Hai công cụ đánh cắp crypto mới đang nhắm vào cả ví Web3 lẫn máy tính Windows, trong khi một chiến dịch khác ghi nhận hơn 500 ví Ethereum bị rút sạch trong 24 giờ.
Những dữ kiện gần đây cho thấy các bộ công cụ trộm ví và mã độc đánh cắp tài sản số đang được triển khai theo nhiều cách khác nhau. Một công cụ mang tên StepDrainer nhắm vào người dùng trên nhiều mạng blockchain, còn EtherRAT chuyển hướng sang hệ điều hành Windows. Cùng lúc, dữ liệu on-chain còn ghi nhận một làn sóng rút tiền lớn từ các ví Ethereum ít hoạt động.
- StepDrainer giả mạo các pop-up kết nối ví Web3 để dụ người dùng chấp thuận giao dịch.
- EtherRAT ẩn trong một bản cài giả mạo công cụ Tftpd64 và chạy âm thầm trên Windows để kiểm tra hệ thống trước khi trộm tài sản.
- Hơn 500 ví Ethereum đã bị rút trong 24 giờ, với tổng giá trị hơn 800.000 USD, theo một báo cáo gần đây.
StepDrainer giả mạo giao diện ví để lấy quyền chuyển tài sản
StepDrainer là một bộ công cụ malware-as-a-service, tức được bán hoặc cung cấp như dịch vụ cho nhiều nhóm tấn công khác nhau. Công cụ này tạo các cửa sổ bật lên trông giống giao diện Web3 để lừa người dùng ký chấp thuận chuyển tiền. Một số màn hình còn được thiết kế giống Web3Modal, khiến thao tác xác nhận trông hợp lệ hơn.
Khi người dùng đã kết nối ví, StepDrainer sẽ tìm các token có giá trị cao trước và tự động chuyển chúng sang các ví do kẻ tấn công kiểm soát, theo LevelBlue. Cách làm này cho thấy mục tiêu chính là rút tài sản nhanh sau khi lấy được quyền chấp thuận từ nạn nhân.
Công cụ này lợi dụng các thành phần hợp đồng thông minh quen thuộc
StepDrainer còn dùng sai mục đích những công cụ hợp đồng thông minh có thật như Seaport và Permit v2 để tạo ra các pop-up chấp thuận nhìn có vẻ bình thường. Tuy nhiên, phần chi tiết bên trong các pop-up này là giả. Trong một trường hợp, nhà nghiên cứu an ninh phát hiện nạn nhân thấy thông báo giả “+500 USDT”, khiến yêu cầu chấp thuận có vẻ an toàn hơn.
Mã độc của StepDrainer được nạp qua các script thay đổi liên tục và lấy cấu hình từ các tài khoản on-chain phi tập trung. Cách triển khai này giúp kẻ tấn công né một số công cụ quét an ninh thông thường, vì mã độc không nằm cố định ở một vị trí dễ kiểm tra. Nhóm nghiên cứu cũng cho biết đang tồn tại một thị trường ngầm bán sẵn các bộ drainer, giúp nhiều kẻ tấn công gắn thêm tính năng đánh cắp ví vào các chiến dịch lừa đảo của họ.
EtherRAT chuyển hướng sang Windows với bản cài giả mạo
Song song với StepDrainer, các nhà nghiên cứu cũng phát hiện một mã độc khác tên EtherRAT. Công cụ này nhắm vào Windows thông qua một phiên bản giả của tiện ích quản trị mạng Tftpd64. Theo LevelBlue, EtherRAT giấu Node.js bên trong trình cài đặt giả, duy trì bám trụ trên máy tính qua Windows Registry và dùng PowerShell để kiểm tra hệ thống.
EtherRAT ban đầu nhắm vào Linux, nhưng hiện đã mở rộng sang Windows. Trước khi bắt đầu đánh cắp tài sản, nó chạy âm thầm trong nền và kiểm tra nhiều yếu tố như phần mềm diệt virus, thiết lập hệ thống, thông tin miền và phần cứng. Dữ liệu hiện có chưa cho thấy đầy đủ phạm vi lây nhiễm hay cách phân phối chính xác của mã độc này.
Hơn 500 ví Ethereum bị rút sạch trong 24 giờ
Theo một báo cáo gần đây của Cryptopolitan, hơn 500 ví Ethereum đã bị rút sạch trong 24 giờ qua. Kẻ tấn công đã lấy đi hơn 800.000 USD tài sản crypto rồi hoán đổi số tiền này qua ThorChain. Dữ liệu on-chain từ Wazz cho biết nhiều ví bị rút đã không hoạt động hơn 7 năm, và toàn bộ dòng tiền bị điều phối về một địa chỉ ví duy nhất do kẻ tấn công kiểm soát.
Diễn biến này cho thấy các chiến dịch đánh cắp crypto không chỉ nhắm vào người dùng thiếu cảnh giác khi ký giao dịch, mà còn có thể tận dụng các ví cũ ít hoạt động. Tuy vậy, hiện chưa có thêm chi tiết để kết luận mối liên hệ giữa chiến dịch rút ví hàng loạt này với StepDrainer hoặc EtherRAT, nếu có.
Người dùng cần kiểm tra gì trước khi kết nối ví
Các nhà nghiên cứu an ninh khuyến nghị người dùng kiểm tra kỹ tên miền trước khi kết nối ví với website lạ, đọc nội dung giao dịch trước khi ký và gỡ bỏ các quyền token vô hạn nếu không còn cần thiết. Những bước này không ngăn được mọi hình thức tấn công, nhưng giúp giảm nguy cơ bị lừa chấp thuận các giao dịch bất lợi.
Tổng kết
StepDrainer, EtherRAT và chiến dịch rút hơn 500 ví Ethereum cho thấy hình thức đánh cắp tài sản số đang ngày càng đa dạng, từ pop-up giả trên Web3 đến mã độc trên Windows và các động thái rút tiền quy mô lớn trên chuỗi. Điểm chung là kẻ tấn công đều cố lấy quyền kiểm soát hoặc quyền chấp thuận từ nạn nhân. Hiện phần còn thiếu là mối liên hệ giữa các chiến dịch này, mức độ phân phối thực tế của từng công cụ và cách chúng lan rộng trên các mạng khác nhau.
