Lừa đảo ví DeFi

Lừa đảo ví DeFi là gì?

Lừa đảo ví DeFi là các thủ đoạn gian lận nhằm lừa người dùng tiền mã hóa tiết lộ thông tin bí mật của ví, ký thông điệp độc hại, phê duyệt hợp đồng thông minh nguy hiểm hoặc chuyển tài sản cho kẻ tấn công.

Các vụ lừa đảo này nhắm đến người dùng ví tự lưu ký để tương tác với ứng dụng tài chính phi tập trung, token, pool thanh khoản, giao thức cho vay, hệ thống staking, bridge và các dịch vụ blockchain khác.

Kẻ lừa đảo không phải lúc nào cũng cần cụm từ khôi phục của nạn nhân để đánh cắp tiền mã hóa.

Quyền phê duyệt token độc hại, chữ ký permit, quyền ủy quyền tài khoản hoặc giao dịch blockchain thông thường cũng có thể đủ để chuyển tài sản có giá trị.

Một số vụ lừa đảo ví DeFi sử dụng website, ứng dụng, tiện ích mở rộng trình duyệt, tài khoản hỗ trợ khách hàng, airdrop, quảng cáo, bài đăng mạng xã hội hoặc tin nhắn trực tiếp giả mạo.

Các thủ đoạn khác sử dụng phần mềm độc hại, website bị xâm nhập, hợp đồng thông minh đánh lừa người dùng, đầu độc địa chỉ hoặc giao diện giao dịch bị thao túng.

Hướng dẫn bảo mật và phòng tránh lừa đảo của Ethereum cảnh báo người dùng về phishing, quà tặng giả, giả mạo danh tính, yêu cầu độc hại từ ví và các mối đe dọa tiền mã hóa phổ biến khác.

Lừa đảo ví DeFi đặc biệt nguy hiểm vì người dùng thông thường thường khó hoặc không thể đảo ngược các giao dịch blockchain đã được xác nhận.

Tự lưu ký giúp chủ ví trực tiếp kiểm soát tài sản, nhưng cũng khiến họ phải tự chịu trách nhiệm bảo vệ khóa và xem xét giao dịch.

Ví DeFi hoạt động như thế nào?

Ví DeFi lưu trữ hoặc quản lý các khóa mật mã dùng để cho phép thực hiện hoạt động từ một tài khoản blockchain.

Thông thường, tiền mã hóa vẫn được ghi nhận trên blockchain chứ không nằm bên trong ứng dụng ví.

Ví sử dụng khóa riêng tư của người dùng để tạo chữ ký số.

Chữ ký hợp lệ có thể cho phép chuyển tài sản, tương tác với hợp đồng thông minh, phê duyệt token, bỏ phiếu quản trị, đặt lệnh, ủy quyền tài khoản hoặc thực hiện hành động khác.

Người dùng có thể chia sẻ địa chỉ ví công khai để người khác và ứng dụng biết nơi gửi tài sản.

Khóa riêng tư và cụm từ khôi phục phải được giữ bí mật vì mỗi thông tin đều có thể cho phép kiểm soát tài khoản.

Ứng dụng ví có thể hiển thị giao dịch dự kiến, nhưng blockchain sẽ thực thi chỉ thị được mã hóa mà người dùng thực sự ký.

Giao diện đánh lừa người dùng có thể mô tả thao tác là đăng nhập hoặc xác minh, trong khi yêu cầu được mã hóa lại cấp các quyền quan trọng.

Vì sao người dùng ví DeFi bị nhắm đến?

Ví DeFi có thể nắm giữ tiền mã hóa, tài sản có giá trị ổn định, vị thế thanh khoản, token staking, quyền quản trị và vật phẩm sưu tầm kỹ thuật số trong cùng một tài khoản.

Do đó, nếu ví bị xâm phạm, kẻ tấn công có thể cùng lúc tiếp cận nhiều loại tài sản có giá trị.

Địa chỉ blockchain được công khai, cho phép tội phạm xác định các tài khoản có số dư lớn.

Người dùng DeFi cũng thường xuyên tương tác với website và hợp đồng thông minh chưa quen thuộc, tạo cơ hội cho các yêu cầu ký giả mạo.

Các giao thức mới có thể yêu cầu phê duyệt token và giao dịch phức tạp mà người mới khó hiểu.

Kẻ lừa đảo khai thác sự khẩn cấp, lòng tham, nỗi sợ, sự tò mò và bối rối thay vì trực tiếp phá vỡ mật mã blockchain.

Nạn nhân có thể cho rằng mọi yêu cầu hiển thị trong ví đều an toàn chỉ vì ứng dụng ví đã hiển thị chúng.

Ví xác nhận hành động mà người dùng cho phép, nhưng không phải lúc nào cũng xác định được quyết định đó có hợp lý hay website có trung thực hay không.

Phishing cụm từ khôi phục

Chiêu phishing cụm từ khôi phục yêu cầu nạn nhân nhập cụm từ khôi phục ví vào website, ứng dụng, biểu mẫu hoặc cuộc trò chuyện hỗ trợ giả mạo.

Cụm từ khôi phục thường có thể tạo lại mọi tài khoản được dẫn xuất từ ví đó.

Kẻ lừa đảo nhận được cụm từ này có thể nhập ví và chuyển tài sản mà không cần thêm sự cho phép.

Những lý do thường được viện dẫn gồm xác thực ví, đồng bộ hóa, di chuyển, kiểm tra bảo mật, điều kiện nhận airdrop, xác minh danh tính và sửa giao dịch.

Ứng dụng phi tập trung hợp pháp không cần cụm từ khôi phục để kết nối với ví.

Chỉ nhập thông tin khôi phục vào quy trình khôi phục ví đáng tin cậy do chính chủ ví chủ động bắt đầu.

Không nhập thông tin này qua liên kết do người lạ, quảng cáo, tin nhắn trực tiếp, email hoặc tài khoản hỗ trợ gửi đến.

Đánh cắp khóa riêng tư

Khóa riêng tư trực tiếp kiểm soát một tài khoản blockchain hoặc một nhóm chức năng liên quan của tài khoản.

