Cẩm nang phòng tránh lừa đảo Web3
Trên blockchain không có nhân viên hỗ trợ nào giúp bạn hoàn tác giao dịch. Hầu hết mọi người mất tiền không phải vì mật khẩu bị bẻ khóa, mà vì tự bấm xác nhận, sao chép nhầm địa chỉ hoặc tin nhầm người
Ngay cả người lâu năm cũng có lúc lỡ tay. Những thói quen dưới đây còn hữu ích hơn việc nhớ tên hàng trăm dự án
Trước tiên hãy nhớ kỹ bốn điều này; những phần sau đều là triển khai từ bốn điều đó:
Không đưa cụm từ khôi phục hay khóa riêng cho bất kỳ ai. Dù là người của dự án, nhân viên hỗ trợ, người yêu, AI hay sếp cũng không đưa. Ai đòi thì người đó đang tìm cách đánh cắp
Không hiểu chữ ký thì hãy từ chối trước. Vội vàng, tưởng trang bị treo rồi bấm thêm vài lần — đó đều là những cách sơ suất phổ biến nhất
Kiểm tra toàn bộ địa chỉ, không chỉ đầu và cuối, cũng không dựa vào tên. Tên coin có thể bị giả mạo; bốn ký tự đầu và bốn ký tự cuối cũng có thể bị giả mạo
Nếu họ yêu cầu bạn chuyển tiền trước để lấy lại tiền, hãy dừng lại. Dù là nhận thưởng, rút tiền, thu hồi, nâng cấp hay mở khóa cũng vậy
Tách riêng tiền lớn và tiền dùng hằng ngày. Để thử nghiệm, nhận airdrop hoặc dùng dự án mới, hãy dùng ví nhỏ và thay ví sau một thời gian. Tiền cần lưu trữ lâu dài nên để trong ví phần cứng hoặc trên sàn giao dịch lớn (chẳng hạn Binance); ngày thường đừng mang ra kết nối với trang web
Một. Trước hết hãy xem xét con người: người quen, nhân viên hỗ trợ, hẹn hò, tuyển dụng
Người quen đột nhiên vay tiền hoặc rủ hợp tác: Trên Telegram hay WeChat, bạn bè bất ngờ bảo bạn chuyển U hoặc nói có dự án gấp. Tài khoản của họ có thể đã bị đánh cắp, hoặc người đang liên hệ có thể dùng tài khoản giả mạo: ảnh đại diện, tên hiển thị và cách nói chuyện đều có thể bắt chước. Hãy gọi vào số bạn tự tìm được để xác nhận; nếu họ từ chối gọi thoại thì dừng lại. Nếu đối phương giục bạn "đừng nói với ai" hoặc "không tiện nói trong nhóm", càng phải dừng lại. Khi tài khoản bị đánh cắp, kẻ lừa đảo còn dùng nó để gửi tin hàng loạt, vì vậy đừng trở thành người chuyển tiếp liên kết cho người khác trước khi họ liên hệ với bạn.
