Chiến dịch lừa đảo qua email nhằm vào các nhà phát triển Openclaw đang lan truyền qua Github, cố gắng lừa người dùng kết nối ví tiền điện tử và để lộ tài sản để bị đánh cắp.
Các nhà phát triển Crypto cảnh báo về cuộc tấn công lừa đảo dựa trên Github
Công ty an ninh mạng OX Security báo cáo trong tuần này rằng họ đã phát hiện chiến dịch này, giả mạo hệ sinh thái Openclaw và sử dụng các tài khoản Github giả để tiếp cận trực tiếp các nhà phát triển.
Kẻ tấn công đăng các chủ đề vấn đề trong các kho lưu trữ và gắn thẻ người dùng, tuyên bố họ đã được chọn để nhận 5.000 đô la giá trị token gọi là CLAW. Các tin nhắn hướng người nhận đến một trang web giả mạo được thiết kế để bắt chước openclaw.ai một cách gần như hoàn hảo. Điểm khác biệt chính là lời nhắc kết nối ví, kích hoạt hoạt động độc hại sau khi được phê duyệt.
Theo các nhà nghiên cứu của OX Security, Moshe Siman Tov Bustan và Nir Zadok, việc kết nối ví với trang web có thể dẫn đến việc bị rút sạch tiền. Chiến dịch này dựa vào các chiến thuật xã hội để làm cho lời đề nghị có vẻ phù hợp. Các nhà nghiên cứu tin rằng kẻ tấn công có thể nhắm vào những người đã từng tương tác với các kho lưu trữ liên quan đến Openclaw, làm tăng khả năng họ sẽ tham gia.
Phân tích kỹ thuật cho thấy hạ tầng lừa đảo bao gồm chuỗi chuyển hướng dẫn đến tên miền token-claw[.]xyz, cũng như một máy chủ điều khiển và kiểm soát đặt tại watery-compost[.]today. Mã độc hại nhúng trong một tệp JavaScript thu thập dữ liệu ví, bao gồm địa chỉ và chi tiết giao dịch, rồi truyền về phía kẻ tấn công.
OX Security cũng xác định một địa chỉ ví liên quan đến tác nhân đe dọa có thể được sử dụng để nhận tiền bị đánh cắp. Mã này bao gồm các chức năng nhằm theo dõi hành vi người dùng và xóa dấu vết khỏi bộ nhớ cục bộ, làm phức tạp việc phát hiện và phân tích pháp y.
Mặc dù chưa có nạn nhân nào được xác nhận, các nhà nghiên cứu cảnh báo chiến dịch này vẫn đang hoạt động và phát triển. Người dùng được khuyên không kết nối ví tiền điện tử với các trang web lạ và nên cẩn trọng với các đề nghị token không rõ nguồn gốc trên Github.
Ngoài ra, công ty an ninh mạng Certik cùng ngày đã công bố một báo cáo đặc biệt đề cập đến các lỗ hổng liên quan đến “quét kỹ năng”. Công ty đã đánh giá một bằng chứng về khái niệm kỹ năng có chứa lỗi, và thành phần bị khai thác đã có thể vượt qua sandbox của hệ thống Openclaw.
Các diễn biến an ninh này diễn ra khi Openclaw ngày càng thu hút sự chú ý của cộng đồng và các nhà phát triển crypto, đang tích cực xây dựng trên nền tảng này.
Câu hỏi thường gặp 🔎
- Chiến dịch lừa đảo Openclaw là gì?
Một trò lừa đảo nhắm vào các nhà phát triển với các đề nghị token giả mạo, nhằm lừa người dùng kết nối ví tiền điện tử.
- Chiến dịch hoạt động như thế nào?
Người dùng bị hướng đến một trang web sao chép, nơi kết nối ví sẽ kích hoạt các cơ chế đánh cắp.
Chủ yếu là các nhà phát triển tương tác với các kho Github liên quan đến Openclaw.
- Làm thế nào để người dùng an toàn hơn?
Tránh kết nối ví với các trang web không rõ nguồn gốc và bỏ qua các quà tặng token không mong muốn.
Tuyên bố miễn trừ trách nhiệm: Thông tin trên trang này có thể đến từ bên thứ ba và không đại diện cho quan điểm hoặc ý kiến của Gate. Nội dung hiển thị trên trang này chỉ mang tính chất tham khảo và không cấu thành bất kỳ lời khuyên tài chính, đầu tư hoặc pháp lý nào. Gate không đảm bảo tính chính xác hoặc đầy đủ của thông tin và sẽ không chịu trách nhiệm cho bất kỳ tổn thất nào phát sinh từ việc sử dụng thông tin này. Đầu tư vào tài sản ảo tiềm ẩn rủi ro cao và chịu biến động giá đáng kể. Bạn có thể mất toàn bộ vốn đầu tư. Vui lòng hiểu rõ các rủi ro liên quan và đưa ra quyết định thận trọng dựa trên tình hình tài chính và khả năng chấp nhận rủi ro của riêng bạn. Để biết thêm chi tiết, vui lòng tham khảo
Tuyên bố miễn trừ trách nhiệm.