Nhân viên hỗ trợ giả mạo có thể yêu cầu người dùng xuất khóa để chẩn đoán giao dịch thất bại.

Phần mềm độc hại có thể tìm kiếm khóa bị lộ trong bộ nhớ trình duyệt, ảnh chụp màn hình, dữ liệu clipboard, tệp văn bản và bản sao lưu đám mây.

Không bao giờ dán khóa riêng tư vào website chỉ để nhận token hoặc sửa ví.

Thông thường, bất kỳ ai có khóa đều có thể ký giao dịch với tư cách chủ tài khoản.

Đổi mật khẩu ví không làm mất hiệu lực khóa riêng tư blockchain đã bị lộ.

Thay vào đó, cần chuyển số tài sản còn lại sang ví mới được tạo từ khóa chưa bị xâm phạm.

Website DeFi giả mạo

Website DeFi giả mạo sao chép tên, thiết kế, ký hiệu token và giao diện của ứng dụng hợp pháp.

Tên miền có thể chứa thêm một chữ cái, ký tự bị thay thế, tên miền phụ gây hiểu nhầm hoặc phần đuôi tên miền khác.

Website có thể xuất hiện qua quảng cáo tìm kiếm, phản hồi trên mạng xã hội, bài đăng được tài trợ, tài khoản bị xâm nhập hoặc tin nhắn nói rằng cần di chuyển khẩn cấp.

Việc kết nối ví không phải lúc nào cũng chuyển tài sản, nhưng website có thể lập tức yêu cầu chữ ký hoặc phê duyệt độc hại.

Người dùng nên truy cập ứng dụng qua dấu trang đã xác minh hoặc liên kết được xác nhận trong tài liệu chính thức.

Hãy kiểm tra toàn bộ tên miền, không chỉ thiết kế trang hoặc logo.

Biểu tượng ổ khóa cho biết kết nối được mã hóa với tên miền đang hiển thị, chứ không chứng minh tên miền đó hợp pháp.

Ứng dụng ví và tiện ích mở rộng trình duyệt giả mạo

Ứng dụng ví gian lận có thể giả dạng ví tự lưu ký thật nhưng âm thầm gửi cụm từ khôi phục cho kẻ tấn công.

Tiện ích mở rộng trình duyệt giả có thể thay đổi chi tiết giao dịch, theo dõi mật khẩu, chèn cửa sổ bật lên đánh lừa người dùng hoặc đánh cắp khóa lưu trong trình duyệt.

Chỉ cài đặt ứng dụng từ trang nhà phát hành chính thức đã xác minh hoặc trang trên cửa hàng ứng dụng đáng tin cậy được nhà phát hành liên kết.

Người dùng nên kiểm tra tên nhà phát triển, lịch sử tải xuống, quyền truy cập, ngày phát hành, đánh giá và liên kết chính thức.

Điểm đánh giá cao không chứng minh ứng dụng an toàn vì đánh giá có thể được mua hoặc sao chép.

Hãy xem yêu cầu bất ngờ qua tin nhắn về việc cài đặt lại hoặc cập nhật ví là dấu hiệu đáng ngờ.

Lừa đảo giả danh bộ phận hỗ trợ khách hàng

Các giao thức DeFi thường không chủ động nhắn riêng cho người dùng đăng bài về sự cố.

Kẻ lừa đảo theo dõi các cuộc thảo luận công khai rồi nhanh chóng giả danh quản trị viên, nhà phát triển, điều hành viên, nhóm bảo mật và nhân viên hỗ trợ ví.

Kẻ giả mạo có thể yêu cầu cụm từ khôi phục, chia sẻ màn hình, quyền truy cập từ xa, khoản thanh toán xác minh hoặc kết nối với website sửa lỗi.

Nhân viên hỗ trợ hợp pháp không cần khóa riêng tư hoặc cụm từ khôi phục để kiểm tra giao dịch công khai.

Người hỗ trợ nói rằng phải chuyển tiền sang ví an toàn do bộ phận hỗ trợ kiểm soát đang tìm cách chiếm quyền lưu ký tài sản.

Người dùng nên tự truy cập kênh hỗ trợ qua tài liệu chính thức đã xác minh của dự án, thay vì qua phản hồi hoặc tin nhắn không được yêu cầu.

Wallet drainer

Wallet drainer là mã hoặc cơ sở hạ tầng độc hại được thiết kế để xác định tài sản có giá trị và giành quyền chuyển chúng.

Drainer có thể yêu cầu nhiều chữ ký hoặc gộp nhiều loại tài sản vào một tương tác đánh lừa người dùng.

Mục tiêu có thể là token có thể thay thế, vị thế staking, token thanh khoản, vật phẩm sưu tầm kỹ thuật số và tiền mã hóa gốc.

Drainer tinh vi có thể chọn tài sản giá trị nhất sau khi đọc số dư công khai trong ví nạn nhân.

Một số drainer chờ một thời gian rồi mới đánh cắp tài sản để nạn nhân không lập tức liên hệ tổn thất với chữ ký độc hại.

Ngắt kết nối ví khỏi website không nhất thiết hủy các quyền đã được ghi nhận on-chain.

Hướng dẫn báo cáo lừa đảo của Ethereum giải thích rằng quyền phê duyệt độc hại có thể cho phép tiếp tục đánh cắp token cho đến khi quyền đó bị thu hồi.

Phê duyệt token độc hại

Phê duyệt token cấp cho hợp đồng thông minh hoặc địa chỉ quyền sử dụng một lượng token xác định của người dùng.

Quyền này thường cần thiết cho các ứng dụng giao dịch phi tập trung, cho vay, thanh khoản và staking.

Theo tiêu chuẩn token ERC-20, chủ sở hữu có thể thiết lập hạn mức cho phép bên chi tiêu chuyển token thay mặt mình.

Ứng dụng độc hại có thể yêu cầu hạn mức không giới hạn dù thao tác dự kiến chỉ cần một lượng nhỏ.

Bản thân thao tác phê duyệt có thể chưa chuyển token ngay lập tức.