Nhân viên hỗ trợ giả: Đặc biệt khi sàn giao dịch hoặc dự án gặp sự cố, có người chủ động nhắn riêng tự xưng là nhân viên chính thức, đòi mã xác minh, cụm từ khôi phục, chia sẻ màn hình hoặc yêu cầu bạn chuyển tiền đến một "địa chỉ an toàn" nào đó. Nhân viên hỗ trợ thật sẽ không chủ động nhắn riêng và không bao giờ đòi cụm từ khôi phục. Nếu cần liên hệ chính thức, hãy vào mục trợ giúp trong ứng dụng hoặc truy cập trang web chính thức từ dấu trang của bạn; đừng dùng liên kết trong tin nhắn riêng, bình luận hay email
Lừa đảo tình cảm kết hợp đầu tư: Họ trò chuyện với bạn vài tuần trên ứng dụng hẹn hò hoặc Telegram, rồi dẫn bạn vào một "nền tảng đầu tư". Ban đầu có thể rút được khoản nhỏ; khi rút khoản lớn, họ đòi phí thuế hoặc tiền bảo đảm, rồi cuối cùng trang web biến mất. Nếu họ đòi nộp thêm tiền trước khi rút, đừng nộp nữa. Dù trò chuyện đã lâu hay ảnh chụp lợi nhuận trông có thật đến đâu thì điều đó cũng không thay đổi
Tặng quà giả và giả mạo sâu: Đánh cắp hoặc giả mạo tài khoản của người nổi tiếng hay đội ngũ dự án, hoặc dùng video và giọng nói AI trong buổi phát trực tiếp để nói rằng chuyển 1 đồng thì sẽ nhận lại 2 đồng. Video và giọng nói trông giống thật cũng không chứng minh người đó thực sự đang nói
Tuyển dụng giả: Vị trí và buổi phỏng vấn đều có vẻ thật, nhưng cuối cùng họ yêu cầu bạn tải "bài tập", phần mềm họp nội bộ hoặc "ví để đánh giá năng lực". Chỉ cần tải xuống là máy có thể nhiễm mã độc. Hãy làm bài trên một máy riêng, không dùng chung máy tính với ví hoặc sàn giao dịch. Nếu đối phương yêu cầu bạn chuyển trước "phí đào tạo" hoặc "tiền đặt cọc thiết bị", hãy coi như quy trình tuyển dụng đã kết thúc
Dịch vụ thu hồi tài sản giả: Ngay sau khi bạn bị lừa, có người nói họ có thể tìm lại tài sản và yêu cầu trả trước phí dịch vụ hoặc phí luật sư. Đây là cú lừa thứ hai. Những lời mời chủ động xuất hiện trong bình luận hoặc tin nhắn riêng như "hỗ trợ tư pháp" hay "studio truy vết trên chuỗi" thì trước hết hãy mặc định là lừa đảo. Kênh chính thức sẽ không đòi trả trước bằng tiền mã hóa và cũng không đảm bảo chắc chắn sẽ thu hồi được. Coin đã chuyển đi trên chuỗi phần lớn không thể lấy lại — việc đầu tiên cần làm là hạn chế thiệt hại: thay ví đã bị lộ, thu hồi quyền, đổi mật khẩu email và sàn giao dịch. Đừng giao nốt số tiền còn lại chỉ để "thử thêm một lần nữa"
Hai. Trước hết hãy kiểm tra thiết bị và tệp: mã độc, truy cập từ xa, clipboard
