Người Quản lý cộng đồng của BAYC đã báo cáo rằng tài khoản Discord của anh ấy bị hack, dẫn đến một vụ giveaways lừa đảo được thực hiện trên kênh Discord chính thức của BAYC.

(Nguồn ảnh: CryptoSlate)

Ứng dụng Web2 Discord một lần nữa được chứng minh là một then chốt yếu kém trong cấu trúc cơ cở của một dự án blockchain.

Hơn 175 ETH đã bị tước khỏi tài khoản của các nhà đầu tư sau khi máy chủ Discord của Bored Ape Yacht Club bị hack.

@BorisVagner, người mới chỉ được thăng chức lên vị trí quản lý truyền thông (Social Media) cho Yuga Labs vào tháng 1 năm 2022, đã bị hack tài khoản Discord.

Sau đó, kẻ tấn công có thể đăng các liên kết lừa đảo qua tài khoản chính thức của BorisVagner trên máy chủ Discord của Yuga Labs.

Liên kết lừa đảo được đăng tải qua tài khoản của BorisVagner (Nguồn ảnh: Twitter OKHotshot)

Liên kết lừa đảo nói trên đã được chỉnh sửa để bảo vệ người đọc. BAYC theo đó đã đưa ra một tuyên bố vào 9 tiếng sau khi lần báo cáo lừa đảo đầu tiên được phát hiện:

Máy chủ Discord của chúng tôi đã gặp phải một cuộc tấn công khai thác “nhỏ” trong ngày hôm nay. Nhóm nghiên cứu đã nắm bắt và giải quyết nó một cách nhanh chóng. Khoảng 200 ETH trị giá NFT đã bị khai thác. Chúng tôi vẫn đang điều tra, nhưng nếu bạn bị ảnh hưởng, hãy gửi email cho chúng tôi theo địa chỉ discord@yugalabs.io.

Tuyên bố từ BAYC cho biết rằng đội ngũ đã “giải quyết vấn đề nhanh chóng” và xác nhận tổng giá trị mà các thành viên bị mất là 200 ETH. Ở thời điểm hiện tại, giá trị đó là $354K.

Sự thiếu khẩn trương trong việc báo cáo vấn đề với cộng đồng và sự ngắn gọn của thông báo cho thấy một yếu tố tự mãn từ phía Yuga Labs.

Tổng thiệt hại và tâm điểm tấn công

Theo Peckshield, “32 NFT đã bị đánh cắp, bao gồm 1 #BAYC, 2 #MAYC, 5 #Otherdeed, 1 #BAKC”. Vụ lừa đảo được báo cáo lần đầu tiên bởi OKHotshot.

OKHoshot đã tweet, “@BorisVagner đã bị xâm phạm tài khoản, hacker đã thực tấn công lừa đảo thông qua đó. Hơn 145E đã bị đánh cắp.”

?BAYC & OtherSide discords got compromised‼️

Seems because Community Manager @BorisVagner got his account breached, which let the scammers execute their phishing attack. Over 145E in was stolen

Proper permissions could prevent this pic.twitter.com/lCl2DfZQ0W

— OKHotshot (@NFTherder) June 4, 2022

Số lượng NFT bị thất thoát được cho biết hiện có giá khoảng $354k.

Các giao dịch lừa đảo được thực hiện bởi hacker (Nguồn ảnh: Twitter OKHotshot)

Anh cũng nhận xét thêm rằng “Các biện pháp bảo mật phù hợp cần được duy trì cho bất kỳ dự án nào đạt doanh thu hàng triệu USD. Đặc biệt nếu dự án nằm trong top 10 của thị trường. Việc không có người quản lý bảo mật khiến cho nguy cơ bị tấn công tăng lên đáng kể ”.

OKHotshot tin rằng một người quản lý bảo mật có thể đã ngăn chặn sự kiện khôngng đáng có này vì họ sẽ chịu trách nhiệm cho các hoạt động bảo mật, chính sách nhóm và đảm bảo rằng chúng được duy trì.

Hoạt động của Yuga Labs hiện có rất nhiều vai trò công việc trong dự án, nhưng không có vai trò nào cho việc bảo mật hoạt động.

Phản ứng từ cộng đồng

Cộng đồng tiền điện tử cũng đã lên tiếng về vấn đề này thông qua một chủ đề được đăng bởi người dùng Reddit u / naji102.

Người dùng đã thảo luận về sự sụt giảm niềm tin đối với NFT do sự gia tăng các vụ lừa đảo thậm chí đến từ các nguồn chính thức đáng tin cậy.

u/XnoonefromnowhereX nhận xét, “Tin nhắn có lỗi ngữ pháp đáng ra phải là một tín hiệu lừa đảo (red flac),”.

Trong khi u / CrimsonFox99 lại đồng cảm, “Khó có thể đổ lỗi cho họ về phần đó, đặc biệt là đến từ một nguồn được cho là đáng tin cậy.”

Một người dùng Twitter đã liên hệ với OpenSea và LookRare để cầu xin “Tôi vừa nhấp vào một liên kết giả mạo, 2 MAYC và 8 cool cats đã bị đánh cắp. … xin hãy giúp đỡ. Họ đã lấy đi tất cả từ tôi ”.

Ngoài ra còn có các cuộc gọi đến từ những người dùng khác đồng lòng với việc đóng băng tài khoản của kẻ trộm.

Có vẻ như các tổ chức phân quyền (decentralized) chỉ được ủng hộ mạnh mẽ cho đến khi các nhà đầu tư gặp sự cố và quay về cầu xin sự hỗ trợ từ các tổ chức tập trung (centralized).

Tiền sử bị tấn công của máy chủ Discord BAYC

Đây không phải là lần đầu tiên máy chủ Discord của BAYC bị tấn công. Máy chủ đã từng bị tấn công vào tháng 4 năm 2022, với MAYC # 8662 đã bị đánh cắp.

Câu chuyện tiếp tục dấy lên khi sau đó người ta biết rằng siêu sao nhạc pop Đài Loan Châu Kiệt Luân là chủ sở hữu của chiếc NFT bị đánh cắp trị giá $550K.

Một tài khoản Discord đã bị tấn công trong cả hai trường hợp, cho phép cuộc tấn công được thực hiện thông quá các liên kết lừa đảo lên các kênh chính thức của dự án.

Tham khảo thêm về những hình thức lừa đảo phổ biến trên thị trường crypto tại https://allinstation.com/nhung-hinh-thuc-lua-dao-pho-bien-tren-thi-truong-crypto

Muốn nhận tin tức sớm nhất về thị trường và các dự án? Anh em hãy tham gia tại đây nhé.