Tác giả: imToken
Khi Tết Nguyên Đán đang đến gần, đã đến lúc tạm biệt năm cũ và đón năm mới, cũng là thời gian để suy ngẫm:
Trong năm qua, bạn có rơi vào bẫy của dự án lừa đảo (Rug Pull) khiến tiền của bạn biến mất không? Bạn có bị "mua vào và mắc kẹt" vì sự thổi phồng từ các KOL quảng bá giao dịch không? Hay bạn đã chịu tổn thất do các cuộc tấn công lừa đảo ngày càng lan tràn do vô tình nhấp vào liên kết hoặc ký hợp đồng?
Nói một cách khách quan, Tết Nguyên Đán không tạo ra rủi ro, nhưng nó có thể khuếch đại chúng—Khi tần suất dòng tiền tăng lên, khi sự chú ý bị phân tán bởi các kế hoạch nghỉ lễ và khi tốc độ giao dịch tăng nhanh, bất kỳ sai lầm nhỏ nào cũng có nhiều khả năng bị phóng đại thành thua lỗ.
Do đó, nếu bạn đang lên kế hoạch điều chỉnh vị thế và sắp xếp lại quỹ của mình trước kỳ nghỉ lễ, bạn cũng nên "kiểm tra an ninh trước kỳ nghỉ" cho ví của mình.
Bài viết này cũng sẽ bắt đầu từ một số kịch bản rủi ro thực tế và có tần suất cao, đồng thời phân loại một cách có hệ thống các thao tác cụ thể mà người dùng thông thường có thể thực hiện.
I. Cảnh giác với các chiêu trò lừa đảo "Ghép mặt bằng AI" và giả lập giọng nói
Vụ việc SeeDance 2.0 gần đây gây xôn xao dư luận một lần nữa nhắc nhở mọi người rằng trong thời đại thâm nhập nhanh chóng của Trí tuệ Nhân tạo Tổng quát (AGI), "tận mắt chứng kiến mới tin" và "nghe thấy mới tin" đang trở nên không hiệu quả.
Có thể nói rằng kể từ năm 2025, các công nghệ lừa đảo video và giọng nói dựa trên AI đã trở nên hoàn thiện hơn đáng kể, bao gồm sao chép giọng nói, ghép mặt trong video, bắt chước biểu cảm khuôn mặt theo thời gian thực và giả lập giọng điệu, tất cả đều đã bước vào "giai đoạn công nghiệp hóa" với rào cản thấp và khả năng mở rộng.
Trên thực tế, dựa trên AI, giờ đây thậm chí còn có thể tái tạo chính xác giọng nói, tốc độ nói, thói quen tạm dừng và thậm chí cả các biểu cảm vi mô của một người, điều này có nghĩa là rủi ro này đặc biệt dễ bị khuếch đại trong dịp Tết Nguyên đán.
Ví dụ, hãy tưởng tượng bạn đang trên đường về nhà hoặc đang nghỉ giải lao trong một buổi họp mặt gia đình thì một tin nhắn hiện lên trên điện thoại của bạn. Đó có thể là cuộc gọi thoại hoặc video từ một "người bạn" trong danh bạ của bạn qua Telegram hoặc WeChat, giọng điệu khẩn cấp, nói rằng tài khoản của họ bị hạn chế, họ cần quản lý lì xì (tiền mặt ảo) hoặc họ cần tạm ứng một lượng nhỏ token, yêu cầu chuyển khoản ngay lập tức. Tin nhắn thoại nghe rất tự nhiên, và video thậm chí còn cho thấy một "người thật". Khi bạn đang mải mê với kế hoạch nghỉ lễ, làm sao bạn có thể đánh giá danh tính của họ? Những năm trước, xác minh video gần như là phương pháp đáng tin cậy nhất, nhưng ngày nay, ngay cả khi người kia đang nói chuyện với bạn và bật camera, nó cũng không còn đáng tin cậy 100%. Trong bối cảnh này, chỉ dựa vào cái nhìn thoáng qua vào video hoặc tin nhắn thoại là không đủ để xác minh. Một cách tiếp cận đáng tin cậy hơn là thiết lập cơ chế xác minh với những người thân cận (gia đình, đối tác, cộng sự lâu năm) độc lập với giao tiếp trực tuyến. Điều này có thể bao gồm các mã ngoại tuyến chỉ những người đó biết, hoặc các câu hỏi chi tiết không thể suy ra từ thông tin công khai. Hơn nữa, chúng ta phải