Trong thế giới Web3, cho dù bạn là người chơi thông thường, nhà đầu tư có giá trị tài sản cao hay là dự án, một trong những rủi ro không thể tránh khỏi chính là lừa đảo.
Theo báo cáo (The Chainalysis 2025 Crypto Crime Report), tổng số tiền phạm tội trên chuỗi toàn cầu vào năm 2024 lên đến 24 tỷ USD, trong đó:
Quy mô giao dịch liên quan đến lừa đảo đạt 9,9 tỷ USD, các vụ chăn heo, trang web lừa đảo và dự án đầu tư giả là những vụ phổ biến nhất;
Số tiền bị trộm lên đến hơn 2,2 tỷ USD, hơn 60% xuất phát từ việc rò rỉ khóa cá nhân và lừa đảo kỹ thuật xã hội;
Các hoạt động tội phạm như phần mềm tống tiền, thao túng thị trường cũng rất phổ biến.
Nhưng khi nhìn lại những vụ án này, bạn sẽ nhận thấy một điểm chung đáng cảnh giác - cho dù công nghệ có được nâng cấp như thế nào, điểm đột phá cuối cùng vẫn là 'bản chất con người'.
Đúng vậy, 'vũ khí tiêu chuẩn' của tội phạm trên chuỗi chính là tấn công kỹ thuật xã hội mà Portal Labs muốn nói đến.
Tấn công kỹ thuật xã hội là gì?
Thực tế cho thấy rằng, cái dễ bị tấn công nhất không phải là công nghệ, mà chính là bản chất con người.
Đây chính là cốt lõi của tấn công kỹ thuật xã hội (Social Engineering Attack).
Tấn công kỹ thuật xã hội không phụ thuộc vào lỗ hổng ở cấp mã, mà là thông qua giả mạo, dụ dỗ, thao túng, khiến bạn tự nguyện cung cấp thông tin nhạy cảm hoặc thực hiện các hành động nguy hiểm.
So với các cuộc tấn công kỹ thuật với ngưỡng cao, tấn công xã hội có chi phí thấp, tỷ lệ thành công cao, cho dù là lừa đảo, trộm tiền hay tống tiền, bước đầu tiên trong hầu hết các vụ án đều là làm cho bạn tự nhấn 'xác nhận'.
Tóm tắt tất cả các thủ đoạn kỹ thuật xã hội, thực ra đều không thể thiếu ba chiêu thức sau:
Giả mạo quyền uy. Giả mạo nhân viên hỗ trợ, nhân viên chính thức, đối tác, dùng danh tính 'có vẻ đáng tin' để giảm bớt sự cảnh giác của bạn.
Tạo ra cảm giác khẩn cấp. Tài khoản bất thường, airdrop token, cơ hội đầu tư độc quyền... khiến bạn rơi vào tâm lý 'nếu không hành động ngay bây giờ sẽ mất mát'.
Xây dựng vòng tin tưởng. Kéo bạn vào nhóm giả, giả mạo bạn bè, KOL, nhóm tư tưởng, dụ bạn từng bước rơi vào bẫy.
Cần lưu ý rằng, tấn công kỹ thuật xã hội đang tiến hóa theo hướng hệ thống hóa và chuyên nghiệp hóa.
Chainalysis cũng chỉ ra rằng, trong ba năm qua, các băng nhóm lừa đảo ngày càng sử dụng AI để thay mặt, hình ảnh dữ liệu lớn, công nghệ tự động hóa, thiết kế ngôn ngữ và quy trình phù hợp với các nhóm người dùng khác nhau.
Trong tương lai, có thể chỉ dựa vào độ cảnh giác của cá nhân sẽ không đủ để phòng ngừa tất cả các rủi ro, các giải pháp an toàn hệ thống, kiểm soát rủi ro xuyên chuỗi, phân tách quyền truy cập cốt lõi sẽ trở thành 'bộ cấu hình chuẩn' cho người chơi có giá trị tài sản cao và các dự án.
