Một nhà giao dịch Trung Quốc trở thành nạn nhân của một vụ hack lừa đảo, mất 1 triệu USD thông qua plugin quảng cáo Google Chrome có tên Aggr.

Plugin độc hại này đánh cắp cookie của người dùng, tạo điều kiện cho tin tặc bỏ qua cả mật khẩu và xác thực hai yếu tố (2FA) để truy cập vào tài khoản Binance của nạn nhân.

Tài khoản Binance bị xâm phạm thông qua cookie bị đánh cắp

Nhà giao dịch, được biết đến với tên người dùng CryptoNakamao trên nền tảng truyền thông xã hội X, đã kể lại sự kiện tàn khốc xảy ra vào ngày 24 tháng 5. CryptoNakamao nhận thấy các hoạt động giao dịch ngẫu nhiên trong tài khoản Binance của mình khi anh kiểm tra giá Bitcoin thông qua ứng dụng Binance. Vào thời điểm anh tìm kiếm sự trợ giúp, hacker đã rút hết tiền của mình. 

Theo người giao dịch này, tin tặc đã khai thác dữ liệu cookie trình duyệt của anh ta mà chúng lấy được thông qua plugin Aggr Chrome. Ban đầu được cài đặt để truy cập dữ liệu từ các nhà giao dịch nổi tiếng, plugin này thực sự được thiết kế để đánh cắp dữ liệu duyệt web và cookie của người dùng. Các cookie bị đánh cắp cho phép tin tặc chiếm quyền điều khiển các phiên hoạt động của người dùng mà không cần mật khẩu hoặc xác thực, thực hiện nhiều giao dịch có đòn bẩy để thao túng giá của các cặp thanh khoản thấp để kiếm lợi nhuận.

Mặc dù hacker không thể rút tiền trực tiếp do 2FA, nhưng chúng đã tận dụng cookie và các phiên đăng nhập đang hoạt động để thực hiện giao dịch chéo. Nhà giao dịch này đã trình bày chi tiết cách hacker mua một số token trong cặp giao dịch Tether có tính thanh khoản cao và đặt lệnh bán giới hạn cao hơn giá thị trường bằng Bitcoin, USD Coin và các cặp khác có tính thanh khoản thấp.

Bằng cách mở các vị thế đòn bẩy và mua số lượng vượt mức, hacker đã hoàn thành thành công giao dịch chéo, bao gồm việc bù đắp các lệnh mua và bán cho cùng một tài sản mà không ghi lại giao dịch trên sàn giao dịch.

CryptoNakamao đổ lỗi cho Binance vì không hành động

CryptoNakamao cáo buộc Binance không thực hiện các biện pháp bảo mật thiết yếu mặc dù hoạt động giao dịch cao bất thường. Ông tuyên bố rằng ngay cả sau khi có khiếu nại kịp thời, sàn giao dịch vẫn không có hành động để ngăn chặn các hoạt động lừa đảo. Cuộc điều tra của ông cho thấy Binance đã biết về plugin lừa đảo và đang tiến hành một cuộc điều tra nội bộ. Mặc dù vậy, Binance bị cáo buộc đã không thông báo cho các nhà giao dịch hoặc thực hiện các biện pháp phòng ngừa gian lận. 

Nhà giao dịch bày tỏ sự thất vọng, nói rằng: “Binance không làm gì cả mặc dù họ biết về hành vi trộm cắp và giao dịch chéo thường xuyên. Hacker đã thao túng tài khoản trong hơn một giờ, gây ra các giao dịch cực kỳ bất thường ở nhiều cặp tiền tệ mà không có bất kỳ biện pháp kiểm soát rủi ro nào; Binance đã không thể đóng băng tiền của tài khoản duy nhất của hacker trên nền tảng đúng thời hạn.”

Binance phủ nhận vi phạm bảo mật

Yi He, đồng sáng lập Binance, bác bỏ tuyên bố rằng vi phạm bảo mật của nền tảng này đã dẫn đến việc mất 1 triệu đô la từ một tài khoản người dùng. Vào ngày 3 tháng 6, Yi He làm rõ: “Tài khoản của người dùng này đã bị xâm phạm vì máy tính của họ bị hack; họ là một nguyên nhân bị mất. Sau khi hack, hacker không thể rút tiền nên đã bán coin của nạn nhân, dẫn đến giao dịch thua lỗ”.

CryptoNakamao trả lời, cáo buộc rằng toàn bộ số dư tài khoản của anh ấy đã bị mất do “giao dịch ngược chiều” mà hacker không lấy được mật khẩu tài khoản Binance hoặc hướng dẫn 2FA của anh ấy. Anh giải thích rằng hacker đã thao túng tài khoản của anh bằng cách giữ cookie web của anh làm con tin, mua token tương ứng trong cặp giao dịch USDT có tính thanh khoản cao và đặt lệnh bán giới hạn cao hơn giá thị trường bằng BTC, USDC và các cặp khác có tính thanh khoản thấp.

Yi He cảnh báo thêm người dùng về những rủi ro khi đăng nhập vào tài khoản bằng các plugin cookie đang hoạt động để tránh những bất tiện nhỏ khi nhập mật khẩu cho mỗi lần đăng nhập. Cô tuyên bố: “Binance không thể bồi thường cho người dùng khi thiết bị đăng nhập của chính họ bị xâm phạm”.

Ông, cựu người dẫn chương trình truyền hình Trung Quốc, hiện là một trong hai người phụ nữ lãnh đạo sàn giao dịch tiền điện tử lớn nhất thế giới, cùng với Giám đốc điều hành của Bitget, Gracy Chen. Vào tháng 4, cô nhận xét rằng chồng mình, đồng sáng lập và cựu CEO của Binance, Changpeng Zhao, đã nhận được “kết quả tối ưu nhất” khi bị kết án tại Hoa Kỳ về tội rửa tiền.

Bài đăng Người dùng mất 1 triệu USD: Binance phủ nhận trách nhiệm hack Scam xuất hiện đầu tiên trên Coinfomania.