airdrop lừa đảo, liên kết mạng xã hội độc hại và các trang token giả mạo để đưa người dùng đến các yêu cầu giao dịch nguy hiểm.
Trong các cuộc tấn công đó, trang web độc hại thường yêu cầu nạn nhân kết nối ví và phê duyệt một giao dịch hoặc chữ ký. Sự phê duyệt này có thể cấp cho một hợp đồng do kẻ tấn công kiểm soát quyền chuyển token mà không cần lấy cụm từ hạt giống hoặc mật khẩu của ví.
Chiến dịch Cloudflare giả mạo sử dụng một lộ trình khác được mô tả trong các báo cáo ngày 16 tháng 9: nạn nhân được hướng dẫn thực thi một mã trên máy tính của họ. Một khi mã đang chạy cục bộ, cuộc tấn công không còn bị giới hạn trong việc có được sự phê duyệt trên chuỗi thông qua trang web nữa.
Các chiến dịch gần đây đã liên tục kết hợp lừa đảo với phần mềm độc hại được thiết kế để thu thập thông tin ví và các thông tin đăng nhập khác từ máy tính.
Một ứng dụng Claude dành cho máy tính để bàn giả mạo được phát hiện vào tháng 8 đã phát tán phần mềm độc hại RevStealer có khả năng nhắm mục tiêu hơn 50 ví tiền điện tử, theo công ty an ninh mạng Morphisec.
Phần mềm độc hại được ẩn bên trong một ứng dụng được giới thiệu là “Claude Opus 5 Free Desktop”. Morphisec cho biết chương trình có thể thu thập thông tin từ ví tiền điện tử, trình quản lý mật khẩu và trình duyệt web trên hệ thống Windows trước khi gửi các bản ghi bị đánh cắp đến cơ sở hạ tầng do kẻ tấn công kiểm soát.
Một chiến dịch khác được tiết lộ vào tháng 5 đã sử dụng các gói nhà phát triển độc hại để nhắm mục tiêu đến các nhà phát triển tiền điện tử và trí tuệ nhân tạo. Nền tảng bảo mật Socket đã xác định ít nhất 34 gói độc hại và 384 phiên bản liên quan trên các hệ sinh thái phần mềm npm, PyPI và Rust.
Socket cho biết chiến dịch TrapDoor được thiết kế để thu thập dữ liệu ví cùng với các token GitHub, thông tin đăng nhập đám mây, khóa API và quyền truy cập SSH.
Các phương pháp phân phối khác nhau, nhưng cả hai chiến dịch đều phụ thuộc vào việc khiến nạn nhân cài đặt hoặc thực thi phần mềm được giới thiệu là hợp pháp.
Giao dịch meme coin trước đây đã tạo cơ hội cho kẻ tấn công phân phối phần mềm độc hại vì các nhà giao dịch thường sử dụng các công cụ của bên thứ ba, các khuyến nghị trên mạng xã hội và các trang web dự án không quen thuộc.
Vào tháng 8 năm 2024, nền tảng tổng hợp sàn giao dịch phi tập trung Solana Jupiter đã cảnh báo người dùng về một tiện ích mở rộng Chrome độc hại có tên Bull Checker sau khi một số người dùng báo cáo ví của họ bị rút tiền.
Tiện ích mở rộng này được quảng bá cho người dùng Solana như một công cụ để xem người nắm giữ meme coin. Cuộc điều tra của Jupiter phát hiện ra rằng nó có thể sửa đổi các giao dịch trong quá trình tương tác với các ứng dụng phi tập trung và chèn các lệnh chuyển token đến một địa chỉ khác.
Một sự cố riêng biệt vào tháng 11 năm 2024 liên quan đến một nhà đầu tư meme coin Gigachad, người đã báo cáo mất 6,09 triệu USD sau khi nhấp vào một liên kết cuộc họp Zoom giả mạo. Nạn nhân cho biết phần mềm độc hại đã được tải xuống máy tính xách tay, sau đó kẻ tấn công đã rút tiền từ ba ví chứa 95,27 triệu token GIGA.
Onchain Lens cho biết kẻ tấn công sau đó đã bán số token bị đánh cắp với giá 11.759 SOL, trị giá khoảng 2,1 triệu USD vào thời điểm đó.
Các báo cáo ngày 16 tháng 9 khuyên các nhà giao dịch khi gặp một trang xác minh Cloudflare được cho là yêu cầu họ thực thi lệnh hoặc mã thì nên đóng trang đó mà không tương tác.
GIGA
SOL