Mối đe dọa từ trò lừa bịp xã hội đối với người dùng Coinbase và chiến lược ứng phó

Gần đây, các cuộc tấn công kỹ thuật xã hội trong lĩnh vực tài sản tiền điện tử đã trở thành mối nguy hiểm lớn đối với an toàn tài chính của người dùng. Kể từ năm 2025, các sự kiện lừa đảo kỹ thuật xã hội nhắm vào người dùng của một nền tảng giao dịch đã xảy ra thường xuyên, thu hút sự chú ý rộng rãi trong ngành. Từ các cuộc thảo luận trong cộng đồng có thể thấy, những sự kiện này không phải là cá biệt, mà đang có những đặc điểm liên tục và có tổ chức.

Vào ngày 15 tháng 5, một nền tảng giao dịch đã phát hành thông báo, xác nhận những suy đoán trước đó về sự tồn tại của "nội gián" trong nền tảng. Bộ Tư pháp Hoa Kỳ đã bắt đầu điều tra về sự cố rò rỉ dữ liệu này.

Bài viết này sẽ thông qua việc sắp xếp thông tin từ nhiều nhà nghiên cứu an ninh và nạn nhân, tiết lộ các phương thức chính mà kẻ lừa đảo thực hiện, và từ hai góc độ của nền tảng và người dùng thảo luận về các chiến lược ứng phó hiệu quả.

Lịch sử

Nhà nghiên cứu an toàn Zach đã chỉ ra trong bản cập nhật trên mạng xã hội vào ngày 7 tháng 5: "Chỉ trong tuần qua, đã có hơn 45 triệu USD bị đánh cắp từ người dùng của một nền tảng giao dịch do trò lừa bịp xã hội."

Trong năm qua, Zach đã nhiều lần công bố trên các nền tảng xã hội về sự cố người dùng bị đánh cắp trên nền tảng giao dịch này, một số nạn nhân đã chịu thiệt hại lên tới hàng chục triệu đô la. Zach trong một cuộc điều tra chi tiết được phát hành vào tháng 2 năm 2025 cho biết, chỉ trong khoảng thời gian từ tháng 12 năm 2024 đến tháng 1 năm 2025, tổng thiệt hại tài chính từ các trò lừa bịp như vậy đã vượt quá 65 triệu đô la. Ông cũng tiết lộ rằng nền tảng này đang phải đối mặt với một cuộc khủng hoảng "lừa đảo xã hội" nghiêm trọng, với quy mô tấn công trung bình hàng năm lên tới 300 triệu đô la, liên tục xâm phạm an toàn tài sản của người dùng.

Zach chỉ ra:

• Các băng nhóm chủ đạo loại lừa đảo này chủ yếu được chia thành hai loại: một loại là những kẻ tấn công cấp thấp đến từ các nhóm cụ thể, loại còn lại là các tổ chức tội phạm mạng có trụ sở tại Ấn Độ;
• Mục tiêu tấn công của băng nhóm lừa đảo chủ yếu là người dùng Mỹ, phương pháp phạm tội tiêu chuẩn hóa, quy trình lời nói đã thành thạo;
• Số tiền tổn thất thực tế có thể cao hơn nhiều so với thống kê có thể thấy trên chuỗi, vì không bao gồm các thông tin chưa công khai như đơn yêu cầu hỗ trợ khách hàng và hồ sơ báo cáo cảnh sát mà không thể lấy được.

trò lừa bịp

Trong sự kiện này, hệ thống kỹ thuật của nền tảng giao dịch không bị tấn công, mà kẻ lừa đảo đã lợi dụng quyền hạn của nhân viên nội bộ để lấy được một phần thông tin nhạy cảm của người dùng. Những thông tin này bao gồm: tên, địa chỉ, thông tin liên lạc, dữ liệu tài khoản, ảnh chứng minh nhân dân, v.v. Mục đích cuối cùng của kẻ lừa đảo là sử dụng các phương pháp kỹ thuật xã hội để dẫn dắt người dùng chuyển tiền.

