Việc công khai email của OpenSea có thể dẫn đến sự gia tăng các cuộc tấn công lừa đảo có mục tiêu như thế nào

Hơn bảy triệu địa chỉ email từ cơ sở dữ liệu của OpenSea đã bị đánh cắp trực tuyến trong một vụ việc an ninh mạng liên quan đến tiền điện tử. Những địa chỉ này, lần đầu tiên được phơi bày trong một vụ vi phạm xảy ra vào năm 2022 ảnh hưởng đến nhà cung cấp dịch vụ tự động hóa email của OpenSea, Customer.io, hiện đã được biết rộng rãi, khiến khách hàng có nguy cơ cao trở thành nạn nhân của các cuộc tấn công lừa đảo và các hình thức gian lận khác.

Giám đốc An ninh Thông tin (CISO) của SlowMist, với biệt danh "23pds", đã tiết lộ thông tin này, nhấn mạnh những khó khăn liên tục và thay đổi trong việc bảo vệ thông tin cá nhân trực tuyến.

Chuyện gì đã xảy ra vào năm 2022?

Lỗ hổng bảo mật này được OpenSea phát hiện lần đầu tiên vào tháng 6 năm 2022 sau khi họ phát hiện ra một vụ vi phạm nội bộ tại Customer.io. Một thực thể bên ngoài trái phép đã được cung cấp quyền truy cập và danh sách các địa chỉ email của khách hàng OpenSea bởi một nhân viên. Trong một thông báo công khai vào thời điểm đó, OpenSea đã khuyên những người dùng từng cung cấp thông tin liên hệ cho nền tảng này nên giả định rằng địa chỉ email của họ đã bị xâm phạm.

Một trong những thị trường NFT lớn nhất thế giới, OpenSea, đã gặp phải một thất bại nghiêm trọng do sự kiện này. Mức độ xâm phạm vẫn chưa được xác định, mặc dù các cuộc điều tra đã được tiến hành phối hợp với Customer.io và cơ quan thực thi pháp luật. Ngay cả khi tài liệu bị hack ban đầu chỉ được chia sẻ trong các nhóm riêng tư, nó cũng chưa được công khai đến tận bây giờ.

Công bố dữ liệu hoàn chỉnh: Tình hình hiện tại

Cơ sở dữ liệu email bị hack hiện đã được công khai trực tuyến, theo một thông báo gần đây của công ty an ninh blockchain nổi tiếng SlowMist. Theo 23pds, tập dữ liệu này bao gồm hơn bảy triệu địa chỉ email từ nhiều người và tổ chức khác nhau, bao gồm cả các công ty, những người lãnh đạo ý kiến nổi bật và các chuyên gia trong ngành.

Việc phát hiện này đã đáng kể nâng cao mức độ rủi ro. Vụ vi phạm ban đầu chỉ ảnh hưởng đến những người cố ý tìm kiếm dữ liệu, nhưng việc công khai khiến dữ liệu trở nên dễ tiếp cận hơn với các tội phạm trên toàn thế giới. Một tệp có tên "opensea.io_mail_list.rar" chứa các địa chỉ email đã được đề cập được đính kèm trong một tin nhắn Telegram mà SlowMist đã tải lên để minh họa phạm vi phân phối.

Tác động đối với người dùng của OpenSea

Người dùng của OpenSea và cộng đồng tiền điện tử rộng lớn sẽ bị ảnh hưởng đáng kể bởi việc công bố hoàn chỉnh dữ liệu này. Do có sẵn hàng triệu địa chỉ email, các tội phạm mạng có một danh sách lớn các mục tiêu tiềm năng cho các cuộc tấn công lừa đảo. Các kẻ tấn công có thể lừa người dùng tiết lộ các khóa riêng tư hoặc thông tin đăng nhập ví bằng cách tạo ra các email thuyết phục giống như giao dịch chính thức.

