Phần lớn chiêu lừa tài sản số để lại dấu vết kỹ thuật mà mình kiểm được trước khi mất gì: bị yêu cầu ký một thứ mình không hiểu, một địa chỉ chỉ khớp đầu và đuôi, một app ví tải ngoài kho chính thức, một token mình chưa từng mua bỗng hiện trong ví, hay một nền tảng cho thấy lãi tăng đều nhưng đòi "phí" mới cho rút. Thấy một trong những dấu hiệu đó thì dừng tay và kiểm lại qua kênh do chính mình tìm ra.
Bài này chỉ nói phần cơ chế: chiêu đó làm gì trên blockchain hay trên thiết bị của mình, và cài đặt hay thói quen nào chặn được nó. Phần cảm xúc và chuyện hồi phục sau khi bị lừa cần một không gian riêng; ở đây chỉ tập trung vào những gì màn hình và chuỗi khối đang nói với mình.
Vì sao kiểm tra kỹ thuật đáng tin hơn linh cảm
Kẻ lừa đảo kể chuyện rất giỏi. Họ đóng vai quản trị viên nhiệt tình, nhà đầu tư thành công, người yêu qua mạng hay cơ quan nhà nước, và họ rất kiên nhẫn. Cảm giác thường thua vì câu chuyện nghe gần gũi và gấp gáp. Dấu hiệu kỹ thuật thì chẳng quan tâm câu chuyện. Địa chỉ hoặc khớp hoặc không. Lệnh ký hoặc trao quyền điều khiển token của mình hoặc không.
Tin vui là số mánh kỹ thuật ít hơn nhiều so với số câu chuyện được bọc quanh chúng. Nắm vài cơ chế dưới đây là phần lớn chiêu mới hoá ra chỉ là bình cũ rượu mới.
Thói quen cần tập là khựng lại một nhịp. Trước mỗi lần gửi, mỗi lần ký, mỗi lần cài, tự hỏi: yêu cầu này từ đâu ra, mình có chủ động bắt đầu không, và mình có kiểm được nó qua một đường do chính mình tìm không? Phần lớn vụ mất tiền xảy ra đúng trong ba mươi giây câu hỏi đó bị bỏ qua.
Sáu cơ chế đứng sau phần lớn vụ lừa tiền số
Đầu độc địa chỉ (address poisoning). Kẻ gian gửi cho mình một khoản cực nhỏ hoặc bằng 0 từ một địa chỉ trùng vài ký tự đầu và cuối với địa chỉ mình hay dùng. Lần sau mình chép "địa chỉ quen" từ lịch sử là chép trúng địa chỉ của họ.
Chữ ký rút ví (drainer). Một trang web xin mình ký thứ được giới thiệu là đăng nhập, đúc miễn phí hay nhận airdrop. Thật ra đó là lệnh phê duyệt hoặc giấy phép đã ký cho hợp đồng của họ chuyển token của mình.
App ví và tiện ích trình duyệt giả. App na ná, thường được quảng cáo hoặc gửi link, sẽ chép cụm từ khôi phục ngay lúc mình "nhập ví có sẵn".
Token lạ tự hiện. Một token không rõ xuất hiện trong ví, tên của nó chính là một địa chỉ web. Vào địa chỉ đó để "nhận" hay "bán" là rơi vào trang rút ví.
Sàn giao dịch giả. Trang web hay app bóng bẩy cho thấy tiền nạp tăng vùn vụt. Những con số đó chỉ là dữ liệu trong máy của họ. Tới lúc rút, họ bịa ra thuế, phí hay "tiền ký quỹ xác minh".
Hỗ trợ giả và dịch vụ lấy lại tiền giả. Mình vừa đăng hỏi công khai là có "nhân viên hỗ trợ" hay "chuyên gia thu hồi" nhắn riêng, xin cụm từ, xin điều khiển màn hình từ xa, hoặc đòi phí trước.
Mã QR và đường link thanh toán bị tráo. Mã QR hoặc link thanh toán dùng chung bị thay lặng lẽ bằng cái trỏ về địa chỉ kẻ gian, chẳng hạn trong nhóm chat hay trên tờ giấy in dán quầy.
Dấu hiệu đỏ nhìn thấy ngay trên màn hình của mình
Địa chỉ khớp hai đầu nhưng lệch ở giữa. So trọn chuỗi, hoặc ít nhất một cụm ở giữa, đừng chỉ nhìn vài ký tự đầu và cuối.
Lệnh ký đọc không hiểu. Ví hiện dữ liệu thô hoặc cảnh báo không giải mã được thì đừng ký. Đăng nhập đàng hoàng hiếm khi cần phê duyệt token.
Các chữ "approve", "permit", "setApprovalForAll" hay "increase allowance" xuất hiện khi đang "đăng nhập". Đó là trao quyền chi tiêu. Đăng nhập thì không được chuyển, hay cho phép chuyển, bất cứ thứ gì.
App cài từ đường link, file APK hay lời mời dùng bản thử nghiệm. App ví thật thường có trên kho ứng dụng chính thức dưới tên nhà phát triển đã xác minh. Cài ngoài là bỏ qua lớp kiểm tra đó.
