Vào ngày 31 tháng 10 năm 2026, nền tảng ra mắt tiền mã hóa Flap.sh trở thành mục tiêu của một cuộc tấn công chiếm quyền DNS, khiến khách truy cập bị chuyển hướng từ trang web chính thức sang một trang độc hại trái phép.
Sự cố này cho thấy một thực tế quan trọng của Web3: ngay cả những nền tảng tiền mã hóa quen thuộc và lâu đời cũng có thể trở thành mục tiêu của các cuộc tấn công tinh vi.
🔎 Chuyện gì đã xảy ra?
Đội ngũ Flap đã công khai cảnh báo rằng tên miền chính thức flap.sh của họ đã bị xâm phạm ở cấp DNS.
Thay vì truy cập nền tảng chính thức, khách truy cập có thể bị chuyển hướng đến một trang web lừa đảo được thiết kế để bắt chước giao diện gốc và dụ người dùng kết nối ví hoặc ký các giao dịch độc hại.
Công ty bảo mật Blockaid cũng xác định cơ sở hạ tầng độc hại tương tự đang ảnh hưởng đến các trang web DeFi khác.
Các trang độc hại có liên quan đến hoạt động rút cạn ví, bao gồm nỗ lực lấy chữ ký giao dịch nguy hiểm và quyền chi tiêu token.
🛡️ Flap đã ứng phó như thế nào?
Đội ngũ Flap đã phản ứng bằng cách cảnh báo người dùng, hạn chế quyền truy cập vào các giao diện web bị ảnh hưởng và giới thiệu một tên miền thay thế.
Sau đó, dự án thông báo rằng flap.sh đã được khôi phục. Tuy nhiên, về sau, dự án đã chuyển trang web chính thức sang:
https://flap.cool
Người dùng được khuyến cáo cụ thể nên truy cập trực tiếp vào tên miền mới và tránh kết nối ví hoặc ký giao dịch thông qua flap.sh trong khi quá trình chuyển đổi và điều tra vẫn đang tiếp diễn.
Nguyên nhân chính xác của vụ xâm phạm DNS vẫn đang được điều tra.
Chưa có tổng số tiền bị đánh cắp hoặc số ví bị ảnh hưởng nào được xác nhận độc lập và công bố.
⚠️ Vì sao mọi người dùng tiền mã hóa đều cần quan tâm?
Sự cố này cho thấy bảo mật trang web và bảo mật blockchain không phải là một.
Một trang web có thể trông hoàn toàn hợp pháp trong khi tên miền của nó chuyển hướng khách truy cập đến cơ sở hạ tầng của kẻ tấn công.
Bạn có thể nhập đúng địa chỉ, nhận ra giao diện quen thuộc nhưng vẫn vô tình tương tác với một giao diện độc hại.
Trong lĩnh vực tiền mã hóa, chỉ một chữ ký bất cẩn cũng có thể khiến tài sản của bạn gặp rủi ro.
🔐 10 quy tắc bảo mật tiền mã hóa thiết yếu
1. Xác minh mọi địa chỉ trang web.
Kiểm tra chính tả, phần mở rộng tên miền và các chuyển hướng bất ngờ. Đánh dấu trang các trang web chính thức thay vì dựa vào quảng cáo tìm kiếm hoặc liên kết được chuyển tiếp.
2. Đừng bao giờ tin các liên kết kết nối ví không rõ nguồn gốc.
Tránh kết nối ví qua tin nhắn Telegram không mong muốn, bình luận trên mạng xã hội hoặc tin nhắn riêng.
3. Không bao giờ chia sẻ cụm từ khôi phục hay khóa riêng.
Không quản trị viên dự án hay nhân viên hỗ trợ hợp pháp nào cần những thông tin này.
4. Đọc kỹ các yêu cầu ký bằng ví.
Chữ ký không phải lúc nào cũng vô hại. Một số chữ ký có thể cho phép chuyển tiền hoặc cấp quyền truy cập vào tài sản của bạn.
5. Hiểu rõ các quyền phê duyệt token.
Các yêu cầu Approve, Permit và Permit2 có thể cấp quyền chi tiêu. Đừng bao giờ phê duyệt quyền truy cập không giới hạn nếu chưa hiểu rõ lý do cần thiết.
6. Tách riêng các ví của bạn.
Dùng một ví riêng cho các dApp thử nghiệm và giữ tài sản dài hạn trong một ví khác.
7. Kiểm tra và thu hồi các quyền không cần thiết.
Dùng các công cụ đáng tin cậy như https://revoke.cash để kiểm tra hạn mức chi tiêu token. Luôn xác minh tên miền trước khi kết nối ví.
8. Bảo vệ các tài khoản của bạn.
Bật xác thực hai yếu tố mạnh cho các tài khoản sàn giao dịch, email và nhà đăng ký tên miền.
9. Dừng lại nếu có điều gì đó không ổn.
Các trường hợp bị chuyển hướng bất ngờ, lời nhắc bất thường từ ví, cảnh báo khẩn cấp hoặc yêu cầu thử lại giao dịch đều cần được xem là dấu hiệu đáng ngờ.
10. Theo dõi các thông báo bảo mật chính thức.
Kiểm tra nhiều kênh liên lạc chính thức trước khi tương tác với một nền tảng trong thời gian xảy ra sự cố bảo mật.
🚨 Nếu bạn đã tương tác với một trang web đáng ngờ thì phải làm gì?
- Dừng tương tác với trang web đó.
- Kiểm tra lịch sử giao dịch và các quyền phê duyệt token trong ví của bạn.
- Thu hồi các quyền đáng ngờ bằng một công cụ đã được xác minh.
- Nếu bạn đã ký một ủy quyền độc hại hoặc nghi ngờ ví bị xâm phạm, hãy chuyển số tài sản còn lại sang một ví bảo mật mới tạo.
- Liên hệ với nền tảng qua các kênh chính thức đã được xác minh.
Hãy nhớ: chỉ kết nối ví không đồng nghĩa với việc tiền của bạn tự động bị đánh cắp. Rủi ro thực tế phụ thuộc vào những quyền hoặc chữ ký đã được cấp phép.
Lời kết
Web3 mang lại cho chúng ta tự do tài chính, nhưng tự do đó đi kèm với trách nhiệm cá nhân.
Bảo mật không chỉ là trách nhiệm của các sàn giao dịch, nhà phát triển hay dự án blockchain. Mỗi người dùng đều là một mắt xích trong chuỗi bảo mật.
Sự cố Flap nhắc nhở chúng ta rằng niềm tin không bao giờ nên thay thế việc xác minh.
Luôn cập nhật thông tin. Xác minh trước khi kết nối. Đọc kỹ trước khi ký. Bảo vệ tài sản của bạn.
— CHABARAKA 💚
Thông tin cập nhật đến ngày 31 tháng 10 năm 2026. Sự cố Flap vẫn đang được điều tra.
Nguồn:
- Cập nhật chính thức về sự cố Flap: https://x.com/FlapOfficial
- Cảnh báo bảo mật của Blockaid: https://x.com/Blockaid_
- Báo cáo sự cố: https://tsnmedia.org/flap-kintsu-dns-hijack/