Hơn 900.000 USD bị đánh cắp thông qua các video YouTube cũ bị chiếm quyền và hợp đồng thông minh độc hại.

Một chiến dịch lừa đảo quy mô lớn đang diễn ra trên YouTube, khi các tài khoản YouTube lâu năm – từng đăng nội dung về tiền mã hóa và đầu tư – bị chiếm quyền để quảng bá một bot giao dịch tiền mã hóa giả mạo. Theo cảnh báo từ SentinelLABS, một công ty an ninh mạng, chiến dịch này đã chiếm đoạt hơn 256 ETH, tương đương trên 939.000 USD.

Alex Delamottea, nhà nghiên cứu đe dọa cấp cao tại SentinelLABS, cho biết: “Chiến dịch này đã diễn ra từ ít nhất năm 2024 và vẫn đang tiếp tục. Các video được chia sẻ rộng rãi trên mạng xã hội, hướng dẫn người dùng triển khai một bot giao dịch tự động – thực chất là một cái bẫy.”

Cách thức hoạt động của vụ lừa đảo

Người dùng bị dụ dỗ triển khai một hợp đồng thông minh (smart contract) được cho là giúp họ tự động giao dịch và kiếm lợi nhuận. Tuy nhiên, bên trong mã nguồn, một địa chỉ ví của kẻ tấn công được ẩn dưới dạng “địa chỉ giao dịch”.

Khi nạn nhân nạp tiền vào hợp đồng – thường được yêu cầu ít nhất 0,5 ETH (khoảng 1.800 USD) để “đảm bảo lợi nhuận đủ lớn” – thì kẻ tấn công lập tức có quyền rút toàn bộ số tiền đó.

Delamottea nhấn mạnh: “Nạn nhân phải tự nạp tiền thì vụ lừa đảo mới thành công. Nhưng vì tin rằng mình đang triển khai một công cụ hữu ích, họ không nhận ra mình đang trao quyền kiểm soát tài sản cho kẻ xấu.”

Tài khoản YouTube bị chiếm quyền để tăng độ tin cậy

Điểm đáng chú ý là các kênh YouTube này không phải là tài khoản mới. Chúng đã tồn tại từ lâu, với lịch sử đăng tải các nội dung như tin tức crypto, mẹo đầu tư, hoặc nội dung giải trí – giúp tăng độ tin tưởng và thứ hạng tìm kiếm.

Các video có dấu hiệu được tạo bằng AI, với giọng nói và hình ảnh không tự nhiên, giúp kẻ lừa đảo sản xuất hàng loạt video mà không cần xuất hiện trực tiếp.

Hiện chưa rõ các tài khoản này do chính kẻ xấu tạo ra hay được mua lại từ các sàn giao dịch Telegram và diễn đàn đen, nơi các kênh YouTube cũ được rao bán công khai.

Bình luận giả mạo và kiểm soát nội dung

Để tăng tính thuyết phục, các video này có hàng loạt bình luận giả mạo, khoe lợi nhuận từ bot. Những bình luận tiêu cực hoặc nghi ngờ đều bị xóa ngay lập tức.

“Kẻ lừa đảo đang quản lý chặt chẽ phần bình luận để loại bỏ mọi dấu hiệu cảnh báo,” Delamottea nói. “Một số người dùng cảnh giác đã chuyển sang các nền tảng như Reddit để tìm kiếm thông tin xác thực.”

Số tiền bị đánh cắp và quy mô vụ việc

Theo điều tra, một ví lừa đảo đã nhận được 244,9 ETH, trong khi hai ví khác lần lượt nhận 7,59 ETH và 4,19 ETH. Tổng cộng, hơn 256 ETH đã bị đánh cắp, với giá trị hiện tại vượt 939.000 USD.

Một số ví được sử dụng chung cho nhiều hợp đồng độc hại, nhưng cũng có nhiều địa chỉ khác nhau, cho thấy có thể có nhiều nhóm lừa đảo độc lập đang sử dụng cùng một mô hình.

Lời cảnh báo từ chuyên gia

Delamottea nhấn mạnh rằng các vụ lừa đảo kiểu này ngày càng phổ biến vì chúng hiệu quả.

“Người dùng cần cực kỳ cẩn trọng với bất kỳ công cụ giao dịch nào được quảng bá qua video YouTube, mạng xã hội hay influencer. Đặc biệt là những công cụ hứa hẹn lợi nhuận nhanh chóng, dễ dàng và không cần nỗ lực.”

Bà khuyên:

• Không bao giờ triển khai mã nguồn từ video không xác minh.
• Tự nghiên cứu kỹ cách công cụ hoạt động, hiểu rõ đầu vào và đầu ra.
• Tránh xa mọi thứ nghe có vẻ quá tốt để trở thành sự thật.

Triển vọng và thách thức an ninh

Vụ việc cho thấy sự dễ bị tổn thương của hệ sinh thái tiền mã hóa, khi người dùng thiếu kiến thức kỹ thuật có thể dễ dàng trở thành nạn nhân. Trong khi đó, YouTube chưa có biện pháp kiểm duyệt hiệu quả đối với nội dung crypto, đặc biệt là trên các kênh cũ có độ tin cậy cao.

Việc sử dụng AI để tạo nội dung giả mạo và mua lại tài khoản mạng xã hội cũng đặt ra thách thức lớn cho các nền tảng và cơ quan chức năng.

Với bot giao dịch giả mạo trên YouTube đã đánh cắp hàng trăm ngàn USD, câu hỏi đặt ra là liệu người dùng có đủ tỉnh táo để nhận ra các dấu hiệu cảnh báo hay không? Và liệu các nền tảng như YouTube có thể hành động kịp thời để ngăn chặn các chiến dịch lừa đảo ngày càng tinh vi?