Trang "nhận thưởng" có đồng hồ đếm ngược. Sự gấp gáp được dựng lên để mình khỏi kiểm tra. Airdrop thật không biến mất chỉ vì mình mất mười phút xác minh.
Nền tảng không có nguồn độc lập nào nhắc tới. Nếu chỉ có trang của chính nó và các nhóm chat khen một sàn giao dịch, hãy coi số dư trên đó là chuyện bịa.
Muốn rút phải nộp tiền trước. Đòi gửi thêm tiền để được rút là dấu hiệu rõ nhất của sàn giả.
Có người đòi chia sẻ màn hình hay cài app điều khiển từ xa. Cho điều khiển từ xa là trao luôn cái ví. Không quy trình hỗ trợ thật nào cần việc đó.
Cài đặt và thói quen chặn được phần lớn các chiêu này
Không cái nào đòi hỏi giỏi kỹ thuật. Gộp lại, chúng đóng gần hết những cánh cửa mà kẻ lừa hay đi qua.
- Giữ hai ví. Một ví "két sắt" chỉ nhận và hầu như không ký gì, một ví "đi chợ" ít tiền để thử app.
- Dùng sổ địa chỉ hoặc danh sách cho phép. Lưu các địa chỉ hay dùng ngay trong ví hoặc trên sàn, có đặt tên, và chỉ gửi theo danh sách đó.
- Gửi thử một khoản nhỏ. Với địa chỉ mới hay khoản lớn, gửi ít trước, xác nhận với người nhận qua một kênh khác, rồi mới gửi phần còn lại.
- Đọc từng lệnh ký. Ưu tiên ví có hiển thị trước giao dịch sẽ làm gì. Không đọc ra mình đang ký gì thì từ chối.
- Lưu dấu trang các trang thật. Chỉ vào sàn, trang tra cứu và app bằng dấu trang hoặc tự gõ địa chỉ, không bao giờ bấm từ quảng cáo hay kết quả tìm kiếm được tài trợ.
- Lờ token lạ đi. Đừng bán, đổi hay "nhận" token mình không mua. Nhiều ví cho ẩn chúng đi.
- Rà quyền phê duyệt định kỳ. Thu hồi những quyền không dùng nữa, nhất là quyền không giới hạn.
Lỡ có chuyện rồi thì làm gì
Nếu vừa ký thứ đáng ngờ mà chưa có gì bị chuyển, phải làm nhanh: từ một thiết bị sạch, thu hồi quyền phê duyệt đó và chuyển tài sản còn lại sang một ví hoàn toàn mới với cụm từ khôi phục mới. Nếu đã lỡ gõ cụm từ khôi phục ở đâu đó, coi như cả ví đã lộ, chuyển hết những gì còn lại.
Nếu tiền đã đi, ghi lại ngay mã giao dịch, các địa chỉ, địa chỉ trang web, tên tài khoản chat và ảnh chụp màn hình khi còn nhớ rõ. Trình báo công an; nếu có dính thẻ hay chuyển khoản ngân hàng thì gọi ngân hàng ngay. Một số bên phát hành stablecoin quản lý tập trung có thể đóng băng tiền bị trộm nếu cơ quan chức năng đề nghị đủ sớm.
Hết sức cảnh giác với bất kỳ ai sau đó đề nghị lấy lại tiền giúp, có thu phí. Dịch vụ "thu hồi" có phí nhắm vào nạn nhân là đợt lừa thứ hai rất quen thuộc của chính vụ lừa đó. Điều tra thật đi qua công an, không đi qua người lạ nhắn tin vào hộp thư của mình.
Câu hỏi thường gặp
Đầu độc địa chỉ ví là gì?
Đó là chiêu kẻ gian gửi một khoản rất nhỏ từ địa chỉ trông giống địa chỉ mình hay dùng, chờ mình về sau chép nhầm từ lịch sử. Kiểm trọn địa chỉ trước mỗi lần gửi là chặn được.
Chỉ kết nối ví với trang web có mất tiền không?
Riêng việc kết nối thường chỉ lộ địa chỉ, nhưng bước tiếp theo hay là một lệnh ký, và nguy hiểm nằm ở đó. Coi mọi lệnh ký trên trang lạ là có thể gây hại.
Ví tự dưng có token lạ, có nên bán không?
Không. Token tự dưng gửi tới thường là mồi dẫn vào trang rút ví, nhiều cái cũng chẳng bán được. Ẩn nó trong ví rồi để yên đó.
Làm sao biết một sàn giao dịch là giả?
Dấu hiệu gồm không có nguồn độc lập nào nhắc tới, app cài từ link thay vì kho chính thức, cam kết lợi nhuận, và đòi phí trước khi cho rút. Chỉ riêng chuyện đòi phí để rút đã đủ để dừng lại.
Công an có lấy lại được tiền số bị trộm không?
Đôi khi được, nhất là khi tiền chảy về sàn có quản lý hoặc là stablecoin đóng băng được, nhưng hoàn toàn không chắc. Trình báo sớm với hồ sơ đầy đủ là cơ hội tốt nhất.
