Nhập đúng địa chỉ web mà vẫn vào nhầm trang giả: bài học về chiếm quyền tên miền cần học ngay
Đêm muộn ngày 30 đến rạng sáng ngày 31 tháng 10, tên miền của 12 trang tài chính phi tập trung đồng loạt gặp sự cố. Công ty bảo mật Blockaid nêu tên các trang này lúc 3 giờ 16 phút UTC rạng sáng ngày 31, cho biết cả 12 đều đang đẩy đến khách truy cập cùng một bộ công cụ đánh cắp tiền mã hóa có tên Step Drainer. Trong số đó có Flap, Kintsu, Pickle Finance và Origami Finance. Điểm chung của các dự án này là tên miền đều được đăng ký tại cùng một nhà đăng ký, Name.com. Ngày 31, Name.com xác nhận tên miền của một số khách hàng đã bị chuyển hướng trái phép vào đêm muộn ngày 30; các tên miền đã được khôi phục. Có 15 tên miền khách hàng bị ảnh hưởng, nhiều hơn 12 trang Blockaid nêu tên. Sau đó, các dự án đều nhấn mạnh một điểm quan trọng: hợp đồng thông minh không bị xâm nhập; những người mất tiền là những người đã mở trang web, kết nối ví rồi ký giao dịch trong khoảng thời gian đó.
Hiện vẫn chưa có con số thiệt hại thống nhất. The Block lần theo dữ liệu trên chuỗi và phát hiện khoảng 138.000 USD đã chảy vào ba ví của kẻ tấn công. Theo cách tính của Bitquery dựa trên số nạn nhân, 32 ví đã mất tổng cộng khoảng 202.000 USD, phần lớn đến từ một người dùng Kintsu trên Monad. Hai con số được tính theo cách khác nhau, và cả hai đều không bao gồm thiệt hại trên Solana và Aptos, nên tổng thiệt hại thực tế có thể cao hơn. Đây cũng là chỗ người dùng nhỏ lẻ dễ mắc bẫy nhất: địa chỉ trên thanh địa chỉ là chính xác, trang web trông vẫn bình thường, nhưng sơ hở thực sự nằm trong cửa sổ bật lên của ví. Kintsu đặc biệt lưu ý rằng vụ này sử dụng một dạng chữ ký cấp quyền cho ví. Ký xong đồng nghĩa với việc trao quyền thao tác tài khoản cho một hợp đồng khác; sau đó có hủy quyền token cũng không thể lấy lại được.
Có thể làm ngay ba việc. Thứ nhất, đọc kỹ từng chữ trong cửa sổ bật lên của ví trước khi ký. Việc đổi coin hay nạp tiền không cần cấp quyền sử dụng toàn bộ token, càng không cần giao cả tài khoản cho một hợp đồng khác. Nếu quyền được yêu cầu rộng hơn mức cần thiết hoặc bạn không hiểu nội dung, hãy từ chối. Thứ hai, chia tiền ra nhiều ví. Ví thường dùng để kết nối với các trang web chỉ nên giữ một khoản nhỏ; ví cất tiền thì tuyệt đối không kết nối với bất kỳ trang web nào. Dù ví dùng hằng ngày bị vét sạch, ví cất tiền vẫn an toàn. Thứ ba, nếu bạn đã kết nối với các trang này hoặc ký giao dịch trong khoảng thời gian từ đêm muộn ngày 30 đến ngày 31, trước tiên hãy làm theo hướng dẫn chính thức của dự án. Nếu đã ký cấp quyền, chỉ hủy quyền là chưa đủ; hãy chuyển số tiền còn lại sang một ví mới tạo bằng cụm từ khôi phục hoàn toàn mới. Sau sự cố, đừng tin bất kỳ ai nhắn riêng nói rằng họ có thể giúp bạn lấy lại tiền. Các dự án uy tín sẽ không chủ động nhắn riêng cho bạn, càng không bao giờ yêu cầu cụm từ khôi phục hay khóa riêng tư.
Trước khi kết nối ví, bạn có đọc kỹ dòng thông tin về quyền trong cửa sổ bật lên của ví không, hay thường bấm xác nhận luôn?
#钱包安全 #防骗 #DeFi #AnToànTênMiền
—— Tiểu Khải gà mờ web3
Những điều trên chỉ là quan điểm cá nhân của tôi, không cấu thành lời khuyên đầu tư.