Bên được phê duyệt có thể sử dụng quyền đó sau này, kể cả khi người dùng đã quên tương tác này.

Báo cáo Trillion Dollar Security của Ethereum lưu ý rằng quyền phê duyệt không giới hạn, không có thời hạn có thể khiến người dùng gặp rủi ro khi ứng dụng hoặc giao diện bị xâm nhập hay trở nên độc hại.

Lừa đảo bằng phê duyệt không giới hạn

Phê duyệt không giới hạn cho phép bên chi tiêu sử dụng toàn bộ số dư hiện tại và tương lai của một token trong ví.

Người dùng có thể cấp quyền khi chỉ nắm giữ số dư nhỏ rồi sau đó nạp thêm lượng lớn hơn nhiều.

Hợp đồng bị xâm nhập khi đó có thể chuyển số token mới vì quyền phê duyệt vẫn còn hiệu lực.

Nếu ứng dụng và ví hỗ trợ, người dùng nên giới hạn quyền phê duyệt ở mức cần thiết.

Hãy kiểm tra và thu hồi các quyền phê duyệt cũ khi không còn cần thiết.

Thu hồi quyền là một giao dịch blockchain và thường cần trả phí mạng.

Thu hồi phê duyệt token không bảo vệ được ví nếu cụm từ khôi phục hoặc khóa riêng tư đã bị lộ.

Lừa đảo bằng chữ ký permit

Chữ ký permit có thể thay đổi hạn mức token bằng thông điệp được ký off-chain thay vì một giao dịch phê duyệt riêng.

Tiêu chuẩn permit ERC-2612 cho phép thông điệp được ký thay đổi hạn mức ERC-20.

Kẻ lừa đảo có thể mô tả chữ ký này là thao tác đăng nhập, nhận quà miễn phí, xác minh tài khoản hoặc kết nối không mất phí gas.

Bên khác có thể gửi chữ ký lên blockchain sau đó.

Do đó, khi quyền được tạo, nạn nhân có thể không thấy giao dịch on-chain nào ngay lập tức.

Trước khi chấp thuận yêu cầu permit, người dùng nên kiểm tra token, bên chi tiêu, số lượng được phép, thời hạn và mạng.

Thông điệp không cần phí mạng vẫn có thể cho phép đánh cắp tài sản giá trị.

Lừa đảo bằng chữ ký mù

Ký mù xảy ra khi người dùng phê duyệt dữ liệu được mã hóa mà không hiểu hành động dữ liệu đó đại diện.

Ví có thể hiển thị một chuỗi hexadecimal dài hoặc chức năng hợp đồng không rõ ràng.

Người dùng có thể ký vì website nói yêu cầu này chứng minh quyền sở hữu ví.

Thay vào đó, chữ ký có thể cho phép chuyển tài sản, đặt lệnh, phê duyệt token hoặc cấp quyền ở cấp tài khoản.

Các tiêu chuẩn ký có cấu trúc có thể cải thiện khả năng đọc, nhưng giao diện đánh lừa vẫn có thể đưa ra giải thích sai lệch.

Định dạng ký rõ ràng ERC-7730 được phát triển nhằm cải thiện thông tin giao dịch dễ đọc và giảm rủi ro từ giao diện cùng phishing.

Người dùng nên từ chối chữ ký nếu không thể hiểu rõ hậu quả của nó.

Mô phỏng giao dịch độc hại

Một số ví mô phỏng giao dịch và hiển thị thay đổi số dư dự kiến trước khi người dùng xác nhận.

Mô phỏng có thể phát hiện các giao dịch chuyển tài sản, phê duyệt hoặc lời gọi hợp đồng đáng ngờ.

Đây là công cụ hỗ trợ an toàn, không phải sự đảm bảo.

Kết quả mô phỏng có thể không đầy đủ nếu hợp đồng hoạt động khác nhau tùy thời điểm, trạng thái blockchain, lời gọi bên ngoài hoặc giao dịch phát sinh sau đó.

Website độc hại cũng có thể hiển thị bản xem trước giả không khớp với giao dịch thực tế trong ví.

Người dùng nên đọc màn hình xác nhận của ví, không chỉ tin vào mô tả trên website.

Lừa đảo ủy quyền tài khoản EIP-7702

Các tính năng ủy quyền tài khoản Ethereum hiện đại có thể cho phép tài khoản do bên ngoài sở hữu sử dụng mã hợp đồng thông minh cho các chức năng ví nâng cao.

Điều này hỗ trợ các chức năng hữu ích như gộp giao dịch, tài trợ phí, hệ thống khôi phục và quyền có thể lập trình.

Tuy nhiên, việc ủy quyền tài khoản cho mã độc cũng tạo ra rủi ro phishing nghiêm trọng.

Hướng dẫn bảo mật Ethereum EIP-7702 hiện hành cảnh báo rằng hợp đồng thông minh có thể kiểm soát hoàn toàn tài sản sau khi được ủy quyền.

Ủy quyền độc hại có thể trao quyền kiểm soát rộng hơn phê duyệt token thông thường.

Người dùng nên kiểm tra đích ủy quyền và hiểu quyền đó áp dụng cho một hay nhiều mạng.

Không ký yêu cầu nâng cấp, kích hoạt, sửa chữa hoặc cải thiện ví nếu chưa hiểu rõ cách thức ủy quyền.

Lừa đảo đầu độc địa chỉ

Đầu độc địa chỉ nhằm đưa địa chỉ do kẻ tấn công kiểm soát vào lịch sử giao dịch của nạn nhân.

Kẻ tấn công tạo địa chỉ có một số ký tự đầu hoặc cuối giống địa chỉ nạn nhân thường dùng.

Sau đó, một giao dịch có giá trị rất nhỏ hoặc bằng 0 được gửi đến hoặc đi từ tài khoản nạn nhân.

Về sau, nạn nhân có thể sao chép địa chỉ trông tương tự từ lịch sử giao dịch và gửi tiền mã hóa cho kẻ tấn công.

Chỉ kiểm tra bốn ký tự đầu và cuối là chưa đủ để bảo vệ.

