Đích ngắm mới của tội phạm

Trong một diễn biến mới nhất, giao thức tài chính phi tập trung (DeFi) là Inverse Finance cho biết vừa bị tấn công, bị chiếm đoạt số tiền mã hóa trị giá 15,6 triệu USD. Theo Inverse Finance, thông qua một lỗ hổng, kẻ tấn công đã bơm tiền để thực hiện việc thao túng giá token, sau đó tạo các khoản vay với tài sản thế chấp cực thấp trên hệ thống của start-up.

Tuần trước, một vụ tấn công mạng Ola Finance đã diễn ra. Ola Finance bị cho là đã thiệt hại khoảng 4,67 triệu USD.

Trước đó, Wormhole Bridge đã bị tấn công và thiệt hại 320 triệu USD.

10 cuộc tấn công lớn nhất vào các Dự án blockchain, tiền điện tử tính đến hết tháng 12/2021 có tổng thiệt hại tới 2,8 tỷ USD. Trong 10 cuộc tấn công này, có đến 6 cuộc xảy ra trong năm 2021, chiếm 60% số cuộc tấn công và thiệt hại chiếm trên 50%, khoảng hơn 1,4 tỷ USD. Từ đầu năm 2022 đến nay, hàng loạt vụ tấn công đã diễn ra, với ước tính thiệt hại gần 1 tỷ USD.

Tháng 12/2021, sàn giao dịch BadgerDAO bị hacker thâm nhập và lấy đi số tiền điện tử tương đương 120 triệu USD. Ít ngày sau, sàn tiền số Bitmart cũng bị lấy mất lượng tiền số trị giá 200 triệu USD do bị lộ khóa riêng tư (private key) của ví. Hay như nền tảng Poly Network bị đánh cắp số token trị giá hơn 600 triệu USD, nhưng sau đó được trả lại...

Tại Việt Nam, các dự án tiền mã hóa cũng bị tấn công. Mới đây nhất, mạng Ronin của Sky Mavis - đơn vị phát triển tựa game Axie Infinity do Nguyễn Thành Trung và 4 cộng sự sáng lập, được định giá hơn 8 tỷ USD - đã bị hacker thâm nhập. Hacker đã đánh cắp, rút khỏi Ronin tổng cộng 173.600 Ethereum và 25,5 triệu USD. Với quy mô tương đương 625 triệu USD, đây là một trong những vụ tấn công nghiêm trọng nhất trong lịch sử ngành tiền mã hóa.

Cuối năm 2021, dự án tiền số Việt có hàng triệu người dùng là Onus, do ông Trần Quang Chiến sáng lập, cũng bị tấn công đánh cắp dữ liệu người dùng. Theo đó, haker cho biết đã thâm nhập máy chủ và đánh cắp các dữ liệu như họ tên, email, số điện thoại, tên đăng nhập và thông tin eKYC dùng để xác minh danh tính. Hacker thông báo đang giữ thông tin của toàn bộ người dùng nền tảng Onus với hơn 1,92 triệu tài khoản, trong đó 90% là người Việt.

Công ty bảo mật Cyradar cho biết, chỉ riêng trong tháng 12/2021, có tới 8 vụ tấn công các dự án blockchain, gồm Grim Finance, BitMart, MonoX Finance, Vulcan Forged, AscendEX, Badger DAO, Bent Finance, Visor Finance, với tổng thiệt hại lên tới 604 triệu USD.

“Việc gia tăng mạnh mẽ số vụ tấn công các dự án blockchain là hoàn toàn dễ hiểu, bởi sự bùng nổ dự án blockchain gần đây. Do tốc độ phát triển nhanh, nhiều dự án blockchain đã bỏ qua những nguyên tắc cơ bản về an toàn, bảo mật trong phát triển phần mềm. Điều đó dẫn đến việc bị hacker tấn công”, chuyên gia CyRadar phân tích.

