Bộ công cụ lừa đảo tiền điện tử: Phân tích chi tiết về các đại lý phân phối Angel Drainer đang nhắm mục tiêu vào ví của bạn

Chuỗi tấn công 9 bước: Từ airdrop giả mạo đến ví trống rỗng

Mọi cuộc tấn công “drainer” tiền điện tử đều tuân theo một chuỗi hành động có thể dự đoán được. Điều khiến các hoạt động “drainer-as-a-service” trở nên nguy hiểm không phải là sự đổi mới — mà chính là quy mô. Chuỗi tấn công này được nhân rộng trên hàng chục tên miền, mỗi tên miền là một cái bẫy mới dành cho những nạn nhân không đề phòng. Dưới đây là chuỗi hành động chính xác, được trích xuất từ mã nguồn của TRXDrop, từng bước một.

Phân tích sâu về TRXDrop: Mã nguồn do AI tạo ra với hơn 30 câu lệnh gỡ lỗi đang chạy trên môi trường sản xuất

TRXDrop là một nhóm phân phối lại mã độc Angel Drainer nhắm vào các ví TRON và Solana. Điều khiến hoạt động này trở nên khác biệt không phải là mức độ tinh vi — mà chính là điều ngược lại. Mã nguồn cho thấy những dấu hiệu không thể nhầm lẫn của việc phát triển có sự hỗ trợ của AI: cấu trúc lặp đi lặp lại, chú thích dài dòng, và đặc biệt nhất là hơn 30 console.log các câu lệnh gỡ lỗi còn sót lại trong mã nguồn phiên bản sản xuất.

Đây không phải là những dấu hiệu của một nhà phát triển giàu kinh nghiệm. Đó là những dấu hiệu của một người đã yêu cầu một mô hình ngôn ngữ lớn (LLM) viết một chương trình tiêu tốn tài nguyên và triển khai kết quả đó mà không kiểm tra lại.

Khóa mã hóa XOR

Tất cả các giao tiếp giữa giao diện người dùng drainer và bảng điều khiển phía máy chủ đều được mã hóa bằng một khóa XOR được cài đặt cố định: TRX_SECURE_2024_PANEL_KEY. Hàm XOR sử dụng khóa tĩnh có thể đảo ngược một cách dễ dàng — đây là một dấu hiệu nữa cho thấy quá trình phát triển được thực hiện theo kiểu “sao chép-dán”.

Lạm dụng WalletConnect

Mã dự án WalletConnect fbf5b42d9006502246e73447f5d50e33 được tích hợp trong tất cả hơn 15 lĩnh vực. Chỉ cần một lần thu hồi ID dự án này là sẽ làm ngắt kết nối ví trên toàn bộ mạng TRXDrop cùng một lúc.

50 lần thử lại bắt buộc

Vòng lặp nhắc nhở ký tên sẽ thử lại 50 lần trước khi cho phép nạn nhân thoát ra. Chiến thuật gây áp lực tâm lý này được cài đặt cố định, không thể tùy chỉnh bởi các đối tác liên kết — đây là một tính năng cốt lõi của bộ công cụ Angel Drainer.

30% hoa hồng TRX

Mỗi lần rút tiền thành công sẽ chuyển 30 TRX tiền hoa hồng vào ví của người điều hành. Theo tỷ giá hiện tại, con số này tương đương khoảng 7–8 USD cho mỗi nạn nhân — mức lợi nhuận thấp cho thấy hoạt động này phụ thuộc vào khối lượng hơn là giá trị.

Hạ tầng tên miền TRXDrop (hơn 15 tên miền)

NiceCrypto: Cỗ máy hoa hồng 80%

NiceCrypto hoạt động dựa trên một nguyên tắc đơn giản: trả cho các đối tác liên kết mức hoa hồng cao nhất trên thị trường dịch vụ “drainer”, và họ sẽ thu hút các nạn nhân. Với mức hoa hồng 80%, NiceCrypto cung cấp tỷ lệ chia sẻ hoa hồng hào phóng nhất mà chúng tôi từng ghi nhận trong bất kỳ hoạt động "drainer-as-a-service" nào. Nhà điều hành chỉ giữ lại 20% — một biên lợi nhuận cực kỳ mỏng chỉ có thể hoạt động hiệu quả khi quy mô đủ lớn.

Cách tính rất đơn giản. Nếu một đối tác liên kết rút cạn một ví chứa 1.000 đô la dưới dạng token, họ sẽ giữ lại 800 đô la. NiceCrypto thu về $200. Với tổng số tiền thanh toán cho các đối tác liên kết được ghi nhận là $8,454+, hoạt động này đã xử lý ít nhất $42,270 tiền bị đánh cắp — và con số này chỉ tính đến các khoản thanh toán mà chúng ta có thể quan sát trực tiếp trên chuỗi khối.

717Team: Đã lưu trữ = Disruption Works

717Team là minh chứng cho thấy các hoạt động này có thể bị ngăn chặn. Với 125 thành viên và 85 ví tiền điện tử bị theo dõi, 717Team là một nhóm lừa đảo quy mô trung bình, vận hành hơn 12 tên miền lừa đảo. Tổng số tiền bị rút xác nhận là 2.946,25 USD có thể trông không đáng kể so với các hoạt động quy mô lớn hơn, nhưng điều quan trọng thực sự nằm ở kết quả: đã lưu trữ.

Trong hệ thống theo dõi của chúng tôi, thuật ngữ “đã lưu trữ” có nghĩa là hoạt động đó đã bị gián đoạn đến mức phải ngừng hẳn. Các tên miền đã bị gỡ bỏ. Cơ sở hạ tầng đã bị phá hủy. Người quản trị đã bị lộ danh tính. 717Team không tự nguyện ngừng hoạt động. Nhóm này đã bị đóng cửa thông qua việc báo cáo phối hợp, gỡ bỏ tên miền và chia sẻ thông tin tình báo với các đối tác bảo mật blockchain.

Chống phân tích: Có tồn tại nhưng rất dễ vượt qua

TRXDrop triển khai hai kỹ thuật chống phân tích vốn là những phương pháp tiêu chuẩn trong bộ công cụ của các nhóm khai thác. Cả hai đều được thiết kế để gây khó khăn cho việc kiểm tra sơ bộ. Tuy nhiên, cả hai đều không tạo ra trở ngại đáng kể nào đối với các nhà phân tích có kinh nghiệm.

Mô hình này diễn ra nhất quán trong toàn bộ hệ sinh thái “dịch vụ xả dữ liệu” (drainer-as-a-service). Các nhà phát triển bộ công cụ (trong trường hợp này là Angel Drainer) sở hữu năng lực kỹ thuật thực sự. Trong khi đó, các nhà phân phối và đối tác liên kết triển khai các bộ công cụ này thường lại không có năng lực đó. Lớp chống phân tích tồn tại không phải vì những kẻ điều hành hiểu biết về nghiên cứu bảo mật — mà bởi vì bộ công cụ được cung cấp với tính năng này được kích hoạt theo mặc định.

Bằng chứng và Thông tin tình báo nguồn

Tất cả các bằng chứng được đề cập trong cuộc điều tra này đều được lưu trữ trong kho lưu trữ PhishDestroy ScamIntelLogs. Mỗi chiến dịch đều có một thư mục riêng chứa các tệp cấu hình, đoạn mã nguồn, danh sách tên miền, địa chỉ ví và thông tin tình báo từ Telegram.