Theo nhiều nguồn tin, một người dùng tiền điện tử đã mất khoảng 1,08 triệu đô la Mỹ giá trị của Ethereum LBTC được đóng gói trên giao thức Aave (aEthLBTC), một loại tài sản Bitcoin được mã hóa trên giao thức Aave, trong một vụ việc có khả năng là tấn công lừa đảo.
Theo ScamSniffer, người dùng nói trên đã ký một chữ ký "cho phép" độc hại, dẫn đến vụ trộm. Chữ ký đó là một cơ chế phê duyệt ngoài chuỗi, và nó được cho là cho phép chi tiêu token mà không cần kích hoạt giao dịch trên chuỗi ngay lập tức.
ScamSniffer đã chia sẻ ảnh chụp màn hình các giao dịch. Về việc nạn nhân dễ bị tấn công như thế nào, họ tin rằng bọn lừa đảo đã dụ nạn nhân ký vào giấy phép thông qua một trang web lừa đảo hoặc ứng dụng phi tập trung (dApp) giả mạo, cho phép chúng rút hết tiền trong ví.
Vụ lừa đảo diễn ra như thế nào?
Cosine, người sáng lập SlowMist, đã bình luận về vụ việc, chỉ ra rằng nhóm lừa đảo cụ thể đứng sau cuộc tấn công không phải là một trong những nhóm lừa đảo "chính thống", điều này cho thấy sự xuất hiện của các nhóm tấn công độc lập nhỏ hơn, tinh vi hơn.
Họ cũng hành động rất nhanh, nhanh chóng chuyển đổi số tiền sang ETH rồi rửa tiền ngay lập tức thông qua Tornado Cash.
Vụ việc được ScamSniffer nêu bật vào ngày 3 tháng 1 thông qua trang X của họ, không lâu sau khi công bố báo cáo thường niên năm 2025. Trong báo cáo, theo đánh giá của Cryptopolitan, cho thấy tổng thiệt hại do lừa đảo tiền điện tử giảm 83%, từ 494 triệu đô la xuống còn 84 triệu đô la.
Tuy nhiên, bài báo nhấn mạnh rằng những kẻ rút tiền điện tử tinh vi vẫn còn rất nhiều. Chúng dường như chỉ đang nhắm mục tiêu vào những người nắm giữ tài khoản có giá trị cao bằng các cuộc tấn công dựa trên giấy phép, như thường thấy trong thị trường tăng giá.
Các cuộc tấn công dựa trên sự cho phép phụ thuộc vào lòng tin của người dùng vào các yêu cầu chữ ký thông thường, vốn thực sự cho phép chuyển token ngoài chuỗi. Thật không may, đối với các vụ lừa đảo kiểu này, việc khôi phục rất khó xảy ra vì việc rút tiền diễn ra trên chuỗi và các giao dịch không thể đảo ngược.
Thiệt hại do tấn công lừa đảo tiền điện tử giảm, nhưng số vụ tấn công bằng công nghệ "wender" lại tăng.
Mặc dù ScamSniffer đã xác nhận rằng thiệt hại do lừa đảo tiền điện tử giảm vào năm 2025, các chuyên gia bảo mật tiền điện tử cho rằng tần suất của các vụ tấn công được gọi là "tấn công cờ lê 5 đô la" đã tăng lên.
Ari Redbord, người đứng đầu toàn cầu về chính sách và các vấn đề chính phủ tại công ty phân tích tiền điện tử TRM Labs, gọi năm 2025 là năm kỷ lục về các cuộc tấn công bằng vũ khí, với khoảng 60 vụ tấn công vật lý được báo cáo nhằm vào người nắm giữ tiền điện tử, tăng từ 41 vụ vào năm 2024 và 36 vụ vào năm 2021. Tuy nhiên, Redbord tin rằng số vụ tấn công thực tế đã xảy ra còn cao hơn đáng kể.
“Nhiều vụ việc chỉ được ghi nhận là cướp hoặc trộm cắp, bỏ qua yếu tố liên quan đến tiền điện tử, trong khi những vụ khác lại không bao giờ được báo cáo do nạn nhân do dự hoặc không chắc chắn về cách lực lượng thực thi pháp luật sẽ xử lý các tội phạm liên quan đến tiền điện tử”, Redbord khẳng định.
Rủi ro an ninh mạng được gọi là "tấn công bằng cờ lê" bắt nguồn từ ý tưởng rằng ngay cả những hình thức mã hóa và bảo mật dữ liệu tinh vi nhất cũng dễ bị tổn thương trước sự cưỡng chế vật lý — chẳng hạn như bị đe dọa bằng một "chiếc cờ lê 5 đô la".
Những cuộc tấn công này rõ ràng là tồi tệ hơn các cuộc tấn công lừa đảo và tấn công giao thức vì chúng không chỉ gây nguy hiểm cho tài sản mà còn cả tính mạng, làm tăng mức độ nghiêm trọng của việc duy trì an ninh hoạt động (OPSEC) đúng cách, vượt xa các biện pháp quản lý ví điện tử thông thường.
“Cho dù bạn thực hiện bao nhiêu biện pháp phòng ngừa kỹ thuật hay xác thực bằng bao nhiêu yếu tố đi nữa, không ai miễn nhiễm với các phương thức tấn công của con người,” Tor Bair, Giám đốc điều hành của Hybrid Minds Advisory và cựu chủ tịch của Secret Foundation, cho biết.
Mặc dù rất khó để thống kê chính xác số vụ tấn công bằng cờ lê, nhưng dường như có nguy cơ trở thành nạn nhân cao hơn hoặc ít nhất là nhận thức rõ hơn về mối đe dọa này.
Tháng 5 năm ngoái, Bộ trưởng Nội vụ Pháp Bruno Retailleau đã lên tiếng về sự gia tăng các vụ tấn công liên quan đến tiền điện tử trong nước, thời điểm mà Pháp chiếm khoảng một phần ba số vụ tấn công bằng mã độc trong năm 2025, bao gồm cả vụ bắt cóc và tra tấn người đồng sáng lập Ledger, David Balland và vợ ông vào tháng Giêng.
