Tin tặc theo dõi các công ty khởi nghiệp tiền điện tử để 'chôm chỉa hàng triệu USD'

Nhiều tổ chức tiền điện tử dù lớn hay nhỏ đều đã bị thiệt hại vĩnh viễn theo cách này. Các công ty khởi nghiệp vì lý do khó khăn về tiền mặt thường cắt giảm chi tiêu cho bảo mật. Khi giá tài sản kỹ thuật số tăng vọt, nó thu hút tin tặc, theo các công ty an ninh mạng.

Thế giới tiền điện tử dễ bị tổn thương khi số lượng các vụ khai thác các lỗ hổng mạng nhắm vào ngành này tăng vọt, làm suy yếu những nỗ lực nhằm biến tiền điện tử thành một giải pháp thay thế khả thi cho tài chính truyền thống.

Đặc biệt, theo Bloomberg, các tin tặc được cho là có liên quan đến Triều Tiên, thuộc nhóm tinh vi nhất trong lĩnh vực này, vẫn chưa có dấu hiệu dừng các vụ 'chôm chỉa' này lại.

Ari Redbord, người đứng đầu chính sách toàn cầu tại TRM Labs, nơi sử dụng blockchain để theo dõi tội phạm tiền điện tử, cho biết: "Cách duy nhất để ngăn chặn việc khai thác trái phép là ngăn chặn chúng xảy ra ngay từ đầu. Điều đó có nghĩa là tăng cường phòng thủ mạng".

Theo Immunefi, công ty điều hành một nền tảng nơi các công ty trả tiền thưởng cho những người phát hiện và gắn cờ các lỗ hổng bảo mật trong phần mềm, các vụ hack và lừa đảo đã khiến ngành công nghiệp tiền điện tử mất số tiền ước tính khoảng 1,8 tỷ USD vào năm ngoái, giảm khoảng 50% so với năm 2022.

Sự sụt giảm các vụ trộm lớn, như vụ hack khoảng 600 triệu USD liên quan đến trò chơi blockchain Axie Infinity hai năm trước, giải thích lý do tại sao tổng giá trị bị hack lại giảm như vậy.

Nhưng số lượng sự cố lại gần như tăng gấp đôi, lên tới 319 vụ trong năm 2022, Immunefi ước tính.

Dữ liệu của Immunefi cho thấy Tập đoàn Lazarus, được cho là có liên quan tới Triều Tiên, đã gây ra gần 1/5 tổng số thiệt hại. Một báo cáo khác từ Chainalysis Inc. vào tháng 1/2024 cho thấy số vụ hack tiền điện tử có liên quan đến Triều Tiên đã tăng lên mức kỷ lục vào năm ngoái.

Những kẻ trộm tiền điện tử đã rình rập gần như liên tục kể từ khi ngành điện tử được thành lập. Trong vụ việc có lẽ vẫn còn nổi tiếng nhất cho đến nay, sàn giao dịch Bitcoin Mt. Gox có trụ sở tại Nhật Bản đã bị tấn công vào năm 2011. Theo thời gian, các tin tặc đã lấy đi số token trị giá hàng tỷ USD tính theo giá thị trường hiện tại. Mt.Gox cuối cùng đã phá sản và những người sở hữu đồng tiền điện tử này vẫn được bồi hoàn các khoản lỗ của mình.

Khi số lượng blockchain và dự án được xây dựng dựa trên chúng tăng lên trong những năm gần đây, số lượng mục tiêu của tin tặc cũng tăng theo. Việc khai thác các lỗ hổng nhiều đến mức nó tạo ra một thị trường sinh lợi cho các công ty bảo mật và tin tặc "mũ trắng", những người kiếm được số tiền thưởng lên tới hàng triệu USD khi phát hiện ra các lỗ hổng tiền điện tử.

Kết quả 'tàn khốc'

Ở một mức độ nhất định, nền tảng của tiền điện tử – các hệ thống phi tập trung nơi tất cả các giao dịch được quản lý bởi các mã phần mềm – khiến nó dễ bị tổn thương.

Một trường hợp điển hình là các "cầu nối" phần mềm liên kết các chuỗi khối khác nhau, trở thành điểm truy cập cho những tên trộm tấn công Axie Infinity, cũng như các dự án tiền điện tử khác như Wormhole, Harmony và Nomad.

Bị tấn công có thể là một thảm họa.

Oliver Hörr, Giám đốc điều hành tại công ty bảo mật Hats Finance cho biết: "Khi bạn gặp một sự cố thực sự lớn, khi bạn mất tiền của khách hàng, liệu bạn có đủ tài chính để trả cho khách hàng của mình? Rõ ràng nếu bạn không hoàn trả tiền cho họ, sản phẩm của bạn sẽ chết. Nhưng dù có thể trả được tiền hay không, hậu quả cũng khá tàn khốc".

