Xung đột Israel - Iran bùng nổ trên không gian mạng: Ngân hàng, sàn tiền mã hóa hứng đòn

Theo Bloomberg, ngày 17.6, một nhóm tin tặc tự xưng ủng hộ Israel đã nhận trách nhiệm về một cuộc tấn công mạng làm gián đoạn hoạt động của một trong những ngân hàng lớn nhất Iran.

Cùng ngày, IRIB News - cơ quan truyền thông nhà nước Iran - cáo buộc Israel tiến hành “chiến dịch tấn công mạng quy mô lớn” nhằm vào các hạ tầng trọng yếu. Đến ngày 18.6, nhóm này tiếp tục thông báo đã tấn công thành công vào một sàn giao dịch tiền mã hóa đặt tại Tehran.

Hãng thông tấn Fars thuộc Quân đoàn vệ binh cách mạng Hồi giáo Iran cho biết trong 3 ngày liên tiếp, nước này đã phải đối mặt với hơn 6.700 cuộc tấn công từ chối dịch vụ phân tán (DDoS). Để giảm thiểu tác động, chính phủ đã hạn chế tạm thời truy cập internet và siết chặt băng thông quốc tế. Các cuộc tấn công này thường khiến hệ thống máy chủ quá tải, gián đoạn truy cập vào các dịch vụ trực tuyến.

Tối 17.6, nhiều người dùng tại Iran gặp tình trạng mất kết nối VPN, gián đoạn truy cập internet và sự cố với cây ATM cũng như ngân hàng điện tử. Hiện vẫn chưa rõ các trục trặc này là hậu quả trực tiếp của tấn công mạng hay từ các biện pháp giới hạn truy cập do chính quyền chủ động áp dụng.

Nhóm tin tặc Predatory Sparrow (tên Iran là Gonjeshke Darande, có nghĩa “chim sẻ săn mồi”) xác nhận đã thực hiện cuộc tấn công vào Ngân hàng Sepah - tổ chức tài chính lớn gắn liền với lĩnh vực quốc phòng của Iran với mục tiêu phá hủy dữ liệu và ngăn chặn các hoạt động bị cáo buộc liên quan đến việc né tránh lệnh trừng phạt quốc tế. Ngân hàng này chưa đưa ra phản hồi.

Sang 18.6, nhóm này tiếp tục nhận trách nhiệm về vụ xâm nhập vào sàn tiền mã hóa Nobitex. Nhóm tuyên bố có thể công bố toàn bộ mã nguồn và dữ liệu nội bộ trong vòng 24 giờ, đồng thời cảnh báo nguy cơ mất an toàn tài sản của người dùng trên nền tảng này.

Predatory Sparrow được biết đến từ năm 2021, từng đứng sau loạt vụ tấn công gây chấn động như phá hoại hệ thống dữ liệu đường sắt quốc gia Iran, tấn công vào Bộ Đường bộ và phát triển đô thị bằng phần mềm xóa file, làm gián đoạn hoạt động tại nhà máy thép Khouzestan và thậm chí công bố thông tin được cho là của lãnh tụ tối cao Iran. Nhóm này nổi tiếng với việc xóa sạch dấu vết kỹ thuật, gây khó khăn cho việc điều tra. Giới phân tích nhận định nhóm sử dụng mạng xã hội không chỉ để công bố kết quả mà còn nhằm tạo sức ép tâm lý, khuếch đại tác động từ các cuộc tấn công.

Tại phía bị tấn công, sàn Nobitex xác nhận qua mạng xã hội X rằng một phần ví nóng và hệ thống liên lạc nội bộ đã bị xâm nhập. Theo chuyên gia blockchain ZachXBT, chuỗi giao dịch cho thấy hơn 81 triệu USD đã bị chuyển ra khỏi sàn qua nhiều giao dịch bất thường. Nobitex cam kết người dùng sẽ được hoàn tiền đầy đủ và khẳng định số dư không bị thất thoát.

Cointelegraph cho biết phần lớn tài sản bị đánh cắp đã được chuyển tới ví trên blockchain Tron (TRX) nhằm che giấu dấu vết. Theo ông Hakan Unal, giám đốc bảo mật của công ty bảo mật blockchain Cyvers, vụ việc dường như bắt nguồn từ lỗi kiểm soát quyền truy cập, cho phép tin tặc xâm nhập hệ thống và thao túng nhiều ví nóng cùng lúc.

Đáng chú ý, Nobitex không phải cái tên xa lạ trong danh sách các nền tảng gặp vấn đề an ninh. Tháng 11.2023, Cyvers từng phát hiện sàn này bị rút khoảng 6 triệu USD từ hai ví nóng. Ngoài ra, Nobitex bị liệt vào danh sách "sàn rủi ro cao" do liên quan đến giao dịch trị giá 8 tỉ USD thông qua sàn Binance, bất chấp lệnh trừng phạt của Mỹ đối với Iran.

Nobitex hiện là sàn giao dịch tiền mã hóa lớn nhất tại Iran, hỗ trợ nhiều loại tài sản kỹ thuật số phổ biến như Bitcoin, Ethereum, Ripple, Litecoin và USDT với đồng rial (của Iran). Tuy nhiên, do Iran chịu lệnh cấm vận quốc tế, các sàn như Nobitex thường là đối tượng bị giám sát chặt chẽ vì nghi ngờ có liên hệ đến tài trợ khủng bố hoặc hoạt động phi pháp.

Vụ việc này nối dài danh sách các cuộc tấn công mạng nhằm vào ngành tài chính kỹ thuật số trong năm 2025. Theo dữ liệu từ nền tảng bảo mật blockchain CertiK, từ đầu năm đến nay đã có hơn 2,1 tỉ USD tài sản mã hóa bị đánh cắp. Đồng sáng lập CertiK, ông Ronghui Gu, nhận định rằng phần lớn thiệt hại đến từ việc bảo vệ ví nóng kém, lỗ hổng trong quản trị nội bộ và các trục trặc trong quy trình vận hành.

Ông cũng cảnh báo xu hướng tấn công mới thông qua “kỹ thuật xã hội” như chiêu trò đầu độc địa chỉ (address poisoning), lợi dụng yếu tố tâm lý để đánh cắp tài sản mà không cần can thiệp vào hệ thống kỹ thuật. Những phương thức này được đánh giá là ngày càng phổ biến và khó phát hiện hơn so với các cuộc tấn công ở cấp độ giao thức.