Tin tặc xâm nhập vào cộng đồng NFT Monkey Kingdom, ăn cắp 1,3 triệu đô la Mỹ

Mới đây, dự án NFT phổ biến Monkey Kingdom được thành lập bởi các doanh nhân ở Hồng Kông và được quảng bá bởi những người nổi tiếng như JJ Lin và Steve Aoki đã bị tội phạm mạng tấn công, lấy trộm gần 1,3 triệu USD.

Theo trang SCMP đưa tin, một tin tặc đã đánh cắp tài khoản quản trị viên của cuộc trò chuyện nhóm của dự án trên Discord - một dịch vụ nhắn tin trực tuyến phổ biến. Ngày 21/12, khi đợt mở bán NFT này diễn ra, kẻ tấn công gửi liên kết lừa đảo đến kênh, sau đó dụ người mua đăng nhập, lấy đi hơn 7.000 Solana (một loại tiền điện tử phổ biến), tương đương hơn 1,3 triệu USD.

Một người dùng Twitter, người có tên là "commnet" tuyên bố đã mất 650 SOL, trị giá khoảng 120.400 đô la do vụ lừa đảo này gây ra. Trên Twitter, đội ngũ Monkey Kingdom thừa nhận bị tấn công. "Grape là một giao thức hàng đầu được hầu hết các dự án NFT và DAO sử dụng để xác minh người dùng trên Solana. Nhưng hệ thống giao thức Grape đã bị xâm nhập nội bộ, điều này đã đặt các "webhook" vào máy chủ nền tảng nhắn tin Discord của chúng tôi, cho phép tin tặc săn mồi người dùng của chúng tôi", công ty giải thích, đồng thời cho biết lỗi bảo mật tương tự của Grape cũng đã ảnh hưởng đến việc ra mắt nền tảng Fractal NFT của Justin Kan.

Công ty cho biết thêm: "Chúng tôi đã lập tức mời các chuyên gia bảo mật và giao thức an ninh mạng để giúp chúng tôi ngăn chặn các vi phạm bảo mật khác, và bảo vệ cộng đồng Monkey Kingdom trung thành của chúng tôi".

Monkey Kingdom là dự án NFT ra mắt ngày 27/11, gồm 2.222 chân dung kỹ thuật số của hình tượng "vua khỉ" Tôn Ngộ Không với những phong cách khác nhau. Sau khi xuất hiện, dự án NFT này nhanh chóng thu hút sự chú ý, và được một số người nổi tiếng tại Hong Kong quảng bá như Steve Aoki, JJ Lin và Ian Chan. Monkey Kingdom ra đời nhằm cạnh tranh với các dự án NFT phổ biến khác ở phương Tây như CryptoPunks và Bored Apes Yacht Club.

Để giải quyết vụ hack, Monkey Kingdom đã đăng một bài đăng trên Twitter cho biết, họ đã dành 7.056 Solana cho một "quỹ bồi thường" để giúp hoàn lại tiền cho những người mua bị lừa bởi vụ hack. Tuy nhiên, thời gian và quy trình phân phối tiền hoàn lại vẫn chưa được tiết lộ.

Thực tế, hình thức gửi các link liên kết lừa đảo trực tuyến là khá phổ biến thường được sử dụng để lấy cắp dữ liệu người dùng, bao gồm thông tin đăng nhập và số thẻ tín dụng. Chiêu trò này thường xảy ra khi kẻ tấn công, giả danh là một nhân vật đáng tin cậy lừa nạn nhân mở email, tin nhắn. Ngay sau khi người dùng truy cập vào link này mọi thông tin của họ cũng sẽ bị đánh cắp. Phương thức lừa đảo này hiện đang được sử dụng để xâm phạm quyền truy cập vào ví tiền điện tử của người dùng.

Thực tế, các cuộc tấn công lừa đảo không có gì mới đối với ngành công nghiệp tiền điện tử. Trong năm qua, những kẻ lừa đảo đã liên tục nhắm mục tiêu đến người dùng trên nền tảng nhắn tin Discord và khai thác chính nền tảng này để dàn dựng các vụ hack tài sản NFT như vậy.

Andrew Man, người Hong Kong, một chuyên gia đầu tư bất động sản và cũng là một người đam mê NFT khẳng định, tình trạng lừa đảo ở Monkey Kingdom là vụ lừa đảo mới nhất trong một loạt vụ lừa đảo được phát hiện trong không gian NTF trong những tháng gần đây, khi mức độ phổ biến của tài sản số NFT lên đến cao độ. Điển hình là thanh khoản của NFT đã tăng lên 10,7 tỉ USD trong quý 3 năm 2021, tăng hơn 8 lần so với quý trước đó, theo dữ liệu từ công ty theo dõi thị trường DappRadar. Cũng theo báo cáo của Chainalysis về tội phạm tiền điện tử, số tiền bị đánh cắp năm nay tương đương hơn 7,7 tỷ USD, tăng 81% so với năm 2020. Tuy nhiên, các chuyên gia cho rằng số tiền trên thực tế còn lớn hơn rất nhiều.

Trong số đó, rút thảm (rug pull) là một trong những hình thức lừa đảo phổ biến nhất, nói về việc một nhóm phát triển tiền số nào đó từ bỏ dự án đột ngột và mang theo tất cả số tiền có được của nhà đầu tư.

Không chỉ nguy cơ bị lừa đảo, nhà đầu tư còn phải đối mặt với tình trạng bị tin tặc tấn công. Hồi tháng 8, nền tảng DeFi Poly Network đã bị hacker xâm nhập và bị đánh cắp số tiền mã hóa trị giá 611 triệu USD. Sau đó, hacker đã trả lại toàn bộ số tiền. Một nền tảng DeFi khác là BadgerDAO bị tấn công và lấy đi số tiền tiền điện tử tương đương 120 triệu USD. Đầu tháng 12, sàn Bitmart bị đánh cắp số token trị giá 150 triệu USD. Đến nay, số tiền bị mất từ BadgerDAO và Bitmart vẫn chưa được thu về.

Andrew Man nói: "Tình trạng lừa đảo này trở nên rất phổ biến. Hầu như mỗi tuần, một người nào đó trong nhóm WeChat của tôi sẽ nói rằng một số tài sản NFT của họ đã bị đánh cắp; Một người bạn của tôi bị mất một mảnh đất trong The Sandbox- một nền tảng ảo cung cấp, bán các mảnh đất trong thế giới ảo dưới dạng NFT cho người dùng".