Các chủ đề chính của bài viết:
DApps là các ứng dụng dựa trên blockchain với backend được cung cấp bởi các hợp đồng thông minh cho phép tương tác phi tập trung với tiền điện tử, mà không cần trung gian.
Cảnh quan của DApps mang đến tiện ích chưa từng có và có tiềm năng khổng lồ, nhưng cũng có thể khiến người dùng gặp rủi ro. Các chiến thuật lừa đảo phổ biến trong không gian này bao gồm kỹ thuật xã hội, lừa đảo phê duyệt, lừa đảo chữ ký và các trang web giả mạo sửa đổi blockchain nhắm vào ví của người dùng.
Bảo vệ bản thân bằng cách kiểm tra các DApps, hiểu các quyền trước khi phê duyệt, sử dụng các tính năng bảo mật của Binance Wallet và không bao giờ chia sẻ cụm từ hạt giống hoặc khóa riêng của bạn.
Trong các ứng dụng phi tập trung (DApps), bạn là người kiểm soát – nhưng cũng là hàng phòng thủ cuối cùng. Từ các giao thức DeFi và chợ NFT đến các trò chơi dựa trên blockchain, các DApps cho phép bạn cung cấp tài sản để cho vay, giao dịch và chơi với tiền điện tử, mà không cần trung gian.
Nhưng, không có dịch vụ khách hàng và với các hợp đồng thông minh quản lý mỗi hành động, thường không có nút hoàn tác sau khi bạn phê duyệt một giao dịch hoặc ký một thông điệp.
Trong hướng dẫn này, chúng tôi sẽ giúp bạn điều hướng các DApps một cách an toàn và tự tin – từ việc xác định các quyền rủi ro đến quản lý các phê duyệt token – để bạn có thể khám phá Web3 mà không phải mất ngủ (hoặc mất tiền).
DApps là gì?
Một ứng dụng phi tập trung (DApp) là một ứng dụng hoạt động trên một mạng blockchain như Ethereum hoặc BNB Chain, thay vì phụ thuộc vào các máy chủ tập trung. Hãy nghĩ về nó như một ứng dụng với backend công khai, minh bạch và không thể thay đổi, được cung cấp bởi các hợp đồng thông minh.
Trong Binance Wallet, bạn có thể kết nối với các DApps qua mã QR, duyệt hoặc tìm kiếm trên trang [Khám Phá] hoặc nhấn vào các DApps đã được xác minh trong ví.
Mối nguy hiểm của DApps
Bản chất mở của Web3 có nghĩa là bất kỳ ai cũng có thể triển khai một hợp đồng thông minh hoặc tạo một giao diện DApp. Những kẻ lừa đảo đã khai thác sự tự do này và sự thiếu hỗ trợ tập trung cho khách hàng khi tạo ra "các DApps giả" bắt chước gần giống như các DApps hợp pháp. Những ứng dụng độc hại này được phát triển cẩn thận để lừa người dùng ký các thông điệp rủi ro hoặc phê duyệt các giao dịch có hại, do đó đặt tài sản của họ vào rủi ro.
Kỹ thuật xã hội
Kỹ thuật xã hội là một trong những cách phổ biến nhất mà các kẻ lừa đảo lừa gạt người dùng để kết nối ví của họ với các DApps độc hại. Thay vì phụ thuộc hoàn toàn vào các lỗ hổng kỹ thuật, những kẻ lừa đảo này thao túng tâm lý con người – khai thác các cảm xúc như sợ hãi, sự tò mò và sự khẩn cấp để vượt qua lý trí. Xem cách mà chuỗi bước trong một cuộc tấn công kỹ thuật xã hội thường diễn ra.
Giả mạo danh tính: những kẻ lừa đảo thường giả làm đại diện chính thức của các nền tảng hoặc dự án đáng tin cậy. Họ bắt chước logo, lấy tên người dùng thuyết phục và thậm chí sao chép toàn bộ nhóm cộng đồng trên Telegram, Discord hoặc Twitter để trông có vẻ hợp pháp.
Xây dựng lòng tin: trong các tin nhắn riêng tư hoặc trong những nhóm này, những kẻ lừa đảo sẽ cố gắng thu hút người dùng vào các cuộc trò chuyện thân thiện hoặc đề nghị "giúp đỡ" không được yêu cầu, từ từ xây dựng một mối quan hệ để giành được lòng tin.