Tệp nén và tệp lạ: Khi nhờ bạn xem tài liệu, ký hợp đồng hoặc đọc thông tin, họ gửi tệp nén và bảo bạn mở trên máy tính. Sau khi mở, máy tính có thể bị điều khiển từ xa; tiếp đó ví bị đánh cắp, địa chỉ trong clipboard bị thay đổi, rồi tài khoản của bạn bị dùng để gửi tin nhắn hàng loạt. Ngay cả khi người quen gửi, hãy gọi điện xác nhận trước. Đừng tải xuống, đừng chuyển tiếp. Với tài liệu công việc, hãy yêu cầu họ gửi liên kết chỉ đọc trên dịch vụ lưu trữ đám mây hoặc dùng công cụ cộng tác uy tín mà bạn quen thuộc; đừng nhấp đúp vào tệp nén, tài liệu có macro hoặc bộ cài đặt không rõ nguồn gốc
Phần mềm tải về có mã độc: Cài tiện ích mở rộng, bot giao dịch, phần mềm dịch thuật hoặc họp trực tuyến từ kết quả tìm kiếm hay quảng cáo; sau khi máy tính bị điều khiển từ xa, địa chỉ đúng bạn sao chép có thể bị thay bằng địa chỉ của kẻ lừa đảo lúc dán. Chỉ tải phần mềm từ trang web chính thức. Khi chuyển tiền, hãy xem toàn bộ địa chỉ trên màn hình ví phần cứng hoặc điện thoại, đừng chỉ nhìn dòng địa chỉ trên trình duyệt máy tính
Họp trực tuyến và hỗ trợ từ xa: Đối phương đề nghị hợp tác và yêu cầu bạn cài phần mềm họ chỉ định, hoặc AnyDesk, TeamViewer, Sunlogin, rồi nói sẽ xem ví giúp bạn từ xa. Khi chia sẻ màn hình, cụm từ khôi phục và mã xác minh đều có thể bị nhìn thấy. Đừng mở ví trong phiên truy cập từ xa của người khác, đừng đăng nhập sàn khi đang chia sẻ màn hình và đừng đọc mã xác minh thành tiếng. Nếu đối phương khăng khăng "không truy cập từ xa thì không thể tiếp tục", hãy dừng hợp tác
Chiếm quyền clipboard: Mã độc âm thầm thay địa chỉ nhận tiền khi bạn dán; bạn sao chép đúng nhưng dán vào lại thành sai. Trước khi chuyển tiền, hãy kiểm tra toàn bộ địa chỉ, không chỉ phần đầu và cuối. Kiểm tra lại trên ví phần cứng hoặc điện thoại hữu ích hơn là kiểm tra hai lần trên cùng máy tính đã nhiễm mã độc
Ví phần cứng giả: Thiết bị mua từ kênh không chính thức có thể đã được cài sẵn cụm từ khôi phục. Cũng có email yêu cầu bạn nhập cụm từ khôi phục hiện có để "nâng cấp chương trình cơ sở" — chỉ mua ví phần cứng từ trang web chính thức; ai yêu cầu cụm từ khôi phục bạn đã có đều là kẻ trộm. Nếu thiết bị mới vừa bật lên đã hiện sẵn một cụm từ khôi phục, đừng dùng; hãy trả lại
Ba. Chữ ký và quyền truy cập: Chỉ cần "bấm một cái" là có thể mất sạch
Kết nối ví thường chỉ cho trang web biết địa chỉ của bạn, bản thân thao tác đó chưa có nghĩa là bạn đã giao coin cho họ. Điều thực sự nguy hiểm là chữ ký tiếp theo hoặc yêu cầu cấp quyền đó
Ký liên tiếp: Lần đầu là thao tác nhận thưởng hoặc đăng nhập bình thường, nhưng vừa ký xong lại bật lên lần thứ hai, thứ ba. Bạn tiện tay xác nhận, thế là đã cấp quyền vô hạn. Hãy xem riêng từng cửa sổ bật lên; khi có yêu cầu ký tiếp theo thì đóng trang. Đôi khi bạn tưởng bị treo nên bấm thêm vài lần, nhưng thực ra không phải bị treo — đối phương đang chờ bạn lỡ tay.
