Giám đốc An ninh Thông tin SlowMist 23pds báo cáo rằng biến thể Trojan AMOS 'Odyssey' đang đánh cắp thông tin ví tiền điện tử thông qua các quảng cáo công cụ AI giả mạo, làm nổi bật các rủi ro bảo mật đáng kể.

Tóm tắt điều hành

Vào ngày 18 tháng 9, Giám đốc An ninh Thông tin SlowMist 23pds tiết lộ rằng Odyssey, một biến thể của Trojan đánh cắp thông tin AMOS, đang tích cực nhắm mục tiêu vào người dùng tiền điện tử. Phần mềm độc hại này lây lan qua các quảng cáo công cụ trí tuệ nhân tạo (AI) giả mạo trên các nền tảng như Twitter, lừa các cá nhân tải xuống phần mềm độc hại được ngụy trang dưới dạng các ứng dụng khách AI hợp pháp. Sau khi được cài đặt, Odyssey được thiết kế để đánh cắp dữ liệu nhạy cảm, bao gồm thông tin ví tiền điện tử, chi tiết hệ thống và dữ liệu trình duyệt.

Chi tiết sự kiện

Odyssey là một phần mềm độc hại tinh vi sử dụng AppleScript làm tải trọng chính để thực hiện việc đánh cắp dữ liệu. Vector tấn công dựa vào kỹ thuật xã hội, tận dụng sự phổ biến của các công cụ AI để phân phối phần mềm độc hại. Người dùng gặp phải các quảng cáo lừa đảo này sẽ được nhắc tải xuống cái có vẻ là phần mềm máy khách AI hợp pháp. Tuy nhiên, ứng dụng đã tải xuống là độc hại, được thiết kế đặc biệt để đánh cắp thông tin nhạy cảm. Điều này bao gồm khóa riêng tư và cụm từ hạt giống từ các ví tiền điện tử dựa trên trình duyệt như MetaMask, Trust Wallet, Phantom, Exodus, Coinbase Wallet và Ledger Live, cũng như dữ liệu hệ thống và trình duyệt chung. Các phiên bản trước của phần mềm độc hại AMOS, bao gồm cả những phiên bản mạo danh ứng dụng Ledger, đã chứng minh khả năng vượt qua các biện pháp bảo mật như Gatekeeper của Apple bằng cách sử dụng các tệp lừa đảo và giao diện lừa đảo để đánh cắp cụm từ hạt giống 24 từ.

Hàm ý thị trường

Sự xuất hiện của biến thể Odyssey nhấn mạnh một bối cảnh mối đe dọa quan trọng và đang phát triển trong lĩnh vực tiền điện tử. Loại xâm phạm ví trực tiếp này góp phần đáng kể vào việc gia tăng các khoản lỗ tài chính được báo cáo trên toàn bộ hệ sinh thái tài sản kỹ thuật số. Dữ liệu từ CertiK cho thấy khoảng 2,47 tỷ đô la tiền điện tử đã bị đánh cắp trong nửa đầu năm 2025, vượt qua tổng số tiền lỗ cho cả năm 2024. Việc xâm phạm ví được xác định là vector tấn công tốn kém nhất, chiếm 1,7 tỷ đô la trong 34 sự cố trong H1 2025, phần lớn được thúc đẩy bởi một vài sự kiện có tác động lớn. Sự phổ biến liên tục của các Trojan tinh vi như Odyssey, đặc biệt nhắm mục tiêu vào thông tin đăng nhập ví, trực tiếp làm trầm trọng thêm xu hướng này, làm xói mòn lòng tin của người dùng và đặt ra rủi ro hệ thống đối với an ninh tài sản cá nhân.

Bình luận chuyên gia

CISO SlowMist 23pds đã cảnh báo rõ ràng người dùng phải cảnh giác với các mối đe dọa này. Các chuyên gia bảo mật khuyên nên hết sức thận trọng, thúc giục các cá nhân tránh tải xuống bất kỳ công cụ AI hoặc phần mềm liên quan đến tiền điện tử nào từ các kênh không chính thức. Các kiểm tra bảo mật thường xuyên trên thiết bị được khuyến nghị. Sự đồng thuận rộng rãi hơn của các chuyên gia, như được CISO SlowMist Shan Zhang nhấn mạnh về các phần mềm độc hại khác như ModStealer, nhấn mạnh mối đe dọa nghiêm trọng do những kẻ đánh cắp dữ liệu đa nền tảng và lén lút gây ra cho hệ sinh thái tài sản kỹ thuật số. Các khuyến nghị bảo mật chung bao gồm chỉ tải xuống tiện ích mở rộng ví từ các cửa hàng chính thức, xác minh nhà xuất bản phần mềm trước khi cài đặt và bật xác thực đa yếu tố (MFA) bất cứ khi nào có thể.

Bối cảnh rộng hơn và chiến lược kinh doanh

Phương pháp tấn công được biến thể Odyssey sử dụng phản ánh chiến lược của kẻ tấn công tận dụng các xu hướng công nghệ phổ biến, chẳng hạn như AI, để tạo ra các mồi nhử đáng tin cậy. Cách tiếp cận này phản ánh các chiến thuật tội phạm mạng đang phát triển khác, bao gồm cả những chiến thuật được các nhóm như GreedyBear sử dụng, nhóm này tận dụng mã do AI tạo ra và kỹ thuật "extension hollowing"—nơi các tiện ích mở rộng hợp pháp sau đó được cập nhật bằng mã độc hại—để nhắm mục tiêu vào các ví có lưu lượng truy cập cao. Cơ chế tài chính của các cuộc tấn công này liên quan đến việc đánh cắp trực tiếp dữ liệu ví nhạy cảm, chẳng hạn như cụm từ hạt giống và khóa riêng tư, điều này trực tiếp cho phép kẻ tấn công rút sạch số tiền điện tử bị xâm phạm. Mối đe dọa đang diễn ra này nhấn mạnh nhu cầu cấp thiết về các thực hành bảo mật đa lớp, mạnh mẽ trên toàn bộ hệ sinh thái Web3, bao gồm không chỉ sự cảnh giác của người dùng cá nhân mà còn cả việc kiểm tra mã liên tục, giám sát thời gian thực và phản ứng sự cố chủ động của các nền tảng và nhà phát triển. Con số tài sản bị đánh cắp cao do các sự cố xâm phạm ví cho thấy kẻ tấn công ngày càng tập trung vào mắt xích yếu nhất: điểm cuối của người dùng và cách họ xử lý thông tin đăng nhập nhạy cảm.