Wallet drainer: Cách các phê duyệt độc hại đánh cắp tiền mã hóa của bạn
Wallet drainer lừa bạn ký các phê duyệt cho phép kẻ tấn công rút sạch ví của bạn. Tìm hiểu cách drainer hoạt động, các dấu hiệu cảnh báo và cách tự bảo vệ.
Wallet drainer là một trang web hoặc đoạn mã độc hại lừa bạn ký các giao dịch hoặc thông điệp trao cho kẻ tấn công quyền di chuyển token và NFT của bạn, rồi dùng chính quyền đó để rút sạch ví của bạn. Kẻ tấn công không bao giờ cần cụm từ khôi phục của bạn; chữ ký của chính bạn đã làm thay việc đó.
Drainer đứng sau nhiều khoản thiệt hại được báo cáo sau các đợt airdrop giả, mint giả và các tài khoản mạng xã hội của dự án bị hack. Chúng từng được bán dưới dạng bộ công cụ dựng sẵn, đôi khi được gọi là “drainer-as-a-service”, nghĩa là ngay cả kẻ lừa đảo không có kỹ năng cũng có thể triển khai. Hiểu rõ mình đang ký gì là cách phòng vệ tốt nhất.
Phê duyệt token hoạt động như thế nào (và vì sao drainer ưa chuộng chúng)
Trên Ethereum và các chuỗi EVM khác, ứng dụng phi tập trung không thể tự di chuyển token của bạn. Trước tiên bạn cấp một phê duyệt: quyền cho một hợp đồng cụ thể chi tiêu một token cụ thể thay mặt bạn, tối đa đến một số lượng nhất định. Các DEX và giao thức cho vay cần điều này để hoạt động.
Vấn đề là nhiều ứng dụng yêu cầu phê duyệt không giới hạn cho tiện, và phê duyệt vẫn còn hiệu lực cho đến khi bạn thu hồi. Drainer chỉ đơn giản yêu cầu bạn phê duyệt hợp đồng của nó thay vì một hợp đồng hợp pháp. Khi bạn đã ký, kẻ tấn công có thể thực hiện chuyển tiền bất cứ lúc nào.
Với NFT, cơ chế tương đương là setApprovalForAll, cho phép một operator di chuyển mọi NFT bạn sở hữu trong một bộ sưu tập. Các sàn giao dịch NFT dùng nó một cách hợp pháp; drainer dùng nó để lấy cả bộ sưu tập cùng lúc. Để tìm hiểu sâu hơn, xem Lừa đảo tiền mã hóa trên Instagram và TikTok.
Các loại chữ ký drainer sử dụng
| Loại yêu cầu | Trông như thế nào | Vì sao nguy hiểm |
|---|---|---|
| Phê duyệt token | “Cho phép trang này chi tiêu USDC của bạn” | Trao cho bên chi tiêu quyền đối với token đó |
| Phê duyệt tất cả NFT | “Cấp quyền truy cập toàn bộ NFT của bạn trong bộ sưu tập này” | Cho phép operator chuyển mọi NFT trong bộ sưu tập đó |
| Chữ ký Permit hoặc Permit2 | Một thông điệp cần ký, thường không tốn phí gas | Một phê duyệt ngoài chuỗi mà kẻ tấn công có thể gửi lên sau |
| Chuyển trực tiếp | Nút “Nhận” nhưng thực chất gửi tài sản ra ngoài | Trộm cắp tức thì đội lốt việc nhận thưởng |
| Ký mù | Dữ liệu hex không đọc được | Bạn không thể biết mình đang ủy quyền cho việc gì |
Chữ ký không tốn gas đặc biệt dễ gây nhầm lẫn. Vì không mất phí, mọi người cho rằng đó chỉ là thao tác “đăng nhập” vô hại. Một số đúng là như vậy. Số khác là permit cho phép chi tiêu. Bài viết của chúng tôi về ice phishing và chữ ký permit giải thích chi tiết về chúng.
