Cẩn thận ví lạnh! Người dùng Trezor, Ledger liên tục nhận được thư vật lý chứa mã QR lừa đảo

Chiêu thức lừa đảo tiền điện tử lại tiếp tục nâng cấp, gần đây nhiều người dùng ví phần cứng như Trezor, Ledger đã báo cáo nhận được thư vật lý giả mạo thông báo chính thức, trong đó yêu cầu quét mã QR để xác thực bắt buộc, thực chất là dụ người dùng nhập seed phrase để lấy cắp tài sản. Loại tấn công này không phải lần đầu xuất hiện, một lần nữa nhấn mạnh rủi ro rò rỉ dữ liệu cá nhân và lừa đảo xã hội trong thời gian dài.

Thư vật lý giả mạo thông báo chính thức, yêu cầu xác thực danh tính trong thời hạn

Nhóm an ninh mạng Dmitry Smilyanets cho biết, nhiều người dùng nhận được thư giấy ký tên từ Trezor hoặc Ledger, nội dung yêu cầu hoàn thành “kiểm tra xác thực danh tính (Authentication Check)” hoặc “kiểm tra giao dịch (Transaction Check)” trong thời hạn nhất định, nếu không thiết bị có thể bị hạn chế.

Theo báo cáo, hình thức thư rất tinh vi, bao gồm chữ ký giả, logo thương hiệu và tem chống giả, kèm theo mã QR để xác thực. Trong một số trường hợp, thư còn mạo danh Giám đốc điều hành của Trezor, Matěj Žák, ký tên.

Quét mã QR dẫn đến website giả, dụ nhập seed phrase

Dmitry Smilyanets báo cáo rằng, mã QR trong thư sẽ dẫn người nhận đến trang web độc hại giả mạo trang chính thức, yêu cầu nhập seed phrase của ví để hoàn tất “xác thực an toàn”. Một khi seed phrase bị nhập, dữ liệu sẽ được gửi qua API phía sau đến kẻ tấn công, cho phép họ nhập ví trên các thiết bị khác và chuyển tài sản đi.

Trezor, Ledger khẳng định chính thức, họ chưa từng và sẽ không bao giờ yêu cầu người dùng cung cấp seed phrase qua website, email hay thư vật lý. Seed phrase bị lộ sẽ tương đương với việc mất quyền kiểm soát ví.

Nguồn gốc tấn công: Ledger từng rò rỉ dữ liệu cá nhân thành danh sách đen

Loại lừa đảo qua thư vật lý này có thể chính xác đến từng người nhận, liên quan đến các vụ rò rỉ dữ liệu trong nhiều năm qua. Năm 2020, Ledger đã gặp sự cố bảo mật liên quan đến đối tác thương mại điện tử Shopify, khiến hàng trăm nghìn tên khách hàng và địa chỉ thực tế bị lộ. Năm 2023, Ledger Connect Kit cũng gặp tấn công chuỗi cung ứng. Đầu năm 2024, Trezor cũng báo cáo rò rỉ thông tin liên lạc của 66.000 người dùng.

Chỉ mới tháng trước, Ledger vừa bị hacker tấn công qua nhà cung cấp dịch vụ thanh toán bên thứ ba Global-e, dẫn đến rò rỉ tên và thông tin liên lạc của người dùng, dù chính thức khẳng định không liên quan đến khoá riêng và thông tin thanh toán, nhưng vẫn có thể trở thành mục tiêu lừa đảo qua email. Dù thiết bị ví an toàn, nhưng khi dữ liệu cá nhân bị lộ, vẫn có thể bị lợi dụng nhiều lần.

(Global-e, nhà cung cấp dịch vụ thanh toán của Ledger, bị rò rỉ dữ liệu cá nhân, chính thức phản hồi “Thiết bị ví an toàn”)

Chiêu thức lừa đảo tiến hóa: Từ email đến xã hội giả mạo trực tiếp

Quan sát xu hướng tấn công gần đây, phương thức lừa đảo đã mở rộng từ email, tin nhắn giả mạo dịch vụ khách hàng, đến giả mạo ứng dụng, thậm chí gửi thiết bị phần cứng giả và thư vật lý. Thư vật lý giúp giảm cảnh giác của người dùng, đặc biệt khi thiết kế rất giống thật, dễ gây nhầm lẫn. Các cuộc tấn công liên tục này phản ánh rủi ro trong ngành công nghiệp tiền điện tử về bảo vệ dữ liệu và phụ thuộc vào bên thứ ba.

Dmitry Smilyanets nhắc nhở, đối với người dùng, hàng phòng thủ quan trọng nhất vẫn là nguyên tắc cơ bản: “Trong mọi trường hợp, không tiết lộ seed phrase cho bất kỳ ai.” Trong bối cảnh các sự cố an ninh mạng liên tục xảy ra, cách nâng cao cảnh giác của người dùng và an toàn chuỗi cung ứng sẽ tiếp tục là thách thức lớn của ngành.

Bài viết này “Cẩn thận ví lạnh! Người dùng Trezor, Ledger liên tục nhận thư vật lý chứa mã QR lừa đảo” lần đầu xuất hiện trên Chain News ABMedia.