Xác nhận chữ ký mà bạn không hiểu: Cửa sổ bật lên là một chuỗi tiếng Anh hoặc dữ liệu thập lục phân dài ngoằng, bạn đang vội nên bấm xác nhận; nhưng chữ ký bạn thực sự ký có thể là thứ giao quyền kiểm soát ví cho người khác. Không hiểu thì hãy từ chối trước. Thao tác hợp lệ có thể chờ bạn tìm hiểu. Đặc biệt, nếu thấy những từ sau, hãy dừng lại:
approve, đặc biệt nếu hạn mức là vô hạn
setApprovalForAll
Permit, Permit2
increaseAllowance
Chữ ký thông điệp thô, chẳng hạn eth_sign; ví chỉ hiển thị một chuỗi dữ liệu bạn không hiểu
Chữ ký kiểu Permit, Permit2 thường không tốn Gas và cũng không lập tức xuất hiện giao dịch chuyển tiền trong lịch sử, nên bạn sẽ nghĩ "mình chẳng mất gì cả". Kẻ xấu có thể dùng chữ ký của bạn để tự trả Gas sau đó và chuyển tiền đi. Có người chỉ bị rút tiền vài tháng sau, vì lúc ký, mọi thứ trông như chẳng gây thiệt hại gì
Cũng có kiểu gói nhiều bước vào một chữ ký: bề ngoài là nhận thưởng, nhưng bên trong đồng thời thay đổi quyền hạn tài khoản. Nếu ví có thể mô phỏng "điều gì sẽ xảy ra sau khi ký", hãy xem kết quả mô phỏng trước. Nếu mô phỏng không giải thích rõ, hoặc ví chỉ đưa cho bạn một chuỗi mã băm, hãy từ chối
Thu hồi quyền đã dùng xong: Quyền vô hạn bạn từng cấp cho sàn giao dịch phi tập trung, dự án cũ hoặc trang web không rõ nguồn gốc sẽ tiếp tục có hiệu lực cho đến khi bạn thu hồi. Giao diện dự án bị hack, hoặc bạn từng bấm vào một trang lừa đảo, đều có thể khiến kẻ xấu quay lại chuyển tiền rất lâu sau đó. Định kỳ, hãy dùng trang kiểm tra quyền tích hợp của trình khám phá blockchain hoặc công cụ kiểm tra quyền mà bạn tin cậy để thu hồi những quyền không còn dùng. Chỉ truy cập các công cụ này từ dấu trang của chính bạn, không dùng liên kết "giúp bạn kiểm tra quyền" trong nhóm chat. Việc thu hồi tốn một ít Gas, đó là bình thường
Bẫy đa chữ ký và ủy quyền tài khoản: Dưới danh nghĩa "an toàn hơn", họ yêu cầu bạn thêm ví vào ví đa chữ ký hoặc ký ủy quyền tài khoản; địa chỉ của đối phương cũng nằm trong danh sách người ký, nên ngay sau khi bạn ký, họ có thể chuyển tài sản đi. Đa chữ ký chỉ có ý nghĩa khi bạn biết rõ và đã xác minh ngoại tuyến từng người ký. Đừng ký những lời mời từ người lạ như "nâng cấp bảo mật", "ủy thác sẽ yên tâm hơn", "để tôi thêm lớp bảo vệ cho bạn"
Airdrop giả: Ví đột nhiên có thêm token lạ, hoặc có người gửi liên kết nói bạn trúng thưởng hay có airdrop chưa nhận. Bấm vào là tới trang lừa đảo; chỉ một chữ ký là ví có thể bị đánh cắp. Nếu bạn chưa đăng ký thì đừng bấm, đừng cấp quyền. Những liên kết nhận thưởng bất ngờ trong bài đăng, bình luận được ghim hoặc tin nhắn riêng thường là kiểu này
Email cũng vậy — trông có vẻ như do dự án gửi, tiêu đề ghi "Bạn có airdrop đang chờ nhận" hoặc "Sắp hết hạn nhận thưởng". Logo và bố cục có thể làm rất giống thật, nhưng đừng bấm nút trong email; hãy quay lại tài khoản chính thức của dự án và truy cập bằng dấu trang của chính bạn. Cũng cần cẩn thận với lời nhắc "bấm Verify trước" sau khi vào máy chủ Discord: bước xác minh không nên đưa bạn đến một trang web lạ yêu cầu kết nối ví và ký tên. Xác minh chính thức thường được thực hiện ngay trong quy trình của Discord
Token bụi và quảng cáo NFT: Bất kỳ ai cũng có thể tùy tiện gửi cho bạn token hoặc NFT; tên của chúng có thể chứa địa chỉ trang web, dụ bạn nhận, bán hoặc chuyển chuỗi. Đừng đổi token lạ, đừng cấp quyền và đừng bấm vào địa chỉ web trong tên token. Mặc định hãy xem số dư bất ngờ xuất hiện trong ví là mồi nhử chứ không phải vận may; chỉ cần ẩn nó đi, không cần tương tác
