$ETH $BTC $USDC
Bạn có thể ngắt kết nối ví, đóng trang web, xóa ứng dụng và nghĩ rằng tiền mã hóa của mình đã an toàn. Nhưng một quyền bạn đã cấp từ nhiều tháng trước vẫn có thể còn hiệu lực và chờ được sử dụng.
Và điều đáng lo ngại nhất là: để lợi dụng một số quyền đã được cấp, kẻ xấu không cần biết mật khẩu, đánh cắp cụm từ khôi phục hay truy cập trực tiếp vào thiết bị của bạn.
Đây không phải là giả thuyết. Đây là rủi ro có thật trong hệ sinh thái tài chính phi tập trung (DeFi), được MetaMask, Etherscan và các chuyên gia bảo mật blockchain ghi nhận.
Cơ chế này được gọi là TOKEN APPROVALS, qua đó bạn cho phép một địa chỉ hoặc hợp đồng thông minh sử dụng một lượng token nhất định của mình.
CƠ CHẾ NÀY THỰC SỰ HOẠT ĐỘNG NHƯ THẾ NÀO?
Hãy tưởng tượng bạn có 2.000 USDT trong một ví tự lưu ký và truy cập vào một nền tảng phi tập trung để đổi 50 USDT lấy một loại tiền mã hóa khác.
Ứng dụng cần được cấp quyền để chuyển 50 USDT đó và hoàn tất giao dịch.
Đến đây thì mọi thứ vẫn bình thường.
Nhưng rồi một yêu cầu xuất hiện mà nhiều người dùng chấp thuận khi chưa hiểu rõ: APPROVE — CHO PHÉP CHI TIÊU KHÔNG GIỚI HẠN.
Thay vì chỉ cấp quyền cho 50 USDT bạn cần đổi, cuối cùng bạn lại cho phép chi tiêu số lượng token đó gần như không giới hạn.
Bạn thực hiện giao dịch, ngắt kết nối ví và đóng trang web.
Bạn nghĩ mọi chuyện đã kết thúc.
NHƯNG QUYỀN ĐÓ CÓ THỂ VẪN CÒN HIỆU LỰC TRÊN BLOCKCHAIN.
Tại sao?
Bởi vì kết nối ví và cấp quyền chi tiêu token là hai việc hoàn toàn khác nhau.
Kết nối cho phép bạn tương tác với một ứng dụng. Còn quyền cấp theo chuẩn ERC-20 được ghi lại trong hợp đồng token thông qua cơ chế gọi là allowance.
Hợp đồng được cấp quyền có thể thực hiện chuyển token trong giới hạn đã được cấp mà không cần yêu cầu bạn xác nhận riêng cho từng giao dịch.
Và đây là lúc rủi ro thực sự xuất hiện.
Nếu bạn đã cấp quyền cho một hợp đồng độc hại, hoặc một hợp đồng hợp pháp có lỗ hổng có thể bị khai thác, số tiền thuộc phạm vi quyền đó có thể gặp rủi ro.
Ngay cả những token bạn nhận được sau đó cũng có thể bị ảnh hưởng nếu quyền vẫn còn hiệu lực và vẫn cho phép chi tiêu ở mức đủ lớn.
ĐIỀU ĐÓ KHÔNG CÓ NGHĨA LÀ MỌI QUYỀN CẤP ĐỀU LÀ LỪA ĐẢO. Những quyền này cần thiết cho nhiều hoạt động DeFi hợp pháp. Nguy hiểm nằm ở việc cấp quyền quá lớn cho các hợp đồng không rõ nguồn gốc, độc hại hoặc không an toàn.
CÒN NẾU BẠN DÙNG VÍ CỨNG THÌ SAO? Cơ chế này cũng không tự động được ngăn chặn.
Ví cứng bảo vệ khóa riêng tư của bạn, nhưng không hủy các quyền mà chính bạn đã xác nhận trước đó.
Cấp quyền không đồng nghĩa với việc tiết lộ cụm từ khôi phục. Tuy nhiên, việc đó có thể cho phép hợp đồng được cấp quyền chuyển một số token nhất định mà không cần xin bạn ký xác nhận lần nữa.
LÀM SAO BIẾT BẠN CÓ QUYỀN NÀO ĐANG HOẠT ĐỘNG? Có những công cụ cho phép kiểm tra các quyền gắn với địa chỉ công khai của bạn.
Một trong số đó là REVOKE.CASH, công cụ cho phép kiểm tra các quyền trên nhiều mạng blockchain, xác định những hợp đồng nào được phép chi tiêu và thu hồi các quyền không còn cần thiết.
Bạn cũng có thể dùng TOKEN APPROVAL CHECKER của ETHERSCAN để tra cứu các quyền trên Ethereum.
Việc kiểm tra một địa chỉ công khai không yêu cầu bạn cung cấp mật khẩu hay cụm từ khôi phục. Để thu hồi quyền, thông thường bạn cần xác nhận một giao dịch và trả phí tương ứng của mạng.
Thu hồi quyền có thể ngăn các giao dịch trong tương lai dựa trên quyền đó, nhưng không thể lấy lại số tiền đã bị đánh cắp.
Và đây là điều cốt yếu: rủi ro này chủ yếu ảnh hưởng đến các ví tự lưu ký có tương tác với hợp đồng thông minh. Không nên nhầm lẫn điều này với việc giữ tiền mã hóa trong số dư nội bộ của một sàn giao dịch tập trung.
VẤN ĐỀ THỰC SỰ KHÔNG CHỈ LÀ VIỆC AI ĐÓ CÓ THỂ ĐÁNH CẮP MẬT KHẨU CỦA BẠN. BẠN CÓ THỂ ĐÃ CẤP QUYỀN CHI TIÊU MÀ KHÔNG HIỂU HẾT HẬU QUẢ.
🧠 Trong thế giới tiền mã hóa, đóng một ứng dụng không nhất thiết hủy những gì bạn đã cấp quyền trên blockchain.
Bởi vì ngắt kết nối ví khỏi một trang web là một chuyện...
Còn thu hồi quyền di chuyển tiền mã hóa của bạn đã cấp cho một hợp đồng thông minh lại là chuyện hoàn toàn khác.
Trước khi ký xác nhận cấp quyền lần nữa, hãy tự hỏi:
TÔI ĐANG CHO PHÉP THỰC HIỆN GIAO DỊCH MÌNH MUỐN HAY ĐANG CẤP MỘT QUYỀN HẠN RỘNG HƠN NHIỀU SO VỚI NHU CẦU?
Sự khác biệt đó có thể mang tính quyết định trong việc bảo vệ tiền của bạn
