Bitrace, một công ty bảo mật blockchain, gần đây thông báo rằng họ đã hỗ trợ cảnh sát Trung Quốc triệt phá một băng nhóm tội phạm sản xuất và phân phối ví tiền điện tử giả. Băng nhóm này đã phân phối các gói cài đặt ứng dụng (APK) gian lận thông qua các nhóm Telegram và WeChat, đồng thời mua các dịch vụ quảng cáo để bắt chước các website chính thức của những ví tiền điện tử phổ biến như TokenPocket.
Nhiều nạn nhân đã tải ví tiền điện tử giả này xuống và bị chúng đánh cắp tài sản. Vụ việc hiện đang được điều tra và xét xử.
Đây không phải là lần đầu tiên cảnh sát Trung Quốc triệt phá một nhóm tội phạm sử dụng các chiến thuật như vậy. Trước đây, chính quyền Chiết Giang và Giang Tô đã có hành động chống lại các băng nhóm đã sử dụng các phương pháp tương tự để mạo danh các ví tiền điện tử nổi tiếng toàn cầu như imToken, TokenPocket, MetaMask, TrustWallet và các ví khác.
Phát hành ví tiền điện tử giả đã trở thành một lĩnh vực mang lại doanh thu lớn, bọn tội phạm liên tục nâng cấp các kỹ thuật của chúng. Gần đây, đã có nhiều báo cáo về việc các nạn nhân trở thành con mồi của nhiều hình thức trộm cắp mới, chẳng hạn như sử dụng đa chữ ký (multi-sig). Quy mô thiệt hại mà các nạn nhân phải gánh chịu tiếp tục gia tăng.
Vì lý do này, Bitrace đã khuyên người dùng chỉ tải ví tiền điện tử từ các app store hoặc website chính thức có uy tín và tránh cài đặt chúng từ các nhóm Telegram hoặc WeChat hoặc từ các công cụ tìm kiếm. Team Bitrace đã theo dõi xu hướng lừa đảo thông qua ví tiền điện tử giả trong một thời gian dài và đang nỗ lực nâng cao nhận thức về những rủi ro liên quan.
Một nạn nhân đã trở thành con mồi của vụ lừa đảo multi-sig gần đây đã liên hệ với Bitrace để được hỗ trợ. Đội ngũ của Bitrace đã nghiên cứu loại hình lừa đảo mới này và sẽ cung cấp một số thông tin chi tiết về nó.
Multi-sig là một cơ chế bảo mật được sử dụng rộng rãi trong công nghệ blockchain. Để hoàn tất giao dịch, một số người dùng nhất định có private key phải ký vào giao dịch.
Multi-sig giúp ngăn chặn các cuộc tấn công nguy hiểm và các hoạt động gian lận, đồng thời cải thiện tính bảo mật và tính khả dụng của tài sản tiền điện tử. Nó cũng giải quyết các vấn đề về niềm tin tiềm ẩn phát sinh khi nhiều bên hợp tác quản lý tài sản. Kết quả là, multi-sig đã được áp dụng rộng rãi. Sử dụng multi-sig cũng có nghĩa là nếu private key của người dùng bị hacker đánh cắp cũng không thể chuyển tài sản vì chúng không có private key của những người dùng khác có quyền ký.
Tuy nhiên, một khi cấp độ cao nhất của thẩm quyền multi-sig bị đánh cắp, hacker có thể hành động mà không bị trừng phạt. Họ có thể cải trang thành một đối tác và ẩn nấp trong bóng tối, chờ nạn nhân tiếp tục nạp tiền vào trước khi lấy tất cả tài sản cùng một lúc. Trong các vụ lừa đảo ví giả truyền thống, hacker lấy được private key của địa chỉ ví thông qua phần phụ trợ của ví giả và cả hacker cùng với nạn nhân đều có quyền truy cập vào cơ quan điều hành địa chỉ, vì vậy cả hai đều có thể chuyển tất cả tiền ra khỏi địa chỉ ví.
Trong kịch bản thứ hai, hacker triển khai “fishing”, đây là thuật ngữ được sử dụng trong ngành công nghiệp ví giả. Trong các vụ lừa đảo multi-sig, do người dùng mất quyền kiểm soát tài khoản nên địa chỉ đó sẽ luôn ở trạng thái “chỉ vào, không ra” trong khoảng thời gian này. Về lý thuyết, miễn là người dùng không bắt đầu chuyển tiền ra, họ sẽ không bao giờ biết mình sắp bị mất tiền.
Đối với hacker, chúng không phải lo bị vụt mất con mồi. Chúng chỉ cần đợi người dùng tiếp tục gửi tiền vào ví. Rõ ràng, lừa đảo multi-sig là phiên bản nâng cấp của lừa đảo ví giả, chúng xảo quyệt hơn và có tỷ lệ thành công cao hơn.
Bitrace khuyên người dùng nên cảnh giác và luôn đảm bảo rằng chỉ tải những ứng dụng ví tiền điện tử xuống từ các nguồn có uy tín. Họ cũng kêu gọi người dùng thực hiện các biện pháp để bảo vệ private key và tránh tiết lộ chúng ra công chúng.
Cảnh báo của Bitrace nhấn mạnh rằng người dùng cần thận trọng khi tải ví tiền điện tử. Người dùng phải luôn tải xuống ví từ các nguồn chính thức như app store hoặc website chính thức chứ không phải từ các tin nhắn không mong muốn trên phương tiện truyền thông xã hội hoặc công cụ tìm kiếm. Ngoài ra, điều cần thiết là luôn cảnh giác với các hình thức lừa đảo mới và thận trọng khi chia sẻ thông tin cá nhân hoặc truy cập các liên kết đáng ngờ.
