Rủi ro của địa chỉ vanity và địa chỉ giả mạo trông giống hệt
Giải thích rủi ro của địa chỉ vanity: cách tạo địa chỉ crypto tùy chỉnh và địa chỉ giả trông giống hệt, cách kẻ lừa đảo lợi dụng chúng, lỗ hổng của trình tạo yếu và cách giữ an toàn.
Địa chỉ vanity, tức địa chỉ ví có một mẫu được chọn như tên hoặc ký tự lặp lại, mang hai rủi ro chính: nếu khóa riêng được tạo bởi một công cụ yếu hoặc không đáng tin cậy, người khác có thể tái tạo nó và đánh cắp tiền, và kẻ lừa đảo dùng chính các kỹ thuật đó để tạo địa chỉ giả trông giống hệt nhằm lừa bạn gửi crypto cho chúng. Cả hai rủi ro đều xoay quanh cách địa chỉ được tạo ra và cách bạn kiểm tra chúng.
Phần lớn mọi người chỉ liếc qua vài ký tự đầu và cuối của một địa chỉ. Kẻ tấn công biết điều này và xây dựng chiêu lừa xoay quanh thói quen đó. Hiểu cơ chế giúp bạn tránh được cả hai kiểu thất thoát.
Địa chỉ vanity được tạo ra như thế nào
Một địa chỉ crypto được suy ra từ khóa công khai, và khóa công khai lại đến từ khóa riêng. Bạn không thể chọn địa chỉ trực tiếp; bạn chỉ có thể sinh khóa ngẫu nhiên và kiểm tra xem địa chỉ thu được có khớp với mẫu của mình không.
- 1Sinh một khóa riêng ngẫu nhiên.
- 2Suy ra khóa công khai và địa chỉ.
- 3Kiểm tra xem địa chỉ có bắt đầu hoặc kết thúc bằng các ký tự bạn chọn không.
- 4Nếu không, lặp lại, thường là hàng tỷ lần.
Mỗi ký tự bổ sung bạn muốn khớp sẽ nhân khối lượng công việc lên nhiều lần, vì vậy mẫu ngắn được tìm ra nhanh còn mẫu dài cần sức mạnh tính toán khổng lồ. Độ an toàn của địa chỉ cuối cùng phụ thuộc hoàn toàn vào bước 1: khóa riêng phải đến từ nguồn ngẫu nhiên mạnh. Chúng tôi trình bày chi tiết hơn trong bài Cách nhận biết ứng dụng crypto giả trên kho ứng dụng.
Rủi ro 1: Trình tạo vanity yếu
Nếu một trình tạo đi đường tắt về tính ngẫu nhiên để chạy nhanh hơn, các khóa “ngẫu nhiên” có thể đến từ một tập khả năng nhỏ hơn nhiều. Kẻ tấn công hiểu được đường tắt đó có thể dò trong tập nhỏ hơn ấy và khôi phục khóa riêng.
Đây không phải là lý thuyết. Năm 2022, một lỗ hổng đã được công bố công khai trong Profanity, một công cụ tạo địa chỉ vanity Ethereum phổ biến, cho thấy khóa của nó có thể bị dò ra bằng brute force. Sau đó, tiền đã bị rút sạch khỏi các địa chỉ tạo bằng công cụ này, trong đó có vụ trộm được đưa tin rộng rãi nhắm vào công ty giao dịch Wintermute, được cho là liên quan đến một địa chỉ vanity. Bài học: địa chỉ vanity chỉ an toàn ngang với đoạn mã đã tạo ra nó.
Các rủi ro khác từ trình tạo gồm:
- Trình tạo trực tuyến tạo khóa trên máy chủ, nơi nhà vận hành có thể giữ một bản sao.
- Dịch vụ “khóa tách đôi” (split-key) được triển khai sai, khiến nhà cung cấp có thể tái dựng khóa của bạn.
- Công cụ không còn được bảo trì với các lỗi đã biết nhưng không ai sửa.
