Trang web bridge giả mạo: Cách dùng bridge mà không bị rút sạch ví

Trang web bridge giả mạo là bản sao na ná của một bridge xuyên chuỗi thật, lừa bạn ký một giao dịch hoặc phê duyệt token trao tiền của bạn cho kẻ tấn công. Để dùng bridge mà không bị rút sạch ví, chỉ truy cập bridge qua dấu trang đã xác minh hoặc tài liệu chính thức, kiểm tra tên miền và địa chỉ hợp đồng, đọc kỹ mọi yêu cầu của ví trước khi ký và thử trước với một số tiền nhỏ.

Bridge chuyển token từ blockchain này sang blockchain khác, chẳng hạn từ Ethereum sang một mạng layer 2. Vì người dùng thường bridge khi đang vội, chạy theo một mạng mới, một đợt airdrop hay một giao dịch, giao diện bridge là mục tiêu ưa thích của lừa đảo phishing. Hướng dẫn này giải thích cách thức lừa đảo và quy trình giúp ngăn chặn nó.

Cách một cuộc tấn công bằng bridge giả diễn ra

Hầu hết các vụ lừa đảo bằng bridge giả đều theo cùng các bước:

1. 1Bản sao. Kẻ tấn công nhân bản front end của một bridge phổ biến và đặt nó trên một tên miền chỉ khác một chữ cái, một dấu gạch ngang hoặc một đuôi tên miền khác.
2. 2Mồi nhử. Chúng quảng bá liên kết qua quảng cáo tìm kiếm trả phí, bình luận trả lời dưới bài đăng của dự án thật, tài khoản “hỗ trợ” giả hoặc thông báo rằng một mạng mới hay một đợt airdrop yêu cầu phải bridge.
3. 3Kết nối. Bạn kết nối ví. Trang web đọc số dư của bạn nên biết token nào đáng để nhắm tới.
4. 4Yêu cầu. Bạn nhấn “bridge”. Thay vì gọi hợp đồng bridge thật, trang web yêu cầu bạn phê duyệt một token cho hợp đồng của kẻ tấn công, ký một permit ngoài chuỗi hoặc gửi tiền thẳng đến địa chỉ của kẻ tấn công.
5. 5Rút sạch. Sau khi được phê duyệt, hợp đồng của kẻ tấn công rút token của bạn đi. Thường thì trang web hiển thị thông báo giả “đang bridge” để câu giờ.

Vì giao diện trông giống hệt, tên miền và yêu cầu của ví là những manh mối đáng tin cậy duy nhất của bạn. Các hướng dẫn của chúng tôi về wallet drainer và lừa đảo bằng chữ ký permit giải thích chi tiết các thủ thuật ký.

Một ví dụ giả định

Sau đây là một ví dụ tổng hợp mang tính minh họa, không phải trường hợp có thật. Hãy tưởng tượng một người dùng muốn chuyển stablecoin từ Ethereum sang một mạng layer 2 mới để đủ điều kiện nhận một đợt airdrop đang được đồn đoán. Họ tìm bridge của mạng đó, nhấn vào kết quả đầu tiên, vốn là một quảng cáo trả phí, và vào một trang trông y hệt bridge chính thức.

Họ kết nối ví và nhập số tiền. Ví hiển thị yêu cầu phê duyệt quyền truy cập “không giới hạn” vào stablecoin của họ cho một hợp đồng mà họ chưa từng thấy. Họ cho rằng điều này bình thường khi bridge và phê duyệt. Trong vòng một phút, toàn bộ số dư stablecoin bị chuyển đi, còn trang web vẫn hiển thị “đang chờ xác nhận”. Đến khi họ nhận ra việc bridge chưa bao giờ diễn ra, số tiền đã bị hoán đổi và chuyển qua nhiều địa chỉ.

Thiệt hại đến từ ba lối tắt: dùng quảng cáo tìm kiếm, bỏ qua bước kiểm tra tên miền và phê duyệt một hợp đồng lạ với hạn mức không giới hạn.

Danh sách dấu hiệu cảnh báo

Cách bridge an toàn

Áp dụng quy trình này mỗi lần:

1. 1Tìm bridge chính thức từ nguồn gốc. Vào tài liệu chính thức của mạng đích và đi theo liên kết đến bridge từ đó. Hướng dẫn của chúng tôi về cách xác minh một trang web là trang chính thức của dự án giải thích cách xác nhận bạn đang ở đúng tên miền.
2. 2Lưu dấu trang. Từ đó trở đi, hãy dùng dấu trang. Đừng bao giờ tìm kiếm bridge rồi nhấn vào quảng cáo.
3. 3Kiểm tra hợp đồng. Khi dự án công bố địa chỉ hợp đồng bridge, hãy so sánh chúng với thông tin ví hiển thị trước khi phê duyệt.
4. 4Giới hạn phê duyệt. Chỉ phê duyệt đúng số tiền bạn bridge, không phải không giới hạn, khi ví cho phép.
5. 5Gửi thử một khoản nhỏ. Bridge một khoản nhỏ trước và xác nhận rằng nó đã đến mạng đích.
6. 6Dùng một ví riêng để thử nghiệm. Một ví dùng tạm với số tiền hạn chế sẽ giới hạn thiệt hại nếu có sự cố.
7. 7Thu hồi khi xong việc. Gỡ bỏ các phê duyệt bạn không còn cần, như được mô tả trong hướng dẫn của chúng tôi về thu hồi phê duyệt token.

Để hiểu các rủi ro rộng hơn của chính các bridge, bao gồm lỗi hợp đồng thông minh, hãy đọc cách bridge tiền mã hóa giữa các blockchain một cách an toàn.

Cần làm gì nếu bạn đã dùng bridge giả

Hãy hành động nhanh:

1. 1Ngắt kết nối trang web và đóng tab.
2. 2Thu hồi phê duyệt cho mọi hợp đồng bạn đã phê duyệt, bằng một công cụ kiểm tra phê duyệt uy tín được truy cập qua dấu trang.
3. 3Chuyển tài sản còn lại sang một ví hoàn toàn mới với cụm từ khôi phục mới nếu bạn đã ký thứ gì đáng ngờ hoặc đã nhập cụm từ khôi phục.
4. 4Ghi lại chi tiết: tên miền, mã hash giao dịch và địa chỉ của kẻ tấn công.
5. 5Báo cáo cho dự án bridge thật, sàn giao dịch nơi số tiền có thể chuyển đến, và qua biểu mẫu báo cáo lừa đảo của chúng tôi để người khác được cảnh báo.

Hướng dẫn từng bước của chúng tôi về những việc cần làm ngay nếu ví của bạn bị xâm phạm trình bày đầy đủ cách xử lý. Hãy phớt lờ bất kỳ ai liên hệ đề nghị lấy lại tiền cho bạn với một khoản phí; lừa đảo khôi phục tiền nhắm vào những nạn nhân vừa bị hại. Để tìm hiểu sâu hơn, xem Lừa đảo thẻ ghi nợ tiền mã hóa và các ưu đãi thẻ giả.

Kết luận

Các trang web bridge giả mạo thành công vì chúng trông y hệt bản thật và bắt được những người đang vội. Hãy coi tên miền và yêu cầu của ví là sự thật, chứ không phải thiết kế trang. Chỉ truy cập bridge qua tài liệu chính thức và dấu trang, chỉ phê duyệt những gì cần thiết, thử với số tiền nhỏ và thu hồi phê duyệt sau đó.