Những kẻ lừa đảo đang sử dụng danh sách “xu hướng” trên trang phân tích memecoin GMGN để dụ dỗ các nạn nhân không nghi ngờ và chiếm đoạt tiền điện tử của họ, theo bài đăng ngày 25.09 trên X từ nhà nghiên cứu bảo mật Roffett.eth.
Những kẻ tấn công tạo ra các loại coin cho phép nhà phát triển chuyển Token của bất kỳ người dùng nào sang tài khoản của mình. Sau đó, chúng chuyền giao Token giữa nhiều tài khoản khác nhau, làm tăng khối lượng giao dịch một cách giả tạo và đặt nó vào danh sách “xu hướng” của GMGN.
Một khi đồng coin xuất hiện trong danh sách xu hướng, người dùng không nghi ngờ sẽ mua vào, nghĩ rằng đó là đồng coin phổ biến. Nhưng chỉ trong vài phút, Token của họ bị lấy đi khỏi ví, không bao giờ được nhìn thấy lần nữa. Kẻ phát triển sau đó tái nạp lại coin vào bể thanh khoản và bán lại nó cho nạn nhân khác.
Roffet liệt kê Robotaxi, DFC và Billy’s Dog (NICK) là ba ví dụ về các coin độc hại được tìm thấy trong danh sách này.
GMGN là một ứng dụng phân tích hướng đến các nhà giao dịch memecoin trên các hệ thống Base, Solana, Tron, Blast và Ethereum. Giao diện của nó bao gồm nhiều tab khác nhau, bao gồm “new pair,” “trending,” và “discover,” mỗi tab liệt kê các coin dựa trên các tiêu chí khác nhau.
Roffett cho biết anh đã phát hiện ra kỹ thuật lừa đảo khi bạn bè mua coin trong danh sách và thấy rằng chúng biến mất một cách bí ẩn. Một người bạn nghĩ rằng ví của mình bị hack, nhưng khi tạo ví mới và mua lại coin đó, chúng lại bị rút cạn.
Bị kích thích bởi bí ẩn này, Roffett điều tra các vụ tấn công bằng block explorer và thấy rằng đó là các cuộc tấn công phishing thông thường. Kẻ tấn công gọi hàm “permit” và dường như đã cung cấp chữ ký của người dùng, điều này không thể xảy ra trừ khi người dùng bị lừa bởi trang phishing. Tuy nhiên, người bạn phủ nhận rằng anh đã tương tác với các trang web đáng ngờ trước cả hai cuộc tấn công.
Một trong những coin bị đánh cắp là NICK. Roffet đã điều tra mã hợp đồng của NICK và phát hiện rằng nó “hơi kỳ lạ.” Thay vì chứa đoạn mã phổ thông như hầu hết các hợp đồng Token khác, nó có “một số phương thức rất kỳ lạ và bí mật.”
Như bằng chứng cho những phương thức kỳ lạ này, Roffet đăng một hình ảnh chức năng “performance” và “novel” của NICK, với các đoạn văn bản không rõ ràng và không có mục đích điển hình.
Chức năng performance và novel của NICK. Nguồn: Roffett.eth
Cuối cùng, Roffett phát hiện rằng hợp đồng có mã độc ẩn bên trong một trong các thư viện của nó. Mã này cho phép “recoverer” (nhà phát triển) gọi hàm “permit” mà không cần cung cấp chữ ký của chủ sở hữu Token. Roffett phát biểu:
“Nếu địa chỉ của người gọi bằng với recoverer, thì bằng cách tạo một chữ ký cụ thể một cách thủ công, một người có thể có được quyền phép của bất kỳ chủ sở hữu Token nào và sau đó chuyển Token.”
Tuy nhiên, địa chỉ của recoverer cũng bị làm mờ. Nó được liệt kê dưới dạng một số dương 256-bit, không bằng không. Ngay dưới số này có một hàm mà hợp đồng sử dụng để lấy địa chỉ từ số này. Roffett đã sử dụng hàm này để xác định rằng “recoverer” độc hại là một hợp đồng có địa chỉ kết thúc bằng f261.
Dữ liệu blockchain cho thấy hợp đồng “recoverer” này đã thực hiện hơn 100 giao dịch chuyển NICK từ các chủ sở hữu Token sang các tài khoản khác.
Tài khoản ác ý rút NICK từ người dùng. Nguồn: Basescan.
Sau khi phát hiện cách thức hoạt động của trò lừa đảo này, Roffett điều tra danh sách “xu hướng” và phát hiện ít nhất hai Token khác chứa mã tương tự: Robotaxi và DFC.
Roffett kết luận rằng những kẻ lừa đảo có thể đã sử dụng kỹ thuật này trong một thời gian dài. Anh cảnh báo người dùng tránh xa danh sách này, vì việc sử dụng nó có thể dẫn đến mất tiền. Anh nói:
“Các nhà phát triển ác ý đầu tiên sử dụng nhiều địa chỉ để giả lập giao dịch và giữ, đẩy Token vào danh sách xu hướng. Điều này thu hút các nhà đầu tư lẻ mua vào, và cuối cùng, các Token ERC20 bị đánh cắp, hoàn thành vụ lừa đảo. Sự tồn tại của những danh sách xu hướng này gây hại rất lớn cho các nhà đầu tư lẻ mới vào thị trường. Tôi hy vọng mọi người sẽ nhận biết về điều này và không bị lừa.”
Các Token lừa đảo hoặc “honeypots” tiếp tục gây rủi ro cho người dùng tiền điện tử. Vào tháng 4, một nhà phát triển Token lừa đảo đã rút USD 1,62 triệu từ các nạn nhân bằng cách bán cho họ Token BONKKILLER mà không cho phép họ bán đi. Năm 2022, công ty quản lý rủi ro blockchain Solidus đã phát hành một báo cáo cảnh báo rằng hơn 350 đồng coin lừa đảo đã được tạo ra trong năm.
