Ủy quyền ví và phòng chống lừa đảo: Cách thu hồi ủy quyền độc hại, cần làm gì ngay khi bị hack

Nói thẳng kết luận: phần lớn các vụ trộm coin trên chuỗi là do chính tay bạn ký

Câu "ví bị hacker bẻ khóa" trong thực tế rất hiếm khi xảy ra. Phần lớn thiệt hại đến từ hai loại thao tác: cấp quyền cho hợp đồng độc hại (coin của bạn bị hợp đồng hợp pháp chuyển đi), và ký hoặc điền cụm từ khôi phục trên trang web lừa đảo (bạn tự tay giao quyền kiểm soát). Giao dịch trên chuỗi không thể hoàn tác, ký một lần là có thể bị dọn sạch cả một địa chỉ.

Bài này nói rõ hai việc: cách kiểm tra và thu hồi các cấp quyền nguy hiểm, cùng các bước bảo vệ trước khi chuyển khoản, tương tác và quy trình ứng phó sau khi bị trộm — phần sau mong bạn không bao giờ phải dùng đến, nhưng nhất định phải biết trước.

Rủi ro 1: Cấp quyền token (Approve) rốt cuộc là gì

Khi dùng DApp trên chuỗi (DEX, staking, vay mượn, v.v.), bạn cần "cấp quyền" cho DApp này sử dụng một loại token nào đó của bạn — đó chính là Approve. Vấn đề nằm ở hạn mức cấp quyền:

• Cấp quyền đúng số lượng: chỉ cho phép nó dùng đúng số lượng của giao dịch này, dùng xong là hết, tương đối an toàn;
• Cấp quyền vô hạn: cho phép nó dùng toàn bộ số dư token đó của bạn, và có hiệu lực lâu dài. Nếu bạn cấp quyền cho một hợp đồng độc hại, nó có thể chuyển sạch token đó của bạn vào bất kỳ lúc nào sau vài tháng, mà lúc đó bạn sẽ không nhận được bất kỳ thông báo nào.

Rủi ro nằm ở chỗ: không ít DApp để "giảm thao tác sau này" đã mặc định hướng bạn chọn cấp quyền vô hạn; còn trang web lừa đảo thì giả dạng thành DApp bình thường, mục đích duy nhất là lừa bạn bấm nút cấp quyền đó.

Cách kiểm tra và thu hồi cấp quyền nguy hiểm

1. Mở công cụ tra cứu cấp quyền (phổ biến có revoke.cash, và công cụ tra cứu cấp quyền có sẵn trong trình duyệt khối, ví dụ Token Approval Checker của trình duyệt Ethereum);
2. Kết nối ví của bạn — bước này chỉ đọc dữ liệu công khai trên chuỗi, không cần cụm từ khôi phục, không cần chuyển khoản;
3. Xem danh sách cấp quyền: chú ý các mục "hạn mức vô hạn" và "đối tượng được cấp quyền bạn không còn dùng nữa";
4. Bấm thu hồi (Revoke), xác nhận giao dịch này trong ví. Bản thân việc thu hồi cũng là một thao tác trên chuỗi, cần trả phí gas;
5. Tạo thói quen: kiểm tra mỗi một hai tháng, nhất là sau khi tham gia dự án mới.

Hai lưu ý: một là khi thu hồi phải nhìn rõ bạn đang kết nối với trang nào, kẻ lừa đảo cũng làm "công cụ thu hồi" giả; hai là đừng vì tiết kiệm gas mà cấp quyền vô hạn cho trang lạ, số phí giao dịch tiết kiệm được đó có thể tương ứng với rủi ro mất toàn bộ số dư của bạn.

Rủi ro 2: Sáu hình thức lừa đảo phổ biến

1. Trang web giả

Tên miền chỉ khác chính thức một hai ký tự, trang thì sao chép y nguyên. Lối vào phổ biến là vị trí quảng cáo trên công cụ tìm kiếm, link rút gọn trong cộng đồng, và "trang chính thức mới" do người khác nhắn riêng gửi đến. Cách phòng vệ rất ngố nhưng hiệu quả: thêm các trang thường dùng vào bookmark, luôn vào từ bookmark, không bấm quảng cáo tìm kiếm.