Rủi ro 2: Địa chỉ giả trông giống hệt và đầu độc địa chỉ
Kẻ lừa đảo dùng cách tạo địa chỉ kiểu vanity cho một mục đích khác: sao chép phần nhìn thấy được trong các địa chỉ của bạn.
Đây là cách một cuộc tấn công đầu độc địa chỉ diễn ra:
- 1Kẻ tấn công theo dõi blockchain để tìm các ví đang hoạt động và những địa chỉ mà các ví đó thường gửi tiền tới.
- 2Chúng tạo một địa chỉ giả khớp với vài ký tự đầu và cuối của một trong các địa chỉ đó.
- 3Chúng gửi cho bạn một giao dịch giá trị 0, một giao dịch rất nhỏ hoặc một lệnh chuyển token giả từ địa chỉ giả, để nó xuất hiện trong lịch sử giao dịch của bạn.
- 4Sau đó, bạn sao chép một địa chỉ từ lịch sử để thanh toán và chọn nhầm địa chỉ giả.
- 5Tiền của bạn đi đến kẻ tấn công, và giao dịch trên blockchain không thể đảo ngược.
Hướng dẫn chi tiết của chúng tôi về các cuộc tấn công đầu độc địa chỉ trình bày các biến thể của chiêu lừa này.
Một ví dụ tổng hợp (giả định)
Đây là một ví dụ hư cấu. Hãy hình dung “Leo” thường xuyên gửi stablecoin đến địa chỉ nạp tiền trên sàn của mình, bắt đầu bằng “0x7a3f” và kết thúc bằng “c91e”. Một ngày nọ, trong lịch sử ví của anh xuất hiện một lệnh chuyển 0 token từ một địa chỉ cũng bắt đầu bằng “0x7a3f” và kết thúc bằng “c91e”, nhưng phần giữa có các ký tự khác. Một tuần sau, Leo mở lịch sử, sao chép địa chỉ gần nhất trông có vẻ khớp, kiểm tra bốn ký tự đầu và bốn ký tự cuối rồi gửi một khoản lớn. Số tiền đó đến tay kẻ lừa đảo.
Danh sách dấu hiệu cảnh báo
- Các giao dịch giá trị 0 hoặc giao dịch bụi (dust) từ địa chỉ lạ trong lịch sử của bạn.
- Token lạ được “gửi” từ một địa chỉ giống với địa chỉ bạn dùng.
- Một địa chỉ khớp ở hai đầu nhưng khác ở giữa.
- Một trang web hoặc một người đề nghị tạo địa chỉ tùy chỉnh “giúp bạn”.
- Một công cụ vanity mã nguồn đóng, không được bảo trì hoặc được quảng cáo rầm rộ.
- Áp lực phải gửi nhanh, không có thời gian cho giao dịch thử.
Cách tự bảo vệ
| Tình huống | Cách làm an toàn |
|---|---|
| Gửi cho người nhận thường xuyên | Lưu địa chỉ một lần vào sổ địa chỉ của ví sau khi đã xác minh; gửi từ đó |
| Sao chép địa chỉ | Sao chép từ yêu cầu đã xác minh của người nhận hoặc sổ địa chỉ của bạn, không bao giờ từ lịch sử giao dịch |
| Kiểm tra địa chỉ | So sánh toàn bộ địa chỉ, hoặc ít nhất nhiều ký tự ở đầu, giữa và cuối |
| Giao dịch lớn | Gửi một khoản thử nhỏ trước và xác nhận đã nhận được |
| Dùng ví cứng | Xác minh toàn bộ địa chỉ trên màn hình thiết bị trước khi phê duyệt |
| Muốn có địa chỉ vanity | Dùng phần mềm mã nguồn mở đã được kiểm định kỹ trên thiết bị ngoại tuyến của chính bạn, hoặc bỏ qua |
Hướng dẫn của chúng tôi về cách xác minh địa chỉ ví trước khi gửi đưa ra quy trình từng bước. Một số ví cũng ẩn hoặc gắn cờ các giao dịch giá trị 0; hãy bật các bộ lọc đó nếu có.
