Bên trong cỗ máy: Cách thức hoạt động của những kẻ lừa đảo tiền điện tử
Chiếm quyền điều khiển Bing và DuckDuckGo

Hai phương thức tấn công

Cuộc điều tra của chúng tôi đã phát hiện ra rằng hai hoạt động song song, hoàn toàn khác nhau hoạt động đồng thời nhằm đẩy các trang web lừa đảo lên đầu kết quả tìm kiếm của Bing và DuckDuckGo.

Vector A: Cuộc tấn công chèn kết quả tìm kiếm (SERP Injection) vào Yahoo

Đây có thể nói là tinh tế nhất về mặt kỹ thuật Cuộc tấn công SEO mũ đen mà chúng tôi đã ghi nhận vào năm 2026. Cuộc tấn công này khai thác một lỗ hổng cơ bản trong cách Bing đánh giá mức độ uy tín của liên kết — cụ thể là khả năng không thể phân biệt được giữa các liên kết biên tập thực sự và các trang kết quả tìm kiếm được tạo động từ các tên miền đáng tin cậy.

Chỉ số Uy tín (AS 24) được kế thừa từ Yahoo được truyền qua các trang tìm kiếm trên thiết bị di động đến các tên miền lừa đảo — Bing chấp nhận tín hiệu này là hợp lệ

Cơ chế — Từng bước một

Bước 1 — Tạo URL của nhà mạng đáng tin cậy. Những kẻ tấn công tạo ra các URL trên các điểm cuối tìm kiếm di động của Yahoo trên nhiều tên miền con quốc tế: no.search.yahoo.com (Na Uy), fr.search.yahoo.com (Pháp), mx.search.yahoo.com (Mexico), pl.search.yahoo.com (Ba Lan), gr.search.yahoo.com (Hy Lạp), qc.search.yahoo.com (Quebec), chfr.search.yahoo.com (tiếng Pháp Thụy Sĩ), co.search.yahoo.com (Colombia). Các trang này có chỉ số uy tín (Authority Score) được kế thừa từ Yahoo: 23–24.

Bước 2 — Chèn liên kết lừa đảo. Mỗi URL chứa một cụm từ tìm kiếm hoàn toàn ngẫu nhiên và vô hại — “pele+fifa”, “Jean-Paul+Sartre”, “Radio+Stars”, “jucheck.exe” — nhưng văn bản liên kết lại có nội dung như sau: curvefi.co Curve Finance. Các truy vấn được sắp xếp ngẫu nhiên giúp đảm bảo các bộ lọc thư rác không thể phát hiện ra bất kỳ mẫu nào.

Bước 3 — Thu thập dữ liệu và lập chỉ mục bắt buộc. Những kẻ tấn công lợi dụng Bingbot để thu thập dữ liệu từ các URL này thông qua các dịch vụ ping hàng loạt, việc chèn bình luận vào diễn đàn/blog và các công cụ kích hoạt thu thập dữ liệu tự động.

Bằng chứng thô từ SEMrush — curvefi.co

Sự trớ trêu tàn nhẫn: Trang web này có không từ khóa tự nhiên, không lưu lượng truy cập trong cơ sở dữ liệu của SEMrush — song nó vẫn xuất hiện trong kết quả tìm kiếm của Bing/DDG cho từ khóa “Curve Finance” nhờ vào uy tín được kế thừa từ Yahoo.

Vectơ B: Mạng lưới PBN được phối hợp

Đây chính là lúc cuộc điều tra trở nên thực sự đáng lo ngại. Năm trang web lừa đảo riêng biệt — rabbys.at, dexscreener.at, monero-wallet.at, trezorsuite.at và keplr.me — tất cả đều có chung một bộ nguồn liên kết ngược giống hệt nhau. Đây không phải là sự trùng hợp ngẫu nhiên. Đây là một hoạt động tội phạm có tổ chức duy nhất tiến hành nhiều chiến dịch lừa đảo từ một hệ thống cơ sở hạ tầng duy nhất.

Một nhà khai thác, 9 người đóng góp PBN, 5 mục tiêu lừa đảo — xác suất đây chỉ là sự trùng hợp ngẫu nhiên là khoảng 0,00001%

Bằng chứng quyết định — Cơ sở hạ tầng chung

Hồ sơ tên miền lừa đảo

Trang trại bài viết được hỗ trợ bởi trí tuệ nhân tạo

Biến thể aster-dex.at sử dụng một phương pháp kết hợp, kết hợp kỹ thuật “Yahoo injection” với nội dung blog do trí tuệ nhân tạo (AI) tạo ra, được đăng tải trên các trang web bị xâm nhập hoặc được thiết kế riêng cho mục đích này tại Việt Nam, Ý, Indonesia và Thụy Sĩ.