Các tình huống điển hình và các trường hợp thực tế
Khác với các cuộc tấn công kỹ thuật, tấn công kỹ thuật xã hội có mục tiêu rõ ràng, thường nhắm vào cá nhân hoặc nhân viên cụ thể trong tổ chức. Hacker sẽ dựa trên thói quen hành vi của các nhóm khác nhau trong Web3, tùy chỉnh ngôn ngữ, thiết kế tình huống, thu hoạch chính xác. Một số thủ đoạn phổ biến bao gồm các loại sau:
Đối với người chơi thông thường
Chiêu thức phổ biến nhất chính là 'giả mạo nhân viên hỗ trợ chính thức', chủ động nhắn tin riêng cho bạn, giả vờ rằng tài khoản có vấn đề, tiền bị đóng băng, cần xác minh cụm từ khôi phục hoặc thực hiện thao tác để giải phóng, sau đó tài sản của bạn sẽ ngay lập tức bị chuyển đi.
Gần đây, chính quyền Australia đã tiến hành triệt phá các băng nhóm lừa đảo giả mạo sàn giao dịch tiền điện tử Binance, những kẻ lừa đảo này đã dẫn dụ nạn nhân gọi đến hotline giả, chuyển tiền vào ví do hacker kiểm soát.
Ngoài ra, các liên kết lừa đảo kiểu "airdrop miễn phí", "bao lì xì NFT" cũng xuất hiện phổ biến. Các trường hợp Crypto Drainers được đề cập trong báo cáo của Chainalysis chủ yếu thuộc loại này, trong đó sự kiện tấn công xảy ra vào tháng 1 năm 2024 là một ví dụ hài hước. Khi đó, kẻ lừa đảo đã xâm nhập tài khoản mạng xã hội của Ủy ban Chứng khoán và Giao dịch Hoa Kỳ (SEC), công bố airdrop giả mạo, dụ dỗ người dùng kết nối ví để nhận token giả, kết quả là tài sản bị đánh cắp.
Ngoài ra còn có các 'nhóm giao dịch giả mạo' thường xuyên hoạt động trên Telegram và Discord. Kẻ tấn công thường giả mạo nhân viên chính thức hoặc đánh cắp tài khoản bạn bè để mời bạn gia nhập nhóm, trong nhóm gần như chỉ có bạn với toàn bộ là kẻ lừa đảo hoặc robot, họ sẽ liên tục đẩy các dự án giả và cơ hội lợi nhuận cao để khiến bạn mắc câu.
Đối với nhà đầu tư có giá trị tài sản cao
Đối với nhóm người có giá trị tài sản cao, các thủ đoạn tấn công thường được tùy chỉnh nhiều hơn.
Kẻ tấn công sẽ thông qua LinkedIn, Twitter và các kênh khác giả mạo KOL nổi tiếng, đối tác văn phòng gia đình hoặc quản lý quỹ, đưa ra 'đầu tư độc quyền', 'cơ hội đầu tư nội bộ' và các mồi nhử khác, kết hợp với việc làm giả tài khoản xã hội và tài liệu đầu tư, tạo ra một 'vòng tin tưởng' khép kín.
Báo cáo của Chainalysis đặc biệt nhấn mạnh rằng, vào năm 2024, nhóm lừa đảo 'chăn heo' đã lợi dụng lừa đảo văn phòng gia đình giả mạo, lừa đảo nhiều nhà đầu tư có giá trị tài sản cao, tổng số tiền lên tới hàng chục triệu USD.
Hơn nữa, các cuộc tấn công hoán đổi SIM cũng rất phổ biến: kẻ lừa đảo thuyết phục nhà mạng chuyển đổi số điện thoại, từ đó đặt lại mật khẩu tài khoản sàn giao dịch của bạn, kiểm soát tài chính.
Đối với các dự án Web3
Các nhóm dự án thường đối mặt với các vụ lừa đảo về lời mời hợp tác, phát triển thương mại, kết nối công nghệ.
Ví dụ, các hacker sẽ giả mạo người phụ trách nổi tiếng của CEX, đối tác sinh thái, mời tham gia cuộc họp trực tuyến, thực ra là gửi liên kết video Zoom giả mạo hoặc tệp hợp đồng độc hại.
