Bẫy chữ ký che giấu hoặc trình bày sai quyền mà ví của bạn sắp cấp. Đừng ký dữ liệu không đọc được, thông điệp permit lạ hoặc giao dịch có hợp đồng và tác động mà bạn không thể xác minh. Ví phần cứng bảo vệ khóa, nhưng không thể bảo vệ bạn khi chính bạn chấp thuận một lệnh độc hại.
Quy trình kiểm tra thực tế#
- Xác minh tên miền và tài khoản đang yêu cầu chữ ký. Tự mở website qua nguồn chính thức và đối chiếu chính xác tên miền, thay vì tin giao diện hoặc biểu tượng quen thuộc.
- Đọc hành động đã giải mã, mạng lưới, bên được cấp quyền và số lượng. Kiểm tra ví đang yêu cầu đăng nhập, gửi giao dịch, approve token, ký permit hay đặt lệnh; mỗi loại tạo ra quyền khác nhau.
- Từ chối thông điệp chỉ có mã hex hoặc nội dung mơ hồ nếu chưa được giải mã độc lập. Không ký vì trang web nói đó chỉ là bước xác minh hoặc vì giao dịch không tốn gas.
- Dùng mô phỏng và công cụ giải mã giao dịch từ nguồn đáng tin cậy. So sánh tài sản đi ra, địa chỉ nhận, thay đổi số dư và quyền mới, nhưng nhớ rằng công cụ mô phỏng cũng có giới hạn.
- Rà soát và thu hồi quyền sau một chữ ký đáng ngờ. Kiểm tra allowance token, quyền operator NFT, lệnh đã ký và phiên dapp trên mọi mạng liên quan; chuyển tài sản nếu bí mật ví đã bị lộ.
Điều thực sự quan trọng#
Chữ ký có thể cấp nhiều quyền hơn một lần đăng nhập. Tùy tiêu chuẩn, nó có thể đặt hạn mức token, niêm yết lệnh bán NFT hoặc cho phép relayer thực thi hành động on-chain mà không cần thêm lời nhắc từ ví.
Hãy tách những gì có thể xác minh trước khi ký khỏi những gì chỉ theo dõi được sau đó. Với nhóm thứ hai, cần giới hạn số tiền, thời hạn và phạm vi quyền.
Quy tắc ra quyết định có thể dùng lại#
Hãy phân loại lời nhắc trước khi chấp thuận: xác thực, giao dịch, phê duyệt, permit hay lệnh. Nếu giao diện không thể cho biết nó thuộc loại nào, lựa chọn an toàn là từ chối.
Những sai lầm làm thay đổi kết quả#
- Xem “không tốn gas” là không có rủi ro. Chữ ký off-chain có thể miễn phí khi tạo nhưng vẫn cho phép người khác thực hiện hành động on-chain về sau.
- Thông điệp đăng nhập chứa nonce hoặc điều khoản chi tiêu bất thường. Thương hiệu có thể bị sao chép; hãy mở lại yêu cầu từ kênh đã xác minh và đọc toàn bộ nội dung.
- Bật vĩnh viễn chế độ ký mù trên ví phần cứng. Việc này loại bỏ một lớp kiểm tra quan trọng và khiến màn hình thiết bị không còn cho bạn biết mình đang cấp quyền gì.
- Ký lại vì lần đầu có vẻ thất bại. Lời nhắc đầu tiên có thể vẫn còn hiệu lực; ký lần nữa có thể tạo thêm một quyền hoặc lệnh độc lập.
Bằng chứng nên lưu#
Đừng chỉ dựa vào thông báo thành công hoặc thất bại trên giao diện. Hãy lưu bằng chứng có thể kiểm tra sau khi đóng trang.
| Điểm kiểm tra | Bằng chứng | Điều kiện phải dừng |
|---|---|---|
| Xác minh tên miền và tài khoản yêu cầu chữ ký | URL hoặc địa chỉ hợp đồng khớp tài liệu chính thức | Trang gọi giao dịch “không tốn gas” nên không có rủi ro |
| Đọc hành động, mạng, bên được cấp quyền và số lượng | Bản ghi đã giải mã hoặc ảnh chụp có ngày, không chứa bí mật | Thông điệp đăng nhập có điều khoản chi tiêu bất thường |
| Từ chối dữ liệu hex hoặc mơ hồ nếu chưa giải mã | Ảnh chụp lời nhắc và kết quả giải mã từ nguồn đáng tin | Chế độ ký mù được bật vĩnh viễn trên thiết bị phần cứng |
Hãy giữ mã giao dịch, mã hồ sơ chính thức hoặc ảnh chụp có ngày nếu chúng giúp ghi nhận bẫy chữ ký, nhưng phải loại bỏ cụm từ khôi phục, khóa riêng tư và mã xác thực.
Câu hỏi thường gặp#
Ký thông điệp có luôn tốn gas không?
Không. Chữ ký off-chain có thể được tạo miễn phí nhưng vẫn cấp quyền cho hành động on-chain được thực hiện sau đó.
Tôi có thể thu hồi mọi chữ ký không?
Không nhất thiết. Một số quyền có thể thu hồi hoặc làm mất hiệu lực; lệnh đã ký có thể cần hủy riêng, còn giao dịch chuyển tài sản đã hoàn tất thì không thể đảo ngược.
Ký mù có bao giờ cần thiết không?
Một số ứng dụng có thể yêu cầu, nhưng bật tính năng này sẽ loại bỏ thông tin xác minh quan trọng. Chỉ dùng cho giao dịch đã hiểu rõ và xác minh, rồi tắt ngay sau đó.
Hướng dẫn liên quan#
Nguồn tham khảo#
- Ethereum.org: Bảo mật hợp đồng thông minh
- OWASP: 10 rủi ro hàng đầu của hợp đồng thông minh
- Uniswap Support: Quyền phê duyệt token
Cảnh báo rủi ro: Giao dịch crypto có thể không thể đảo ngược. Không bao giờ chia sẻ cụm từ khôi phục, khóa riêng tư, mật khẩu hoặc mã xác thực; luôn tự kiểm tra tên miền và yêu cầu từ ví qua một kênh độc lập.
Tiêu chuẩn biên tập
Bài viết mang tính giáo dục và dựa trên nguồn đáng tin cậy. Biện pháp bảo mật, quy định của sàn và yêu cầu pháp lý có thể thay đổi; hãy kiểm tra nguồn chính thức trước khi hành động.