Các bài viết do AI tạo ra trên các trang web bị xâm nhập — tiêu đề giống hệt nhau, tên miền khác nhau, tất cả đều dẫn đến cùng một mục tiêu lừa đảo

Tất cả các bài viết trên blog đều có tiêu đề gần như giống hệt nhau: “Tại sao việc hoán đổi token và các bể thanh khoản vẫn khiến ngay cả những nhà giao dịch DEX dày dạn kinh nghiệm cũng gặp khó khăn”, “Tại sao các nhà tạo lập thị trường tự động vẫn khiến các nhà giao dịch bất ngờ”. Đó là Các bài viết do trí tuệ nhân tạo (AI) tạo ra được đặt trên các trang web có mã AS từ 21 đến 36, tất cả đều có liên kết đến aster-dex.at.

Sự xâm nhập của bình luận rác

keplr.me áp dụng một cách tiếp cận hoàn toàn khác — đó là spam bình luận thuần túy trên các trang web có uy tín cao nhưng không liên quan. Những tên người dùng giả mạo như “ZackaryThymn”, “Fritzkah”, “Jamesboach” chèn các liên kết đến ví tiền điện tử vào các trang web về giáo dục triết học (filozofija.edu.rs, AS 45), các nền tảng thúc đẩy sự gắn kết của nhân viên (bavave.com, AS 63), và các liên hoan nghệ thuật (lea-festival.com, AS 50).

Các trang web hợp pháp vô tình đăng tải các liên kết lừa đảo — ẩn mình giữa những bình luận của người dùng trông bình thường

Đáy thùng: Spam công cụ tự động

bscscan.cfd sử dụng phương pháp thô thiển nhất có thể: các gói liên kết ngược số lượng lớn trả phí từ những trang web có tên gọi đúng nghĩa là rankongoogle.agency và linksjump.click. Tất cả các nguồn đều có AS = 0. Tên miền cấp cao nhất (TLD) .cfd là một dấu hiệu spam đã được biết đến. Tuy nhiên, trên Bing, ngay cả điều này cũng phần nào có hiệu quả — số lượng liên kết chất lượng thấp có thể ảnh hưởng đến thứ hạng của các tên miền hoàn toàn mới, không có lịch sử tiêu cực.

“1.000 liên kết ngược với giá 9,99 USD” — những công cụ lừa đảo SEO rẻ nhất này vẫn còn phần nào hiệu quả trên Bing

Tại sao Bing và DuckDuckGo lại đặc biệt dễ bị tấn công

Hệ thống phòng chống spam nhiều lớp của Google so với hệ thống phát hiện chưa hoàn thiện của Bing — khoảng cách mà những kẻ lừa đảo đang lợi dụng

Chiến lược nhắm mục tiêu từ khóa

Các hồ sơ từ khóa cho thấy độ chính xác phẫu thuật trong việc lựa chọn mục tiêu. Các nhà quảng cáo không chỉ nhắm mục tiêu vào các từ khóa thương hiệu chính mà còn cả các tên miền lợi dụng lỗi chính tả (“ví rabbi”, “ví da mềm”, “dexscrenner”) và thậm chí cả các truy vấn bằng tiếng Trung (“Sàn giao dịch Aster” (xếp hạng thứ 25).

Nhắm mục tiêu đa ngôn ngữ: tiếng Anh, tiếng Pháp, tiếng Trung, tiếng Việt — hoạt động này trải rộng trên nhiều lục địa

Bối cảnh lịch sử: Vấn đề liên quan đến Trust Wallet và DuckDuckGo

Ngay cả sau khi Trust Wallet ngừng sử dụng DDG làm trình duyệt mặc định, lỗ hổng bảo mật cơ bản vẫn còn tồn tại. Bất kỳ người dùng nào chọn DuckDuckGo theo cách thủ công để bảo vệ quyền riêng tư — một nhóm dân số có nhiều điểm trùng lặp với người dùng tiền điện tử — hiện nay vẫn đang phải đối mặt với chính những cuộc tấn công này. Các hoạt động lừa đảo được ghi nhận trong báo cáo này đã áp dụng các biến thể của kỹ thuật này trong vài năm, đồng thời thích ứng khi các công cụ tìm kiếm dần dần vá các lỗ hổng riêng lẻ.