Vào năm 2024, Slow Mist đã tiết lộ nhiều vụ việc kẻ hacker giả mạo liên kết video họp, nhắm vào quyền ủy quyền nhiều chữ ký của dự án, quản lý khóa cá nhân. Còn nền tảng Huione Guarantee được đề cập trong báo cáo của Chainalysis, đã cung cấp dịch vụ AI thay mặt, KYC giả cho băng nhóm lừa đảo, giúp họ làm giả video hình ảnh của CEO, CTO để lấy quyền tài chính.
Ngoài ra, kẻ tấn công cũng thường lợi dụng danh nghĩa "gói nâng cấp SDK", "tài liệu API" để gửi liên kết mã độc đến nhóm phát triển, dụ dỗ họ tải về.
Đối với người tìm việc trong Web3
Tấn công kỹ thuật xã hội cũng xuất hiện thường xuyên trong thông tin 'tuyển dụng', 'công việc làm thêm'.
Kẻ tấn công sẽ giả mạo là HR của dự án, nhân viên tuyển dụng của nền tảng lớn, hoặc làm giả website tuyển dụng để đăng tuyển dụng với mức lương cao, thu hút ứng viên nộp hồ sơ. Khi đã thiết lập được sự tin tưởng, tiếp theo thường sẽ dẫn dắt nhấn vào liên kết phỏng vấn giả, tải về tệp độc hại, thậm chí khiến bạn tham gia vào cái gọi là 'nền tảng nhiệm vụ', thông qua việc làm giả đơn hàng để lừa đảo tiền.
Báo cáo của Chainalysis chỉ ra rằng, vào năm 2024, nhóm lừa đảo 'chăn heo' đã biến việc tuyển dụng giả mạo thành một dòng kinh doanh mới, dụ dỗ nạn nhân đầu tư tiền liên tục cho đến khi không thể rút tiền. Ngoài ra, Slow Mist cũng đã phát hiện nhiều vụ lừa đảo tuyển dụng, kẻ tấn công gửi liên kết độc hại qua lời mời tuyển dụng giả.
Làm thế nào để phòng ngừa tấn công kỹ thuật xã hội?
Bạn sẽ không bao giờ có thể ngăn cản kẻ lừa đảo đến gần bạn, nhưng bạn có thể không cho họ cơ hội ra tay.
Chỉ có một tư tưởng cốt lõi: nâng cao độ nhạy cảm với cám dỗ, đe dọa và vòng tròn tin tưởng, kết hợp với bảo vệ công nghệ.
Tất cả thông tin chỉ tin vào các kênh chính thức. Nhất định phải xác minh chéo qua email, tài khoản Twitter, nhóm Discord được công bố trên trang web chính thức.
Cài đặt plugin chống lừa đảo. Các plugin chống lừa đảo như Wallet Guard, PhishFort có thể hiệu quả ngăn chặn các trang web lừa đảo và liên kết độc hại đã được đánh dấu.
Không bao giờ cung cấp khóa cá nhân, cẩn thận khi ký xác nhận. Bất kỳ nền tảng và dự án hợp pháp nào cũng sẽ không yêu cầu khóa cá nhân và cụm từ khôi phục của bạn. Trước khi ký hợp đồng, nhất định phải xác nhận nguồn gốc và quyền truy cập của hợp đồng.
Dự án và các thành viên cốt lõi nghiêm ngặt kiểm soát việc kết nối thương mại. Khuyến nghị mở bảo vệ chống lừa đảo cho email của nhân viên cốt lõi, sử dụng môi trường sandbox để nhận tài liệu, từ chối các lời mời SDK/API chưa được xác minh.
Phân tầng ví, phân tán tài sản. Khuyến nghị sử dụng kết hợp ví lạnh + ví cứng, phân tách ví sử dụng hàng ngày, ví đầu tư, ví lưu trữ, đồng thời kết hợp với nhiều chữ ký để bảo đảm.
Hình thành thói quen 'dừng lại 5 phút' để phản ứng chậm lại. Bất kỳ hoạt động nào liên quan đến chuyển tiền, hành động khẩn cấp, bắt buộc dừng lại 5 phút, xác minh rồi mới thực hiện. Các trò lừa đảo kỹ thuật xã hội rất sợ bạn bình tĩnh.
Bước đầu tiên trong việc đầu tư Web3 không phải là theo đuổi lợi nhuận, mà là học cách bảo vệ vốn.
Đừng cho kẻ lừa đảo bất kỳ cơ hội nào.