Ngay cả sau khi chi phí của một cuộc kiểm tra bảo mật cho tiền điện tử thông thường đã giảm khoảng 50% kể từ năm 2022, xuống còn khoảng 20.000 USD mỗi tuần, "các dự án tiền điện tử mới vẫn không đủ khả năng chi trả", Hind Kurhan, người thành lập công ty kiểm toán bảo mật Thesis Defense, cho biết.

Giám đốc điều hành Robert Behnke của công ty khởi nghiệp kiểm toán tiền điện tử Halborn cho biết, chi phí dành cho cho kiểm tra an toàn mạng cho chuỗi khối Ethereum đã giảm tới 20%. Diligence, bộ phận kiểm toán của ConsenSys, cũng cho biết thời gian cần thiết để kiểm tra an ninh mạng cũng đã giảm đi đáng kể.

Các chuyên gia bảo mật cho biết một số công ty đã từ bỏ việc kiểm tra mã thủ công tốn nhiều công sức để sử dụng các công cụ tự động quét các lỗ hổng mạng. Tuy nhiên, tính hiệu quả của các công cụ quét tự động này lại rất kém.

Vụ hack Euler Finance

Nhưng kiểm toán chưa chắc đã đem lại an toàn tuyệt đối cho các công ty tiền điện tử.

Michael Bentley, người sáng lập Euler Finance, một giao thức cho vay phi tập trung, đã bị tin tặc rút gần 200 triệu USD tiền điện tử vào tháng 3 năm ngoái ngay cả sau khi được kiểm toán "với chi phí lớn".

Trải nghiệm đau buồn đến mức Bentley đã viết một bài blog dài 13.000 từ về vụ hack, trong đó kể lại rất chi tiết và đề cập đến hậu quả nặng nề mà nó gây ra.

Bentley cho biết trong một cuộc phỏng vấn: "Chúng tôi đã làm việc chăm chỉ và "đạt tiêu chuẩn ngành vào thời điểm đó" về mặt an ninh. Vì vậy, vụ hack đã gây sốc cho mọi người và chứng tỏ còn những thách thức trong việc xây dựng an toàn không gian mạng".

Benley mô tả vụ việc xảy ra vài ngày sau khi hai vợ chồng anh sinh đứa con thứ hai và ngay sau sự sụp đổ của Ngân hàng Thung lũng Silicon. "Đó thực sự là một giai đoạn khủng khiếp", anh nói.

Sau ba tuần làm việc gần 20 giờ mỗi ngày và vận dụng các bài học từ lý thuyết trò chơi để thương lượng với hacker, Bentley và nhóm của anh đã thu hồi được toàn bộ số tiền bị đánh cắp.

Việc Euler bị tấn công ngay cả khi đã chi nhiều tiền cho bảo mật không có nghĩa là Bentley có kế hoạch cắt giảm chi tiêu cho các biện pháp bảo mật khác.

Anh cho biết, phiên bản thứ hai của giao thức đang được phát triển, công ty sẽ tổ chức một số cuộc thi kiểm tra mã với mức tiền thưởng "cao" cho những ai tìm ra các lỗ hổng phần mềm.

Hiểm họa lớn

Không phải ai cũng hồi phục sau một vụ hack lớn. Axie Infinity, công ty có sự gia tăng nhanh chóng trong thị trường giá lên vừa qua đã đưa các thuật ngữ như "chơi để kiếm tiền" thành ngôn ngữ phổ biến, đã chứng kiến số lượng người chơi hàng ngày sụt giảm kể từ sau vụ cướp Ronin, do Lazarus thực hiện.

Hội đồng chuyên gia của Hội đồng Bảo an Liên Hợp Quốc cho biết trong một báo cáo trong tháng này rằng họ đang điều tra 58 vụ tấn công mạng bị nghi ngờ do Triều Tiên thực hiện nhằm vào các công ty liên quan đến tiền điện tử diễn ra từ năm 2017 đến năm 2023 và trị giá khoảng 3 tỷ USD.

TRM cho biết trong một báo cáo hồi tháng 1 rằng các vụ hack liên quan đến Triều Tiên gây thiệt hại gấp 10 lần so với những vụ trộm khác.

Theo FBI, chỉ riêng trong tháng 6 năm ngoái, Lazarus đã nhận trách nhiệm về các vụ trộm lớn nhắm vào các công ty tiền điện tử Alphapo, CoinsPaid và Atomic Wallet.

Redbord của TRM cho biết: "Trong vài năm qua, chúng tôi đã chứng kiến Triều Tiên tấn công các dự án tiền điện tử với tốc độ và quy mô đáng báo động. Điều cực kỳ quan trọng là nếu ngày nay bạn đang xây dựng trong không gian tiền điện tử – tập trung hoặc phi tập trung – thì an ninh mạng là cơ sở hạ tầng nền tảng".

Bài liên quan

Mất tiền tỷ trong tài khoản ngân hàng vì bị 'hack sim' điện thoại

Startup Việt được 'rót' 150 triệu USD sau vụ hack lịch sử

Cảnh báo tội phạm 'hack' tài khoản chứng khoán để chiếm đoạt tài sản

Hacker vụ Bkav chọn giao dịch bằng loại coin không thể truy vết