Cách bảo vệ bản thân

• KHÔNG BAO GIỜ Kết nối ví của bạn từ kết quả tìm kiếm
• Đánh dấu trang trực tiếp từ các trang web chính thức
• Sử dụng DDG’s !bang phím tắt: !g curve finance buộc phải sử dụng công cụ tìm kiếm của Google
• Cài đặt tiện ích mở rộng phát hiện lừa đảo của MetaMask
• Kiểm tra bất kỳ tên miền nào tại PhishDestroy trước khi kết nối

Các đề xuất dành cho Microsoft/Bing

1. Phát hiện trang động: Phân loại các trang kết quả tìm kiếm (Yahoo, Baidu, Google) và loại bỏ giá trị liên kết khỏi các liên kết đi ra ngoài
2. Phát hiện PBN có sự phối hợp: Khi có 9 tên miền liên kết đến 5 trang web khác nhau theo các mẫu giống hệt nhau, hãy đánh dấu là hành vi thao túng
3. Lớp chống mạo danh thương hiệu: Phát hiện các cuộc tấn công thay thế TLD (dexscreener.at ≈ dexscreener.com)
4. Giám sát tên miền .AT: Tăng cường kiểm tra đối với các tên miền .at mới đăng ký trong kết quả tìm kiếm liên quan đến tiền điện tử
5. Hướng dẫn nhanh về DuckDuckGo: Tạo API chuyên dụng để loại bỏ thư rác mà DDG có thể truy cập trực tiếp

Các bằng chứng đã được công khai. Các tên miền đã được ghi chép lại. Các nạn nhân là có thật. Giải pháp nằm trong tay Microsoft.

Một nhà điều hành. 26 mồi lừa đảo trên Bing. Chi phí: 2 USD cho mỗi tên miền.

Một nhà cung cấp dịch vụ, 26 tên miền, một nhà đăng ký tên miền

Chúng tôi đã thực hiện các truy vấn RDAP trên tất cả 26 tên miền lừa đảo. Mỗi tên miền đều trả về cùng một nhà đăng ký: Công ty TNHH Tập đoàn NiceNIC International. Không phải là “hầu hết”. Không phải là “đa số”. Tất cả 23 trong số 23 đã được truy vấn thành công — cùng một nhà đăng ký, với 3 lỗi giới hạn tốc độ trước khi xác minh (các mô hình hạ tầng của họ trùng khớp).

Đã kiểm tra 23 trong tổng số 23 trường hợp. Cùng một nhà đăng ký. Cùng một khách hàng. Không có hành vi lạm dụng nào.

Dữ liệu đăng ký RDAP — Chứng từ đăng ký theo đợt

Cẩm nang 2 đô la — Hướng dẫn từng bước

Hãy quên đi những kỹ thuật SEO phức tạp. Hãy quên đi việc xây dựng liên kết kéo dài hàng tháng trời. Dưới đây là chuỗi thao tác hoàn chỉnh và đã được kiểm chứng, giúp bạn đạt vị trí số 1 trên Bing.

Chỉ với bốn bước và 2 đô la, Bing đã đưa một trang web lừa đảo lên vị trí số 1

Bước 1: Cơ sở dữ liệu Typosquat

Bước 2: Sao chép thẻ tiêu đề ($0, 5 phút)

Người vận hành sao chép chính xác <title> thẻ và mô tả meta trích từ trang web của dự án thực tế. Đây là bước quan trọng nhất. Bản thân trang web này là một công cụ đánh cắp tiền trong ví hoặc thu thập cụm từ hạt giống — nhưng <title> là những gì Bing xếp hạng.

Bước 3: Gửi bài viết lên mạng lưới blog riêng tư (PBN) ẩn danh ($0, 1 phút)

Nhân viên vận hành đến thăm bất kỳ cơ sở nào trong số 15 cơ sở của PBN (bye.fyi, atomizelink.icu, v.v.), nhập tên miền vào ô có nhãn “Nhập URL của bạn”, rồi nhấp vào “Rút gọn”. Chỉ cần nhấn nút gửi một lần là trang web sẽ được tạo đồng thời trên cả 15 trang web — các trang web này sử dụng chung một cơ sở dữ liệu.

Bước 4: Chờ (2–8 tuần, 0 USD)

Bảng phân tích tổng chi phí

Bên trong bộ xử lý tàng hình

Chúng tôi đã thu thập và phân tích mã nguồn HTML thực tế từ mạng PBN. Mỗi trang trên mỗi tên miền đều sử dụng cùng một công cụ che giấu nội dung.

Những gì người dùng nhìn thấy so với những gì Bingbot nhìn thấy — z-index: 1000000 Bức tường ẩn chứa 3.500 liên kết

Cấu trúc trang: 400KB HTML, hơn 3.500 liên kết, 4 lớp

<body style="overflow: hidden;">
  <div style="position:absolute; top:0; left:0;
              width:100%; height:5000px;
              background:white; z-index:1000000;
              font-size:32px; text-align:center;">
    <p>The domain report has Expired!</p>
  </div>

// work.js — identical on all 15 domains:
window.location.replace("https://scrib.li/ai-article-generator");

<p>Learn More Here <a rel="nofollow"
     href="https://PHISHING-TARGET.finance">PHISHING-TARGET.finance</a></p>
... x 3,500 links ...

