Hacker đánh cắp hơn 400,000 USD từ người dùng Premint NFT

Tác giả: Hoa Tường
Bài viết được update ngày: 19-07-2022 | 16:46:51

Nền tảng NFT phổ biến Premint gần đây đã bị tin tặc xâm nhập và sử dụng một cửa sổ màn hình giả yêu cầu người dùng tiết lộ thông tin ví của họ.

Sự mất mát của người dùng Premint

Chủ nhật (17/07), một hacker đã xâm nhập vào nền tảng đăng ký NFT ưa chuộng sử dụng hiện nay - Premint và đánh cắp 320 NFT cùng hơn 400,000 USD. Vụ trộm này trở thành một trong những vụ hack lớn nhất thị trường crypto năm nay.

Hơn 300 NFT đã bị đánh cắp, 400 nghìn USD trong Ethereum “không cánh mà bay”
Hơn 300 NFT đã bị đánh cắp, 400 nghìn USD trong Ethereum “không cánh mà bay”

Theo phân tích từ công ty bảo mật blockchain CertiK, tin tặc đã xâm nhập trang web Premint vào ngày 17/07  bằng mã JavaScript độc hại. Sau đó, chúng tạo một cửa sổ bật lên trong trang web nhắc người dùng xác minh quyền sở hữu ví của họ, bề ngoài như một biện pháp bảo mật bổ sung.

Nhiều người dùng nhanh chóng nhận ra cửa sổ bật lên là giả mạo và ngay lập tức đưa lên Twitter và Discord để cảnh báo những người khác không làm theo hướng dẫn của nó. Mặc dù vậy, trong vòng vài phút, các tin tặc đã lừa được một số khách hàng của Premint.

Các NFT bị ăn cắp từ các bộ sưu tập nổi tiếng như Bored Ape Yacht Club, Otheride, Moonbirds Oddities Goblintown. Sau khi chiếm đoạt thành công các NFT này, các tin tặc ngay lập tức bắt đầu tung chúng lên các chợ như OpenSea, trong đó một chiếc Bored Ape bị đánh cắp đã đạt được mức giá 89 ETH, tương đương khoảng 132.000 USD.

Tính trong suốt ngày Chủ Nhật đó, các tin tặc đã thu được 275 ETH, tương đương hơn 400.000 USD, từ doanh số của tất cả 320 NFT bị đánh cắp. 

Sau đó, hacker đã gửi tiền đến Tornado Cash, một dịch vụ cho phép “trộn và xóa sạch” dấu vết kỹ thuật số của các giao dịch blockchain, bao gồm cả việc từng là tập hợp các khoản tiền gửi tiền điện tử từ nhiều người dùng. 

Các dịch vụ trộn như Tornado Cash thường được tội phạm mạng sử dụng để “làm sạch” tiền điện tử bị đánh cắp. 

Hôm qua, Premint đã lên Twitter thừa nhận vụ hack và đảm bảo với người dùng rằng phần lớn tài khoản không bị ảnh hưởng bởi vụ việc. 

“Nhờ cộng đồng web3 lan truyền những cảnh báo đáng kinh ngạc, một số lượng tương đối nhỏ người dùng đã giảm vì điều này,” công ty tweet .

Tuy nhiên, một số người dùng Premint lưu ý rằng trang web bị tấn công đã tồn tại trong khoảng 10 giờ sau khi tin tặc lần đầu tiên xâm nhập vào đầu Chủ nhật. Những nạn nhân bị mất tài sản kỹ thuật số hỏi rằng liệu Premint có hoàn lại cho họ giá trị của NFT bị đánh cắp hay không. 

Phản hồi lại, Premint cho biết đã bắt đầu tích lũy dữ liệu trên tất cả các NFT bị đánh cắp trong vụ hack nhưng hiện không tiết lộ chi tiết.

Premint gặp "vận đen"

Premint gặp "vận đen"
Premint gặp "vận đen"

Trớ trêu thay, trước khi vụ hack diễn ra, Premint đã lên kế hoạch công bố tính năng bảo mật mới liên quan đến khả năng đăng nhập vào nền tảng thông qua Twitter hoặc Discord. Phương pháp này cho phép người dùng truy cập trang web mà không cần nhập chi tiết ví trực tiếp. Vì thế, nếu tính năng này được cập nhật sớm hơn, có lẽ thiệt hại trên đã không xảy ra. 

Sau khi vụ việc xảy ra, đội ngũ lãnh đạo Premint đã quyết định đẩy nhanh thời gian ra mắt tính năng bảo mật kia sớm hơn vài ngày.

Năm 2021, tin tặc đã thu về hơn 25 tỷ USD do những lỗ hổng ở mảng NFT. Nửa đầu năm 2022, thị trường NFT tiếp tục chứng kiến liên tiếp các vụ lừa đảo. Điển hình là vụ đánh cắp NFT 1,7 triệu đô la trên OpenSea vào tháng 2, vụ hack tài khoản instagram của Bored Ape Yacht Club trong tháng 4 dẫn đến một vụ trộm NFT trị giá 2,8 triệu đô la .

Mặc dù có lượng vốn khổng lồ chảy qua không gian NFT, tính bảo mật của những tài sản này - đặc biệt là khi được kết nối với các công ty tập trung như Premint - vẫn là một vấn đề cần lưu tâm hơn nữa.

Đánh giá bài viết này

5/5 - (3 Bình chọn)

Tin khác:

- Chấm dứt chuỗi 72 ngày “sợ hãi” trên thị trường tiền số

- Nga phát hành stablecoin bảo trợ bởi Palladium

Danh sách bài viết được xem nhiều