Bài kiểm tra nhỏ. Năm câu hỏi, hãy tự trả lời trong đầu trước khi đọc đáp án. Không có câu đố mẹo về từ vựng, chỉ là những tình huống thực tế thường gặp khi sử dụng ví như MetaMask, Trust Wallet hoặc Phantom.
Vì sao lại nói về chủ đề này? Vì phần lớn các ví bị rút sạch trong năm 2025 không phải do một «hacker thiên tài» gây ra. Mà là do một chữ ký. Báo cáo thường niên của Scam Sniffer ghi nhận 83,85 triệu đô la bị các «drainer» đánh cắp (những trang web lừa đảo khiến bạn ký vào thứ không nên ký) trên các mạng tương thích với Ethereum, với 106 106 nạn nhân. Vụ trộm lớn nhất năm: 6,5 triệu đô la vào tháng 9, chỉ bằng một chữ ký theo dạng Permit.
CÂU HỎI 1
Một trang web yêu cầu bạn « phê duyệt » USDT trước khi hoán đổi. Ví hiển thị « số lượng không giới hạn ». Như vậy có bình thường không?
A) Có, không rủi ro
B) Chuyện thường gặp, nhưng việc đó trao cho hợp đồng quyền chuyển TẤT CẢ USDT của bạn, ngay bây giờ và cả sau này
CÂU HỎI 2
Bạn ký một thông điệp, chứ không phải một giao dịch. Không mất phí mạng. Vậy thì không thể có gì bị chuyển đi, đúng không?
A) Đúng, không mất phí thì chẳng có gì di chuyển
B) Sai
CÂU HỎI 3
Bạn từng dùng một trang farming cách đây một năm rồi quên mất. Hôm nay trang đó bị hack. Ví của bạn có bị ảnh hưởng không?
A) Không, tôi không còn kết nối với trang đó nữa
B) Có thể, nếu quyền bạn cấp khi đó vẫn còn hiệu lực
CÂU HỎI 4
Một token lạ xuất hiện trong ví của bạn cùng với đường liên kết « nhận phần thưởng ». Bạn sẽ làm gì?
A) Tôi nhấp vào, miễn phí mà
B) Tôi bỏ qua
CÂU HỎI 5
Ví hiển thị một màn hình đầy mã khó đọc. Trang web giục bạn: « ký nhanh lên, ưu đãi sắp hết hạn ».
A) Tôi ký, trang web trông có vẻ chính thức
B) Tôi đóng tab
Đáp án đây, và đây mới là lúc mọi chuyện trở nên thú vị.
1 → B. Một quyền phê duyệt (còn gọi là « allowance ») là quyền bạn cấp cho một hợp đồng để nó thay mặt bạn sử dụng token. Nhiều ứng dụng yêu cầu quyền không giới hạn để bạn khỏi phải trả phí mỗi lần. Cách này tiện lợi miễn là hợp đồng trung thực và không bao giờ bị hack. Khi có thể, hãy chỉ cấp quyền cho đúng số lượng bạn cần.
2 → B. Đây là điều gần như chẳng ai biết. Chữ ký « Permit » và « Permit2 » là những thông điệp miễn phí để ký… nhưng chúng lại có giá trị như quyền cho phép chi tiêu. Kẻ tấn công sau đó tự trả phí và rút sạch token liên quan. Theo Scam Sniffer, Permit và Permit2 chiếm 38% tổn thất trong các vụ trộm hơn một triệu đô la năm 2025. Miễn phí không có nghĩa là vô hại.
3 → B. Quyền phê duyệt không biến mất khi bạn đóng tab. Nó vẫn được ghi trên blockchain cho đến khi bạn thu hồi. Các công cụ như trình kiểm tra quyền phê duyệt của Etherscan hoặc BscScan, hay revoke.cash, sẽ hiển thị danh sách và cho phép bạn thu hồi các quyền đó (việc này tốn một khoản phí mạng nhỏ, như vậy là bình thường).
4 → B. Các « airdrop » bất ngờ dẫn đến một trang web nhận thưởng là chiêu trò kinh điển. Token chỉ là mồi nhử, còn trang web nhằm khiến bạn ký. Chừng nào bạn chưa làm gì, token đó không thể lấy gì từ bạn.
5 → B. Tạo cảm giác cấp bách là chiêu mà kẻ lừa đảo ưa dùng nhất. Nếu bạn không hiểu mình đang ký gì thì đừng ký. Các ví đời mới ngày càng thường hiển thị cảnh báo bằng ngôn ngữ dễ hiểu: hãy đọc cảnh báo thay vì đóng nó.
Điều tôi rút ra sau khi đọc kỹ báo cáo này: tổn thất đã giảm 83% so với năm 2024, cho thấy ví và cảnh báo đang được cải thiện. Nhưng kẻ tấn công thích nghi rất nhanh. Ngay sau bản cập nhật Pectra của Ethereum, chúng đã lợi dụng EIP-7702 để gộp nhiều hành động độc hại vào một chữ ký duy nhất: hai vụ việc khiến người dùng mất 2,54 triệu đô la vào tháng 8 năm 2025. Mắt xích yếu nhất vẫn là cú nhấp thừa trên $ETH, dù là trên BNB Chain hay ở nơi khác. Trên $SOL cơ chế phê duyệt khác nhau, nhưng nguyên tắc « ký mà không đọc » vẫn khiến ví bị rút sạch theo cùng một cách.
Mẹo thiết thực: hãy giữ một ví « dùng để thử » với ít tiền để thử các ứng dụng mới, còn tiền tiết kiệm thì để ở một ví khác mà bạn gần như không bao giờ kết nối.
Vậy, bạn được mấy điểm trên 5? Còn câu 2, bạn có thật sự biết câu trả lời không?
Nguồn: Scam Sniffer, báo cáo thường niên năm 2025 về phishing trong lĩnh vực tiền mã hóa. Nội dung mang tính giáo dục, không phải lời khuyên tài chính.
#CryptoSecurity #Web3Wallet #Phishing #CryptoEducation #Binance