Lừa đảo luôn là một trong những chiến lược gây hại nhất được sử dụng bởi những kẻ gian lận trực tuyến. Với 296 vụ việc được ghi nhận, CertiK đã báo cáo thiệt hại hơn 1 tỷ USD từ các sự kiện lừa đảo chỉ trong năm 2024. Do nhiều nạn nhân không tiết lộ những tội phạm như vậy, những con số này có thể không phản ánh đầy đủ phạm vi của vấn đề. Việc bao gồm những người nổi tiếng và các tổ chức trong tập dữ liệu bị xâm phạm làm tăng khả năng các cuộc tấn công có giá trị cao.

Các vấn đề chung hơn với hệ sinh thái tiền điện tử

Sự phụ thuộc vào các nhà cung cấp dịch vụ bên ngoài là một điểm yếu thường xuyên được đề cập đến trong hệ sinh thái tiền điện tử, được làm nổi bật bởi sự kiện này. Cơ sở hạ tầng nền tảng của tiền điện tử và blockchain đã trở nên phức tạp hơn khi các công nghệ này ngày càng phổ biến. Đáng tiếc là, như vụ hack email OpenSea cho thấy, sự gia tăng độ phức tạp đã mang lại những mối đe dọa mới.

Những loại vi phạm dữ liệu như vậy không chỉ làm suy giảm niềm tin của người tiêu dùng mà còn cho thấy các doanh nghiệp trong ngành tiền điện tử cần phải có các quy trình bảo mật mạnh mẽ một cách cấp bách. An ninh mạng hiện là ưu tiên hàng đầu và là một thành phần thiết yếu cho sự thành công và hình ảnh lâu dài của ngành.

Lời khuyên dành cho người dùng: Bảo vệ bản thân khỏi lừa đảo

Trước những sự kiện gần đây nhất, 23pds đã đưa ra một số lời khuyên thiết thực để giúp người dùng giảm các rủi ro liên quan đến dữ liệu bị xâm phạm. Những biện pháp an toàn này rất quan trọng để bảo vệ thông tin cá nhân và giảm nguy cơ trở thành nạn nhân của các kế hoạch lừa đảo.

Một trong những lời khuyên chính là tạo mật khẩu mạnh và duy nhất cho mỗi nền tảng. Trình quản lý mật khẩu có thể là một công cụ hữu ích để lưu trữ và quản lý các thông tin đăng nhập một cách an toàn. Một bước quan trọng khác là bật xác thực hai yếu tố (2FA), tập trung vào việc sử dụng các ứng dụng xác thực thay vì 2FA dựa trên SMS, vì nó dễ bị hack hơn.

Người dùng cần cảnh giác với các email đáng ngờ. Điều này bao gồm tránh tải về các tệp đính kèm hoặc mở các liên kết từ những người gửi không quen biết. Cập nhật phần mềm thường xuyên cũng rất cần thiết vì các hệ thống và ứng dụng lỗi thời thường là nguồn gốc của các lỗ hổng bảo mật.

Bức tranh đe dọa đang thay đổi

Trong một thời gian mà thông tin lan truyền nhanh chóng qua các kênh internet, một sự kiện bắt đầu được kiểm soát có thể nhanh chóng trở nên ngoài tầm kiểm soát. Các chuyên gia an ninh mạng cảnh báo rằng khi thị trường tiền điện tử phát triển, độ phức tạp và phạm vi của các cuộc tấn công nhắm vào người dùng cũng sẽ tăng lên.

Xu hướng này được CertiK báo cáo năm 2024 ủng hộ, cho thấy lừa đảo đã trở thành phương pháp tấn công tốn kém nhất trên thị trường tiền điện tử. Sự kiện OpenSea thêm vào sự phức tạp khi các kẻ tấn công có thể tạo ra các cuộc tấn công nhắm mục tiêu cao với nỗ lực tối thiểu thông qua việc công khai dữ liệu.

Những tác động lâu dài của vụ hack này nhấn mạnh sự cần thiết phải áp dụng một cách tiếp cận chủ động hơn là phản ứng đối với an ninh mạng, mặc dù công ty đã nhanh chóng cảnh báo người dùng bị ảnh hưởng và liên hệ với cơ quan thực thi pháp luật.

Bài viết Làm thế nào mà việc công khai các email của OpenSea có thể dẫn đến sự gia tăng các cuộc tấn công lừa đảo nhắm mục tiêu đã xuất hiện lần đầu trên Metaverse Post.