Bốn. Địa chỉ và tiền giả: Tên có thể đánh lừa bạn, đầu và cuối địa chỉ cũng vậy
Token giả: Trên các chuỗi như Ethereum, BSC, người ta có thể tạo token mang tên BTC, ETH hoặc USDT. Một số là token giả mạo, một số là token kiểu "chỉ mua được, không bán được". Nhiều người thấy giá cao nên đem bán rồi mắc bẫy. Tên giả, giá cũng có thể giả. Hãy kiểm tra địa chỉ hợp đồng, đừng tin tên. Sao chép địa chỉ từ trang web chính thức của dự án hoặc trang token trên trình khám phá mà bạn tin cậy; đừng sao chép từ lịch sử trò chuyện, ảnh chụp biểu đồ giá hay tin nhắn người khác chuyển tiếp
Token kiểu "chỉ mua được, không bán được": Hợp đồng cho phép bạn mua nhưng không cho bán, hoặc thuế bán cao đến mức gần như lấy sạch tiền. Trước khi mua, hãy thử bán một lượng cực nhỏ; nếu không bán được thì dừng lại, đừng mua thêm chỉ vì "đã mua rồi"
Đầu độc địa chỉ: Kẻ tấn công tạo một địa chỉ có phần đầu và cuối giống địa chỉ bạn thường dùng, rồi gửi một khoản bụi để địa chỉ đó xuất hiện trong lịch sử giao dịch. Bạn sao chép địa chỉ từ lịch sử rồi chuyển nhầm tiền. Đừng sao chép địa chỉ từ lịch sử giao dịch. Nếu chuyển khoản lớn, hãy chuyển một khoản nhỏ trước; khi nhận được rồi mới chuyển phần còn lại. Mỗi lần đều phải kiểm tra toàn bộ địa chỉ, kể cả đoạn dài ở giữa. Lưu các địa chỉ thường dùng vào sổ địa chỉ và chọn từ đó khi chuyển tiền, đừng chọn từ các giao dịch gần đây. Nếu đối phương gửi địa chỉ mới, hãy xác nhận lại bằng cách đã thống nhất trước đó, đừng chỉ tin một tin nhắn
Cuối cùng, hãy kiểm tra toàn bộ chuỗi ký tự sắp được gửi đi, tốt nhất là trên màn hình ví phần cứng
Trang web giả mạo: Tên miền chỉ khác một chữ cái hoặc dùng ký tự nước ngoài trông giống hệt; đường dẫn thường đến từ quảng cáo tìm kiếm, bình luận trên bài đăng, thông báo Discord hoặc email, nhằm lừa bạn đăng nhập, kết nối ví hoặc nhập cụm từ khôi phục. Đừng coi kết quả đầu tiên trên trang tìm kiếm hoặc kết quả có nhãn "Quảng cáo" là trang chính thức. Thỉnh thoảng, hãy mở trang web chính thức trong dấu trang để kiểm tra xem tên miền có còn là tên miền cũ không.
Cầu nối chuỗi chéo, sàn hoán đổi và mạng chính giả: Trang web được làm gần như giống hệt cầu nối hoặc sàn hoán đổi thật; bạn chỉ cần bấm hoán đổi hoặc cấp quyền là tài sản bị chuyển đi. Còn có một chiêu tinh vi hơn: đối phương tạo một mạng giả có Chain ID và tên giống mạng chính thức, rồi dựng cầu nối giả để dụ bạn chuyển tiền sang đó. Tiền sau khi chuyển sẽ nằm trên chuỗi của họ, chứ không phải mạng chính thật. Trước khi thêm mạng mới vào ví, hãy đối chiếu Chain ID và RPC với tài liệu chính thức, đừng tin tin nhắn trong nhóm chat
Năm. Dự án và lợi nhuận: Nếu mọi thứ ổn định đến mức không giống thị trường, hãy mặc định là có vấn đề
Rug Pull: Sau khi đẩy giá dự án lên cao, đội ngũ rút thanh khoản khiến giá về 0; hoặc đội ngũ từ từ bán tháo lượng token của chính họ. Hãy kiểm tra thanh khoản có bị khóa không, khóa trong bao lâu, hợp đồng có thể phát hành thêm token, đưa địa chỉ vào danh sách đen hoặc thay đổi thuế suất hay không. Nếu những quyền này đều nằm trong tay đội ngũ dự án, giá đẹp cũng không có nghĩa là bạn bán được. Nếu không hiểu hợp đồng, hãy giới hạn số tiền đầu tư và mặc định rằng giá có thể về 0.