Trước mỗi lần chuyển khoản đáng kể, cần xác minh toàn bộ địa chỉ nhận qua một nguồn đáng tin cậy.

Sổ địa chỉ đã lưu và danh sách cho phép có thể giảm rủi ro nếu quy trình thêm địa chỉ ban đầu được bảo vệ tốt.

Phần mềm độc hại thay thế clipboard

Phần mềm độc hại trên clipboard theo dõi địa chỉ tiền mã hóa được sao chép và thay thế bằng địa chỉ của kẻ tấn công.

Địa chỉ thay thế có thể trông đủ giống địa chỉ ban đầu để người dùng không phát hiện ngay.

Sau đó, người dùng ký một giao dịch hợp lệ nhưng gửi tiền cho nhầm người nhận.

Thiết bị ký phần cứng vẫn có thể phê duyệt vụ đánh cắp nếu người dùng không đối chiếu địa chỉ hiển thị trên màn hình đáng tin cậy.

Hãy kiểm tra đầy đủ địa chỉ nhận và số tiền sau khi dán, rồi kiểm tra lại trước khi ký.

Giao dịch thử với số tiền nhỏ có thể giảm tổn thất do nhầm địa chỉ, nhưng giao dịch cuối cùng vẫn cần được xác minh riêng.

Phần mềm độc hại đánh cắp thông tin

Phần mềm độc hại đánh cắp thông tin có thể thu thập tệp ví, dữ liệu trình duyệt, mật khẩu, cookie phiên, nội dung clipboard, ảnh chụp màn hình và cụm từ khôi phục.

Năm 2025, CISA báo cáo rằng phần mềm đánh cắp thông tin LummaC2 được dùng để lấy cắp thông tin đăng nhập và dữ liệu ví tiền mã hóa.

Thông báo của CISA về LummaC2 khuyến nghị các biện pháp như cập nhật phần mềm, xác thực đa yếu tố, kiểm soát ứng dụng và giám sát thiết bị đầu cuối.

Người dùng ví không nên cài công cụ giao dịch không rõ nguồn gốc, chương trình nhận token, script trình duyệt, phần mềm bẻ khóa hoặc tệp đính kèm gửi qua nhóm chat.

Ứng dụng ví sạch không thể bảo vệ thông tin bí mật đã bị lộ qua hệ điều hành nhiễm mã độc.

Nếu khả thi, nên tách hoạt động ký giao dịch giá trị lớn khỏi việc duyệt web và cài phần mềm thông thường.

Lừa đảo bằng mã QR

Mã QR độc hại có thể chứa địa chỉ ví của kẻ tấn công, website phishing, yêu cầu kết nối hoặc chỉ thị giao dịch.

Mã này có thể xuất hiện trong tin nhắn hỗ trợ giả, chương trình tặng token, hóa đơn, áp phích sự kiện hoặc video trực tiếp.

Quét mã không chứng minh rằng địa chỉ đích an toàn.

Trước khi phê duyệt, ví hoặc trình duyệt nên hiển thị tên miền, địa chỉ, mạng và hành động được giải mã.

Từ chối mã QR tự nhận dùng để xác minh ví nhưng lại yêu cầu chuyển tiền hoặc phê duyệt token.

Lừa đảo airdrop giả

Airdrop giả hứa tặng token miễn phí để dụ người dùng truy cập website hoặc ký giao dịch.

Website có thể yêu cầu phê duyệt token không giới hạn, chữ ký permit, ủy quyền hoặc chuyển tiền trực tiếp.

Kẻ lừa đảo có thể gửi token vô giá trị đến ví với tên token quảng bá một website độc hại.

Nhận được token lạ không đồng nghĩa chủ sở hữu cần truy cập website hoặc tương tác với hợp đồng của token đó.

Không phê duyệt, swap hoặc nhận tài sản lạ chỉ vì tài sản đó xuất hiện trong ví.

Ngay cả airdrop hợp pháp cũng có thể kéo theo rủi ro về thuế, quyền riêng tư và hợp đồng thông minh.

Spam NFT và token độc hại

Token và vật phẩm sưu tầm kỹ thuật số không rõ nguồn gốc có thể chứa tên hoặc metadata dẫn người dùng đến website gian lận.

Bản thân tài sản có thể vô hại cho đến khi người dùng tìm cách bán, nhận, mở khóa hoặc quy đổi.

Website liên quan sau đó có thể yêu cầu giao dịch hoặc chữ ký độc hại.

Người dùng nên ẩn hoặc bỏ qua tài sản không được yêu cầu thay vì làm theo hướng dẫn nhúng trong đó.

Giá trị thị trường hiển thị có thể bị làm giả thông qua thanh khoản bị thao túng hoặc metadata gây hiểu nhầm.

Lừa đảo token honeypot

Token honeypot cho phép người dùng mua tài sản nhưng ngăn nhà đầu tư thông thường bán thành công.

Hợp đồng có thể hạn chế chuyển tiền, áp dụng thuế bán cực cao, chặn một số địa chỉ hoặc chỉ cho phép tài khoản được duyệt bán.

Biểu đồ giá tăng có thể thu hút người mua dù mức giá hiển thị không thực sự khả dụng với họ.

Mô phỏng giao dịch, mã đã xác minh, hoạt động của người nắm giữ, điều kiện thanh khoản và giao dịch thử nhỏ có thể đưa ra cảnh báo hữu ích.

Không công cụ kiểm tra tự động đơn lẻ nào có thể đảm bảo token an toàn.

Lừa đảo thanh khoản và lợi suất giả

Ứng dụng DeFi gian lận có thể quảng bá phần thưởng staking, cho vay, farming hoặc cung cấp thanh khoản cao bất thường.

Người dùng gửi tiền mã hóa vào hợp đồng thông minh do kẻ lừa đảo kiểm soát.

Bảng điều khiển có thể hiển thị lợi nhuận bịa đặt trong khi chức năng rút tiền bị vô hiệu hóa.

Một thủ đoạn khác cho phép rút số tiền nhỏ lúc đầu để khuyến khích nạp khoản lớn hơn.