Phải làm gì nếu điều đó đã xảy ra
- Nếu bạn đã gửi tiền đến địa chỉ giả: nhìn chung bạn không thể đảo ngược. Ghi lại mã hash giao dịch, báo cáo địa chỉ với nhà cung cấp ví và sàn liên quan, đồng thời báo cáo qua trang báo cáo lừa đảo của chúng tôi. Nếu tiền đến một sàn giao dịch, sàn đó có thể can thiệp.
- Nếu địa chỉ vanity của bạn được tạo bằng công cụ yếu: hãy chuyển tiền ngay sang một ví mới được tạo bằng phần mềm tiêu chuẩn đã được kiểm định kỹ, sau đó thu hồi các quyền phê duyệt token từ địa chỉ cũ.
- Nếu bạn nghi ngờ khóa của mình đã bị lộ: hãy làm theo hướng dẫn cần làm gì ngay khi ví bị xâm phạm.
Hãy cảnh giác với bất kỳ ai liên hệ và hứa lấy lại tiền cho bạn để đổi lấy một khoản phí; đó là chiêu lừa đảo tiếp nối phổ biến.
Kết luận
Địa chỉ vanity chỉ mang tính thẩm mỹ, nhưng rủi ro phía sau là có thật: trình tạo yếu có thể làm lộ khóa riêng của bạn, và chính những mẹo khớp mẫu đó cho phép kẻ lừa đảo tạo ra địa chỉ trông giống địa chỉ của bạn. Chỉ tạo khóa bằng phần mềm đáng tin cậy, sao chép địa chỉ từ nguồn đã xác minh, kiểm tra toàn bộ chuỗi và dùng giao dịch thử cho các khoản lớn.
Câu hỏi thường gặp
Địa chỉ vanity trong crypto là gì?
Địa chỉ vanity là địa chỉ ví chứa một mẫu được chọn, chẳng hạn một từ hoặc một chuỗi ký tự lặp lại, thường ở đầu hoặc cuối. Nó được tạo ra bằng cách sinh số lượng cực lớn cặp khóa cho đến khi một cặp cho ra địa chỉ khớp với mẫu. Nó hoạt động như mọi địa chỉ khác, nhưng cách nó được tạo ra lại rất quan trọng đối với bảo mật.
Dùng địa chỉ vanity có an toàn không?
Có thể an toàn, nếu khóa riêng được tạo bằng nguồn ngẫu nhiên mạnh trên thiết bị của chính bạn với phần mềm đã được kiểm định kỹ. Chúng trở nên nguy hiểm nếu bạn dùng trình tạo trực tuyến, một bên thứ ba có thể giữ bản sao khóa, hoặc công cụ có bộ sinh số ngẫu nhiên yếu. Tiền trong những địa chỉ như vậy có thể bị đánh cắp bất cứ lúc nào.
Lừa đảo bằng địa chỉ trông giống hệt hoạt động như thế nào?
Kẻ lừa đảo tạo ra các địa chỉ có vài ký tự đầu và cuối giống với một địa chỉ bạn dùng, rồi gửi cho bạn một giao dịch rất nhỏ hoặc có giá trị bằng 0 để địa chỉ giả của chúng xuất hiện trong lịch sử của bạn. Nếu sau đó bạn sao chép địa chỉ từ lịch sử thay vì từ một nguồn đáng tin cậy, bạn có thể gửi tiền cho kẻ lừa đảo.
Làm sao tránh gửi crypto đến địa chỉ giả trông giống hệt?
Hãy sao chép địa chỉ từ nguồn đáng tin cậy như sổ địa chỉ đã lưu hoặc yêu cầu đã được xác minh của người nhận, không phải từ lịch sử giao dịch. So sánh toàn bộ địa chỉ, không chỉ phần đầu và cuối, và gửi một khoản thử nhỏ với các giao dịch lớn. Ví cứng cho phép bạn xác nhận toàn bộ địa chỉ trên một màn hình riêng.