Mô hình Ponzi hứa lợi nhuận cao: Các mô hình như giao dịch định lượng, node, pool đào coin hoặc staking cam kết kiếm tiền đều đặn mỗi ngày hoặc mỗi tuần. Tiền cho những người rút sớm thường đến từ người tham gia sau. Nếu lợi nhuận ổn định đến mức không giống thị trường, hãy coi đó là mô hình Ponzi. Giao dịch và đào coin thực sự đều có thể thua lỗ và biến động. Nếu chỉ cần tham gia là thuận lợi, nhưng rút tiền lại bị cản trở và còn phải lôi kéo người khác, thì cấu trúc đó đã nói lên vấn đề
Lừa đảo giao dịch OTC: Đối phương nhận tiền pháp định nhưng không chuyển coin, hoặc chuyển coin trước rồi đóng băng tiền pháp định của bạn. Giao dịch qua người đổi tiền trong nhóm chat không có ký quỹ; giao dịch trực tiếp còn có rủi ro về an toàn cá nhân. Nếu có thể, hãy giao dịch qua sàn uy tín. Nếu bắt buộc giao dịch OTC, hãy bắt đầu với số tiền nhỏ; đừng chuyển coin đến địa chỉ riêng của "nhân viên hỗ trợ ký quỹ" và đừng gặp người lạ ở nơi vắng vẻ — tài khoản ký quỹ của đối phương có thể thuộc cùng một nhóm với người bán
Sáu. Bản thân tài khoản: cụm từ khôi phục, API, số điện thoại
Để cụm từ khôi phục sai chỗ: Chụp ảnh màn hình rồi lưu vào thư viện, đồng bộ lên đám mây, ghi vào ứng dụng ghi chú hoặc sổ tay, hay gửi cho người khác. Chỉ cần thiết bị nhiễm virus là toàn bộ tài sản có thể bị vét sạch; tài khoản đám mây bị đánh cắp cũng dẫn đến kết quả tương tự. Chỉ ghi cụm từ khôi phục bằng tay và cất giữ ngoại tuyến. Nếu cần sao lưu, hãy chép thêm một bản và cất ở nơi khác; đừng chụp ảnh, đừng gửi vào bất kỳ cửa sổ trò chuyện nào, kể cả "Trợ lý truyền tệp" của chính bạn
Đưa khóa riêng cho AI hoặc tải lên GitHub: Dán khóa riêng vào chatbot hoặc ghi trong tệp cấu hình rồi đẩy lên kho mã — có bot chuyên quét các khóa vừa được tải lên kho mã. Nếu đã dán cụm từ khôi phục ở đâu đó, hãy coi như nó đã bị lộ: chuyển tài sản sang ví mới. Cũng nên dùng ví nhỏ để thử nghiệm và thay ví sau một thời gian. AI có thể giúp bạn xem địa chỉ hợp đồng công khai hoặc giải thích một giao dịch đang làm gì, nhưng không thể "lưu giữ", "xác minh" hay "khôi phục" cụm từ khôi phục cho bạn. Nếu một công cụ yêu cầu nhập cụm từ khôi phục mới cho tiếp tục, hãy đóng nó lại
Ví giả, tiện ích mở rộng giả: Cài ví giả mạo Binance Wallet, MetaMask, v.v. từ quảng cáo hoặc liên kết bên ngoài cửa hàng ứng dụng, rồi sau khi cài đặt, chúng yêu cầu bạn nhập cụm từ khôi phục. Chỉ cài ví từ trang web chính thức; với tiện ích mở rộng trình duyệt, hãy kiểm tra tên nhà phát triển và tên miền chính thức, đừng chỉ nhìn biểu tượng có giống hay không. Nếu đã nhập cụm từ khôi phục vào tiện ích giả, hãy coi cụm từ đó đã bị lộ và chuyển tài sản ngay lập tức
