Vụ tấn công kỳ lạ trên ví Trust làm mất 4 triệu USD

Câu chuyện được kể lại 

Shams là nạn nhân trong câu chuyện này. Cũng là nhà đồng sáng lập dự án Webaverse. 

Câu chuyện là một Hacker có tên là Mr. Safra kết nối với Shams qua email và cuộc gọi video với ý định mong muốn đầu tư vào dự án của web3 của Shams. 

Mr. Safra nói rằng anh ấy đã bị lừa đảo về crypto nhiều rồi nên muốn thu thập ID cho việc KYC. và yêu cầu Shams bay đến Rome, Ý để gặp hắn ta. 

Có vẻ hoài nghi. Nhưng Shams và luật sư của anh ấy vẫn đến gặp Mr. Safra tại Rome. Nơi Shams sẽ chứng minh về "bằng chứng nguồn vốn" (proof-of-funds) của dự án của dự án cho Mr. Safra.

*chứng minh nguồn vốn là việc bạn có thể chứng minh mình là chủ và có thể điều khiển số tiền đó chạy qua ví khác. 

Shams miễn cưỡng chứng minh qua ví Trust. Nhưng Shams tạo một ví Trust mới tại nhà trên điện thoại mà anh ta không sử dụng để tương tác với Mr. Safra. Với suy nghĩ là nếu không có khoá riêng tư hoặc cụm từ hạt giống thì tiền sẽ vẫn an toàn. 

Shams kể lại: Khi chúng tôi gặp nhau, chúng tôi ngồi đối diện với ba người đàn ông này và chuyển 4 triệu USDC vào Ví Trust. Mr. Safra đã yêu cầu xem số dư trên Trust Wallet và lấy điện thoại của anh ấy ra để chụp vài bức ảnh.

Sau đó Mr. Safra bước ra ngoài để hỏi ý kiến với các đồng nghiệp ngân hàng của anh ta. Và rồi anh Mr. Safra đã không bao giờ trở lại. Sau đó, Shams thấy số tiền từ ví Trust bị rút ra. 

Shams đã báo cáo vụ trộm cho đồn cảnh sát địa phương ở Rome và gửi biểu mẫu khiếu nại tội phạm Internet (IC3) cho Cục Điều tra Liên bang Hoa Kỳ vài ngày sau đó. 

Hiện tại công an vẫn chưa đưa ra được kết luận cho vụ án. 

Shams nói rằng hacker không thể nhìn thấy khoá cá nhân của ví. Và anh ta cũng không kết nối với wifi công cộng vào thời điểm đó. 

a crypto scam stole 4m by just taking a photo of a trust wallet screen, with no seed phrases or any private info on sight pic.twitter.com/yOQGbReF1I

— 0xngmi (aggregatoor arc) (@0xngmi) February 6, 2023

Xem chi tiết câu chuyện được kể tại đây. 

Sau khi hack được số USDC trị giá 4 triệu đô la. Hacker sau đó đã được chuyển đổi gần như hoàn toàn thành ETH, WBTC, USDT thông qua sàn Dex 1inch. 

Shams thừa nhận rằng “sự kiện này ám ảnh anh ta cho đến tận ngày nay” và khoản khai thác 4 triệu đô la “chắc chắn là một trở ngại” đối với Webaverse.

Trust Wallet lên tiếng về vụ scam

Sau khi sự việc xảy ra thì đã có thông tin chính thức từ Trust Wallet.

1/ This week, an organised crime unit from Rome stole $4M from one of our users.

It was stated, the thief ‘took a picture’ of the user’s Wallet balance to steal the funds.

We’ve done investigating into the events and believe this is how it happened…🧵👇

— Trust - Crypto Wallet (@TrustWallet) February 8, 2023

Trust Wallet cho rằng đây là một tổ chức tội phạm có trụ sở tại Rome, Ý. Đã thực hiện nhiều cuộc lừa đảo trước đó. 

Bọn chúng thường tự xưng là nhà đầu tư cho các dự án Web3. Hẹn gặp trực tiếp nạn nhân và yêu cầu xem ví nóng của họ. 

Trust Wallet nghi ngờ rằng trước khi hành vi trộm cắp diễn ra. Thì hacker đã gửi tài liệu NDA pdf và thông tin KYC cho bạn nhân trước khi đề xuất hợp tác đầu tư. Trust nghi ngờ rằng trong những file đó có chứa mã độc hại. 

Trust wallet khuyên nạn nhân trình báo với cơ quan chức năng địa phương. Và khẳng định ví Trust rất an toàn vì được các công ty thứ 3 kiểm toán. 

Song Trust Wallet cũng chỉ đưa ra các hướng dẫn sử dụng ví an toàn như không sử dụng wifi lạ, bấm hay tải link lạ. Chứ không có sự hỗ trợ cụ thể cho trường hợp này.