xem xét lại một rủi ro phổ biến: các liên kết được người quen chuyển tiếp. Xét cho cùng, như thường lệ, trong dịp Tết Nguyên đán, "phong bao lì xì trên chuỗi" và "phần thưởng airdrop" dễ dàng trở thành điểm khởi đầu lan truyền trong cộng đồng Web3. Nhiều người không bị lừa bởi người lạ, mà bởi những người quen tin tưởng, những người chuyển tiếp các liên kết, dẫn đến việc nhấp vào các trang xác thực được ngụy trang cẩn thận. Do đó, mọi người cần nhớ một nguyên tắc đơn giản nhưng cực kỳ quan trọng: **Không nhấp vào bất kỳ liên kết nào từ các nguồn không xác định trực tiếp thông qua các nền tảng mạng xã hội, và không bao giờ xác thực chúng, ngay cả khi chúng đến từ "người quen".** Lý tưởng nhất, tất cả các hoạt động trên chuỗi nên được thực hiện thông qua các kênh chính thức, URL đã được đánh dấu hoặc cổng thông tin đáng tin cậy, thay vì trong cửa sổ trò chuyện. II. "Dọn dẹp cuối năm" ví của bạn Nếu loại rủi ro đầu tiên đến từ sự tin tưởng được tạo ra bởi công nghệ, thì loại rủi ro thứ hai đến từ sự phơi nhiễm rủi ro tiềm ẩn tích lũy lâu dài của chính chúng ta. Như chúng ta đã biết, xác thực là cơ chế cơ bản nhất và dễ bị bỏ qua nhất trong thế giới DeFi. Khi bạn hoạt động trong một DApp, về cơ bản bạn đang trao quyền kiểm soát hợp đồng đối với một token. Đây có thể là một khoản cấp phép một lần, một số lượng không giới hạn, một hiệu lực ngắn hạn, hoặc thậm chí vẫn còn hiệu lực rất lâu sau khi bạn đã quên mất nó. Cuối cùng, nó có thể không phải là một rủi ro có hiệu lực ngay lập tức, nhưng nó là một rủi ro dai dẳng. Nhiều người dùng nhầm tưởng rằng miễn là tài sản của họ không được lưu trữ trong hợp đồng, thì sẽ không có vấn đề bảo mật nào. Tuy nhiên, trong các thị trường tăng giá, mọi người thường xuyên thử các giao thức mới khác nhau, tham gia vào airdrop, staking, khai thác và tương tác trên chuỗi, tích lũy các bản ghi ủy quyền. Khi sự hào hứng lắng xuống, nhiều giao thức không còn được sử dụng nữa, nhưng các quyền vẫn còn. Theo thời gian, các ủy quyền lịch sử dư thừa này giống như một đống chìa khóa bị bỏ quên; nếu một lỗ hổng xảy ra trong một giao thức mà bạn đã quên từ lâu, nó có thể dễ dàng dẫn đến tổn thất. Tết Nguyên đán là thời điểm thích hợp để xem xét và tổ chức lại. Tận dụng khoảng thời gian tương đối ổn định trước kỳ nghỉ để kiểm tra có hệ thống các bản ghi ủy quyền của bạn là một hành động đáng giá: Cụ thể, bạn có thể thu hồi các ủy quyền không còn được sử dụng, đặc biệt là các ủy quyền không giới hạn; sử dụng các ủy quyền có giới hạn cho số lượng tài sản lớn được nắm giữ hàng ngày, thay vì cấp quyền truy cập toàn bộ số dư vĩnh viễn; và tách biệt tài sản lưu trữ dài hạn khỏi tài sản hoạt động hàng ngày, tạo ra cấu trúc ví nóng và ví lạnh nhiều lớp. Trước đây, nhiều người dùng cần các công cụ bên ngoài (như revoke.cash) để thực hiện các kiểm tra này. Giờ đây, các ví Web3 phổ biến như imToken đã tích hợp khả năng phát hiện và thu hồi ủy quyền, cho phép người dùng xem và quản lý lịch sử ủy quyền trực tiếp trong ví. Cuối cùng, bảo mật ví không phải là không bao giờ cấp quyền, mà là nguyên tắc đặc quyền tối thiểu—chỉ cấp các quyền cần thiết tại thời điểm hiện tại và thu hồi chúng ngay lập tức khi không còn cần thiết.