FOMO và những hứa hẹn về "làm giàu nhanh chóng": một khi một mức độ tin tưởng cơ bản được thiết lập, những kẻ lừa đảo không bỏ lỡ thời gian để tạo ra cảm giác khẩn cấp. Họ sẽ quảng bá một cơ hội có thời hạn – như một "bán trước độc quyền", "airdrop" hoặc "truy cập dễ dàng" vào một "DApp có hiệu suất cao". Các nạn nhân tiềm năng bị ép buộc hành động nhanh chóng và tương tác với DApp độc hại hoặc có nguy cơ mất cơ hội.
Cái bẫy: nhưng chỉ có những kẻ lừa đảo là người giàu có. Những DApps này thường được tạo ra để làm cạn kiệt ví ngay khi một thông điệp phê duyệt được ký hoặc để cấp cho kẻ lừa đảo quyền truy cập vĩnh viễn vào tài sản của bạn mà không có sự đồng ý của bạn.
Cách ký mà không đọc những gì bạn đang ký có thể dẫn đến tổn thất
Lừa đảo phê duyệt
Trong DeFi, các phê duyệt là một phần bình thường của việc tương tác với các hợp đồng thông minh – chúng cho phép một DApp di chuyển các token của bạn thay mặt bạn. Trong lừa đảo phê duyệt, các DApps độc hại lạm dụng tính năng này bằng cách yêu cầu người dùng phê duyệt các khoản chi tiêu token bất thường cao hoặc không giới hạn.
Một khi phê duyệt được cấp, những kẻ lừa đảo sử dụng các chức năng của hợp đồng thông minh, như transferFrom(), hoặc thực hiện nhiều lần rút token theo lô bằng cách sử dụng multicall(), làm cạn kiệt ví của bạn theo thời gian. Vì các phê duyệt vẫn còn hoạt động cho đến khi bị thu hồi thủ công hoặc cho đến khi đạt đến giới hạn quỹ đã được thiết lập, kẻ lừa đảo có thể tiếp tục truy cập vào ví của bạn, làm cạn kiệt các token đã được phê duyệt rất lâu sau khi tương tác ban đầu.
Lừa đảo chữ ký
Lừa đảo chữ ký thường liên quan đến việc lừa gạt người dùng ký các dữ liệu tùy ý hoặc không rõ ràng bằng cách sử dụng các phương pháp như Permit, Permit 2 hoặc eth_sign. Khác với một giao dịch bình thường trên blockchain, những chữ ký này xảy ra ngoại tuyến, do đó, không có phí gas, không có ghi chép trên blockchain hoặc cảnh báo ngay lập tức. Một khi một chữ ký hợp lệ được tạo ra, những kẻ lừa đảo có thể sử dụng nó trong một hợp đồng thông minh để có quyền truy cập di chuyển các token của bạn – đôi khi cho phép chuyển nhượng hoặc cấp quyền rộng mà bạn không nhận ra.
Một ví dụ phổ biến về cuộc lừa đảo này sử dụng Permit và Permit2 – các phương pháp phê duyệt hợp pháp ngoại tuyến được phát triển để đơn giản hóa các tương tác với DApps.
Permit cho phép người dùng phê duyệt việc di chuyển token thông qua chữ ký thay vì một giao dịch phê duyệt trên blockchain.
Permit2 mở rộng chức năng này bằng cách cho phép một chữ ký duy nhất phê duyệt nhiều token, với các giới hạn tùy chỉnh và cài đặt thời hạn.
Mặc dù những công cụ này rất tiện lợi, nhưng những kẻ lừa đảo sử dụng chúng để ngụy trang các yêu cầu độc hại của Permit hoặc Permit2 như những thông báo vô hại. Nếu một nạn nhân ký một trong những yêu cầu này, kẻ lừa đảo có thể sử dụng chữ ký đó sau này để rút tiền – đôi khi rất lâu sau khi tương tác. Vì không có giao dịch nào được truyền đi khi chữ ký được tạo ra, việc vi phạm thường không bị phát hiện cho đến khi các token bị mất.
Các cuộc lừa đảo dựa trên quyền cho phép rất nguy hiểm chủ yếu vì một chữ ký duy nhất bị xâm phạm có thể mở khóa quyền truy cập vào nhiều token, tùy thuộc vào những gì bạn đã cho phép trước đó. Luôn kiểm tra nhiều lần những gì bạn đang ký – nếu nó không rõ ràng hoặc không có nghĩa, đừng ký.