Cam kết lợi nhuận và gây áp lực phải nạp tiền nhanh là những dấu hiệu cảnh báo lớn.

Tài liệu của CFTC về gian lận tài sản kỹ thuật số cảnh báo về các đợt chào bán gian lận, thao túng, website giả mạo và lời hứa kiếm lợi nhuận tiền mã hóa dễ dàng.

Rug pull và wallet drainer khác nhau thế nào?

Rug pull xảy ra khi người nội bộ dự án từ bỏ dự án tiền mã hóa, rút thanh khoản, sử dụng sai mục đích tài sản kho bạc hoặc lạm dụng quyền kiểm soát hợp đồng đặc biệt.

Wallet drainer đánh cắp tài sản thông qua quyền hoặc giao dịch do từng người dùng ví cho phép.

Hai thủ đoạn này có thể xuất hiện cùng nhau.

Giao thức giả có thể thu tiền nạp trước rồi rút tài sản khỏi ví đã kết nối thông qua các phê duyệt độc hại bổ sung.

Người dùng nên đánh giá cả rủi ro ở cấp dự án lẫn quyền hạn ở cấp ví.

Tài khoản mạng xã hội bị xâm nhập

Tài khoản của dự án hoặc nhân vật công chúng hợp pháp có thể bị xâm nhập và dùng để đăng liên kết độc hại.

Kẻ tấn công có thể thông báo về việc di chuyển khẩn cấp, hoàn tiền, nhận token hoặc phần thưởng có thời hạn.

Thông điệp có thể trông đáng tin vì xuất phát từ tài khoản quen thuộc có lịch sử hoạt động lâu năm.

Hãy xác nhận thông báo quan trọng qua nhiều kênh chính thức độc lập.

Cảm giác khẩn cấp nên khiến người dùng thận trọng hơn, không phải giảm cảnh giác.

Lừa đảo quản trị và di chuyển tài sản giả

Kẻ lừa đảo có thể tuyên bố người nắm giữ token phải di chuyển tài sản do nâng cấp, khai thác lỗ hổng, bỏ phiếu quản trị hoặc thay thế hợp đồng.

Ứng dụng được liên kết có thể yêu cầu phê duyệt để chuyển token cũ và mới của nạn nhân.

Quy trình di chuyển thật cần được ghi rõ trong đề xuất quản trị chính thức, địa chỉ hợp đồng đã xác minh và hướng dẫn kỹ thuật công khai.

Người dùng nên đối chiếu thông báo với dữ liệu quản trị on-chain và tài liệu chính thức.

Quy trình di chuyển không bao giờ cần tiết lộ cụm từ khôi phục.

Phê duyệt khác với kết nối ví

Kết nối ví thường cho phép website xem địa chỉ công khai đã chọn và gửi yêu cầu chữ ký.

Kết nối cơ bản không tự động cho phép website chuyển token.

Phê duyệt, permit đã ký, giao dịch hoặc ủy quyền có thể tạo thêm quyền hạn.

Ngắt kết nối website sẽ kết thúc phiên giao diện đang hoạt động nhưng có thể không thay đổi quyền on-chain.

Người dùng nên kiểm tra riêng các phiên đã kết nối và quyền phê duyệt được ghi nhận trên blockchain.

Cách xem xét yêu cầu từ ví

Xác nhận mạng blockchain trước khi kiểm tra hành động được yêu cầu.

Kiểm tra chính xác tên miền website và địa chỉ hợp đồng.

Xác định yêu cầu là giao dịch, phê duyệt token, chữ ký permit, chữ ký typed-data, ủy quyền tài khoản hay thông điệp thông thường.

Kiểm tra tài sản, số lượng, người nhận, bên chi tiêu, thời hạn và phí gas.

Hãy cảnh giác nếu thao tác đăng nhập hoặc nhận thưởng đơn giản lại yêu cầu quyền chi tiêu không giới hạn.

Từ chối thao tác nếu ví hiển thị mã lạ hoặc giao dịch chuyển tài sản không mong muốn.

Hãy xác minh thông tin tương tự qua tài liệu chính thức, thay vì chỉ dựa vào trang đang đưa ra yêu cầu.

Cách kiểm tra rủi ro hợp đồng thông minh

Tìm địa chỉ hợp đồng trong tài liệu chính thức của dự án và đối chiếu với địa chỉ ví hiển thị.

Kiểm tra mã nguồn có được xác minh trên trình khám phá blockchain uy tín hay không.

Xác định hợp đồng có thể nâng cấp hay không và ai kiểm soát quyền nâng cấp.

Tìm hiểu quyền của chủ sở hữu, quản trị viên, quyền tạm dừng, đúc token, chuyển token và quyền khẩn cấp.

Đọc các báo cáo kiểm toán hiện có, đồng thời nhớ rằng kiểm toán không đảm bảo an toàn.

Hướng dẫn bảo mật hợp đồng thông minh của Ethereum nhấn mạnh kiểm soát truy cập, kiểm thử, phát triển an toàn và lập kế hoạch ứng phó khi hợp đồng gặp sự cố.

Sử dụng các ví riêng biệt

Tách ví theo mục đích có thể hạn chế thiệt hại do một lần tương tác sai.

Ví lưu trữ dài hạn có thể không kết nối với các ứng dụng chưa quen thuộc.

Có thể dùng ví chứa số dư nhỏ hơn cho giao thức DeFi mới, nhận token và giao dịch thử nghiệm.

Cũng có thể dùng ví riêng cho danh tính công khai, trò chơi hoặc vật phẩm sưu tầm kỹ thuật số.

Việc tách ví không bảo vệ tài sản nếu tất cả ví dùng chung cụm từ khôi phục đã bị lộ.

Mỗi lớp bảo mật cần sử dụng khóa và thông tin khôi phục được tách biệt đúng cách.

Ví phần cứng

Ví phần cứng giữ khóa ký trong thiết bị chuyên dụng được thiết kế để chống trích xuất khóa.

Thiết bị có thể bảo vệ người dùng trước một số phần mềm độc hại tìm cách đánh cắp khóa từ máy tính hoặc điện thoại.