Một cuộc tấn công drainer thường diễn ra thế nào
- 1Mồi nhử. Một đường link đến qua thông báo airdrop giả, phần trả lời dưới bài đăng chính thức, máy chủ Discord bị hack, quảng cáo tìm kiếm được tài trợ hoặc tin nhắn trực tiếp đề nghị “hỗ trợ”.
- 2Trang web thuyết phục. Trang sao chép thiết kế của một dự án thật và yêu cầu bạn kết nối ví.
- 3Quét tài sản. Mã drainer kiểm tra số dư của bạn và yêu cầu phê duyệt cho những tài sản giá trị nhất trước.
- 4Chữ ký. Các yêu cầu được trình bày là “nhận”, “xác minh”, “mint” hoặc “đồng bộ”, kèm sự gấp gáp như đồng hồ đếm ngược.
- 5Quét sạch. Tài sản bị chuyển đi, thường chỉ trong vài giây, rồi nhanh chóng được hoán đổi hoặc chuyển qua cầu nối để khó truy vết.
Vì sao drainer lừa được cả người dùng có kinh nghiệm
Drainer không dựa vào những trang web giả lộ liễu. Nhiều cuộc tấn công bắt đầu từ tài khoản bị chiếm quyền của một dự án thật, nên thông báo trông như thật vì nó được đăng từ chính tài khoản thật. Số khác xuất hiện đúng lúc một đợt airdrop hoặc mint thật đang hot, khi mọi người đã sẵn sàng ký giao dịch và vội vàng để không bị lỡ. Bài liên quan: Tấn công SIM swap. Nếu muốn tìm hiểu thêm, hãy đọc Lừa đảo di chuyển token và swap giả.
Các yêu cầu của ví cũng trông giống nhau dù bạn đang phê duyệt một DEX đáng tin cậy hay một hợp đồng drainer. Sự khác biệt nằm ở chi tiết: địa chỉ bên chi tiêu, token và số lượng. Người dùng có kinh nghiệm sập bẫy khi thói quen lấn át và họ bấm “xác nhận” như đã làm cả trăm lần trước đó. Chúng tôi trình bày chi tiết hơn trong Tiện ích trình duyệt độc hại đánh cắp tiền mã hóa. Bài liên quan: Bảo mật tài khoản email cho người dùng tiền mã hóa.
Dấu hiệu cảnh báo trước khi ký
- Bạn đến trang qua tin nhắn riêng, phần trả lời, quảng cáo hoặc một đường link bạn không tự tìm.
- Trang yêu cầu phê duyệt một token mà bạn không định giao dịch.
- Số lượng phê duyệt là không giới hạn, hoặc địa chỉ bên chi tiêu lạ lẫm.
- Bạn được yêu cầu ký một thông điệp không đọc được, hoặc ví cảnh báo về ký mù.
- Có sức ép: “quyền nhận hết hạn sau 10 phút”, “ví của bạn sẽ bị đình chỉ”.
- Tên miền hơi sai lệch, mới đăng ký hoặc dùng đuôi bất thường. Xem trang web lừa đảo tiền mã hóa.
Cách tự bảo vệ
- 1Dùng ví burner cho các đợt mint mới, airdrop và ứng dụng lạ, chỉ để trong đó những gì bạn cần. Giữ tài sản dài hạn trong một ví riêng hiếm khi kết nối với bất cứ đâu. Hướng dẫn của chúng tôi về ví burner giải thích cách thiết lập.
- 2Đọc mọi yêu cầu. Kiểm tra hành động, token, số lượng và bên chi tiêu trước khi ký. Nếu không hiểu, hãy từ chối.
- 3Ưu tiên phê duyệt có giới hạn khi ví cho phép bạn đặt số lượng tùy chỉnh.
- 4Bật tính năng xem trước giao dịch hoặc mô phỏng trong ví nếu có; chúng cho thấy những gì sẽ rời khỏi ví của bạn.