Đêm muộn ngày 30 đến rạng sáng ngày 31 tháng 10, tên miền của 12 trang tài chính phi tập trung đồng loạt gặp sự cố. Công ty bảo mật Blockaid nêu tên các trang này lúc 3 giờ 16 phút UTC rạng sáng ngày 31, cho biết cả 12 đều đang đẩy đến khách truy cập cùng một bộ công cụ đánh cắp tiền mã hóa có tên Step Drainer. Trong số đó có Flap, Kintsu, Pickle Finance và Origami Finance. Điểm chung của các dự án này là tên miền đều được đăng ký tại cùng một nhà đăng ký, Name.com. Ngày 31, Name.com xác nhận tên miền của một số khách hàng đã bị chuyển hướng trái phép vào đêm muộn ngày 30; các tên miền đã được khôi phục. Có 15 tên miền khách hàng bị ảnh hưởng, nhiều hơn 12 trang Blockaid nêu tên. Sau đó, các dự án đều nhấn mạnh một điểm quan trọng: hợp đồng thông minh không bị xâm nhập; những người mất tiền là những người đã mở trang web, kết nối ví rồi ký giao dịch trong khoảng thời gian đó.
Hiện vẫn chưa có con số thiệt hại thống nhất. The Block lần theo dữ liệu trên chuỗi và phát hiện khoảng 138.000 USD đã chảy vào ba ví của kẻ tấn công. Theo cách tính của Bitquery dựa trên số nạn nhân, 32 ví đã mất tổng cộng khoảng 202.000 USD, phần lớn đến từ một người dùng Kintsu trên Monad. Hai con số được tính theo cách khác nhau, và cả hai đều không bao gồm thiệt hại trên Solana và Aptos, nên tổng thiệt hại thực tế có thể cao hơn. Đây cũng là chỗ người dùng nhỏ lẻ dễ mắc bẫy nhất: địa chỉ trên thanh địa chỉ là chính xác, trang web trông vẫn bình thường, nhưng sơ hở thực sự nằm trong cửa sổ bật lên của ví. Kintsu đặc biệt lưu ý rằng vụ này sử dụng một dạng chữ ký cấp quyền cho ví. Ký xong đồng nghĩa với việc trao quyền thao tác tài khoản cho một hợp đồng khác; sau đó có hủy quyền token cũng không thể lấy lại được.
Có thể làm ngay ba việc. Thứ nhất, đọc kỹ từng chữ trong cửa sổ bật lên của ví trước khi ký. Việc đổi coin hay nạp tiền không cần cấp quyền sử dụng toàn bộ token, càng không cần giao cả tài khoản cho một hợp đồng khác. Nếu quyền được yêu cầu rộng hơn mức cần thiết hoặc bạn không hiểu nội dung, hãy từ chối. Thứ hai, chia tiền ra nhiều ví. Ví thường dùng để kết nối với các trang web chỉ nên giữ một khoản nhỏ; ví cất tiền thì tuyệt đối không kết nối với bất kỳ trang web nào. Dù ví dùng hằng ngày bị vét sạch, ví cất tiền vẫn an toàn. Thứ ba, nếu bạn đã kết nối với các trang này hoặc ký giao dịch trong khoảng thời gian từ đêm muộn ngày 30 đến ngày 31, trước tiên hãy làm theo hướng dẫn chính thức của dự án. Nếu đã ký cấp quyền, chỉ hủy quyền là chưa đủ; hãy chuyển số tiền còn lại sang một ví mới tạo bằng cụm từ khôi phục hoàn toàn mới. Sau sự cố, đừng tin bất kỳ ai nhắn riêng nói rằng họ có thể giúp bạn lấy lại tiền. Các dự án uy tín sẽ không chủ động nhắn riêng cho bạn, càng không bao giờ yêu cầu cụm từ khôi phục hay khóa riêng tư.
Trước khi kết nối ví, bạn có đọc kỹ dòng thông tin về quyền trong cửa sổ bật lên của ví không, hay thường bấm xác nhận luôn?
#钱包安全 #防骗 #DeFi #AnToànTênMiền
—— Tiểu Khải gà mờ web3
Những điều trên chỉ là quan điểm cá nhân của tôi, không cấu thành lời khuyên đầu tư.
