Tiêu đề: CZ cảnh báo trang Trust Wallet giả mạo khi các nhà nghiên cứu phát hiện trò lừa đảo bằng JavaScript — xuất hiện cáo buộc riêng về vụ khai thác iOS gây thiệt hại 1,1 triệu USD. Nhà đồng sáng lập Binance Changpeng “CZ” Zhao đã cảnh báo người dùng tiền mã hóa về một trang lừa đảo giả danh Trust Wallet, sau khi các nhà nghiên cứu bảo mật phát hiện JavaScript độc hại được thiết kế để lừa khách truy cập kết nối ví. Cảnh báo được đưa ra cùng lúc với một cáo buộc riêng chưa được xác minh rằng kẻ tấn công đã đánh cắp khoảng 1,1 triệu USD từ người dùng Trust Wallet thông qua một lỗ hổng khai thác iOS. Phát hiện cụ thể - Nhà nghiên cứu bảo mật Anurag (Malwarehunter trên X/Twitter) phát hiện trang web lừa đảo vào ngày 5 tháng 11, được lưu trữ tại trastwallet[.]cam. Trang web bắt chước Trust Wallet và đưa ra quy trình “Xem lại các giao dịch chuyển tiền trong ví” yêu cầu khách truy cập kết nối ví. - JavaScript trên trang được xây dựng để tích hợp với nhiều ví — Trust Wallet, Phantom và OKX Wallet — và có hai thành phần chính: một điểm cuối quét ví và một tệp tích hợp JS xử lý kết nối ví. - Sau khi người dùng kết nối, tập lệnh có thể truy vấn số dư ví thông qua API backend và chuẩn bị giao dịch chuyển tiền đến các địa chỉ người nhận được mã hóa cứng. Khi Anurag kiểm tra trang web, chức năng ký giao dịch được cho là đã bị vô hiệu hóa, khiến khả năng thực hiện chuyển tiền ngay lập tức của cuộc tấn công bị hạn chế. Cảnh báo của CZ - CZ chia sẻ rộng rãi phát hiện của Anurag và kêu gọi thận trọng, nhấn mạnh chiêu trò đánh lừa bằng tên miền: “.cam không phải là .com. Hãy cẩn thận!” Bài đăng của ông nhấn mạnh tầm quan trọng của việc xác minh địa chỉ trang web trước khi kết nối ví. Cáo buộc về vụ khai thác iOS gây thiệt hại 1,1 triệu USD - Cũng trong ngày 5 tháng 11, tài khoản X Emperor.SOL đăng rằng một kẻ tấn công chưa rõ danh tính bị cáo buộc đã trích xuất cụm từ khôi phục từ các thiết bị chạy iOS 18.5 và rút khoảng 1,1 triệu USD từ người dùng Trust Wallet. - Bài đăng trích dẫn bộ phận hỗ trợ Trust Wallet kêu gọi người dùng cập nhật iOS ngay lập tức, đồng thời đính kèm ảnh chụp màn hình cho thấy các khoản chuyển lớn (ví dụ: 500.000 USDT, 100.000 USDT, 190.000 USDT) được chuyển qua các ví nạp tiền/ví nóng của Binance. Ảnh chụp màn hình không chứng minh được rằng các giao dịch chuyển tiền là do vụ khai thác iOS được cáo buộc gây ra. - Đây vẫn là cáo buộc được đưa ra qua các bài đăng trên mạng xã hội; các nhà nghiên cứu và nhà cung cấp từng ghi nhận những vụ khai thác nhắm mục tiêu vào iOS có thể làm lộ dữ liệu ví, và các nhà cung cấp thường khuyến nghị vá lỗi cũng như cập nhật thiết bị. Bối cảnh — các sự cố gần đây và trước đây - Vào tháng 3, các nhà nghiên cứu (Google/Lookout/iVerify) phát hiện chuỗi khai thác DarkSword sử dụng các trang web bị xâm nhập để nhắm vào những chiếc iPhone dễ bị tấn công và làm lộ thông tin ví; Apple đã khắc phục sự cố trong các bản cập nhật vào thời điểm đó. - Gần đây, người dùng Trust Wallet đã báo cáo các khoản thất thoát đáng ngờ: ngày 4 tháng 11, một người dùng cho biết 3.830 USDT bị mất mà không có sự chấp thuận, còn những người dùng khác mô tả các cuộc tấn công kỹ thuật xã hội (ví dụ: kẻ mạo danh độc hại trên Discord) khiến ví bị rút sạch. - Trước đó, Trust Wallet đã cảnh báo về một trang web thẻ tiền mã hóa giả mạo (cuối tháng 10) dụ người dùng bằng hạn mức thẻ và tiền hoàn lại hấp dẫn, đồng thời yêu cầu kết nối ví; nhân viên Trust Wallet xác nhận trang web này là lừa đảo. - Nhà sáng lập OneKey cũng cảnh báo vào ngày 1 tháng 11 về các lỗ hổng phần cứng khó khắc phục ảnh hưởng đến những mẫu iPhone cũ hơn (iPhone 4S đến iPhone 11 và SE thế hệ thứ 2), khuyến nghị người dùng đã để lộ cụm từ khôi phục trên các thiết bị này tạo cụm từ khôi phục mới và chuyển tài sản. Người dùng nên làm gì ngay bây giờ - Luôn xác minh tên miền và sử dụng liên kết chính thức từ các kênh đã xác minh của nhà cung cấp ví. Cảnh giác với lỗi chính tả khó nhận ra và các tên miền cấp cao nhất lạ (ví dụ: .cam và .com). - Không kết nối ví với các trang web không rõ nguồn gốc hoặc ký giao dịch mà bạn không hiểu rõ. - Luôn cập nhật hệ điều hành di động và ứng dụng — cài đặt các bản cập nhật iOS kịp thời. - Nếu cụm từ khôi phục có thể đã bị lộ, hãy tạo ví/cụm từ khôi phục mới trên một thiết bị an toàn và chuyển tiền. - Cân nhắc sử dụng ví phần cứng nếu nắm giữ tài sản có giá trị lớn và tuân thủ các biện pháp bảo mật tiêu chuẩn (nhận biết lừa đảo, bảo mật thiết bị mạnh mẽ, hạn chế lưu trữ cụm từ khôi phục trên thiết bị). Kết luận Phát hiện trang lừa đảo tích hợp nhiều ví cho thấy cách kẻ tấn công kết hợp giao diện đánh lừa với các tích hợp ví để chiếm đoạt quyền truy cập. Đồng thời, các cáo buộc về vụ rút tiền nhắm mục tiêu vào iOS — dù chưa được xác minh độc lập trong các bản tin công khai — một lần nữa nhắc lại lời khuyên lâu nay: kiểm tra tên miền, cập nhật thiết bị, tránh kết nối ví với các trang web không đáng tin cậy và chuyển tiền nếu cụm từ khôi phục có thể đã bị xâm phạm. Nguồn: nhà nghiên cứu bảo mật Anurag (Malwarehunter trên X), nhà đồng sáng lập Binance Changpeng Zhao, Emperor.SOL (X), các báo cáo từ cộng đồng và nghiên cứu bảo mật trước đây (DarkSword). Đọc thêm tin tức do AI tạo tại: https://app.chaingpt.org/news