Cấp quyền API quá rộng: Để sao chép giao dịch hoặc dùng bot, bạn đưa API Key có quyền giao dịch và rút tiền cho chương trình lạ. Nếu khóa bị lộ, tài khoản có thể bị dùng để đặt lệnh hoặc chuyển tiền đi. Mặc định, API chỉ nên có quyền đọc. Nếu thực sự cần giao dịch, hãy tạo riêng một Key không có quyền rút tiền và giới hạn theo IP. Đừng gửi Key vào nhóm chat, phiếu hỗ trợ hay ảnh chụp màn hình. Không dùng bot sao chép giao dịch nào đòi quyền rút tiền
Mã xác minh SMS bị chiếm do đổi SIM: Số điện thoại bị chuyển sang SIM của người khác, email và tài khoản sàn bị đặt lại, mã xác minh được gửi đến tay đối phương. Dùng ứng dụng xác thực hoặc khóa bảo mật làm lớp xác minh thứ hai, đừng để SMS là lớp bảo vệ duy nhất. Bật các biện pháp bảo vệ bổ sung tại nhà mạng khi chuyển mạng giữ số hoặc cấp lại SIM. Bật danh sách trắng địa chỉ rút tiền trên sàn và đặt thời gian chờ trước khi địa chỉ mới có hiệu lực. Dùng mật khẩu mạnh riêng cho email, không dùng cùng mật khẩu với sàn
Bảy. Một số chiêu khác cũng rất phổ biến
Mã QR: Mã nhận tiền có thể bị tráo, mã đăng nhập có thể đưa bạn đến trang lừa đảo. Trước khi quét, hãy kiểm tra tên miền; sau khi quét, hãy xem ví yêu cầu bạn ký gì. Khi nhận tiền trực tiếp, hãy kiểm tra toàn bộ địa chỉ, đừng chỉ kiểm tra chuỗi ký tự đã bị rút gọn trên màn hình
Thông báo và bài ghim trong nhóm: Tài khoản chủ nhóm hoặc quản trị viên có thể bị đánh cắp; chỉ cần thay liên kết ghim một lần là cả nhóm có thể cùng truy cập để ký quyền độc hại. Chỉ coi thông báo là manh mối; hãy truy cập từ dấu trang chính thức
Bình luận và tài khoản lớn bị đánh cắp: Có người chuyên trả lời dưới các bài đăng nổi tiếng bằng câu "nhận thưởng chính thức". Tài khoản lớn bị đánh cắp cũng có thể đăng bài với văn phong rất giống trước đây. Chỉ nhìn xem tài khoản có dấu xác minh hay không là chưa đủ; hãy vào trang cá nhân kiểm tra tên miền liên kết và đừng thực hiện bất kỳ chữ ký nào trong phần bình luận
Người gợi ý giao dịch, tín hiệu, thầy dạy đầu tư: Ảnh chụp màn hình cam kết lợi nhuận chắc chắn rất dễ làm giả. Nếu đối phương yêu cầu bạn giao quyền rút tiền của API cho họ hoặc nạp tiền vào nền tảng họ chỉ định — hãy nhớ hai điều trên: cấp quyền ở mức thấp nhất; nếu họ đòi thêm tiền trước khi cho rút thì dừng lại