Ví phần cứng không ngăn người dùng phê duyệt giao dịch độc hại.

Nên dùng màn hình đáng tin cậy của thiết bị để xác minh mạng, địa chỉ, số tiền và tương tác hợp đồng.

Phê duyệt mọi yêu cầu một cách mù quáng trên thiết bị phần cứng sẽ biến khả năng bảo vệ khóa tốt thành bảo mật giao dịch yếu.

Ví đa chữ ký

Ví đa chữ ký cần nhiều khóa được ủy quyền cùng phê duyệt giao dịch.

Cơ chế này có thể giảm nguy cơ một khóa bị đánh cắp gây thất thoát ngân quỹ ngay lập tức.

Bảng thuật ngữ Ethereum mô tả tài khoản đa chữ ký là tài khoản cần nhiều lần phê duyệt để thực hiện giao dịch.

Khả năng bảo vệ của ví đa chữ ký cao nhất khi người ký sử dụng thiết bị, địa điểm và quy trình xác minh riêng biệt.

Nhiều người ký vẫn có thể cùng phê duyệt một giao dịch đánh lừa nếu họ dựa vào cùng một thông điệp sai lệch.

Tổ chức nên yêu cầu đánh giá độc lập thay vì liên tục nhấp theo cùng một hướng dẫn.

Cần làm gì sau khi ký phê duyệt độc hại?

Ngừng tương tác với website đáng ngờ ngay lập tức.

Xem lại giao dịch hoặc thông điệp đã ký để xác định token, bên chi tiêu, số lượng, mạng và loại phê duyệt.

Nếu khóa riêng tư vẫn an toàn, hãy thu hồi phê duyệt token độc hại qua giao diện đáng tin cậy.

Chuyển tài sản đặc biệt có giá trị sang ví sạch nếu chưa chắc chắn về toàn bộ tác động của chữ ký.

Ngắt các phiên ứng dụng đang hoạt động và xóa tiện ích mở rộng trình duyệt đáng ngờ.

Theo dõi ví để phát hiện giao dịch tiếp theo và lưu lại bằng chứng.

Chữ ký permit chưa được gửi lên blockchain vẫn có thể được sử dụng cho đến khi hết hạn, vì vậy chuyển token bị ảnh hưởng có thể an toàn hơn là chờ đợi.

Cần làm gì khi để lộ cụm từ khôi phục?

Hãy coi toàn bộ ví đã bị xâm phạm ngay khi cụm từ khôi phục bị tiết lộ.

Tạo ví mới trên thiết bị sạch và đáng tin cậy bằng thông tin khôi phục mới được tạo.

Chuyển tài sản còn lại sang ví mới nhanh nhất có thể nhưng vẫn cẩn thận.

Không dùng lại cụm từ đã bị lộ cho bất kỳ tài khoản nào trong tương lai.

Chỉ thu hồi quyền phê duyệt là chưa đủ vì kẻ tấn công có thể trực tiếp ký giao dịch mới.

Bảo vệ tài khoản email, bộ nhớ đám mây, trình quản lý mật khẩu và thiết bị có thể đã làm lộ cụm từ.

Không nhận sự trợ giúp từ người lạ yêu cầu kiểm soát ví mới.

Cần làm gì sau khi thiết bị nhiễm mã độc?

Ngắt thiết bị bị ảnh hưởng khỏi các tài khoản và mạng nhạy cảm.

Dùng một thiết bị đáng tin cậy khác để bảo vệ email, tài khoản tài chính và số tiền mã hóa còn lại.

Đổi mật khẩu và thu hồi các phiên đang hoạt động từ thiết bị sạch.

Chỉ chuyển tài sản sau khi tạo khóa ví mới bên ngoài môi trường bị nghi nhiễm.

Có thể cần nhờ chuyên gia kiểm tra thiết bị hoặc cài đặt lại hoàn toàn hệ điều hành.

Khôi phục cùng hồ sơ trình duyệt, tiện ích mở rộng hoặc bản sao lưu bị xâm phạm có thể khiến mã độc hoặc dữ liệu phiên bị đánh cắp quay trở lại.

Báo cáo lừa đảo ví DeFi

Lưu lại địa chỉ ví, hash giao dịch, địa chỉ hợp đồng token, tên miền, email, tên người dùng, ảnh chụp màn hình, ngày tháng và số tiền.

Trang về tiền mã hóa của Trung tâm Khiếu nại Tội phạm Internet FBI đề nghị nạn nhân cung cấp hash giao dịch, địa chỉ ví, chi tiết liên lạc và thông tin nhận dạng liên quan.

Nạn nhân tại Hoa Kỳ cũng có thể gửi thông tin về gian lận tiêu dùng qua hệ thống báo cáo gian lận FTC.

Hãy báo cáo tên miền, tài khoản mạng xã hội, ứng dụng và hợp đồng thông minh độc hại cho các dịch vụ lưu trữ hoặc hiển thị chúng.

Báo cáo không đảm bảo sẽ lấy lại được tài sản, nhưng có thể giúp điều tra viên liên kết các vụ việc và cảnh báo người dùng khác.

Lừa đảo dịch vụ khôi phục tài sản

Kẻ lừa đảo dịch vụ khôi phục nhắm đến những người đã mất tiền mã hóa.

Chúng có thể tự nhận là điều tra viên blockchain, luật sư, hacker, nhân viên chính phủ hoặc chuyên gia thu hồi tài sản.

Nạn nhân bị yêu cầu trả trước phí, thuế, phí gas, chi phí tòa án hoặc phí phần mềm.

Cảnh báo của CFTC về lừa đảo khôi phục tài sản nêu rõ các cơ quan chính phủ không yêu cầu khoản thanh toán bất thường như tiền mã hóa để thu hồi tiền bị mất.

FBI cũng cảnh báo tội phạm giả danh Trung tâm Khiếu nại Tội phạm Internet và hứa hẹn dịch vụ thu hồi tài sản một cách gian dối.

Báo cáo hợp pháp cho cơ quan thực thi pháp luật không yêu cầu giao cụm từ khôi phục hoặc trả tiền mã hóa vào ví của điều tra viên.

