Crypto
Máy rút ví
Definition
Máy rút ví là một công cụ lừa đảo tiền điện tử khiến bạn chấp thuận hoặc ký các giao dịch cho phép kẻ tấn công chuyển tài sản ra khỏi ví của bạn.
Ví dụ về wallet drainer là gì?
Wallet drainer là phần mềm độc hại (thường là một trang web giả hoặc dApp) được thiết kế để đánh cắp tiền điện tử bằng cách thuyết phục người dùng kết nối ví và sau đó ủy quyền các hành động cho phép kẻ tấn công di chuyển quỹ. Khác với các 'hack' phá vỡ quy tắc blockchain, drainers lạm dụng các tính năng ví bình thường—phê duyệt, chữ ký và thông báo giao dịch—để việc đánh cắp có thể trông giống như điều gì đó mà người dùng 'cho phép'.
Wallet drainers là một chủ đề cốt lõi trong các trò lừa đảo ví tiền điện tử và cách tránh chúng vì chúng dựa vào kỹ thuật xã hội nhiều hơn là khai thác kỹ thuật, và chúng có thể ảnh hưởng đến bất kỳ ví nào tương tác với các ứng dụng Web3.
Wallet drainer crypto
Trong các trò lừa đảo wallet drainer crypto, mục tiêu của kẻ tấn công là khiến nạn nhân nhấp vào 'Xác nhận' trên một cái gì đó có vẻ bình thường: yêu cầu một 'airdrop', đúc một 'NFT', xác minh một ví, hoặc tham gia vào danh sách trắng. Trang web drainer thường bắt chước một thương hiệu thực, sử dụng các miền giống nhau, và thúc đẩy sự khẩn cấp ('cửa sổ yêu cầu có hạn') để giảm bớt việc xem xét cẩn thận.
Khi ví đã được kết nối, drainer trình bày một giao dịch hoặc tin nhắn có chủ đích gây nhầm lẫn, đôi khi gộp nhiều hành động lại với nhau. Đây là nơi lừa đảo phê duyệt thường xảy ra: người dùng được yêu cầu cấp quyền cho một token (sự cho phép) mà sau này cho phép kẻ tấn công rút token từ ví.
Để có cái nhìn sâu hơn về quy trình điển hình, hãy xem cách hoạt động của wallet drainers.Crypto drainerCrypto drainer là một nhãn rộng hơn cho cùng một loại công cụ đánh cắp dựa trên lừa đảo qua phishing trên các chuỗi và loại ví khác nhau. Ý tưởng chính là kẻ tấn công không cần cụm từ hạt giống của bạn nếu họ có thể khiến bạn ủy quyền các quyền hoặc chữ ký trên chuỗi đúng.
Nhiều drainers kết hợp hai chiến thuật: lừa đảo chữ ký (khiến bạn ký một tin nhắn cho phép điều gì đó mà bạn không có ý định) và phê duyệt trên chuỗi tạo ra quyền truy cập liên tục vào các token cụ thể. Sau tương tác ban đầu, cơ sở hạ tầng của kẻ tấn công theo dõi địa chỉ của nạn nhân và nhanh chóng thực hiện các chuyển khoản—thường ưu tiên các tài sản lỏng nhất trước.
Một số hoạt động cũng bao gồm logic 'sweeper' kiểm tra liên tục các khoản tiền gửi mới và rút chúng cho đến khi quyền được thu hồi.Kịch bản drainerKịch bản drainer là mã điều khiển trải nghiệm lừa đảo: các thông báo kết nối ví, xây dựng giao dịch, yêu cầu chữ ký và định tuyến tự động các tài sản bị đánh cắp.
Trong thực tế, kịch bản này có thể phát hiện chuỗi, truy vấn số dư token và quyết định xem có yêu cầu phê duyệt, chuyển khoản trực tiếp, hay ủy quyền dựa trên chữ ký hay không. Các drainers hiện đại thường được bán hoặc cho thuê dưới dạng dịch vụ drainer, nơi nhà cung cấp cung cấp mã, mẫu và bảng điều khiển trong khi các 'đối tác' xử lý phân phối (spam, quảng cáo giả, tài khoản xã hội bị xâm phạm, hoặc giả mạo trên Discord/Telegram).