Cách tấn công này đã thay đổi phương pháp lừa đảo truyền thống "rải lưới" sang "tấn công chính xác", được coi là lừa đảo xã hội "được thiết kế riêng". Đường điển hình của vụ án như sau:

1. Liên hệ với người dùng dưới danh nghĩa "dịch vụ khách hàng chính thức"

Kẻ lừa đảo sử dụng hệ thống điện thoại giả mạo để giả làm nhân viên hỗ trợ của nền tảng, gọi điện cho người dùng và nói rằng "tài khoản của họ đã gặp đăng nhập trái phép", hoặc "phát hiện rút tiền bất thường", tạo ra bầu không khí khẩn cấp. Họ sau đó sẽ gửi email hoặc tin nhắn lừa đảo giả mạo, trong đó có chứa số hiệu công việc giả mạo hoặc liên kết "quy trình phục hồi", và hướng dẫn người dùng thực hiện các bước. Những liên kết này có thể dẫn đến giao diện nền tảng bị sao chép, thậm chí có thể gửi email có vẻ như đến từ tên miền chính thức, một số email sử dụng công nghệ chuyển hướng để vượt qua bảo vệ an toàn.

2. Hướng dẫn người dùng tải xuống ví chính thức

Kẻ lừa đảo sẽ lấy lý do "bảo vệ tài sản" để hướng dẫn người dùng chuyển tiền đến "ví an toàn", họ cũng sẽ hỗ trợ người dùng cài đặt ví chính thức và chỉ dẫn họ chuyển tài sản vốn đang được lưu giữ trên nền tảng sang một ví mới được tạo.

3. Dẫn dụ người dùng sử dụng từ khóa mà kẻ lừa đảo cung cấp

Khác với việc "lừa đảo lấy từ khôi phục" truyền thống, kẻ lừa đảo trực tiếp cung cấp một bộ từ khôi phục do họ tự tạo ra, dụ dỗ người dùng sử dụng nó như là "ví mới chính thức".

4.Trò lừa bịp tiến hành trộm cắp tài chính

Nạn nhân trong trạng thái căng thẳng, lo âu và tin tưởng vào "dịch vụ khách hàng", rất dễ rơi vào bẫy. Trong mắt họ, ví mới "do chính thức cung cấp" đương nhiên an toàn hơn ví cũ "bị nghi ngờ bị xâm nhập". Kết quả là, ngay khi tiền được chuyển vào ví mới này, kẻ lừa đảo có thể ngay lập tức chuyển đi. "Chìa khóa không thuộc về bạn, tức là tiền không thuộc về bạn" - trong các cuộc tấn công xã hội, quan niệm này lại một lần nữa được chứng minh một cách tàn nhẫn.

Ngoài ra, một số email lừa đảo tuyên bố "do phán quyết của vụ kiện tập thể, nền tảng sẽ hoàn toàn chuyển sang ví tự quản" và yêu cầu người dùng hoàn tất việc di chuyển tài sản trước ngày 1 tháng 4. Dưới áp lực thời gian gấp rút và sự gợi ý tâm lý từ "chỉ thị chính thức", người dùng dễ dàng phối hợp thực hiện.

Theo các nhà nghiên cứu an ninh, những cuộc tấn công này thường được lên kế hoạch và thực hiện một cách có tổ chức:

• Công cụ lừa đảo hoàn thiện: Kẻ lừa đảo sử dụng hệ thống PBX để giả mạo số điện thoại gọi đến, mô phỏng cuộc gọi từ dịch vụ khách hàng chính thức. Khi gửi email lừa đảo, chúng sẽ mượn robot trên các nền tảng mạng xã hội để giả mạo hộp thư chính thức, kèm theo "Hướng dẫn phục hồi tài khoản" để hướng dẫn chuyển khoản.
• Mục tiêu chính xác: Trò lừa bịp dựa vào dữ liệu người dùng bị đánh cắp mua từ các kênh xã hội và mạng tối, xác định người dùng tại khu vực Mỹ là mục tiêu chính, thậm chí còn sử dụng công cụ AI để xử lý dữ liệu bị đánh cắp, chia nhỏ và tổ chức lại số điện thoại, tạo ra các tệp TXT hàng loạt, sau đó sử dụng phần mềm bẻ khóa để gửi tin nhắn lừa đảo.
• Quy trình lừa đảo liền mạch: từ điện thoại, tin nhắn đến email, con đường lừa đảo thường liền mạch, các cụm từ lừa đảo thường gặp bao gồm "tài khoản đã nhận yêu cầu rút tiền", "mật khẩu đã được đặt lại", "tài khoản có đăng nhập bất thường" và các cụm từ khác, liên tục dẫn dắt nạn nhân thực hiện "xác minh an toàn" cho đến khi hoàn tất việc chuyển tiền.