III. Du lịch, Tương tác xã hội và Hoạt động hàng ngày: Đừng bỏ qua
Nếu hai loại rủi ro đầu tiên xuất phát từ việc nâng cấp công nghệ và tích lũy quyền, thì loại rủi ro thứ ba đến từ những thay đổi môi trường.
Du lịch trong dịp Tết Nguyên đán (về quê, đi du lịch, thăm họ hàng và bạn bè) thường đồng nghĩa với việc thường xuyên chuyển đổi thiết bị, môi trường mạng phức tạp và tương tác xã hội mạnh mẽ. Trong môi trường như vậy, các lỗ hổng trong quản lý khóa riêng và hoạt động hàng ngày được khuếch đại đáng kể.
Quản lý cụm từ ghi nhớ là ví dụ điển hình nhất. Việc lưu ảnh chụp màn hình các cụm từ ghi nhớ vào album ảnh trên điện thoại, bộ nhớ đám mây hoặc chuyển tiếp chúng cho chính mình qua các công cụ nhắn tin tức thời thường được thực hiện vì sự tiện lợi, nhưng trong các kịch bản di động, chính sự tiện lợi này lại là mối nguy hiểm tiềm ẩn lớn nhất.
Do đó, hãy nhớ rằng các cụm từ ghi nhớ phải được cách ly vật lý và lưu trữ mà không có bất kỳ kết nối mạng nào. Điều cốt yếu để bảo mật khóa riêng là phải ngắt kết nối khỏi mạng.
Các tình huống xã hội cũng đòi hỏi nhận thức về ranh giới. Việc hiển thị các trang tài sản lớn hoặc thảo luận về các khoản nắm giữ cụ thể trong các buổi tụ họp ngày lễ thường là vô ý, nhưng nó có thể gieo mầm cho các rủi ro trong tương lai.
Thậm chí đáng báo động hơn là các hành động sử dụng vỏ bọc "trao đổi kinh nghiệm" hoặc "hướng dẫn giảng dạy" để hướng dẫn người dùng tải xuống các ứng dụng hoặc plugin ví giả mạo. Tất cả các lần tải xuống và cập nhật ví nên được thực hiện thông qua các kênh chính thức, không phải thông qua cửa sổ trò chuyện xã hội. Hơn nữa, hãy luôn xác minh ba điều trước khi chuyển tiền: mạng, địa chỉ và số tiền. Đã có quá nhiều trường hợp các nhà đầu tư lớn (cá voi) mất đi những khoản tài sản khổng lồ do thao tác sai gây ra bởi các cuộc tấn công sử dụng địa chỉ có chữ số đầu và cuối tương tự nhau. Hơn nữa, các cuộc tấn công lừa đảo tương tự đã trở nên phổ biến trong sáu tháng qua: Tin tặc thường tạo ra một lượng lớn địa chỉ trên chuỗi với các chữ số đầu và cuối khác nhau làm cơ sở dữ liệu ban đầu. Khi một giao dịch chuyển tiền xảy ra giữa một địa chỉ và một thực thể bên ngoài, chúng ngay lập tức tìm các địa chỉ có cùng chữ số đầu và cuối trong cơ sở dữ liệu ban đầu, sau đó kích hoạt hợp đồng để thực hiện chuyển khoản liên quan, giăng một cái lưới rộng và chờ đợi mùa gặt. Bởi vì một số người dùng đôi khi sao chép trực tiếp địa chỉ mục tiêu từ bản ghi giao dịch và chỉ kiểm tra một vài chữ số đầu và cuối, họ trở thành nạn nhân của các cuộc tấn công này. Theo Yu Xian, người sáng lập SlowMist, các cuộc tấn công lừa đảo nhắm vào chữ số đầu và cuối là "một trò chơi giăng lưới rộng, hy vọng những người sẵn sàng sẽ cắn câu; đó là một trò chơi xác suất."
Do chi phí gas cực thấp, kẻ tấn công có thể đầu độc hàng trăm hoặc thậm chí hàng nghìn địa chỉ, chỉ cần chờ một vài người dùng mắc lỗi khi sao chép và dán. Một cuộc tấn công thành công duy nhất mang lại lợi ích vượt xa chi phí.
Anais