Dấu hiệu cảnh báo phổ biến

Yêu cầu cung cấp cụm từ khôi phục, khóa riêng tư, mật khẩu hoặc mã xác minh là dấu hiệu cảnh báo nghiêm trọng.

Lời hứa lợi nhuận được đảm bảo, chiến lược bí mật và lợi suất không rủi ro đều không đáng tin cậy.

Cần thận trọng với sự khẩn cấp bất ngờ liên quan đến di chuyển tài sản, đình chỉ tài khoản hoặc nhận token.

Tên miền chỉ khác đôi chút so với địa chỉ chính thức có thể là trang phishing.

Phê duyệt không giới hạn cho một giao dịch nhỏ cần được xem xét kỹ hơn.

Ủy quyền tài khoản không rõ lý do hoặc chữ ký typed-data có thể tạo rủi ro nghiêm trọng.

Lời đề nghị hỗ trợ qua tin nhắn riêng ngay lập tức thường là hành vi giả mạo.

Dịch vụ khôi phục yêu cầu trả trước bằng tiền mã hóa có thể đang tìm cách tiếp tục lừa nạn nhân.

Câu hỏi thường gặp

Lừa đảo ví DeFi là gì, nói đơn giản?

Đây là các thủ đoạn lừa người dùng DeFi giao bí mật ví, tiền mã hóa, chữ ký hoặc quyền hợp đồng thông minh cho kẻ tấn công.

Kẻ lừa đảo có thể đánh cắp crypto mà không cần cụm từ khôi phục không?

Có. Phê duyệt độc hại, chữ ký permit, giao dịch hoặc ủy quyền tài khoản có thể cho phép đánh cắp tài sản mà không cần tiết lộ cụm từ khôi phục.

Kết nối ví có trao quyền kiểm soát cho website không?

Kết nối cơ bản thường chỉ tiết lộ địa chỉ đã chọn, nhưng các phê duyệt và chữ ký sau đó có thể cấp quyền chi tiêu hoặc kiểm soát tài khoản.

Ký thông điệp có an toàn không?

Không phải lúc nào cũng an toàn, vì thông điệp đã ký có thể là permit, lệnh, ủy quyền, yêu cầu xác thực hoặc một quyền hạn có giá trị khác.

Wallet drainer là gì?

Wallet drainer là mã độc được thiết kế để lấy quyền và chuyển tài sản có giá trị khỏi ví đã kết nối.

Phê duyệt token là gì?

Đó là quyền cho phép một địa chỉ hoặc hợp đồng thông minh cụ thể sử dụng token từ tài khoản của chủ sở hữu.

Phê duyệt token không giới hạn là gì?

Đó là quyền cho phép bên chi tiêu sử dụng toàn bộ số dư hiện tại và tương lai của một token trong ví.

Ngắt kết nối website có hủy phê duyệt không?

Không. Ngắt phiên giao diện thường không xóa quyền phê duyệt đã lưu trên blockchain.

Làm cách nào để hủy phê duyệt cũ?

Dùng giao diện quản lý phê duyệt đáng tin cậy hoặc giao dịch trực tiếp với hợp đồng để đặt hạn mức về 0.

Thu hồi phê duyệt có bảo vệ được cụm từ khôi phục đã bị lộ không?

Không. Kẻ tấn công có cụm từ khôi phục có thể trực tiếp tạo giao dịch và phê duyệt mới.

Lừa đảo permit là gì?

Đây là thủ đoạn lừa người dùng ký thông điệp cho phép địa chỉ khác sử dụng token.

Chữ ký không mất phí gas có thể đánh cắp token không?

Có. Kẻ tấn công có thể gửi quyền đã ký lên blockchain và trả phí mạng sau đó.

Ký mù là gì?

Ký mù là phê duyệt dữ liệu được mã hóa mà không hiểu tác động thực tế của dữ liệu đó.

Lừa đảo ủy quyền EIP-7702 là gì?

Đây là thủ đoạn lừa người dùng ủy quyền hoạt động tài khoản cho mã hợp đồng thông minh độc hại có thể kiểm soát tài sản hoặc giao dịch.

Đầu độc địa chỉ là gì?

Đầu độc địa chỉ đưa địa chỉ của kẻ tấn công trông tương tự vào lịch sử giao dịch để nạn nhân có thể sao chép nhầm sau đó.

Làm sao tránh bị đầu độc địa chỉ?

Hãy xác minh toàn bộ địa chỉ nhận qua nguồn đáng tin cậy thay vì sao chép một cách mù quáng từ lịch sử giao dịch.

Phần mềm độc hại trên clipboard là gì?

Đây là phần mềm thay địa chỉ ví được sao chép bằng địa chỉ do kẻ tấn công kiểm soát trước khi người dùng gửi tiền mã hóa.

Ví phần cứng có ngăn được mọi vụ lừa đảo không?

Không. Ví phần cứng bảo vệ khóa riêng tư nhưng vẫn có thể ký giao dịch độc hại nếu người dùng phê duyệt.

Token airdrop không rõ nguồn gốc có nguy hiểm không?

Chúng có thể được dùng để quảng bá trang phishing hoặc tương tác hợp đồng độc hại, vì vậy nhìn chung nên bỏ qua tài sản không được yêu cầu.

Token honeypot là gì?

Token honeypot cho phép mua nhưng ngăn cản hoặc phạt rất nặng người dùng thông thường khi bán.

Hợp đồng thông minh đã xác minh vẫn có thể độc hại không?

Có. Mã đã xác minh chỉ giúp mọi người xem mã nguồn, không chứng minh hành vi của hợp đồng công bằng hay an toàn.

Kiểm toán hợp đồng thông minh có đảm bảo an toàn không?

Không. Kiểm toán có thể bỏ sót lỗ hổng và không bao gồm các nâng cấp, giao diện hoặc hành động quản trị sau đó.

Website DeFi hợp pháp có thể bị xâm nhập không?

Có. Kẻ tấn công có thể xâm nhập tên miền, giao diện, tài khoản mạng xã hội, thành phần phụ thuộc hoặc thông tin đăng nhập quản trị.