- 5Thu hồi thường xuyên. Rà soát và xóa các phê duyệt cũ. Hướng dẫn từng bước của chúng tôi về cách thu hồi phê duyệt token chỉ cho bạn cách làm.
- 6Truy cập trực tiếp. Gõ các URL bạn biết hoặc dùng dấu trang đã lưu thay vì bấm vào đường link.
Nếu bạn nghĩ ví mình đã bị rút sạch
Hãy hành động nhanh, vì kẻ tấn công thường quay lại lấy nốt tài sản còn lại:
- Thu hồi mọi phê duyệt mà bạn không nhận ra.
- Chuyển số tiền còn lại sang một ví hoàn toàn mới với cụm từ khôi phục mới, đặc biệt nếu bạn từng nhập cụm từ khôi phục ở bất kỳ đâu.
- Ghi lại mã hash giao dịch, địa chỉ của kẻ tấn công và URL của trang web.
- Báo cáo trang web và các địa chỉ, chẳng hạn qua biểu mẫu báo cáo lừa đảo của chúng tôi, và cho nền tảng nơi bạn tìm thấy đường link.
- Phớt lờ bất kỳ ai đề nghị lấy lại tiền với một khoản phí; lừa đảo thu hồi tiền nhắm vào những nạn nhân vừa bị hại.
Xem thêm danh sách kiểm tra của chúng tôi về những việc cần làm ngay nếu ví của bạn bị xâm phạm.
Kết luận
Wallet drainer không phá vỡ mật mã của ví bạn; chúng khiến chính bạn ủy quyền cho vụ trộm. Hãy coi mọi chữ ký là một lần có thể trao quyền kiểm soát, giữ tài sản giá trị trong một ví không bao giờ chạm vào các trang web lạ và dọn dẹp phê duyệt thường xuyên. Chậm lại ba mươi giây trước khi ký là công cụ bảo mật hiệu quả nhất mà bạn có.
Câu hỏi thường gặp
Wallet drainer có thể đánh cắp cụm từ khôi phục của tôi không?
Thường là không. Hầu hết drainer không bao giờ nhìn thấy cụm từ khôi phục của bạn. Chúng lừa bạn ký các phê duyệt hoặc giao dịch chuyển tiền cho phép chúng di chuyển token của bạn. Một số trang lừa đảo cũng đòi trực tiếp cụm từ khôi phục, đó là một kiểu lừa đảo khác: không trang web hợp pháp nào cần đến nó.
Thu hồi phê duyệt có lấy lại được số tiền bị đánh cắp không?
Không. Thu hồi sẽ xóa quyền để kẻ tấn công không thể lấy thêm token đã được phê duyệt, nhưng những gì đã bị chuyển đi thì đã mất. Hãy thu hồi ngay khi phát hiện vấn đề, rồi chuyển tài sản còn lại sang ví mới nếu bạn đã ký bất cứ thứ gì đáng ngờ.
Ví cứng có bảo vệ khỏi drainer không?
Một phần. Ví cứng giữ khóa riêng của bạn ngoại tuyến, nhưng nếu bạn chấp thuận một yêu cầu độc hại trên thiết bị, nó vẫn sẽ ký. Ví cứng hữu ích nhất khi bạn đọc những gì thiết bị hiển thị và từ chối mọi thứ bạn không hiểu.
Tại sao ví của tôi bị rút sạch vài ngày sau khi tôi truy cập một trang web?
Có thể trước đó bạn đã ký một phê duyệt hoặc permit vẫn còn hiệu lực. Kẻ tấn công có thể chờ và dùng quyền đó sau, chẳng hạn khi số dư của bạn tăng lên. Vì vậy việc thường xuyên rà soát và thu hồi các phê duyệt cũ rất quan trọng. Các permit đã ký cũng có thể còn hiệu lực đến hạn chót của chúng.