Các cuộc lừa đảo sửa đổi blockchain
Sửa đổi blockchain là một loại lừa đảo lợi dụng người dùng thiếu kinh nghiệm trong Web3. Các trang web giả mạo này tuyên bố sửa chữa các vấn đề phổ biến của ví, như lỗi trượt giá hoặc giao dịch thất bại, nhưng thực tế được tạo ra để đánh cắp cụm từ hạt giống hoặc khóa riêng của bạn. Xem cách mà cuộc lừa đảo này thường xảy ra.
Mục tiêu là những người dùng thất vọng: những kẻ lừa đảo lợi dụng người dùng căng thẳng vì các lỗi như vấn đề di chuyển ví và trượt giá, cung cấp các "giải pháp nhanh" giả mạo hứa hẹn những cách giải quyết dễ dàng.
Nhái: những trang web này có thể sao chép diện mạo của các dịch vụ đáng tin cậy, sử dụng thiết kế rõ ràng hoặc giao diện gần giống để giảm sự chú ý của người dùng.
Giả lập lỗi: khi truy cập trang web, người dùng thấy các thông báo lỗi giả được tạo ra để có vẻ khẩn cấp và hợp pháp. Họ sau đó được hướng dẫn để "kết nối thủ công" và, với điều đó, bị lừa để nhập cụm từ hạt giống hoặc nhập khóa riêng của họ – cho phép kẻ lừa đảo truy cập hoàn toàn vào ví, cho phép họ rút tiền.
Cách bảo vệ bản thân
Hãy coi trọng các cảnh báo
Binance Wallet có các biện pháp bảo vệ tích hợp, như mô phỏng giao dịch và bộ lọc chữ ký, để giúp giữ an toàn cho tài sản của bạn. Nó cũng chặn các phê duyệt cho các tài khoản sở hữu bên ngoài (EOAs), các yêu cầu có rủi ro cao, như eth_sign, và các DApps độc hại đã biết. Nhưng, cuối cùng, vẫn là bạn đưa ra quyết định cuối cùng. Luôn đọc và chú ý đến các cảnh báo của ví trước khi xác nhận giao dịch hoặc ký một thông điệp.
Thực hành phê duyệt thông minh
Đừng bao giờ ký hoặc phê duyệt các yêu cầu mà không kiểm tra. Hiểu chính xác các quyền mà một DApp đang yêu cầu – đặc biệt là liên quan đến việc phê duyệt token.
Tránh quyền cho phép không giới hạn: luôn cấp cho số lượng tối thiểu cần thiết thay vì quyền truy cập không giới hạn vào token. Điều này hạn chế thiệt hại tiềm tàng nếu một DApp là độc hại.
Thu hồi các phê duyệt cũ: hãy biến điều này thành thói quen, truy cập định kỳ vào tab [Tài sản] > [Phê duyệt] của ví của bạn để thu hồi bất kỳ phê duyệt token nào mà bạn không còn cần nữa.
Ngắt kết nối các DApps không sử dụng: trong [Thêm] > [DApps đã kết nối], xóa quyền truy cập cho các DApps mà bạn không còn sử dụng. Để chúng kết nối sẽ làm tăng rủi ro.
Xem xét các mô phỏng
Sử dụng một ví có chức năng mô phỏng tích hợp, như Binance Wallet. Mô phỏng giúp dự đoán những gì sẽ xảy ra trước khi một giao dịch thực sự được gửi đến blockchain. Nó giống như nhận được một cái nhìn tổng quan về kết quả – như vậy, bạn có thể xác định lỗi hoặc các cuộc lừa đảo trước khi chúng trở nên đắt đỏ.
Đối với các chuyển tiền đơn giản từ ví sang ví, các mô phỏng giúp xác định các địa chỉ đáng ngờ hoặc các lỗi có thể xảy ra, như gửi đến một điểm đến được biết đến là lừa đảo. Khi tương tác với các hợp đồng thông minh – trong các lần hoán đổi, staking hoặc các hành động khác trong lĩnh vực DeFi – Binance Wallet thực hiện các mô phỏng để hiển thị số lượng token dự kiến, các giá trị và các rủi ro tiềm tàng. Điều này cung cấp một cái nhìn rõ ràng về thông tin trước khi bạn xác nhận giao dịch.
