Các nền tảng bảo mật cảnh báo về các liên kết lừa đảo ẩn và rút ví

Chuyên gia an ninh mạng Christian Seifert đã đưa ra một ví dụ về cách biện pháp của Discord chống lại các liên kết độc hại có thể bị những kẻ lừa đảo lạm dụng.

Với việc tài sản trị giá hàng triệu đô la bị mất do các cuộc tấn công lừa đảo sau khi ký các quyền độc hại, mối đe dọa mất tài sản tiền điện tử từ các liên kết đáng ngờ là rất thực tế. Khi những thứ này được kết hợp với các nền tảng cho phép liên kết ẩn, người dùng sẽ phải chịu một loại rủi ro khác.

Vào ngày 4 tháng 9, nhà cung cấp bảo mật Web3 Pocket Universe đã chia sẻ cách những kẻ lừa đảo có thể ẩn các liên kết rút ví trên bất kỳ văn bản nào trên nền tảng nhắn tin tức thời Discord. bất chấp việc một số người dùng báo cáo rằng tính năng này mới chỉ được bật cho người dùng Discord gần đây, nhưng khả năng nhúng liên kết vào bất kỳ văn bản nào đã có sẵn trên nhiều nền tảng xã hội khác nhau được một thời gian.

Scammers can now hide links in any discord text ☠️

Watch out for hidden wallet drainer links
e.g. pic.twitter.com/mgqG18sOF9

— Pocket Universe (@PocketUniverseZ) September 4, 2023

Cointelegraph đã liên hệ với một số chuyên gia an ninh mạng để tìm hiểu thêm về cách người dùng có thể tự bảo vệ mình khỏi những nỗ lực như vậy và cách các nền tảng có thể cải thiện bảo mật của họ để người dùng không phải chịu những cuộc tấn công như vậy.

Christian Seifert, nhà nghiên cứu tại công ty bảo mật Forta Network, cho biết kiểu tấn công này đã trở thành nguồn sống của tin tặc kể từ khi Internet được tạo ra. Anh giải thích rằng:

Bất kể nền tảng nào tạo ra thứ gì thì sẽ có hacker sẵn sàng tìm cách hack nó. Siêu liên kết có văn bản là một tính năng được hỗ trợ như một phần của HTML và là nguồn gốc của các cuộc tấn công lừa đảo kể từ những ngày đầu của Internet.

Theo Seifert, bảo mật đòi hỏi một cách tiếp cận phòng thủ chuyên sâu. Ông nói, cả nền tảng và người dùng cần phải nỗ lực bảo vệ chính mình. Từ phía người dùng, chuyên gia bảo mật nhấn mạnh rằng có những plugin mà họ có thể sử dụng để bảo vệ bản thân khỏi những trò gian lận như vậy.

Khi nói đến Discord, Seifert chỉ ra rằng nền tảng này cung cấp thông tin về đích đến thực sự của URL sau khi người dùng nhấp vào nó. Tuy nhiên, nền tảng này cũng cho phép người dùng tin tưởng vào một miền trong tương lai. Theo Seifert, điều này có thể bị những kẻ lừa đảo lạm dụng. Anh giải thích:

Hãy tưởng tượng một miền như foo.bar mà người dùng tin cậy. Kẻ lừa đảo có thể tạo một liên kết độc hại tiềm ẩn để thực hiện một số hành động trên miền này, chẳng hạn như yêu cầu oauth tới kẻ lừa đảo, như foo.bar/oauth/scammer-account.

Chuyên gia an ninh mạng cho biết một vấn đề với việc triển khai nền tảng hiện tại là các liên kết và văn bản có thể lừa đảo và không phù hợp với mong đợi của người dùng. Ông nói thêm, nếu một liên kết văn bản rõ ràng giống với một miền hoặc URL và nó không khớp với URL đích thực sự, thì Discord sẽ không cho phép những liên kết đó.

Trong khi đó, Hugh Brooks, giám đốc hoạt động bảo mật tại công ty bảo mật blockchain CertiK, lặp lại một số cảm xúc của Seifert. Theo Brooks, người dùng và nền tảng có trách nhiệm chung trong việc đề phòng những tác nhân độc hại. Ông giải thích rằng điều cần thiết là các nền tảng phải liên tục xem xét và tinh chỉnh các tính năng bảo mật của mình cũng như yêu cầu người dùng luôn cảnh giác và hiểu biết.

Đối với người dùng, Brooks nói rằng họ nên chủ động và thận trọng khi nói đến các liên kết, đặc biệt là khi được yêu cầu chữ ký và quyền. Giám đốc điều hành kêu gọi người dùng xác minh tính xác thực của địa chỉ trang web trước khi cấp cho nó quyền truy cập vào ví tiền điện tử. Brooks chia sẻ:

Một cách tốt là test chéo các địa chỉ web có danh sách cảnh báo lừa đảo được công nhận. PhishTank, Duyệt web an toàn của Google và OpenPhish là những tài nguyên có giá trị ở đây, cùng với các tiện ích mở rộng trình duyệt như HTTPS Everywhere và các trình chặn quảng cáo như uBlock.

Brooks giải thích rằng những công cụ này có thể cảnh báo người dùng trong thời gian thực bất cứ khi nào họ chuẩn bị truy cập các trang web lừa đảo hoặc độc hại đã biết. Hơn nữa, chỉ cần di chuột qua liên kết URL, địa chỉ web thực tế sẽ được hiển thị, cho phép người dùng xác nhận tính hợp pháp của nó trước khi tham gia sâu hơn, ông nói thêm.

Về mặt nền tảng, chuyên gia an ninh mạng cho biết có những biện pháp có thể được thực hiện như chỉ có thể nhận tin nhắn từ những người liên hệ đáng tin cậy. Brooks nói rằng một ví dụ điển hình cho điều này là Meta Facebook Protect, cho phép người dùng nâng cao các tính năng bảo mật cho tài khoản của họ.

Như người ta vẫn nói, hằng số duy nhất là sự thay đổi. Các nền tảng có trách nhiệm với người dùng và sự liên quan liên tục của họ trong việc ưu tiên bảo mật. Ông nói thêm, điều này không chỉ liên quan đến việc cập nhật các biện pháp bảo mật mà còn thúc đẩy văn hóa cảnh giác và nhận thức của người dùng.

Tạp chí: Các dự án tiền điện tử có nên đàm phán với tin tặc không? Có lẽ

Theo CoinTelegraph