Bài viết liên quan
Kẻ tấn công đúc 1B DOT, bán tháo lấy $237K ETH
Một sự cố an ninh liên quan đến phiên bản ERC-20 của Polkadot trên Ethereum đã làm dấy lên lo ngại, nhấn mạnh rủi ro của các tài sản được bọc (wrapped) và tài sản xuyên chuỗi. Một kẻ tấn công đã khai thác một lỗ hổng để đúc và xả 1 tỷ token DOT, gây ra sự sụp đổ của thị trường và làm nổi bật các điểm yếu trong việc quản lý hợp đồng thông minh.
Coinfomania15phút trước
Ngôi sao nhạc G. Love thua lỗ 5,9 Bitcoin trong vụ lừa đảo đáng kinh ngạc trên App Store
_The musician G. Love mất 5.9 BTC trong vụ lừa đảo ứng dụng Ledger giả mạo, làm dấy lên lo ngại nghiêm trọng về an ninh crypto và mức độ cảnh giác của người dùng trên toàn thế giới._
Một vụ lừa đảo crypto lớn đã ảnh hưởng đến Garrett Dutton, người được biết đến rộng rãi với nghệ danh G. Love. Ca sĩ người Mỹ đã mất 5.9 Bitcoin trị giá gần 420,000. Khoản mất mát xảy ra khi anh t
LiveBTCNews16phút trước
Aave rơi vào khủng hoảng niềm tin: các nhà cung cấp dịch vụ đồng loạt rời đi, “công nghệ, quản trị và kiểm soát rủi ro” sụp đổ toàn diện
Tác giả: Jae, PANews
So với áp lực bên ngoài của thị trường gấu, bên trong Aave lại xuất hiện trước một “thiên nga đen”.
Aave, vốn từ lâu thống trị vương tọa giao thức cho vay, đang trải qua biến động hệ sinh thái dữ dội nhất kể từ khi thành lập. Không có tấn công tin tặc, không có lỗ hổng mã nguồn; chỉ có sự kiểm soát quyền lực mất kiểm soát và lợi ích quay lưng.
Từ việc nhà trụ cột kỹ thuật BGD Labs quyết dứt ra đi, đến việc phái đoàn tiên phong về quản trị ACI (Aave Chan Initiative) công khai “đứt gãy”, rồi tiếp theo là việc quản gia quản lý rủi ro Chaos Labs chính thức tuyên bố chấm dứt hợp tác, một cuộc “rút lui lớn” của các nhà cung cấp dịch vụ đang diễn ra.
Độ sâu của ván cờ này vượt xa tranh chấp hợp tác, nó đã kích hoạt
区块客57phút trước
Polkadot Trải Qua Lỗ Hổng Tấn Công Cầu Nối, Kẻ Tấn Công Đúc 1B $DOT Trên Ethereum
Polkadot đã phải đối mặt với một sự cố vi phạm bảo mật nghiêm trọng, khi một kẻ tấn công đã đúc 1B $DOT coins trên Ethereum thông qua một cầu nối bên thứ ba, rút cạn hơn $240,000 trong $ETH. Sự cố này cho thấy các lỗ hổng vẫn đang tồn tại trong cơ sở hạ tầng liên chuỗi và tác động của chúng đến sự ổn định của thị trường.
BlockChainReporter1giờ trước
CEO của Circle: Do vụ hack Drift bị đánh cắp USDC trong sự kiện "khó xử về đạo đức" mà chưa bị đóng băng
CEO của Circle, Jeremy Allaire, trả lời trước những lời chỉ trích rằng việc USDC bị đánh cắp đã không bị đóng băng trong một cuộc họp báo, nhấn mạnh rằng họ chỉ đóng băng ví khi có chỉ đạo thực thi pháp luật. Ngoài ra, ông cho biết Circle đang làm việc với các cơ quan lập pháp của Mỹ, với mong muốn thiết lập cơ chế “bến cảng an toàn” cho nhà phát hành stablecoin.
GateNews2giờ trước
Phụ nữ năm mươi tuổi ở Hồng Kông bị lừa đảo qua mạng hẹn hò khiến thiệt hại hơn 2 triệu nhân dân tệ, kẻ lừa đảo tự xưng là chuyên gia đầu tư tiền mã hóa
Cảnh sát Hồng Kông đã tiết lộ một vụ lừa đảo đầu tư tiền mã hóa, trong đó một phụ nữ bị lừa trên Instagram, thiệt hại lên tới hơn 2 triệu nhân dân tệ. Kẻ lừa đảo giả mạo chuyên gia đầu tư, dụ dỗ cô chuyển tiền và thực hiện nhiều lần đổi tiền mặt. Cảnh sát nhắc nhở khi kết bạn trực tuyến cần nâng cao cảnh giác, đề phòng lừa đảo chuyển tiền.
GateNews3giờ trước