Luôn thực hiện nghiên cứu của riêng bạn (DYOR)
Trước khi tương tác với bất kỳ DApp nào, hãy dành thời gian để đánh giá nó một cách cẩn thận. Các dự án hợp pháp thường được kiểm toán bởi các công ty bảo mật độc lập và các báo cáo này thường có sẵn trên trang web chính thức của dự án. Nghiên cứu đội ngũ đứng sau dự án – nếu họ là ẩn danh hoặc khó xác minh, điều này có thể là một dấu hiệu cảnh báo. Cũng hãy xem xét cộng đồng. Một nền tảng người dùng mạnh mẽ, gắn bó và minh bạch thường là một dấu hiệu tốt, trong khi thiếu hoạt động hoặc các phản hồi mơ hồ có thể chỉ ra rủi ro tiềm tàng.
Tin tưởng vào các nguồn chính thức
Khi truy cập bất kỳ DApp nào, luôn bắt đầu bằng các liên kết đã được xác minh trên trang web chính thức của dự án hoặc trên các nền tảng đáng tin cậy như CoinMarketCap. Những kẻ lừa đảo thường tạo ra các trang web giả bằng cách thay đổi tinh vi tên miền hoặc thay thế các ký tự tương tự, điều này có thể khó nhận thấy ngay từ cái nhìn đầu tiên (ví dụ: uniswap.com so với unίswap.com). Tránh nhấp vào quảng cáo tìm kiếm, vì các trang web lừa đảo thường trả tiền để xuất hiện ở đầu kết quả. Để an toàn hơn, hãy nhập URL thủ công thay vì nhấp vào quảng cáo hoặc dán các liên kết do bên thứ ba cung cấp.
Không bao giờ chia sẻ cụm từ hạt giống hoặc khóa riêng của bạn
Nếu ai đó yêu cầu cụm từ hạt giống hoặc khóa riêng của bạn, hãy dừng ngay lập tức – bạn đang bị lừa. Không có DApp, dịch vụ hoặc đại lý hỗ trợ hợp pháp nào sẽ yêu cầu những thông tin này. Ngay khi bạn chia sẻ chúng, ví của bạn sẽ trống rỗng ngay lập tức. Đóng tab, rời đi và đừng nhìn lại.
Hãy tự giáo dục và cập nhật thông tin
Kiến thức là hàng phòng thủ đầu tiên của bạn trong không gian Web3. Hiểu các cuộc lừa đảo phổ biến và biết các thực hành phê duyệt thông minh là rất quan trọng để bảo vệ bản thân. Hãy giữ thông tin cập nhật về các mối đe dọa mới nhất bằng cách theo dõi các nguồn đáng tin cậy như Binance Academy, chuỗi "Nhận biết các cuộc lừa đảo" và chuỗi về an ninh. Những tài nguyên này sẽ giúp bạn đi trước các cuộc lừa đảo đang nổi lên, cho phép bạn đưa ra quyết định thông minh để bảo vệ tài sản của mình.
Những điều cần cân nhắc cuối cùng
Thế giới của DApps phong phú về đổi mới và khả năng. Dù là sử dụng các công cụ DeFi, khám phá NFT hay tìm hiểu một trò chơi mới dựa trên blockchain, không thiếu những điều để khám phá.
Ngay cả khi một ngôi nhà được xây dựng tốt có khóa an toàn, chúng trở nên vô dụng nếu bạn để cửa mở hoặc đánh mất chìa khóa. Binance Wallet cung cấp các tính năng bảo mật tiên tiến – từ mô phỏng và cảnh báo lừa đảo đến phê duyệt hạn chế – nhưng vẫn phụ thuộc vào bạn trong việc sử dụng chúng một cách khôn ngoan. Các phê duyệt, chữ ký và kết nối với DApps là một phần của cuộc sống hàng ngày trong Web3 và hiểu chúng là điều cần thiết để bảo vệ tiền của bạn. Nếu có điều gì đó có vẻ sai, hãy dừng lại, kiểm tra và đừng vội vàng. Web3 thưởng cho những ai duy trì sự chú ý và đặt câu hỏi. Với những thói quen đúng đắn và một liều lượng thận trọng hợp lý, bạn có thể khám phá tự tin trong khi giữ an toàn cho tiền điện tử của bạn.
Tài liệu tham khảo bổ sung
Bảo mật ví Web3 – Giữ an toàn với ví MPC của Binance
Giữa các cuộc lừa đảo và gian lận: cách mà các cuộc lừa đảo với mã QR và xác minh khuôn mặt hoạt động
USDC xuất hiện trên Phố Wall – điều gì mà sự ra mắt của Circle có nghĩa là đối với thị trường tiền điện tử