Website crypto giả có thể sao chép giao diện của sàn, ví hoặc trang nhận token thật nhưng dùng tên miền gần giống. Trước khi đăng nhập, tải phần mềm, kết nối ví hay ký bất kỳ yêu cầu nào, hãy kiểm tra toàn bộ tên miền qua một nguồn chính thức độc lập. Biểu tượng ổ khóa không chứng minh trang đó là thật.
Hiểu trang giả đang muốn lấy gì#
Các trang phishing tiền mã hóa được tạo cho nhiều mục tiêu. Một số thu thập thông tin đăng nhập sàn và mã dùng một lần. Một số khác yêu cầu seed phrase với lý do “đồng bộ ví”. Công cụ rút cạn ví Web3 có thể cho kết nối bình thường, rồi đưa ra quyền phê duyệt hoặc chữ ký cho phép di chuyển tài sản.
Chất lượng hình ảnh của trang là bằng chứng yếu. Kẻ tấn công có thể sao chép logo, nội dung, hệ thống thiết kế và cả bài viết trung tâm trợ giúp. Bằng chứng đáng tin cậy nằm ở tên miền, đơn vị phát hành phần mềm, dữ liệu giao dịch và con đường bạn dùng để truy cập.
Đọc hostname từ phải sang trái#
Trong support.example.com, tên miền đăng ký là example.com; “support” chỉ là tên miền phụ. Trong example.com.security-check.net, tên miền kiểm soát trang là security-check.net, không phải example.com.
Hãy để ý:
- lỗi chính tả, ký tự thay thế và từ được thêm vào;
- đuôi tên miền quốc gia hoặc đuôi chung không quen thuộc;
- tên thương hiệu nằm trong subdomain của một website không liên quan;
- URL rút gọn che giấu đích đến;
- quảng cáo tìm kiếm xuất hiện phía trên kết quả thật;
- ký tự quốc tế trông giống chữ Latin.
HTTPS chỉ có nghĩa kết nối tới đúng tên miền trên thanh địa chỉ được mã hóa. Kẻ lừa đảo vẫn có thể nhận chứng chỉ TLS hợp lệ cho tên miền giả của họ. Cảnh báo chứng chỉ là dấu hiệu nghiêm trọng, nhưng không có cảnh báo cũng không đồng nghĩa website được xác thực.
Xác minh website chính thức qua tuyến truy cập độc lập#
Không dùng thông tin trong chính tin nhắn đã gửi liên kết để xác minh liên kết đó. Hãy mở dấu trang đã lưu, tự gõ địa chỉ từng kiểm tra, dùng ứng dụng di động chính thức hoặc đối chiếu tên miền qua nhiều kênh lâu năm của dự án.
Nếu nhận cảnh báo bảo mật về sàn, hãy tự mở sàn và kiểm tra thông báo bên trong tài khoản. FBI khuyên người nhận cuộc gọi hoặc tin nhắn khẩn cấp tự xưng là sàn nên kết thúc liên lạc, rồi liên hệ doanh nghiệp qua số điện thoại hoặc website chính thức thay vì nhấp liên kết của người gửi.
Dừng lại khi website đòi một bí mật không thể cần đến#
Không ứng dụng phi tập trung bình thường nào cần cụm từ khôi phục hoặc khóa riêng thô. Các bí mật này phục hồi hoặc kiểm soát ví; chúng không phải thông tin dùng để kết nối.
Các yêu cầu có rủi ro cao khác gồm:
- cài phần mềm điều khiển máy tính từ xa để “hỗ trợ”;
- tắt phần mềm chống virus hoặc bỏ qua cảnh báo trình duyệt;
- tải bản cập nhật ví không ký từ dịch vụ chia sẻ tệp;
- nhập liên tiếp nhiều mã MFA;
- gửi một “giao dịch xác minh” để bảo vệ tài khoản;
- ký ngay thông điệp không đọc được để tránh bị đình chỉ.
