Các hacker Bắc Triều Tiên tăng tốc các chiến dịch tinh vi với deepfake AI chống lại ngành công nghiệp tiền điện tử

Các hacker liên kết với chế độ Triều Tiên đang triển khai các chiến thuật tấn công mới tinh vi hơn nhằm vào các chuyên gia tiền điện tử bằng các video deepfake được tạo ra bằng trí tuệ nhân tạo. Theo các báo cáo gần đây, các hacker này thành công trong việc lừa đảo mục tiêu của họ bằng cách giả mạo các người thân quen thông qua các cuộc gọi video bị chỉnh sửa kỹ thuật số, buộc họ phải cài đặt phần mềm độc hại vào thiết bị của mình. Hoạt động này đánh dấu một bước leo thang đáng kể trong chiến tranh mạng chống lại cộng đồng tiền điện tử, kết hợp các kỹ thuật xã hội với công nghệ tiên tiến.

Chiêu trò hình ảnh giả mạo: cách các chiến dịch tinh vi này hoạt động

Martin Kuchař, một trong những nhà tổ chức chính của BTC Prague, đã trở thành nạn nhân của phương thức tấn công tinh vi này. Các tin tặc đã thiết lập liên lạc ban đầu qua các tài khoản Telegram bị xâm phạm, sử dụng các cuộc gọi video deepfake để giả mạo các liên hệ quen thuộc. Mánh khóe này tận dụng một lý do phổ biến: thuyết phục nạn nhân cài đặt một “tiện ích âm thanh” để khắc phục các vấn đề kỹ thuật trên các nền tảng như Zoom. Sau khi cài đặt, phần mềm được cho là vô hại này mở ra cánh cửa để kiểm soát hoàn toàn thiết bị bị xâm phạm.

Phương pháp giả mạo danh tính qua video này đã tiến bộ nhờ các tiến bộ trong công nghệ sao chép giọng nói và hình ảnh tổng hợp. Các hacker nghiên cứu kỹ lưỡng mục tiêu của họ trên mạng xã hội và các nền tảng chuyên nghiệp trước khi thực hiện tấn công, chọn các nạn nhân có giá trị cao trong ngành công nghiệp crypto.

Khả năng phá hoại của mã độc được triển khai

Công ty nghiên cứu an ninh Huntress đã phân tích sâu các script độc hại được sử dụng trong các hoạt động này. Các mã này thực hiện các nhiễm trùng đa giai đoạn, đặc biệt thiết kế cho hệ thống macOS, triển khai nhiều chức năng nguy hiểm theo từng bước.

Sau khi xâm nhập vào thiết bị, phần mềm độc hại thiết lập các lối sau để duy trì quyền truy cập liên tục ngay cả khi người dùng phát hiện ra sự nhiễm trùng. Mã này cũng ghi lại từng phím nhấn, thu thập mật khẩu, cụm từ khôi phục và dữ liệu nhạy cảm. Ngoài ra, phần mềm còn truy cập vào nội dung clipboard của thiết bị, trích xuất địa chỉ ví và khóa riêng đã sao chép gần đây. Mục tiêu cuối cùng là xâm phạm các tài sản ví được mã hóa lưu trữ trên máy.

Nhóm Lazarus: tổ chức đứng sau chiến dịch

Các nhà điều tra an ninh đã xác định chính xác các hoạt động này thuộc về nhóm Lazarus, còn gọi là BlueNoroff, một tổ chức hacker được nhà nước Bắc Triều Tiên tài trợ trực tiếp. Nhóm này đã chịu trách nhiệm cho một số cuộc tấn công mạng đáng chú ý nhất vào ngành công nghiệp tiền điện tử trong những năm gần đây, bao gồm các vụ trộm lớn các sàn giao dịch và xâm phạm các giao thức DeFi.

Đội ngũ an ninh của SlowMist, một công ty chuyên về phòng thủ blockchain, đã xác nhận rằng các chiến dịch này thể hiện các mẫu hình nhất quán với các hoạt động trước đó của nhóm Lazarus. Các hacker thể hiện kiến thức sâu rộng về hạ tầng crypto, nhắm mục tiêu đặc biệt vào các chuyên gia kỹ thuật, nhà phát triển và nhà vận hành ví có quyền truy cập vào các tài sản lớn. Sự phối hợp và nguồn lực đằng sau các hoạt động này xác nhận sự tài trợ của nhà nước.

Mối đe dọa ngày càng tăng của deepfake trong xác thực danh tính

Các phân tích an ninh cho thấy một xu hướng đáng lo ngại: công nghệ deepfake và sao chép giọng nói đã đạt đến mức độ tinh vi mà hình ảnh và video không còn có thể coi là bằng chứng đáng tin cậy về tính xác thực. Trong quá khứ, một cuộc gọi video được xem là phương thức tương đối an toàn để xác minh danh tính của một liên hệ. Ngày nay, các hacker này chứng minh rằng một bản sao kỹ thuật số có thể gần như không phân biệt được với bản gốc.

Thay đổi căn bản này trong bối cảnh các mối đe dọa buộc ngành công nghiệp tiền điện tử phải xem xét lại toàn diện các giao thức an ninh của mình. Sự tin tưởng vào hình ảnh đã không còn đủ nữa. Các chuyên gia crypto cần triển khai các xác thực danh tính đa lớp, không dựa hoàn toàn vào xác minh bằng hình ảnh hoặc âm thanh.

Các biện pháp phòng thủ quan trọng cho các chuyên gia crypto

Trước sự tinh vi của các hacker này, cộng đồng cần áp dụng các thực hành an ninh mạnh mẽ hơn. Xác thực đa yếu tố là điều tối quan trọng: bất kỳ giao dịch tài sản nào cũng phải yêu cầu nhiều xác thực độc lập, tốt nhất qua các kênh hoàn toàn riêng biệt.

Nên triển khai các khoá bảo mật phần cứng (như YubiKeys) để truy cập ví và các dịch vụ quan trọng, loại bỏ khả năng bị đánh cắp mật khẩu qua keylogger. Người dùng cần cảnh giác với bất kỳ yêu cầu cài đặt phần mềm nào bất ngờ, ngay cả khi đến từ các liên hệ đáng tin cậy. Việc xác minh các yêu cầu này qua các kênh liên lạc thay thế là điều cần thiết.

Ngoài ra, các chuyên gia crypto nên xem xét sử dụng các thiết bị riêng biệt cho các hoạt động nhạy cảm của ví, giữ các máy này cách ly khỏi các ứng dụng gọi video hoặc mạng xã hội. Ngành công nghiệp cần luôn cảnh giác trước sự tiến hóa của các chiến thuật của hacker, chia sẻ thông tin về các chỉ số xâm phạm và duy trì hệ thống cập nhật các bản vá bảo mật mới nhất.