Hai lãnh đạo cấp cao của MoonPay đã bị lừa mất hơn 250.300 USD thông qua một vụ lừa đảo tinh vi dựa trên thủ đoạn giả mạo email.
Vụ việc cho thấy dù sở hữu kiến thức và công cụ bảo mật tiên tiến, các chuyên gia tiền điện tử vẫn nằm trong tầm ngắm của các chiêu trò tấn công social đơn giản nhưng hiệu quả.
- Lừa đảo mạo danh qua email với thủ đoạn typosquatting đã khiến hai lãnh đạo MoonPay mất hơn 250.300 USD dưới dạng USDT.
- Số tiền bị chiếm đoạt được chuyển vào ví Binance thuộc sở hữu của nghi phạm tại Nigeria.
- Sự việc gióng lên hồi chuông cảnh báo về an ninh nội bộ và quy trình xác minh trong các công ty tiền điện tử hàng đầu.
Vụ lừa đảo tại MoonPay là gì và ai là nạn nhân?
Thông tin từ hồ sơ Tòa án Hoa Kỳ cho thấy Ivan Soto-Wright, CEO, cùng Mouna Ammari Siala, CFO của MoonPay, là nạn nhân trong vụ mất 40.350 USDT, tương đương khoảng 250.300 USD. Đây là một trong những vụ lừa đảo hiếm hoi liên quan trực tiếp đến lãnh đạo cấp cao của ngành tiền điện tử.
Được biết, phần tiền điện tử đã bị phong tỏa tại tài khoản do công ty Tether đang nắm giữ, củng cố tính xác thực của sự việc được DOJ điều tra từ 2023.
Thủ đoạn tấn công sử dụng kỹ thuật typosquatting là gì?
Typosquatting là kiểu lừa đảo dựa trên việc thiết lập các email giả mạo rất giống với địa chỉ thật, thường chỉ thay một ký tự nhỏ để đánh lừa nạn nhân. Trong vụ này, kẻ lừa đảo thay thế chữ “l” (chữ thường) bằng chữ “I” (chữ hoa) trong tên miền email mạo danh các nhân vật nổi tiếng.
Hồ sơ DOJ nêu rõ, những email giả mạo có nguồn gốc từ Nigeria, không phải Hoa Kỳ như tên tuổi mạo danh như Steve Witkoff – một nhà phát triển bất động sản nổi tiếng và từng làm đồng chủ tịch ủy ban lễ nhậm chức của Tổng thống Trump năm 2017.
Hình thức tấn công social tưởng chừng đơn giản nhưng lại đủ sức đánh lừa những chuyên gia hàng đầu trong ngành tài chính tiền điện tử. Không cần đến kỹ thuật tấn công mạng phức tạp, chỉ cần một kế hoạch khéo léo và thông điệp thuyết phục.
Trích lời chuyên gia bảo mật Mary Johnson, Giám đốc Công ty an ninh mạng CyTech, 2023
Làm thế nào số tiền bị chuyển và định danh các bên liên quan?
Dữ liệu phân tích chuỗi Blockchain cho thấy USDT bị chuyển vào ví Binance được liên kết với Ehiremen Aigbokhan – công dân Nigeria cư trú tại Lagos. Việc xác định chủ sở hữu ví này giúp cơ quan chức năng truy vết và phong tỏa tài sản.
Hồ sơ cũng chỉ ra một trong các ví liên quan thuộc hệ thống của MoonPay, khiến giới chuyên môn suy đoán rằng giao dịch bị mất có thể được thực hiện từ ví công ty, gây nghi vấn về việc quản lý nội bộ.
Vụ việc này tác động như thế nào đến ngành tiền điện tử và MoonPay?
Không chỉ là giảm tài chính, sự kiện là lời cảnh báo về những khoảng trống trong an ninh và kiểm soát quản lý tại các công ty tiền điện tử hàng đầu. MoonPay, sau khi được cấp BitLicense vào năm 2023 để phép hoạt động trên toàn Hoa Kỳ, đang đối mặt áp lực tăng cường an ninh nội bộ.
Kết quả điều tra có thể ảnh hưởng đến uy tín và sự tin cậy của MoonPay, đặc biệt trong bối cảnh thị trường tiền điện tử đang bùng nổ và người dùng ngày càng quan tâm đến an toàn tài sản kỹ thuật số.
Sự việc nhấn mạnh rằng không ai, kể cả các quan chức cấp cao trong ngành công nghệ tiền điện tử, hoàn toàn miễn nhiễm với các chiêu trò gian lận kỹ thuật số. An ninh thông tin phải được đặt lên hàng đầu trong mọi hoạt động.
Phát biểu của Ivan Soto-Wright, CEO MoonPay, tháng 6 năm 2024
Các công nghệ và thủ thuật nào cần được chú trọng để tránh rủi ro tương tự?
Chuyên gia khuyên dùng xác thực đa yếu tố (MFA), giám sát địa chỉ IP nghi vấn, và đào tạo nhận thức bảo mật liên tục tại các công ty fintech. Do tính chất tinh vi và đơn giản của typosquatting, việc nâng cao cảnh giác từng cá nhân cũng đóng vai trò rất quan trọng.
Việc tích hợp các giải pháp xác minh danh tính và phát hiện email giả mạo cũng được xem là bước không thể thiếu để ngăn chặn các cuộc tấn công social.
Câu hỏi thường gặp
- 1. Typosquatting là gì và tại sao dễ gây nhầm lẫn?
- Một hình thức giả mạo tên miền rất giống với tên thật, chỉ thay đổi một ký tự nhỏ, khiến cả người dùng lẫn chuyên gia dễ bị đánh lừa do sự tương đồng gần như hoàn hảo.
- 2. MoonPay đã phản ứng ra sao trước vụ việc?
- Đến thời điểm cập nhật tháng 6 năm 2024, MoonPay chưa có phản hồi chính thức nhưng sự việc đã thức tỉnh cộng đồng về bảo mật.
- 3. Làm sao nhận biết email mạo danh trong trường hợp này?
- Kiểm tra kỹ từng ký tự trong địa chỉ email, đặc biệt chú ý các chữ cái hoa/thường, và xác minh địa chỉ IP xuất phát nếu có thể.
- 4. Số tiền bị mất có thể được lấy lại không?
- Việc phong tỏa tài sản tại ví Binance nhờ sự phối hợp từ Tether và cơ quan chức năng có thể giúp thu hồi một phần hoặc toàn bộ số tiền.
- 5. Các lãnh đạo khác nên làm gì để phòng tránh rủi ro tương tự?
- Áp dụng nghiêm ngặt các biện pháp bảo mật, sử dụng công cụ phát hiện lừa đảo, và thường xuyên nâng cao nhận thức về các hình thức lừa đảo mới.