Có nên tin quảng cáo tìm kiếm dẫn đến trang DeFi không?

Không. Quảng cáo có thể dẫn đến website giả mạo; dấu trang đã xác minh và tài liệu chính thức là điểm bắt đầu đáng tin cậy hơn.

Bộ phận hỗ trợ ví có yêu cầu cụm từ khôi phục không?

Không quy trình hỗ trợ hợp pháp nào yêu cầu cung cấp toàn bộ cụm từ khôi phục hoặc khóa riêng tư.

Kẻ lừa đảo có thể đánh cắp tài sản sau vài ngày không?

Có. Phê duyệt, permit hoặc quyền hạn khác có thể vẫn được sử dụng sau tương tác ban đầu.

Tại sao chỉ một token biến mất khỏi ví?

Kẻ tấn công có thể chỉ được phê duyệt cho token đó, thay vì kiểm soát toàn bộ ví.

Tại sao mọi tài sản đều biến mất?

Cụm từ khôi phục, khóa riêng tư, quyền ủy quyền tài khoản rộng hoặc quyền hạn với nhiều tài sản có thể đã bị xâm phạm.

Có nên tạo ví mới sau khi cụm từ khôi phục bị lộ không?

Có. Hãy chuyển tài sản còn lại sang ví mới được tạo trên thiết bị sạch.

Có thể dùng lại cụm từ khôi phục đã lộ sau khi đổi mật khẩu không?

Không. Đổi mật khẩu ứng dụng không làm mất hiệu lực khóa blockchain được tạo từ cụm từ đó.

Có nên trả tiền cho ai đó để khôi phục tiền mã hóa bị đánh cắp không?

Hãy hết sức thận trọng vì dịch vụ khôi phục yêu cầu trả trước thường nhắm đến nạn nhân để lừa lần thứ hai.

Có thể đảo ngược giao dịch blockchain không?

Người dùng thông thường thường không thể đảo ngược giao dịch đã xác nhận nếu không có sự hợp tác của người nhận hoặc một biện pháp can thiệp được ủy quyền khác.

Nên lưu thông tin nào sau khi bị lừa đảo?

Lưu hash giao dịch, địa chỉ, địa chỉ hợp đồng, tên miền, tin nhắn, ảnh chụp màn hình, ngày tháng, số tiền và tên tài khoản.

Nạn nhân tại Hoa Kỳ có thể báo cáo lừa đảo ví DeFi ở đâu?

Nạn nhân có thể báo cáo cho Trung tâm Khiếu nại Tội phạm Internet của FBI, FTC, cơ quan quản lý liên quan và cơ quan thực thi pháp luật địa phương.

Có nên dùng cùng một ví để tiết kiệm và tham gia DeFi không?

Tách tài sản nắm giữ dài hạn khỏi hoạt động DeFi thử nghiệm có thể giảm lượng tài sản gặp rủi ro trong một lần tương tác độc hại.

Ví đa chữ ký có miễn nhiễm lừa đảo không?

Không. Nhiều người ký vẫn có thể phê duyệt giao dịch đánh lừa hoặc mất quyền kiểm soát đủ số khóa ký.

Mô phỏng giao dịch có đảm bảo an toàn không?

Không. Mô phỏng có thể bỏ sót thay đổi trạng thái, hành động trì hoãn, giao diện sai lệch hoặc hành vi hợp đồng bất thường.

Cần kiểm tra gì trước khi ký?

Kiểm tra tên miền, mạng, hợp đồng, người nhận, bên chi tiêu, token, số lượng, thời hạn, phạm vi phê duyệt và quyền ở cấp tài khoản.

Nên làm gì khi chữ ký không rõ ràng?

Từ chối và tự xác minh yêu cầu qua một kênh độc lập trước khi tiếp tục.

Kết luận

Lừa đảo ví DeFi nhắm đến người dùng tiền mã hóa bằng cách đánh cắp thông tin bí mật của ví, giao dịch đánh lừa, hợp đồng thông minh độc hại, ứng dụng giả, giả mạo danh tính, phần mềm độc hại và kỹ thuật thao túng tâm lý.

Kẻ lừa đảo không cần cụm từ khôi phục nếu phê duyệt token, chữ ký permit hoặc ủy quyền tài khoản đã cung cấp đủ quyền để đánh cắp tài sản.

Kết nối ví, phê duyệt token, chữ ký thông thường, thông điệp permit và quyền tài khoản được ủy quyền có những hệ quả bảo mật khác nhau.

Người dùng nên hiểu chính xác hành động ví hiển thị trước khi phê duyệt.

Không bao giờ nhập cụm từ khôi phục hoặc khóa riêng tư vào website DeFi, biểu mẫu hỗ trợ, tin nhắn trực tiếp hoặc trang nhận token.

Tránh phê duyệt token không giới hạn nếu hạn mức nhỏ hơn đã đủ dùng.

Hãy rà soát các quyền cũ vì ngắt kết nối website không thu hồi quyền hạn on-chain.

Ví phần cứng và tài khoản đa chữ ký có thể cải thiện bảo mật, nhưng không bảo vệ được người dùng phê duyệt hướng dẫn đánh lừa mà không xác minh.

Sử dụng ví riêng, dấu trang đáng tin cậy, thiết bị được cập nhật, quyền hạn giới hạn, kiểm tra toàn bộ địa chỉ và xác minh hợp đồng độc lập có thể giảm mức độ rủi ro.

Cụm từ khôi phục bị tiết lộ cần được xử lý bằng cách chuyển tài sản sang ví hoàn toàn mới, chứ không chỉ đổi mật khẩu hoặc thu hồi phê duyệt.

Nạn nhân nên lưu bằng chứng, nhanh chóng báo cáo sự việc và tránh dịch vụ khôi phục yêu cầu thanh toán trước bằng tiền mã hóa.

Biện pháp bảo vệ hiệu quả nhất là quy trình ký có chủ đích, trong đó mọi tên miền, hợp đồng, tài sản, số lượng, người nhận, quyền hạn và ủy quyền đều được xác minh trước khi chấp thuận.