Lừa đảo qua quảng cáo tìm kiếm: vì sao kết quả đầu tiên có thể là giả

Kẻ lừa đảo mua quảng cáo tìm kiếm cho tên của các ví, sàn giao dịch và ứng dụng DeFi phổ biến, nên kết quả “được tài trợ” đầu tiên có thể dẫn đến một trang giả thuyết phục được dựng lên để đánh cắp cụm từ khôi phục, thông tin đăng nhập hoặc các phê duyệt ví của bạn. Thói quen an toàn nhất rất đơn giản: không bao giờ vào trang crypto qua quảng cáo, hãy dùng dấu trang của chính bạn.

Cuộc tấn công này hiệu quả vì nhắm vào khoảnh khắc tin tưởng. Bạn tìm một cái tên quen thuộc, nhấp vào kết quả đầu tiên và thấy một trang trông hoàn toàn đúng. Không có gì đáng ngờ — và đó chính là mục đích. Hướng dẫn này giải thích thủ đoạn hoạt động thế nào, trông ra sao trong thực tế và cách tự bảo vệ.

Lừa đảo qua quảng cáo tìm kiếm hoạt động thế nào, từng bước một

1. 1Kẻ lừa đảo đăng ký một tên miền gần như y hệt. Tên miền đó có thể đổi một chữ cái, thêm từ như “app” hoặc “claim”, dùng đuôi tên miền khác hoặc dùng ký tự trông giống hệt chữ cái Latin.
2. 2Chúng sao chép trang thật. Sao chép thiết kế của một ví, sàn hay ứng dụng DeFi chẳng tốn mấy công sức.
3. 3Chúng mua quảng cáo cho tên thương hiệu. Quảng cáo nhắm vào các tìm kiếm như tên ví kèm “download” hoặc tên sàn kèm “login”.
4. 4Chúng né khâu kiểm duyệt. Các thủ thuật gồm hiển thị trang vô hại cho người duyệt và trang lừa đảo cho khách truy cập thật, hoặc chuyển hướng qua nhiều tên miền.
5. 5Nạn nhân nhấp và làm theo. Trang giả yêu cầu cụm từ khôi phục để “khôi phục” ví, đánh cắp mật khẩu sàn và mã xác thực hai yếu tố, mời tải một ứng dụng độc hại hoặc yêu cầu bạn kết nối ví và ký giao dịch.
6. 6Tiền bị rút sạch. Có cụm từ khôi phục hoặc quyền chi tiêu, kẻ tấn công chuyển tài sản đi trong vài phút, thường qua mixer hoặc cầu nối.

Trang giả thường biến mất nhanh chóng và được thay bằng tên miền mới với quảng cáo mới. Chúng tôi trình bày chi tiết hơn trong Lừa đảo vay crypto.

Một ví dụ giả định

Sau đây là một kịch bản tổng hợp, mang tính minh họa — không phải vụ việc có thật.

Hãy tưởng tượng Sam muốn kiểm tra một vị thế DeFi. Sam gõ tên giao thức vào công cụ tìm kiếm và nhấp vào kết quả đầu tiên, được đánh dấu “Được tài trợ” bằng chữ nhỏ. Trang trông giống hệt ứng dụng thật. Một biểu ngữ cho biết một đợt “di chuyển bảo mật” yêu cầu người dùng kết nối lại ví. Sam kết nối và được yêu cầu ký một thông điệp trông như đăng nhập thông thường. Xem thêm: Bảo mật tài khoản email cho người dùng crypto.

Thực tế, chữ ký đó là một permit token cấp cho kẻ tấn công quyền chuyển stablecoin của Sam. Vài phút sau, số dư biến mất. Khi Sam nhìn vào thanh địa chỉ, tên miền thừa một chữ cái. Bài giải thích của chúng tôi về ice phishing và chữ ký permit cho thấy những chữ ký này hoạt động ra sao.

Danh sách dấu hiệu cảnh báo

Cách tự bảo vệ

Xây dựng thói quen truy cập an toàn

• Lưu dấu trang cho các trang chính thức một lần, sau khi đã xác minh cẩn thận, và chỉ dùng các dấu trang đó. Hướng dẫn của chúng tôi về cách xác minh một trang web là trang chính thức của dự án trình bày các bước kiểm tra.
• Cuộn qua quảng cáo với mọi tìm kiếm liên quan đến tài chính hoặc crypto. Tốt hơn nữa, hãy tránh tìm kiếm trang đăng nhập.
• Chỉ cài ứng dụng ví từ link trên trang web chính thức hoặc trang đã xác minh trong kho ứng dụng, và kiểm tra tên nhà phát triển. Xem ứng dụng ví giả để biết các dấu hiệu cảnh báo.

Giảm thiệt hại nếu lỡ sơ suất

• Dùng ví cứng hiển thị chi tiết giao dịch trên màn hình riêng của nó, và hãy đọc chúng.
• Giữ phần lớn tiền trong một ví hiếm khi kết nối với ứng dụng, và dùng ví riêng để thử nghiệm.
• Thường xuyên rà soát và thu hồi phê duyệt token.
• Dùng trình chặn quảng cáo hoặc cài đặt trình duyệt ẩn kết quả được tài trợ, nếu bạn thấy thoải mái.

Kiểm tra địa chỉ, không phải vẻ ngoài

Đọc tên miền trên thanh địa chỉ trước khi gõ bất cứ thứ gì. Một trang trông hoàn hảo chẳng chứng minh được gì; tên miền mới là điều quan trọng. Để tìm hiểu sâu hơn, xem Tấn công chuỗi cung ứng.

Việc cần làm nếu bạn đã bị lừa

1. 1Ngừng tương tác với trang và ngắt kết nối ví.
2. 2Nếu bạn đã nhập cụm từ khôi phục, hãy tạo một ví hoàn toàn mới với cụm từ khôi phục mới và chuyển ngay số tiền còn lại.
3. 3Nếu bạn đã ký một phê duyệt, hãy thu hồi bằng công cụ kiểm tra phê duyệt uy tín, rồi cân nhắc chuyển tiền sang địa chỉ mới.
4. 4Nếu bạn đã nhập thông tin đăng nhập sàn, hãy đổi mật khẩu, đặt lại xác thực hai yếu tố và liên hệ bộ phận hỗ trợ của sàn qua trang chính thức.
5. 5Lưu lại bằng chứng: quảng cáo, tên miền, mã hash giao dịch và mốc thời gian.
6. 6Báo cáo cho công cụ tìm kiếm, dự án bị mạo danh và qua biểu mẫu báo cáo lừa đảo của chúng tôi.

Hướng dẫn từng bước của chúng tôi về việc cần làm ngay khi ví bị xâm phạm trình bày chi tiết việc khắc phục. Hãy cảnh giác với bất kỳ ai liên hệ sau đó và hứa lấy lại tiền — lừa đảo khôi phục nhắm vào những nạn nhân vừa bị lừa.

Kết luận

Vị trí đầu trên kết quả tìm kiếm là thứ có thể mua được, không phải bằng chứng của sự chính danh. Kẻ lừa đảo dùng kết quả được tài trợ để đặt các trang crypto gần như y hệt trước mắt mọi người đúng vào lúc họ chuẩn bị đăng nhập hoặc kết nối ví. Hãy xác minh trang chính thức một lần, lưu dấu trang, bỏ qua hoàn toàn quảng cáo và không bao giờ gõ cụm từ khôi phục vào trang web. Những thói quen đó khiến toàn bộ loại tấn công này không còn tác dụng với bạn.