Dùng cùng một máy tính để làm việc và lưu trữ khoản tiền lớn: Bộ cài đặt lạ, phần mềm bẻ khóa và "script chạy nhiều phiên" không rõ nguồn gốc đều có thể chỉ nhằm thay đổi nội dung clipboard của bạn. Đừng để ví chứa khoản tiền lớn trên cùng thiết bị với những thứ này
Tám. Trước khi chuyển tiền và ký, hãy dành 30 giây kiểm tra những điều sau
Tôi có truy cập trang này từ dấu trang không? Nếu không, hãy đóng trang trước
Đối phương có đang đòi cụm từ khôi phục, mã xác minh, quyền truy cập từ xa hoặc yêu cầu tôi chuyển một khoản trước không? Nếu có, hãy dừng lại
Tôi có thể giải thích chữ ký này bằng một câu không? Nếu không, hãy từ chối
Vừa ký xong lại bật lên yêu cầu ký tiếp theo phải không? Nếu có, hãy đóng trang
Tôi đã kiểm tra toàn bộ địa chỉ chưa? Đầu và cuối trùng nhau không có nghĩa là đã kiểm tra xong
Số tiền có lớn không? Nếu lớn, hãy chuyển một khoản nhỏ trước; nhận được rồi mới chuyển phần còn lại
Quyền này có phải là vô hạn không? Nếu có, hãy đổi thành hạn mức vừa đủ dùng rồi thu hồi sau khi dùng xong
Đối phương có đang giục không? Càng giục càng phải chậm lại. Tiền hợp pháp sẽ không biến mất chỉ vì bạn kiểm tra thêm 30 giây
Chín. Nếu đã bấm rồi, hãy xử lý theo thứ tự này
Đừng vội tìm những lời mời "thu hồi tài sản" trong tin nhắn riêng. Hãy làm những việc sau trước:
Ngắt kết nối mạng: Nếu máy tính bị nhiễm virus, bạn đã cài phần mềm lạ hoặc bật quyền truy cập từ xa, đừng nhập thêm bất kỳ cụm từ khôi phục nào trên thiết bị đó
Dùng một thiết bị sạch khác hoặc ví phần cứng để chuyển số tài sản chưa bị chuyển đi sang một ví hoàn toàn mới. Nếu cụm từ khôi phục cũ đã từng được nhập vào trang web, gửi cho người khác hoặc lưu trên đám mây, đừng dùng tiếp
Dùng thiết bị sạch để thu hồi quyền token của địa chỉ cũ. Việc thu hồi cần chữ ký của ví cũ; hãy xác nhận rằng bạn mở công cụ từ dấu trang
Sàn giao dịch: Đổi mật khẩu ngay, đăng xuất khỏi mọi phiên đăng nhập, đặt lại API, kiểm tra danh sách trắng địa chỉ rút tiền và lịch sử rút tiền gần đây. Nếu ứng dụng xác thực có thể đã bị lộ, hãy thay ứng dụng đó
Đổi mật khẩu email và số điện thoại, đồng thời kiểm tra xem có quy tắc chuyển tiếp lạ nào không. Nếu SMS không phải phương thức xác minh duy nhất, hãy gỡ nó khỏi các tài khoản quan trọng
Hãy coi địa chỉ này là đã bị lộ. Đừng nạp thêm tiền vào đó nữa
Lưu lại mã băm giao dịch và thời gian để sau này cung cấp cho sàn giao dịch hoặc cơ quan thực thi pháp luật. Cơ hội đóng băng tài sản rất thấp, nhưng vẫn hợp lý hơn là đưa số tiền còn lại cho những kẻ "giúp thu hồi"
Hy vọng bài viết này giúp mọi người tránh được một số cạm bẫy. Bạn cũng có thể chia sẻ với bạn bè. Cảm ơn đã đọc!