Chiêu trò lừa đảo NFT "sleepdrop" rút cạn 11,5 triệu USD từ người dùng Ethereum

Một báo cáo nghiên cứu của các chuyên gia bảo mật web3 Forta Network và Blockfence chi tiết cách một chiến dịch lừa đảo nhắm vào người dùng Ethereum được gọi là "sleepdropping" đã dẫn đến thiệt hại tổng cộng 11,5 triệu đô la kể từ khi nó được phát hiện lần đầu tiên vào tháng 12 năm 2022.

Vụ lừa đảo hoạt động bằng cách phát hành các token ERC-1155 dường như xác thực, thường là NFT, cho người dùng không hề biết. Chiêu thức này nhử người dùng truy cập vào các trang web lừa đảo nơi họ bị lừa ký vào các giao dịch, vô tình chuyển tài sản của họ vào tay kẻ lừa đảo. Thủ phạm đứng sau chiến dịch vẫn chưa được xác định.

Theo Forta Network và Blockfence, hơn nửa triệu địa chỉ đã nhận được các lô tiền thưởng được quảng cáo sai lệch này. Hiện tại, hơn 20.000 người dùng đã được xác nhận là nạn nhân.

Trong một trường hợp được ghi nhận, người dùng nhận được một token NFT Lido giả mạo, giới thiệu là một "huy hiệu" để nhận tiền thưởng.

Chỉ riêng NFT không làm tổn hại đến ví của người dùng. Tuy nhiên, nếu người dùng coi tiền thưởng là hợp pháp, sự tò mò của họ có thể dẫn đến tương tác với token, có khả năng nhận các token độc hại trên một trang web lừa đảo.

Lô phát hành dường như bắt nguồn từ một hợp đồng thông minh xác thực đã phát hành tiền thưởng cho những người staking Lido sớm vào năm 2021. Các khía cạnh kỹ thuật phức tạp của các hợp đồng token ERC cho phép nó bị thao túng, ngay cả khi chân thực. Forta cho biết trong báo cáo:

"Một người dùng kinh nghiệm có thể xem xét kỹ hơn giao dịch và thấy rằng token đang được chuyển từ tài khoản hợp pháp Lido: Early Stakers Airdrop. Đây là sự lừa dối mà kẻ lừa đảo thực hiện bằng cách lợi dụng việc triển khai các hợp đồng token ERC."

Nghiên cứu của Forta và Blockfence xác định hơn 100 hợp đồng thông minh riêng biệt liên quan đến chiến dịch lừa đảo có các mẫu triển khai tương tự. Nghiên cứu cũng vạch ra ba giai đoạn chính của vụ lừa đảo: các hoạt động phát hành tiền thưởng lừa đảo gửi NFT có vẻ đến từ các nguồn đáng tin cậy, các trang web được thiết kế để đánh lừa người dùng, và các hợp đồng độc hại cuối cùng lừa người dùng chuyển tiền của họ khi họ cố gắng "nhận" các khoản tiền thưởng.