Lỗ Hổng Phê Duyệt Token: Cách Kẻ Lừa Đảo Rút Cạn Ví Web3

Thủ đoạn phổ biến

• • Lừa đảo qua giao diện dApp giả mạo: Kẻ lừa đảo tạo các ứng dụng phi tập trung giả mạo các nền tảng uy tín (OpenSea, Uniswap, Aave), nhưng chuyển hướng người dùng đến hợp đồng thông minh độc hại yêu cầu phê duyệt token thay vì thực hiện chức năng được quảng cáo.
• • Kỹ thuật xã hội qua Discord/Telegram: Kẻ tấn công đăng liên kết giả trong các server cộng đồng Web3, tuyên bố có NFT độc quyền, airdrop quản trị hoặc cơ hội yield farming yêu cầu kết nối ví và phê duyệt token.
• • Tiện ích mở rộng trình duyệt ví bị xâm nhập: Tiện ích Chrome hoặc Firefox độc hại giả danh MetaMask hoặc công cụ quản lý ví, chèn yêu cầu phê duyệt giả vào các tương tác dApp hợp pháp mà người dùng không hay biết.
• • Khai thác sự nhầm lẫn của người dùng về cơ chế phê duyệt: Kẻ lừa đảo lợi dụng việc đa số người dùng không hiểu sự khác biệt giữa phê duyệt giao dịch (ký một hành động duy nhất) và phê duyệt token (cấp quyền truy cập không giới hạn trong tương lai), sử dụng ngôn ngữ kỹ thuật nghe có vẻ hợp lý trong yêu cầu.
• • Chiến dịch câu cá NFT hiếm: Kẻ tấn công tạo các nền tảng giao dịch NFT giả hoặc launchpad cung cấp bộ sưu tập hiếm, yêu cầu người dùng phê duyệt token để nhận hoặc đặt giá thầu, rồi ngay lập tức rút ví sau khi được phê duyệt.
• • Lừa đảo qua thao túng giao diện người dùng/UI/UX: dApp giả mạo hiển thị mô tả giao dịch mơ hồ ('Xác nhận Hoán đổi,' 'Bật Giao dịch') trong khi ẩn số lượng phê duyệt thực tế, thường đặt giới hạn không giới hạn (type(uint256).max) trong mã.

Cách nhận biết

• Bạn được yêu cầu phê duyệt một token cụ thể nhưng dApp lại tuyên bố cung cấp dịch vụ không liên quan (ví dụ mint NFT yêu cầu phê duyệt token quản trị mà bạn không sở hữu).
• Yêu cầu phê duyệt hiển thị số lượng giới hạn rất cao hoặc 'không giới hạn' (hiển thị dưới dạng số rất lớn hoặc MAX trong chi tiết giao dịch).
• URL giao dịch hoặc tên miền dApp bị sai chính tả nhẹ so với phiên bản chính thức (ví dụ 'uniswapp.org' thay vì 'uniswap.org').
• Bạn nhận được màn hình xác nhận giao dịch không rõ ràng về nội dung phê duyệt hoặc không khớp với hành động bạn định thực hiện.
• Số dư ví của bạn đột ngột giảm đối với các token bạn không trực tiếp chuyển đi, thường nhận thấy khi kiểm tra lịch sử ví và thấy các giao dịch bạn không khởi tạo.
• Một dApp hoặc ví hợp pháp liên tục yêu cầu bạn phê duyệt lại cùng một token, trong khi lẽ ra chỉ cần phê duyệt một lần trừ khi giới hạn đã được sử dụng hết.

Cách tự bảo vệ

• Luôn kiểm tra tên miền dApp bằng cách gõ trực tiếp vào trình duyệt thay vì nhấp vào liên kết từ mạng xã hội, Discord hoặc email — sử dụng công cụ xác minh tên miền blockchain như Revoke.cash để kiểm tra URL.
• Sử dụng dịch vụ giám sát phê duyệt token như Revoke.cash hoặc tab Approvals trên Etherscan để thường xuyên kiểm tra tất cả các phê duyệt token đang hoạt động trong ví và thu hồi quyền với các dịch vụ không còn sử dụng.
• Chỉ phê duyệt số lượng token cụ thể cần thiết cho một giao dịch thay vì cấp quyền không giới hạn; hầu hết dApp hợp pháp cho phép người dùng nhập số lượng phê duyệt tùy chỉnh.
• Kích hoạt công cụ mô phỏng giao dịch như Tenderly hoặc tính năng Simulation của Etherscan trước khi ký bất kỳ giao dịch nào để xem chính xác điều gì sẽ xảy ra (token nào sẽ di chuyển và đi đâu).
• Giữ token bạn không giao dịch thường xuyên trong ví lạnh riêng biệt (ví phần cứng như Ledger hoặc Trezor) không bao giờ kết nối với dApp, nhằm hạn chế rủi ro cho tài sản giá trị cao.
• Thực hành chiến lược 'ví phân lớp': dùng một ví với số lượng nhỏ để tương tác và thử nghiệm dApp, đồng thời giữ một ví an toàn riêng biệt cho tài sản dài hạn, giảm thiểu tổn thất nếu một địa chỉ bị xâm phạm.

Ví dụ thực tế

Câu hỏi thường gặp

Nơi báo cáo — Việt Nam

Các kênh chính thức trong khu vực của bạn để báo cáo lừa đảo này.