Phân tích trên chuỗi

Thông qua hệ thống chống rửa tiền và theo dõi trên chuỗi để phân tích một số địa chỉ của kẻ lừa đảo, phát hiện ra rằng những kẻ lừa đảo này có khả năng thao tác trên chuỗi rất mạnh, dưới đây là một số thông tin quan trọng:

Các mục tiêu tấn công của kẻ lừa đảo bao gồm nhiều loại tài sản mà người dùng nắm giữ, thời gian hoạt động của các địa chỉ này tập trung vào khoảng thời gian từ tháng 12 năm 2024 đến tháng 5 năm 2025, tài sản mục tiêu chủ yếu là BTC và ETH. BTC hiện là mục tiêu lừa đảo chính, nhiều địa chỉ thu lợi lên đến hàng trăm BTC trong một lần, trị giá lên tới hàng triệu đô la.

Sau khi nhận được vốn, kẻ lừa đảo nhanh chóng sử dụng một quy trình rửa tiền để trao đổi và chuyển nhượng tài sản, mô hình chính như sau:

• Tài sản loại ETH thường được trao đổi nhanh chóng thành stablecoin thông qua một DEX, sau đó được phân tán chuyển đến nhiều địa chỉ mới, một phần tài sản được chuyển vào nền tảng giao dịch tập trung;
• BTC chủ yếu được chuyển qua cầu chuỗi sang Ethereum, sau đó đổi thành stablecoin để tránh rủi ro bị theo dõi.

Nhiều địa chỉ lừa đảo vẫn ở trạng thái "tĩnh" sau khi nhận được stablecoin và chưa được chuyển ra.

Để tránh việc địa chỉ của mình tương tác với các địa chỉ đáng ngờ, từ đó đối mặt với rủi ro tài sản bị đóng băng, người dùng được khuyến nghị sử dụng hệ thống phòng chống rửa tiền và theo dõi trên chuỗi để kiểm tra rủi ro đối với địa chỉ mục tiêu trước khi giao dịch, nhằm hiệu quả tránh các mối đe dọa tiềm ẩn.

Biện pháp ứng phó

nền tảng

Hiện nay, các biện pháp bảo mật chính chủ yếu là bảo vệ ở "cấp độ kỹ thuật", trong khi đó, lừa đảo xã hội thường vượt qua những cơ chế này, nhắm thẳng vào tâm lý và điểm yếu hành vi của người dùng. Do đó, khuyến nghị các nền tảng tích hợp giáo dục người dùng, đào tạo an toàn và thiết kế tính khả dụng, xây dựng một hệ thống "hướng tới con người" để bảo vệ an ninh.

• Định kỳ gửi nội dung giáo dục chống lừa đảo: Tăng cường khả năng phòng chống lừa đảo của người dùng thông qua các phương tiện như cửa sổ bật lên trên ứng dụng, giao diện xác nhận giao dịch, email, v.v.
• Tối ưu hóa mô hình quản lý rủi ro, giới thiệu "nhận diện hành vi bất thường tương tác": Hầu hết các trò lừa bịp xã hội đều sẽ dụ dỗ người dùng thực hiện một loạt các thao tác trong thời gian ngắn (như chuyển khoản, thay đổi danh sách trắng, liên kết thiết bị, v.v.). Nền tảng nên dựa trên mô hình chuỗi hành vi để nhận diện các tổ hợp tương tác đáng ngờ (như "tương tác thường xuyên + địa chỉ mới + rút tiền lớn"), kích hoạt thời gian bình tĩnh hoặc cơ chế xem xét thủ công.
• Quy định kênh dịch vụ khách hàng và cơ chế xác minh: Những kẻ lừa đảo thường giả mạo nhân viên dịch vụ khách hàng để đánh lừa người dùng, nền tảng nên thống nhất số điện thoại, tin nhắn, mẫu email, và cung cấp "cổng xác minh dịch vụ khách hàng", làm rõ kênh giao tiếp chính thức duy nhất, tránh gây nhầm lẫn.