Bằng chứng: Một mạng lưới, một cơ sở dữ liệu

orbit-protocol-lending.net xuất hiện trên nhiều tên miền PBN với các mã định danh liên tiếp từ cùng một cơ sở dữ liệu:

Một cơ sở dữ liệu. 15 tên miền phía trước. Tất cả các màn hình đều hiển thị nội dung giống hệt nhau từ cùng một hệ thống quản trị phía sau.

Các ID giống nhau trên các “thương hiệu” khác nhau = một hệ thống nền tảng, một nhà điều hành. 15 tên miền. Cùng một mẫu HTML. Cùng một CSS (style.css). Cùng một đoạn mã JavaScript (work.js). Vẫn là những trang có 3.500 liên kết đó.

Mạng lưới PBN thứ hai — Mạng lưới kiểm tra tên miền

Một mạng lưới liên kết riêng biệt và mạnh mẽ hơn cung cấp các liên kết ngược dofollow đến các mục tiêu được chọn lọc. Máy chủ chính: all-aged-domains.com — một bản cài đặt WordPress 6.6.2 cung cấp các tệp CSS, JS và mẫu cho 50–80 tên miền phụ.

Tại sao Bing lại mắc bẫy này

Robot bọc thép của Google chặn các cuộc tấn công lừa đảo ngay từ cửa. Người gác cổng thân thiện của Bing giữ cửa mở.

Lỗ hổng trong trận tranh đai vô địch

app.thnuster.cc chỉ có đúng MỘT liên kết ngược — một trang kết quả tìm kiếm (SERP) của Yahoo đã được lưu vào bộ nhớ đệm. Trang này đứng thứ 1 trên Bing cho từ khóa “Thruster Finance”. Điều này chứng tỏ việc xếp hạng của Bing đối với các truy vấn thương hiệu có mức độ cạnh tranh thấp chủ yếu dựa vào:

1. Thẻ tiêu đề khớp chính xác đối với truy vấn tìm kiếm
2. Tên miền đã được lập chỉ mục (bất kỳ tín hiệu nào — ngay cả một liên kết nofollow — cũng đủ)
3. Không có tín hiệu tiêu cực về mức độ tin cậy (tên miền mới, lịch sử sạch)

Google sẽ yêu cầu các tín hiệu xác thực đáng kể và sẽ đối chiếu với các tên miền thương hiệu đã biết. Bing thì không.

Kết quả tìm kiếm số 1 trên Bing (đã được xác minh qua SerpAPI, tháng 4 năm 2026)

Danh sách các sản phẩm được bảo hộ cập nhật (các thương hiệu Phần II)

Các khuyến nghị (Phần II)

Gửi Microsoft/Bing:

1. Chỉ riêng việc tranh đai vô địch thôi thì chưa đủ để khẳng định uy tín. Một tiêu đề trùng khớp không nên giúp một tên miền mới xếp hạng số 1 cho các truy vấn liên quan đến thương hiệu. Cần phải có các yếu tố như tuổi đời tên miền, độ uy tín của liên kết ngược hoặc các tín hiệu xác minh thương hiệu.
2. Phát hiện kỹ thuật che giấu dựa trên CSS. Các trang sử dụng lớp phủ z-index để ẩn nội dung khỏi người dùng nhưng hiển thị nội dung đó cho các trình thu thập dữ liệu cần được đánh dấu.
3. Phát hiện các mạng PBN có sự phối hợp. 15 tên miền cùng chia sẻ một hệ thống quản lý phía sau và liên kết đến cùng các mục tiêu không phải là việc xây dựng liên kết tự nhiên.
4. Đánh dấu các tên miền đã đăng ký qua NiceNIC trong kết quả tìm kiếm liên quan đến tiền điện tử (SERPs) để tăng cường giám sát.
5. Tạo một kênh xử lý nhanh các tin rác trên DuckDuckGo. DDG kế thừa tất cả các lỗ hổng bảo mật của Bing nhưng không có cơ chế báo cáo spam độc lập.

Gửi Công ty TNHH Tập đoàn Quốc tế NiceNIC:

Gửi Cloudflare:

Tất cả 26 tên miền đều sử dụng dịch vụ DNS và proxy của Cloudflare. Các tên miền này hỗ trợ các chương trình đánh cắp tiền trong ví và thu thập cụm từ hạt giống thông qua hạ tầng của Cloudflare.