Hacker lừa đảo tiền mã hóa, biến tài khoản "về 0" như thế nào?

Hiểm họa lừa đảo, lợi dụng tiền mã hóa

Thời gian gần đây ở Việt nam đã rộ lên một xu thế đầu tư mới là sử dụng phương thức tiền mã hóa. Loại hình này thường xuyên được quảng bá, mời gọi người tham gia dưới dạng đầu tư tài chính lợi nhuận cao, dễ dàng tham gia, và gần như không mất phí ban đầu.

Tuy nhiên theo chuyên gia bảo mật Mikko Hypponen, Giám đốc Nghiên cứu F-Secure, việc đầu tư vào tiền mã hóa hoàn toàn không được bảo vệ, không có gì đảm bảo và giá trị đầu tư các đồng tiền mã hóa có thể trở "về số 0" bất kỳ lúc nào.

"Luật pháp và quy định hiện hành tại Việt Nam cũng như trên thế giới không bảo vệ nhà đầu tư trong thị trường này. Vì giao dịch chuyển tiền mã hóa không thể đảo ngược nên nếu đồng tiền trong tài khoản bị ăn trộm, chuyển sang tài khoản khác thì không có cách nào lấy lại được", ông Mikko cho hay.

Quá trình nghiên cứu thực tế F-Secure nhận thấy, hàng chục trường hợp tiền mã hóa bị hack hoặc rò rỉ, trong đó có những vụ mất coin trị giá hàng trăm triệu USD. Đây hầu hết là các vụ trộm có tổ chức.

Tuy được liệt kê với giá trị rất cao, đa số các loại token này lại không được giao dịch và quy đổi trên các sàn DEX (sàn giao dịch phi tập trung) lớn. Khi đó, kẻ lừa đảo có thể gợi ý người dùng vào các sàn nhỏ và thiếu tin cậy, hoặc đưa khóa bí mật cho chúng.

"Chính tâm lý tò mò với khoản tiền lớn đã khiến nhiều nhà đầu tư cấp quyền truy cập cho kẻ gian. Sau khi giao dịch, kẻ lừa đảo sẽ có quyền truy cập vào ví cá nhân của người dùng và đánh cắp toàn bộ tài sản", chuyên gia bảo mật Mikko nhấn mạnh.

Mikko Hypponen là chuyên gia bảo mật toàn cầu, được mệnh danh là huyền thoại bảo mật thế giới. Mikko thường xuyên xuất hiện trên các kênh truyền hình quốc tế, và có nhiều bài nghiên cứu giá trị được đăng tải trên New York Times, Wired and Scientific American.

Ông được tạp chí PC World bình chọn là một trong số 50 người quan trọng nhất trên nền tảng web, được đưa vào danh sách 100 người có tư tưởng ảnh hưởng lớn nhất thế giới. Năm 2020, Mikko Hypponen được CISO MAG bình chọn là Nhân vật bảo mật của năm.

Chia sẻ thêm, chuyên gia này cho biết hiện có nhiều cổng đầu tư lừa đảo trong lĩnh vực tiền mã hóa - hype, qua đó người dùng kết nối ví vào các dự án này sau đó mất hết tiền.

Thông thường, hacker dùng hype để thu hút tiền vào bằng cách tạo website giống hệt các chiến dịch thu hút đầu tư thật hoặc giả mạo danh tính những người nổi tiếng trong lĩnh vực tiền ảo (như Elon Musk) để dụ người dùng vào các cơ hội đầu tư tốt, lợi nhuận cao.

Tại Việt Nam, ví dụ gần nhất là vụ đánh bạc online 88.000 tỷ mới bị phát hiện. Người chơi chỉ cần đăng ký ví tiền ảo trên sàn Remitano, sau đó dùng tiền trong tài khoản ngân hàng mua tiền ảo khác để cá cược trên trang web.

Về hình thức đầu tư tiền mã hóa, Ngân hàng Nhà nước Việt Nam đã nhiều lần phát đi lời cảnh báo người tham gia, nhưng thực tế vẫn có người đầu tư vào lĩnh vực này. Luật pháp Việt Nam hiện hành không công nhận đồng tiền ảo là một phương tiện thanh toán. Việc phát hành, tàng trữ, cung ứng sử dụng chúng như một phương tiện thanh toán là không hợp pháp và có thể bị truy cứu trách nhiệm hình sự.

Theo Mikko Hypponen, một cách hack phổ biến khác là hoán đổi SIM (SIM swapping). Kỹ thuật này được sử dụng để tạo ra những yêu cầu đổi SIM, khiến người dùng mắc lừa, rồi chiếm đoạt số điện thoại của họ và lấy trộm luôn cả mã đăng nhập 2 lớp.

Khi tin tặc có quyền truy cập vào số điện thoại của nạn nhân, chúng thậm chí có thể sử dụng nó để đặt lại mật khẩu và xâm nhập vào tài khoản của nạn nhân bao gồm email và tài khoản trên các sàn giao dịch tiền điện tử, từ đó có quyền truy cập vào tiền mã hóa được lưu trữ trên ví nóng.

Joel Ortiz, một sinh viên ở bang California (Mỹ) từng phải chịu bản án tù 10 năm vì trộm 5 triệu USD tiền mã hóa cũng thông qua việc hoán đổi SIM. Đây là lần đầu tiên một người bị tuyên phạt tù ở Mỹ vì tội này.

Làm sao để tránh bị lừa?

Một trong những thủ thuật được chia sẻ bởi F-Secure, để tránh bị mất trộm coin online (trực tuyến), người dùng chỉ nên giữ lượng coin ít nhất trên mạng và có thể truy cập được. Số còn lại, người dùng chuyển xuống offline (ngoại tuyến), hay còn gọi là cất trong ví lạnh, và lưu chuỗi mật khẩu passphrase ở nơi an toàn.

Cách tốt nữa là dùng ví cứng như thiết bị Trezor. Mặc dù không tiện lợi như ví nội bộ Metamask - cho phép truy cập trực tiếp vào các đồng coin, nhưng sẽ an toàn hơn rất nhiều. Nhìn chung, việc để coin trên tài khoản giao dịch là cách dễ nhất nhưng cũng dễ bị hack nhất, khi đó người sở hữu sẽ mất hết.

Ngoài ra, nên lưu ý không dùng đường dẫn website và không tìm kiếm đường link trên công cụ tìm kiếm để truy cập vào ví online, mà hãy truy cập bằng đường dẫn bạn đã lưu sẵn trên máy tính (bookmark trước đó).

Đối với nhà đầu tư, chuyên gia bảo mật khuyến cáo cần tỉnh táo, tránh tâm lý đám đông, phong trào, đua nhau bỏ tiền vào lĩnh vực mình không có kiến thức và đặc biệt không nên đầu tư quá nhiều vào kênh tiền mã hóa bởi mức độ biến động rất lớn kéo theo rủi ro cao