Còn Kaspersky nhận định rằng, chúng ta sẽ đối mặt với một làn sóng tấn công quy mô lớn vào các doanh nghiệp tiền điện tử. NFT cũng sẽ là mục tiêu của tội phạm mạng. Điều này là do các quốc gia ở Đông Nam Á đang dẫn đầu về tỷ lệ sở hữu NFT, trong đó Việt Nam xếp ở vị trí thứ 5 trong 20 quốc gia được khảo sát, với 17,4% người được hỏi cho biết có sở hữu các tài sản số này.

“Từ các cuộc tấn công trực tiếp vào nhân viên các công ty khởi nghiệp và sàn giao dịch tiền điện tử thông qua kỹ thuật xã hội tinh vi, khai thác phần mềm và thậm chí cả các nhà cung cấp giả mạo đến các cuộc tấn công hàng loạt thông qua phần mềm chuỗi cung ứng hay các thành phần của nó, chúng ta sẽ chứng kiến sự gia tăng các loại hình tấn công này. Ngoài ra, nhiều vụ trộm cắp tài sản NFT cũng sẽ xảy ra trong những năm tới”, chuyên gia Kaspersky đánh giá.

Hậu quả của việc coi nhẹ đầu tư bảo mật

Ông Nguyễn Minh Đức, CEO CyRadar khuyến nghị, các dự án blockchain cũng là các dự án phần mềm liên quan nhiều đến lĩnh vực tài chính. Tuy nhiên, nhiều dự án blockchain đang tập trung vào phát triển tính năng, mà có phần lơ là về bảo mật, an toàn thông tin. Việc ưu tiên quan tâm phát triển hệ thống blockchain, mà bỏ qua quy trình vận hành, kiểm thử an toàn của phần mềm trước khi đưa hệ thống vào hoạt động sẽ khiến các dự án này tiềm ẩn nguy cơ mất an toàn thông tin, bị tấn công.

“Các vụ tấn công gần đây không phải nhắm vào giao thức blockchain, mà nhắm đến các ứng dụng, như game, ví hoặc sàn giao dịch, cầu nối. Đây là các ứng dụng sử dụng blockchain, nhưng thực chất, đó vẫn là những ứng dụng web, mobile và vẫn có lỗ hổng như các phần mềm truyền thống”, ông Đức nhấn mạnh.

CyRadar cho rằng, đã đến lúc, các đơn vị phát triển dự án blockchain cần đặc biệt quan tâm vấn đề an toàn, bảo mật thông tin. Bên cạnh đó, việc kiểm toán các dự án blockchain phải được quan tâm hơn nữa.

Ông Trần Việt Dinh, Giám đốc công nghệ (CTO) của Symper thì nhận xét, mức độ đầu tư cho bảo mật của các dự án blockchain tại Việt Nam hiện nay chưa lớn. Hậu quả là đã xảy ra khá nhiều vụ tấn công.

“Blockchain phát triển quá nóng, các nhà đầu tư tập trung tìm cách kiếm tiền, chứ không đầu tư cho bảo mật. Họ muốn làm những cái có thể tạo ra lợi ích ngay cho sản phẩm, cộng đồng, nên nhân lực cho bảo mật chưa nhiều. Nhưng qua một vụ hack quá lớn ở Việt Nam, cộng đồng sẽ rút kinh nghiệm, nên dần dần, mọi thứ sẽ tốt lên. Nhiều nhà phát triển đang nhìn lại dự án của mình, rà soát xem chỗ nào còn lỗ hổng để nâng cấp”, ông Dinh nhận định.

Còn theo ông Trần Xuân Bắc, chuyên gia bảo mật tại VBI, vấn đề bảo mật của các dự án blockchain vẫn chưa được quan tâm đúng mức. Dù thuộc nhóm phí tổn, song bảo mật nên được xem là khoản đầu tư bắt buộc của dự án blockchain, bởi không trực tiếp mang lại lợi nhuận, nhưng nó giúp bảo vệ hàng triệu USD, thậm chí là sự sống còn của dự án.