Việc 'sản phẩm hóa' này quan trọng vì nó giảm bớt kỹ năng cần thiết để thực hiện một chiến dịch drainer: một đối tác có thể không hiểu sâu về 'hợp đồng thông minh', nhưng vẫn có thể triển khai một trang web thuyết phục, thu thập nạn nhân và chia sẻ lợi nhuận với nhà điều hành dịch vụ.
Tại sao wallet drainer lại quan trọng
Wallet drainers quan trọng vì chúng khai thác lớp tin cậy của việc tự quản lý: giao diện người dùng và quyết định của người dùng, không phải mật mã của blockchain. Khi ngày càng nhiều hoạt động chuyển sang chuỗi—giao dịch, đúc, staking, quản trị—người dùng được yêu cầu ký nhiều hơn, điều này làm tăng khả năng xảy ra một phê duyệt xấu hoặc chữ ký lừa đảo. Thiệt hại cũng có thể kéo dài: một quyền cho phép token không giới hạn được cấp trong quá trình lừa đảo phê duyệt có thể cho phép đánh cắp lặp đi lặp lại cho đến khi bị thu hồi, ngay cả khi nạn nhân không bao giờ quay lại trang lừa đảo. Do đó, hiểu biết về wallet drainers là điều cần thiết để giảm thiểu tổn thất từ các trò lừa đảo ví tiền điện tử và cách tránh chúng, đặc biệt là bằng cách học cách xem xét kỹ lưỡng các phê duyệt, xác minh các miền và coi các yêu cầu chữ ký bất ngờ là các sự kiện có rủi ro cao.
Frequently Asked Questions
Ví dụ như thế nào để một kẻ lấy cắp ví đánh cắp crypto mà không cần cụm từ khôi phục?
Một kẻ lấy cắp ví thường đánh cắp bằng cách khiến bạn phê duyệt một giao dịch, cấp phép cho một token, hoặc ký một thông điệp lừa đảo. Những sự ủy quyền đó có thể đủ để một kẻ tấn công chuyển token hoặc NFT bằng cách sử dụng quyền truy cập trên chuỗi bình thường. Không cần phải đánh cắp khóa riêng nếu người dùng bị lừa để đồng ý.
Sự khác biệt giữa lừa đảo phê duyệt và lừa đảo chữ ký là gì?
Lừa đảo phê duyệt khiến bạn cấp phép để một địa chỉ độc hại có thể sau đó tiêu tốn token của bạn. Lừa đảo chữ ký khiến bạn ký một thông điệp ủy quyền cho một hành động mà bạn không có ý định, đôi khi cho phép chuyển nhượng ngay lập tức hoặc thay đổi quyền hạn. Cả hai đều dựa vào các thông báo gây hiểu lầm thay vì phá vỡ bảo mật ví.
Một kẻ lấy cắp ví có thể lấy ETH hay chỉ có token?
Kẻ lấy cắp có thể nhắm đến nhiều loại tài sản, bao gồm token và NFT, và cũng có thể cố gắng khiến bạn ký hoặc xác nhận một giao dịch chuyển nhượng tài sản gốc trực tiếp. Tuy nhiên, việc đánh cắp token thường được thực hiện thông qua các khoản cấp phép, trong khi tài sản gốc thường yêu cầu một sự phê duyệt giao dịch rõ ràng. Khả năng chính xác phụ thuộc vào những gì bạn ký hoặc xác nhận.
Drainer as a service là gì?
Drainer as a service là một mô hình kinh doanh tội phạm nơi một nhà cung cấp bán hoặc cho thuê công cụ lấy cắp ví cho các đối tác. Nhà cung cấp cung cấp kịch bản lấy cắp, mẫu, và đôi khi cơ sở hạ tầng, trong khi các đối tác tập trung vào việc dụ dỗ nạn nhân. Lợi nhuận thường được chia sẻ thông qua hoa hồng hoặc chia sẻ doanh thu.
Tôi nên làm gì nếu tôi đã tương tác với một kẻ lấy cắp ví?
Ngay lập tức thu hồi các khoản cấp phép token mà bạn không nhận ra, chuyển các tài sản còn lại sang một ví mới, và ngừng sử dụng địa chỉ bị xâm phạm cho các khoản gửi mới. Cũng kiểm tra các trang web và quyền truy cập được kết nối trong ví của bạn và ngắt kết nối bất kỳ thứ gì nghi ngờ. Nếu NFT bị nhắm đến, hãy xem xét các phê duyệt cho các nhà điều hành NFT nữa.
