HTTPS chỉ cho biết kết nối tới tên miền đó đã được mã hóa; nó không chứng minh tên miền thuộc dịch vụ crypto thật. Hãy xác minh chính xác tên miền đăng ký, đi từ nguồn đáng tin, chú ý cảnh báo chứng thư và lưu dấu trang sau khi kiểm chứng trước khi kết nối ví.
Hiểu các thành phần đang hoạt động#
Tên miền nhái dùng chữ bị hoán đổi, từ thêm vào, subdomain gây hiểu nhầm và ký tự quốc tế. Trang phishing hiện đại vẫn có thể lấy chứng thư TLS hợp lệ, vì vậy biểu tượng khóa chỉ là yêu cầu tối thiểu chứ không phải huy hiệu danh tính.
Khung ra quyết định#
Dùng ít nhất hai điểm neo độc lập: liên kết chính thức đã lưu trước đó cùng kho mã, trang cửa hàng ứng dụng hoặc danh mục hệ sinh thái đã xác minh. Nhiều bài đăng xã hội lặp lại cùng một liên kết không phải bằng chứng độc lập.
Kiểm tra theo trình tự có kiểm soát#
- Đọc tên miền từ phải sang trái để tìm phần đăng ký thực sự. Trong
project.example.com.attacker.tld, tên miền thuộcattacker.tld, không phảiexample.com.
- So sánh chính tả với tài liệu chính thức của dự án. Kiểm tra dấu gạch, chữ số, đuôi tên miền và ký tự giống nhau; lưu URL cùng thời gian để có thể đối chiếu.
- Mở chi tiết chứng thư nếu trình duyệt hiển thị cảnh báo. Chứng thư hết hạn, không khớp tên hoặc chuỗi tin cậy lỗi là lý do phải dừng, không phải cảnh báo để bỏ qua.
- Tránh kết quả tài trợ và liên kết rút gọn. Tự nhập tên miền hoặc mở từ dấu trang đã xác minh trước khi đăng nhập, kết nối ví hay ký.
- Lưu dấu trang sau khi xác minh độc lập. Dùng dấu trang đó cho lần sau và vẫn kiểm tra nếu trang chuyển hướng sang tên miền mới.
Những cái bẫy thường gặp#
- Nhầm
project.example.com.attacker.tldlà subdomain chính thức. Hãy xác định tên miền đăng ký ở phía ngoài cùng bên phải. - Tin tên miền vì có HTTPS. Kẻ gian cũng có thể sở hữu chứng thư hợp lệ cho tên miền của chúng.
- Bỏ qua tên miền nhái mới đăng ký. Tuổi tên miền không tự chứng minh gian lận, nhưng tên gần giống và lịch sử ngắn là tín hiệu cần xác minh thêm.
- Nhập cụm từ khôi phục vì website nói ví bị lỗi. Không website hợp pháp nào cần cụm từ để sửa hoặc đồng bộ ví.
Kết quả an toàn là tên miền bạn có thể tự xác minh và mở lại từ nguồn độc lập, không chỉ một trang hoạt động bình thường.
Xác nhận kết quả#
Đừng chỉ dựa vào giao diện hoặc biểu tượng khóa. Hãy giữ bằng chứng có thể kiểm tra sau khi đóng trang.
| Điểm kiểm tra | Bằng chứng | Điều kiện phải dừng |
|---|---|---|
| Đọc tên miền từ phải sang trái | URL chính xác khớp tài liệu chính thức | Nhầm subdomain của attacker.tld là trang chính thức |
| So sánh chính tả với tài liệu dự án | Ảnh chụp có ngày, đã che dữ liệu nhạy cảm | Chỉ tin vì website có HTTPS |
| Mở chi tiết chứng thư khi có cảnh báo | Bản ghi chứng thư và tên miền | Bỏ qua tên miền nhái mới đăng ký |
Hãy giữ URL, mã hồ sơ hoặc ảnh chụp có ngày khi hữu ích, nhưng loại bỏ cụm từ khôi phục, khóa riêng tư và mã xác thực.
Câu hỏi thường gặp#
Website phishing có thể có chứng thư hợp lệ không?
Có. Tổ chức phát hành chứng thư xác minh quyền kiểm soát tên miền, không xác minh tính hợp pháp của doanh nghiệp đứng sau.
Trình duyệt còn hiển thị biểu tượng khóa không?
Giao diện trình duyệt thay đổi, nhưng trạng thái HTTPS và cảnh báo vẫn nằm trong thông tin trang. Đừng dùng một biểu tượng làm phép kiểm tra duy nhất.
Nếu tên miền chính thức chuyển hướng thì sao?
Hãy xác nhận đích chuyển hướng qua tài liệu chính thức trước khi tin tên miền mới.
Hướng dẫn liên quan#
Nguồn tham khảo#
- Ethereum.org: Bảo mật và phòng tránh lừa đảo
- MetaMask: Bảo mật ví
- CISA: Tránh tấn công phi kỹ thuật và phishing
Cảnh báo rủi ro: Giao dịch crypto có thể không thể đảo ngược. Không bao giờ chia sẻ cụm từ khôi phục, khóa riêng tư, mật khẩu hoặc mã xác thực; luôn tự kiểm tra tên miền và yêu cầu từ ví qua kênh độc lập.
Tiêu chuẩn biên tập
Bài viết mang tính giáo dục và dựa trên nguồn đáng tin cậy. Biện pháp bảo mật, quy định của sàn và yêu cầu pháp lý có thể thay đổi; hãy kiểm tra nguồn chính thức trước khi hành động.
