Giải thích chi tiết về lừa đảo chữ ký Web3: Logic nền tảng và biện pháp phòng ngừa

Trong lĩnh vực Web3, "lừa đảo bằng chữ ký" đã trở thành một trong những thủ đoạn lừa đảo ưa thích của các hacker. Mặc dù nhiều chuyên gia an ninh và công ty ví liên tục tiến hành giáo dục cộng đồng, nhưng hàng ngày vẫn có một lượng lớn người dùng chịu thiệt hại. Một trong những nguyên nhân chính gây ra tình trạng này là phần lớn người dùng thiếu hiểu biết về cơ chế tương tác với ví, và đối với những người không có chuyên môn, việc học hỏi kiến thức liên quan lại có rào cản khá cao.

Để giúp nhiều người hiểu vấn đề này hơn, chúng tôi sẽ giải thích logic cơ bản của lừa đảo ký tên bằng cách sử dụng hình ảnh và ngôn ngữ dễ hiểu.

Hai loại thao tác ví

Khi sử dụng ví tiền điện tử, chúng ta chủ yếu thực hiện hai loại thao tác: ký và tương tác.

1. Chữ ký: Xảy ra ngoài chuỗi (off-chain), không cần phải trả phí Gas.
2. Tương tác: xảy ra trên blockchain (trên chuỗi), cần phải trả phí Gas.

Chữ ký thường được sử dụng để xác thực danh tính, chẳng hạn như đăng nhập vào một ứng dụng phi tập trung (DApp). Quá trình này sẽ không thay đổi dữ liệu hoặc trạng thái trên chuỗi khối, vì vậy không cần phải thanh toán phí.

Tương tác liên quan đến các hoạt động blockchain thực tế. Ví dụ, khi bạn thực hiện trao đổi token trên một DEX, bạn cần cấp phép cho hợp đồng thông minh của DEX sử dụng token của bạn (approve), sau đó thực hiện thao tác trao đổi thực tế. Cả hai bước này đều cần phải trả phí Gas.

Những phương pháp lừa đảo phổ biến

1. Ủy quyền lừa đảo

Đây là một phương pháp câu cá cổ điển. Hacker sẽ tạo ra một trang web giả mạo thành một dự án bình thường, dụ dỗ người dùng nhấp vào các nút như "Nhận airdrop". Thực tế, khi người dùng nhấp vào, sẽ kích hoạt một thao tác ủy quyền, cho phép hacker truy cập vào token của người dùng.

Ưu điểm: Hoạt động đơn giản và trực tiếp. Nhược điểm: Cần phải trả phí Gas, dễ khiến người dùng cảnh giác.

2. Giấy phép ký tên lừa đảo

Permit là một chức năng mở rộng của tiêu chuẩn ERC-20, cho phép người dùng ủy quyền cho người khác sử dụng token của mình thông qua chữ ký. Hacker có thể dụ dỗ người dùng ký một Permit, sau đó lợi dụng chữ ký này để chuyển nhượng tài sản của người dùng.

Ưu điểm: Không cần người dùng phải trả phí Gas, dễ bị lừa hơn. Nhược điểm: Chỉ áp dụng cho các mã token hỗ trợ chức năng Permit.

3. Lừa đảo chữ ký Permit2

Permit2 là một tính năng được một số DEX triển khai, nhằm đơn giản hóa thao tác của người dùng. Người dùng có thể ủy quyền một số tiền lớn cho hợp đồng Permit2 một lần, sau đó mỗi lần giao dịch chỉ cần ký tên, phí Gas sẽ được hợp đồng thanh toán.

Ưu điểm: Phạm vi áp dụng rộng, có thể ảnh hưởng đến một lượng lớn người dùng. Nhược điểm: Cần người dùng đã sử dụng DEX đó trước và đã cấp phép cho hợp đồng Permit2.

Biện pháp phòng ngừa

1. Nuôi dưỡng ý thức an toàn: Mỗi lần thực hiện thao tác ví, hãy kiểm tra cẩn thận thao tác mà bạn đang thực hiện.

2. Tách biệt vốn: Tách biệt số tiền lớn với ví sử dụng hàng ngày, giảm thiểu tổn thất tiềm năng.

3. Học cách nhận biết chữ ký nguy hiểm: Đặc biệt chú ý đến các yêu cầu chữ ký có các trường sau:

   • Interactive（交互网址）
   • Chủ sở hữu（địa chỉ bên được ủy quyền）
   • Spender (địa chỉ bên được ủy quyền)
   • Giá trị（số lượng ủy quyền）
   • Nonce (số ngẫu nhiên)
   • Thời hạn（过期时间）

Bằng cách hiểu được nguyên lý và hình thức của những phương thức lừa đảo này, người dùng có thể bảo vệ tài sản kỹ thuật số của mình tốt hơn. Hãy nhớ rằng, trong thế giới Web3, nhận thức về an toàn và hành động thận trọng là chìa khóa để bảo vệ tài sản.