Cách các Điều Tra Viên Trên Chuỗi Phát Hiện Một Băng Đảng Lừa Đảo Giả Danh $2M Coinbase

Trong một kế hoạch tinh vi nhằm làm nổi bật các lỗ hổng trong an ninh nền tảng tiền điện tử, một kẻ lừa đảo người Canada đã thành công trong việc lừa đảo hơn 2 triệu đô la từ người dùng Coinbase. Hoạt động từ Abbotsford gần Vancouver, kẻ tấn công—được biết đến trực tuyến với tên “Haby” hoặc “Harvard”—đã giả danh nhân viên hỗ trợ chính thức của Coinbase để truy cập trái phép vào các tài khoản nạn nhân. Thông qua các cuộc tấn công lừa đảo có tổ chức và các chiến thuật xã hội, hắn đã hệ thống hóa việc xâm phạm thông tin đăng nhập của người dùng và rút sạch các khoản tiền điện tử.

Dấu vết kỹ thuật số dẫn đến Haby

Quá trình vạch trần hoạt động tội phạm này bắt đầu từ công việc điều tra kỹ lưỡng trên chuỗi của ZachXBT, một nhà phân tích blockchain nổi tiếng chuyên theo dõi các dòng tiền bất hợp pháp. Bước đột phá xảy ra khi kẻ lừa đảo mắc lỗi nghiêm trọng: khoe khoang về hoạt động của mình trên mạng xã hội. Trong một bài đăng cuối tháng 12 năm 2024, Haby công khai đề cập việc đã trộm 44.000 đô la XRP từ một trong các nạn nhân của mình.

Tuyên bố công khai này đã cung cấp đầu mối để các nhà điều tra bắt đầu truy tìm. Bằng cách đối chiếu địa chỉ ví đích với dữ liệu giao dịch lịch sử, ZachXBT đã kết nối một cách hệ thống các báo cáo của nạn nhân với cùng một thủ phạm. Phân tích cho thấy Haby đã nhắm vào nhiều chủ tài khoản Coinbase, với mỗi vụ việc theo một mô hình tương tự. Như ZachXBT đã ghi trong tóm tắt điều tra, “Bằng chứng rộng rãi trong vụ án này khiến việc truy tố trở nên dễ dàng hơn nhiều cho lực lượng thực thi pháp luật,” cho thấy các dấu vết kỹ thuật số để lại đủ để hỗ trợ việc truy tố.

Từ manh mối trên mạng xã hội đến vị trí thực tế

Điều làm cho vụ án này đặc biệt rõ ràng là mức độ chia sẻ thông tin cá nhân của Haby một cách bất cẩn trên các nền tảng khác nhau. Các tài khoản Telegram và Instagram của hắn chứa các ảnh chụp màn hình số dư ví, các đăng ký tên người dùng bất thường, và các mẫu tiêu dùng sinh hoạt dường như không phù hợp với nguồn thu nhập hợp pháp. Những dấu vết kỹ thuật số này vẽ nên chân dung của một người đang tận hưởng sự giàu có đột ngột, không rõ nguyên nhân.

Các nhà điều tra đã ghép các manh mối từ mạng xã hội này cùng với dữ liệu địa lý để thu hẹp vị trí thực tế của hắn về Abbotsford, British Columbia. Sự kết hợp giữa các bài đăng công khai, thời gian giao dịch, và nhật ký hoạt động trên nền tảng đã tạo ra một hồ sơ địa lý khó bị che giấu. Những người dùng Coinbase bị ảnh hưởng bởi vụ lừa đảo này thuộc một nhóm mục tiêu cụ thể, cho thấy kẻ tấn công đã nghiên cứu và ưu tiên các tài khoản có giá trị cao trước khi bắt đầu hoạt động của mình.

Cách các khoản tiền bị đánh cắp được rửa qua tiền điện tử

Phân tích kỹ thuật về chuyển động quỹ cho thấy một quy trình rửa tiền tinh vi. Các token XRP bị đánh cắp nhanh chóng được chuyển đổi thành Bitcoin qua các dịch vụ trao đổi tức thì, một thủ thuật phổ biến để che giấu nguồn gốc tội phạm của quỹ. Từ đó, Bitcoin bị phân mảnh qua nhiều địa chỉ ví khác nhau, làm cho việc theo dõi truyền thống trở nên khó khăn hơn nhiều.

Điều gây thiệt hại đặc biệt là một phần số tiền bị đánh cắp này sau đó chảy vào các nền tảng cá cược trực tuyến—một mô hình hành vi vô tình để lại thêm bằng chứng pháp y. Mỗi giao dịch, dấu thời gian, và ví trung gian đều là các điểm dữ liệu trong cuộc điều tra. Phân tích trên chuỗi đã vẽ nên một bức tranh rõ ràng: nhắm mục tiêu có hệ thống vào người dùng Coinbase, chuyển đổi quỹ nhanh chóng, rửa tiền, và các mẫu sử dụng cuối cùng đáng ngờ đều chỉ ra cùng một thủ phạm tội phạm.

Các mối đe dọa an ninh ngày càng tăng: Cuộc chiến của Coinbase chống lại việc chiếm đoạt tài khoản

Hoạt động lừa đảo trị giá 2 triệu đô la của Haby chỉ là một trong số các biểu hiện của cuộc khủng hoảng rộng lớn ảnh hưởng đến Coinbase và các nền tảng tương tự. Sàn giao dịch đã phải đối mặt với các vụ lừa đảo giả mạo gia tăng trong suốt năm 2025 và sang năm 2026. Một nguyên nhân chính là vụ rò rỉ dữ liệu nội bộ năm 2025, làm lộ thông tin nhạy cảm của khoảng 70.000 khách hàng có giá trị cao, bao gồm tên, địa chỉ email và số điện thoại—đúng chính xác dữ liệu cần thiết để thực hiện các chiến dịch lừa đảo qua email.

Đáp lại sự cố an ninh này, Coinbase đã phản ứng mạnh mẽ. Nền tảng này công bố quỹ thưởng trị giá 20 triệu đô la và cam kết hoàn trả tất cả các nạn nhân đã xác nhận. Sau đó cùng năm, lực lượng thực thi pháp luật đã bắt giữ thành công Ronald Spektor, người đã tổ chức các vụ chiếm đoạt tài khoản tương tự nhắm vào 100 người dùng Coinbase và trộm 16 triệu đô la. Spektor đã sử dụng cùng một chiến thuật: lợi dụng dữ liệu khách hàng bị đánh cắp để giả danh nhân viên hỗ trợ của Coinbase và thuyết phục các nạn nhân cấp quyền chuyển tiền trái phép.

Các băng nhóm lừa đảo phối hợp này cho thấy rằng mối đe dọa đối với người dùng Coinbase vẫn tiếp tục phát triển. Trong khi các sàn giao dịch củng cố các biện pháp phòng thủ kỹ thuật, yếu tố con người—lừa đảo qua email, chiến thuật xã hội, và giả danh—vẫn là các phương thức tấn công chính. Cả khách hàng và nền tảng đều cần áp dụng các phương pháp bảo mật đa lớp, bao gồm sử dụng ví phần cứng, các phương pháp xác thực nâng cao, và tăng cường hoài nghi đối với bất kỳ liên hệ không mong muốn nào tự xưng là đại diện chính thức của dịch vụ hỗ trợ.