Nhiều người nghĩ rằng: chỉ cần nhập đúng địa chỉ trang web và tải ứng dụng từ cửa hàng chính thức thì sẽ không bị mất tiền. Hai sự việc có thật xảy ra trong tuần này đã chứng minh điều ngược lại.

I. Chuyện gì đã xảy ra trong tuần này

1）Tên miền bị chiếm quyền: Từ đêm 30/10 đến rạng sáng 31/10, DNS của tên miền thuộc 15 dự án DeFi đăng ký tại Name.com đã bị thay đổi, bao gồm các nền tảng phát hành token trên BSC như Flap, Kintsu, FluxBeam và StonkFun. Người dùng nhập đúng địa chỉ trang web, nhưng lại truy cập vào trang giả mạo của kẻ tấn công, nơi cài công cụ đánh cắp tiền mã hóa Step Drainer. Theo thống kê của Bitquery, trong vài giờ, 32 ví trên 6 blockchain đã bị đánh cắp khoảng 200.000 USD, và mọi giao dịch đều do chính nạn nhân ký. Hợp đồng của các dự án không có vấn đề; vấn đề nằm ở “trang web”.

2）Ứng dụng giả trên App Store: Một ứng dụng giả mạo Padre, công cụ giao dịch Solana, đã được đưa lên App Store của Apple. Sau khi người dùng nhập khóa riêng tư, ví của họ bị rút sạch. Nhà điều tra on-chain Iris thống kê rằng kể từ ngày 25 tháng 10, khoảng 23.000 USD đã bị đánh cắp từ 27 ví. Kẻ tấn công còn đổi $USDC thành $SOL để tránh bị đóng băng. Padre thật chỉ có phiên bản web, hoàn toàn không có ứng dụng di động. Cùng thời điểm đó, người ta cũng phát hiện các ứng dụng đáng ngờ giả mạo những công cụ như Axiom, GMGN.

Kết luận: Địa chỉ trang web chính thức hay cửa hàng ứng dụng chính thức đều không đồng nghĩa với an toàn. Tuyến phòng thủ cuối cùng thực sự là vài giây trước khi bạn nhấn “Ký”.

II. 4 bước tự kiểm tra trước khi ký

Bước 1: Xem cửa sổ bật lên đang yêu cầu gì. Tương tác thông thường thường là swap, mint hoặc nạp tiền, với số tiền đúng như bạn dự kiến. Nếu xuất hiện approve / setApprovalForAll / permit / increaseAllowance và hạn mức cấp quyền là “không giới hạn”, hãy dừng lại trước.

Bước 2: Kiểm tra bên nhận và địa chỉ hợp đồng. Địa chỉ hợp đồng hiển thị trong cửa sổ bật lên của ví có khớp với địa chỉ được công bố trong tài liệu chính thức hoặc bài đăng ghim trên Twitter của dự án không? Nếu không khớp, hãy đóng cửa sổ.

Bước 3: Cẩn thận khi “chỉ đăng nhập” mà lại yêu cầu ký giao dịch. Kết nối ví tự nó không mất phí. Nếu một trang “nhận airdrop” hoặc “xác minh điều kiện” mà yêu cầu bạn ký giao dịch hay ký một chuỗi dữ liệu Permit khó hiểu, về cơ bản có thể xác định đó là trang lừa đảo.

Bước 4: Xem xét thời điểm. Khi dự án đột ngột thông báo “tạm ngừng sử dụng giao diện người dùng” hoặc công ty bảo mật phát cảnh báo, đừng ký bất cứ thứ gì, kể cả trên trang web bạn thường dùng. Theo dõi tài khoản chính thức của dự án và các tài khoản bảo mật như Blockaid, SlowMist hiệu quả hơn mọi mẹo khác.

III. 3 quy tắc tải ứng dụng

1. Chỉ truy cập cửa hàng ứng dụng qua liên kết trên trang web chính thức của dự án để tải ứng dụng; đừng tìm tên ứng dụng trực tiếp trong cửa hàng.

2. Kiểm tra tên nhà phát triển, lượt tải xuống và đánh giá. Nếu tên nhà phát triển không khớp hoặc có người bình luận “bị đánh cắp”, hãy xóa ứng dụng ngay.

3. Không bao giờ dùng công cụ giao dịch nào yêu cầu bạn “nhập khóa riêng tư/cụm từ khôi phục”. Nền tảng giao dịch chính thống kết nối với ví, chứ không yêu cầu khóa riêng tư của bạn.

IV. Phải làm gì nếu đã ký

1. Ngay lập tức truy cập revoke.cash hoặc trình quản lý quyền cấp phép có sẵn trong ví để thu hồi các quyền đáng ngờ (trên chuỗi $BNB , nhớ chừa lại một ít BNB để trả phí gas).

2. Nếu bạn đã nhập khóa riêng tư hoặc cụm từ khôi phục, hãy coi ví đó là đã bị xâm phạm: tạo ví mới, chuyển tài sản còn lại sang đó và không sử dụng ví cũ nữa.

3. Thu hồi quyền cấp phép chỉ có thể ngăn tài sản bị chuyển đi “sau này”; số tài sản đã bị chuyển đi thì không thể lấy lại. Hãy cảnh giác với bất kỳ ai thu phí để “giúp bạn lấy lại tiền”; đó thường là vòng lừa đảo thứ hai.

V. Một lời khuyên dành cho người mới

Hãy giữ tài sản lớn trong một chiếc ví chỉ dùng để lưu trữ, không bao giờ ký bừa; khi chơi meme coin, nhận airdrop hay mint miễn phí, hãy dùng một ví nhỏ riêng, chỉ để số tiền cần dùng cho lần đó. Như vậy, ngay cả khi một ngày nào đó bạn truy cập nhầm trang web bị chiếm quyền, thiệt hại cũng có giới hạn.

Gần đây nhiều người đang lần lượt rút tiền và chuyển ví. Trước khi chuyển, hãy kiểm tra 4 ký tự đầu và 4 ký tự cuối của địa chỉ, đừng vì vội mà bỏ qua.

DYOR, không phải lời khuyên đầu tư.

#币安陆续恢复多个资产及网络提现服务 #币安更新储备证明地址