CrowdStrike và các cơ quan chức năng Hoa Kỳ triệt phá botnet của Nga dùng để đánh cắp tiền điện tử

Traders Union
Tất cả Tin tức
Tiền điện tử
Triệt phá botnet của Nga

Tất cả tin tức

Tin nổi bật

Lựa chọn của Ban Biên tập

Cổ phiếu

Tiền điện tử

Kinh tế

Tiền tệ

Hàng hóa

Kinh doanh & Thịnh vượng

Tiếng nói của thị trường

Hlib Chabaniuk

02.09.2026

CrowdStrike và các cơ quan chức năng Hoa Kỳ triệt phá botnet của Nga dùng để đánh cắp tiền điện tử — Botnet đánh cắp tiền điện tử của Nga bị triệt phá sau 8 năm.

CrowdStrike, phối hợp với cơ quan thực thi pháp luật Hoa Kỳ, đã triệt phá mạng botnet Sality có liên hệ với Nga, vốn đã được sử dụng để đánh cắp tiền điện tử trong suốt tám năm qua. Phần mềm độc hại này theo dõi các địa chỉ ví Bitcoin và Ethereum được sao chép và âm thầm thay thế chúng bằng các địa chỉ do kẻ tấn công kiểm soát.

Bài viết này đã được dịch từ bản gốc. Đọc phiên bản gốc của phóng viên chúng tôi tại đây.

Theo một thông cáo báo chí, Sality đã tồn tại từ năm 2003, nhưng sau đó các đối tượng vận hành đã bổ sung một thành phần nhằm chặn các giao dịch chuyển tiền điện tử. CrowdStrike gọi phần này của phần mềm độc hại là EggJagger.

Cuộc tấn công đã lợi dụng thói quen phổ biến của người dùng tiền điện tử là sao chép các địa chỉ ví dài thay vì nhập thủ công. Khi máy tính bị nhiễm, phần mềm độc hại liên tục giám sát clipboard để phát hiện các chuỗi ký tự giống địa chỉ ví tiền điện tử.

Phần mềm độc hại đánh cắp tiền điện tử qua clipboard

Khi người dùng sao chép một địa chỉ để gửi Bitcoin hoặc Ethereum, EggJagger sẽ thay thế nó bằng một địa chỉ do kẻ tấn công kiểm soát. Nếu nạn nhân không kiểm tra lại địa chỉ sau khi dán và xác nhận giao dịch, tiền điện tử sẽ được gửi đến kẻ tấn công mà không thể đảo ngược.

Theo CrowdStrike, các đối tượng vận hành đã nhận được ít nhất 12,1 triệu rúp, tương đương khoảng 150.000 USD vào thời điểm chuyển tiền, trong suốt tám năm. Phần lớn số tiền điện tử bị đánh cắp vẫn chưa bị động đến, và giá trị của nó đã tăng lên khoảng 1,35 triệu USD vào đầu năm 2025 khi thị trường tiền điện tử tăng trưởng.

Số tiền này tương đối nhỏ đối với một chiến dịch mạng kéo dài nhiều năm, nhưng phương thức này không đòi hỏi phải tấn công phức tạp vào blockchain hoặc ví tiền điện tử. Chỉ cần máy tính bị nhiễm và người dùng không kiểm tra lại địa chỉ người nhận là đủ để đánh cắp tiền.

Người dùng được khuyến nghị nên kiểm tra ít nhất ký tự đầu và cuối của địa chỉ ví sau khi dán trước khi xác nhận mỗi giao dịch. Điều này có thể giúp phát hiện việc thay thế địa chỉ trước khi giao dịch tiền điện tử không thể đảo ngược được phê duyệt.

Hơn 15.000 máy tính bị nhiễm đã được cô lập

Không thể tháo dỡ Sality chỉ bằng cách tắt máy chủ điều khiển trung tâm.

Botnet này sử dụng kiến trúc ngang hàng (peer-to-peer), các máy tính bị nhiễm liên lạc trực tiếp với nhau và kiểm tra khoảng mỗi 40 phút để xem các nút ngang hàng đã biết còn hoạt động không.

Sality cũng không có cơ chế xác thực bổ sung cho các nút kết nối vào mạng. CrowdStrike đã khai thác điểm yếu này bằng cách thay thế địa chỉ của các nút botnet thật bằng địa chỉ do máy chủ của họ kiểm soát, cô lập hơn 15.000 thiết bị bị nhiễm khỏi mạng.

Chiến dịch này được thực hiện trong một buổi trình diễn tại hội nghị Day Zero của CrowdStrike ở Las Vegas với sự tham gia của cơ quan thực thi pháp luật liên bang. Bộ Tư pháp Hoa Kỳ cho biết các đối tượng vận hành Sality có liên hệ với Nga.

Sự việc diễn ra trong bối cảnh hàng loạt vụ tấn công lớn vào hạ tầng tiền điện tử. Trước đó, blockchain Cronos, liên kết chặt chẽ với Crypto.com, đã bị dừng hoàn toàn sau khi giao thức cho vay lớn nhất hệ sinh thái này là Tectonic bị khai thác, với thiệt hại sơ bộ ước tính khoảng 75 triệu USD.

Cronos hoạt động từ năm 2021 và được sử dụng để cung cấp các giao dịch chi phí thấp hơn cho các sản phẩm của Crypto.com, trong khi CRO vẫn là một trong những tài sản chủ chốt của hệ sinh thái. Vụ tấn công Tectonic đã làm nổi bật một nguồn rủi ro khác đối với nhà đầu tư tài sản số — các lỗ hổng ngay trong hạ tầng giao thức DeFi.

Trước đó, chúng tôi đã đưa tin các ví liên quan đến nhóm Lazarus của Triều Tiên đã chuyển khoảng 30 triệu USD tài sản số qua Hyperliquid. Các giao dịch này được các nhà phân tích tại nền tảng phân tích blockchain Arkham phát hiện.

Tài liệu này có thể chứa ý kiến của bên thứ ba, không có dữ liệu và thông tin nào trên trang web này cấu thành lời khuyên đầu tư theo Tuyên bố miễn trừ trách nhiệm của chúng tôi. Mặc dù chúng tôi tuân thủ nghiêm ngặt Tính toàn vẹn biên tập, bài viết này có thể chứa tham chiếu đến các sản phẩm từ các đối tác của chúng tôi.

Bạn có thích bài viết không?