Sự khẩn cấp là một phần của cuộc tấn công. Quy trình bảo mật hợp lệ phải cho bạn đủ thời gian để xác minh độc lập.
Kiểm tra yêu cầu trong ví tách biệt với giao diện website#
Tên miền thật vẫn có thể bị xâm nhập; giao diện giả vẫn có thể gửi một giao dịch hợp lệ về mặt kỹ thuật. Trước khi ký, hãy đọc yêu cầu trong ví và xác định blockchain, hợp đồng, tài sản, số lượng cùng phạm vi quyền.
Từ chối các yêu cầu Approve, Permit, SetApprovalForAll, đổi chủ sở hữu hoặc chữ ký phạm vi rộng mà bạn không dự kiến. Dùng ví tương tác số dư thấp cho website chưa quen. Nếu chỉ cần xem số dư, hãy ưu tiên trình khám phá blockchain không cần kết nối ví.
Làm gì sau khi đã truy cập trang nghi phishing?#
Chỉ tải trang thường không tự chuyển tài sản, nhưng tệp tải xuống, thông tin đăng nhập, chữ ký và quyền phê duyệt tạo ra các mức phơi nhiễm khác nhau.
- Đóng trang và không quay lại qua liên kết đáng ngờ.
- Nếu đã nhập thông tin đăng nhập, hãy bảo vệ email khôi phục, đổi mật khẩu qua website chính thức và thu hồi các phiên.
- Nếu đã nhập mã MFA, coi phiên đăng nhập có thể đã bị chiếm và liên hệ hỗ trợ chính thức.
- Nếu ví đã ký quyền phê duyệt, kiểm tra và thu hồi hạn mức.
- Nếu đã nhập seed phrase, tạo ví với cụm từ mới và chuyển tài sản còn lại.
- Lưu URL, tin nhắn, mã giao dịch và địa chỉ nhận để báo cáo.
Câu hỏi thường gặp#
HTTPS có nghĩa website crypto an toàn không?
Không. HTTPS bảo vệ dữ liệu trên đường truyền tới tên miền hiển thị. Nó không chứng minh tên miền thuộc doanh nghiệp thật.
Chỉ kết nối ví có làm ví bị rút sạch không?
Kết nối thường chỉ làm lộ địa chỉ công khai. Mất tài sản thường cần chữ ký, quyền phê duyệt, khóa bị lộ hoặc lỗ hổng ví/phần mềm. Tuy nhiên, nếu trang đáng ngờ, hãy ngắt kết nối và kiểm tra lại quyền.
Kết quả tìm kiếm đầu tiên luôn là trang chính thức?
Không. Quảng cáo, thao túng xếp hạng và đoạn trích sao chép có thể đưa trang giả lên vị trí nổi bật. Hãy xác minh hostname độc lập.
Có nên dùng công cụ kiểm tra tuổi tên miền?
Đó có thể là một tín hiệu, nhưng tên miền cũ có thể bị chiếm và dự án hợp lệ mới có thể dùng tên miền gần đây. Không để tuổi tên miền lấn át việc xác minh trực tiếp và đọc giao dịch.
Nguồn tham khảo#
- CISA: Hướng dẫn phòng chống phishing
- FBI IC3: Kẻ lừa đảo giả mạo sàn tiền mã hóa
- Ethereum.org: Bảo mật và phòng tránh lừa đảo
- Trezor: Các hình thức lừa đảo và phishing phổ biến
Cảnh báo rủi ro: Kiểm tra tên miền giúp giảm rủi ro nhưng không thể chứng minh website, giao diện hay hợp đồng thông minh an toàn. Hãy xác minh cả tuyến truy cập và phạm vi quyền được yêu cầu.
Tiêu chuẩn biên tập
Bài viết mang tính giáo dục và dựa trên nguồn đáng tin cậy. Biện pháp bảo mật, quy định của sàn và yêu cầu pháp lý có thể thay đổi; hãy kiểm tra nguồn chính thức trước khi hành động.