người dùng

• Thực hiện chính sách cách ly danh tính: tránh việc nhiều nền tảng sử dụng cùng một địa chỉ email, số điện thoại, giảm thiểu rủi ro liên đới, có thể sử dụng công cụ kiểm tra rò rỉ để định kỳ kiểm tra xem email có bị rò rỉ hay không.
• Kích hoạt danh sách trắng chuyển khoản và cơ chế làm mát rút tiền: Đặt địa chỉ tin cậy trước, giảm thiểu rủi ro mất mát tài sản trong trường hợp khẩn cấp.
• Tiếp tục theo dõi thông tin an ninh: Thông qua các công ty an ninh, truyền thông, nền tảng giao dịch và các kênh khác, nắm bắt các động thái mới nhất về phương pháp tấn công, giữ sự cảnh giác. Hiện tại, nhiều tổ chức an ninh đang xây dựng nền tảng mô phỏng lừa đảo Web3, nền tảng này sẽ mô phỏng nhiều phương pháp lừa đảo điển hình, bao gồm đầu độc kỹ thuật xã hội, lừa đảo ký tên, tương tác hợp đồng độc hại, v.v., và kết hợp với các trường hợp thực tế được thu thập từ các cuộc thảo luận lịch sử, liên tục cập nhật nội dung tình huống. Giúp người dùng nâng cao khả năng nhận diện và ứng phó trong môi trường không rủi ro.
• Lưu ý rủi ro ngoại tuyến và bảo vệ riêng tư: Việc rò rỉ thông tin cá nhân cũng có thể gây ra vấn đề an toàn cho bản thân.

Điều này không phải là lo lắng thái quá, từ đầu năm đến nay, các chuyên gia/người dùng trong lĩnh vực tiền điện tử đã phải đối mặt với nhiều sự cố đe dọa đến an toàn cá nhân. Do dữ liệu bị rò rỉ lần này bao gồm tên, địa chỉ, thông tin liên hệ, dữ liệu tài khoản, ảnh chứng minh thư, người dùng liên quan cũng cần nâng cao cảnh giác khi ở ngoài đời thực, chú ý đến an toàn.

Nói tóm lại, hãy giữ sự hoài nghi và tiếp tục xác minh. Đối với mọi hoạt động khẩn cấp, hãy chắc chắn yêu cầu đối phương tự chứng minh danh tính và xác minh độc lập qua các kênh chính thức, tránh đưa ra quyết định không thể đảo ngược dưới áp lực.

Tóm tắt

Sự kiện lần này một lần nữa phơi bày ra những điểm yếu rõ ràng của ngành trong việc bảo vệ dữ liệu khách hàng và tài sản trước những phương pháp tấn công xã hội ngày càng tinh vi. Điều đáng cảnh giác là, ngay cả khi các vị trí liên quan của nền tảng không có quyền truy cập vào quỹ, việc thiếu nhận thức và khả năng an toàn đủ sẽ có thể dẫn đến những hậu quả nghiêm trọng do vô tình tiết lộ hoặc bị lôi kéo. Khi quy mô của nền tảng ngày càng mở rộng, độ phức tạp trong việc kiểm soát an toàn nhân sự cũng tăng theo, đã trở thành một trong những rủi ro khó giải quyết nhất trong ngành. Do đó, bên cạnh việc tăng cường cơ chế an toàn trên chuỗi, nền tảng cũng phải xây dựng một cách hệ thống "hệ thống phòng thủ xã hội" bao gồm cả nhân viên nội bộ và dịch vụ bên ngoài, đưa rủi ro con người vào trong chiến lược an toàn tổng thể.

Ngoài ra, một khi phát hiện ra rằng cuộc tấn công không phải là một sự kiện đơn lẻ, mà là một mối đe dọa liên tục có tổ chức và quy mô, nền tảng nên phản ứng ngay lập tức, chủ động kiểm tra các lỗ hổng tiềm ẩn, nhắc nhở người dùng phòng ngừa và kiểm soát phạm vi thiệt hại. Chỉ có ứng phó đồng thời ở cả cấp độ kỹ thuật và tổ chức, mới có thể thực sự giữ vững niềm tin và giới hạn trong môi trường an ninh ngày càng phức tạp.