2. App giả và tiện ích giả

"Ví cùng tên" tìm thấy trên cửa hàng ứng dụng, và thông báo "tiện ích cần cập nhật, vui lòng cài lại" bật lên trên trình duyệt, đều có thể là giả. Phòng vệ: chỉ cài từ link cửa hàng chính thức do trang chủ cung cấp, việc cập nhật tiện ích đi theo cơ chế cập nhật sẵn có của trình duyệt, đừng bấm nút "cập nhật" trên trang của bên thứ ba.

3. Giả danh chính thức nhắn riêng

"Quản trị viên", "chăm sóc khách hàng", "hỗ trợ kỹ thuật" trong tin nhắn riêng trên cộng đồng, nền tảng xã hội, tự nhận giúp bạn giải quyết vấn đề, nhận bồi thường, tham gia hoạt động. Chính thức thật sự sẽ không chủ động nhắn riêng đòi bạn bất cứ thứ gì. Phàm ai chủ động nhắn riêng yêu cầu bạn thao tác tài sản, cứ báo cáo và chặn thẳng.

4. Đầu độc địa chỉ (Address Poisoning)

Đây là một kiểu lừa đảo nhiều người chưa từng nghe: kẻ lừa đảo sẽ gửi đến địa chỉ của bạn một giao dịch 0 đồng hoặc số tiền cực nhỏ, địa chỉ gửi có ký tự đầu và cuối hoàn toàn giống địa chỉ nhận thường dùng của bạn. Mục đích là làm nhiễu lịch sử chuyển khoản của bạn — đến khi bạn lần sau sao chép địa chỉ từ "lịch sử", rất có thể sẽ chép nhầm địa chỉ của kẻ lừa đảo. Phòng vệ: chuyển khoản đừng bao giờ sao chép bừa từ lịch sử, dùng sổ địa chỉ hoặc danh sách trắng; khi đối chiếu phải đối chiếu ít nhất 4-6 ký tự đầu và cuối.

5. Airdrop giả và trang nhận thưởng giả

Trang "bạn đủ điều kiện nhận airdrop XXX", bấm "nhận" thực chất là để bạn ký một lệnh cấp quyền hoặc chuyển khoản trực tiếp. Tiêu chí phán đoán: airdrop thật sẽ không yêu cầu bạn trả tiền trước, cấp quyền toàn bộ tài sản trước, hoặc nhập cụm từ khôi phục.

6. Trang nâng cấp ví giả / di chuyển tài sản giả

Lấy cớ "nâng cấp phiên bản ví", "tài sản phiên bản cũ cần di chuyển", để bạn điền cụm từ khôi phục vào trang web, hoặc khôi phục ví trong App giả. Hãy nhớ: cụm từ khôi phục chỉ nên nhập vào App ví chính thức do chính bạn chủ động mở, ngoài ra bất kỳ trang nào cũng là lừa đảo.

Ba động tác trước khi chuyển khoản

1. Đối chiếu địa chỉ: 4-6 ký tự đầu và cuối phải khớp từng cặp một; khi số tiền lớn thì đối chiếu toàn bộ ký tự. Đối tượng chuyển khoản lâu dài thì thêm vào sổ địa chỉ hoặc danh sách trắng;
2. Thử số tiền nhỏ trước: lần đầu chuyển đến một địa chỉ, chuyển một khoản nhỏ trước, xác nhận đã nhận được rồi mới chuyển phần còn lại;
3. Xác nhận trên màn hình ví cứng: nếu bạn dùng ví cứng, địa chỉ nhận hiển thị trên phần mềm ví có thể bị phần mềm độc hại sửa đổi, địa chỉ trên màn hình thiết bị mới là đáng tin — đây chính là giá trị quan trọng nhất của ví cứng, nhất định phải dùng đến.

Nếu đã bị trộm: việc đầu tiên cần làm

Thứ tự rất quan trọng, hai bước đầu càng nhanh thì phần cứu vãn được càng nhiều:

1. Lập tức chuyển tài sản còn lại: dùng một ví mới tạo hoàn toàn (cụm từ khôi phục mới, tốt nhất tạo trong môi trường thiết bị sạch) để nhận tài sản chưa bị chuyển đi của bạn. Đừng dùng lại ví cũ, cũng đừng chỉ cài lại App;
2. Thu hồi toàn bộ cấp quyền của ví cũ: nếu nguyên nhân rò rỉ không phải cụm từ khôi phục (ví dụ chỉ là cấp quyền hoặc ký lừa đảo), hãy thu hồi cấp quyền càng sớm càng tốt, tránh các token khác của cùng địa chỉ tiếp tục bị chuyển đi;
3. Lưu giữ bằng chứng: hash giao dịch bị trộm, địa chỉ kẻ lừa đảo, thời điểm, số tiền liên quan, cùng ảnh chụp trang web hoặc tiện ích khả nghi bạn đã truy cập lúc đó;
4. Nếu tài sản chảy vào sàn giao dịch tập trung: lập tức liên hệ bộ phận chăm sóc khách hàng và kênh tuân thủ của sàn đó, gửi bằng chứng để yêu cầu chặn. Chuyển khoản trên chuỗi không thể hoàn tác, nhưng sau khi tiền bẩn vào tài khoản nền tảng, cơ chế đóng băng của nền tảng có cơ hội tranh thủ thời gian — bước này gửi càng sớm càng có khả năng;
5. Báo cảnh sát và cố định hồ sơ: trình báo với cảnh sát địa phương, giữ lại biên nhận tiếp nhận, đồng thời có thể dùng công cụ phân tích trên chuỗi để tiếp tục truy vết đường đi của dòng tiền;
6. Rà soát lại khâu rò rỉ: là do cấp quyền, bấm vào lừa đảo, hay cụm từ khôi phục bị lộ? Không tìm ra nguyên nhân thì ví mới cũng có thể bị moi sạch theo cách tương tự.

Phải thẳng thắn nói rõ: tài sản trên chuỗi một khi đã bị chuyển đi, xác suất thu hồi rất thấp. Đó cũng là lý do vì sao tất cả các động tác phòng vệ phía trên đều đáng để bạn bỏ thời gian làm.

Danh sách phòng vệ hằng ngày

1. Phân tầng tài sản: sàn giao dịch để tiền giao dịch, ví nóng để số tiền nhỏ tương tác hằng ngày, ví cứng để số tiền lớn nắm giữ lâu dài;
2. Dùng một cấu hình trình duyệt riêng (hoặc một thiết bị dự phòng) chuyên để thao tác trên chuỗi, không trộn lẫn với việc duyệt web hằng ngày;
3. Các trang thường dùng đều thêm bookmark, không bấm quảng cáo kết quả tìm kiếm và bất kỳ link nhắn riêng nào;
4. Trước khi ký phải đọc rõ nội dung cửa sổ bật lên: ký (Sign) và cấp quyền (Approve) không phải là một, cấp quyền nguy hiểm hơn, hạn mức ưu tiên chọn "đúng số lượng";
5. Mỗi tháng kiểm tra lịch sử cấp quyền một lần, thu hồi những cái không dùng;
6. Bất kỳ tình huống nào đòi cụm từ khôi phục, khóa riêng, mã xác minh, đều từ chối thẳng.

Câu hỏi thường gặp

Ký và cấp quyền khác nhau thế nào?

Chữ ký thường chỉ chứng minh "bạn là chủ của địa chỉ này", không trực tiếp chuyển tài sản; còn Approve (Ủy quyền) là giao "quyền sử dụng một loại token nào đó" cho một hợp đồng, khi hạn mức đủ lớn thì đối phương có thể chuyển tài sản của bạn đi bất cứ lúc nào. Khi thấy popup Approve, nhất định phải xem rõ đối tượng và hạn mức rồi mới bấm xác nhận.

Thu hồi quyền có tốn phí không?

Có. Bản thân việc thu hồi là một giao dịch trên chuỗi, cần trả phí gas, số tiền phụ thuộc vào mức độ tắc nghẽn của mạng lúc đó. Vì vậy chiến lược tốt hơn là tránh cấp quyền vô hạn ngay từ đầu, thay vì đợi danh sách quyền đầy ắp rồi mới dọn một lượt.

Tôi để toàn bộ tài sản trong một ví, có phải rủi ro rất lớn?

Đúng vậy. Một ví chỉ tương ứng với một bộ cụm từ khôi phục, lộ một lần là mất sạch; bộ khóa riêng dùng để tương tác thường xuyên vốn dĩ dễ bị lộ hơn. Cách làm hợp lý là phân tầng: vốn trên chuỗi cần tương tác thường xuyên để ở ví nóng, tài sản nắm giữ dài hạn để ở ví cứng, vốn dùng cho giao dịch để ở tài khoản các sàn lớn có lịch sử bảo mật tốt và có bằng chứng dự trữ, ví dụ như Binance, OKX, Gate.io. Như vậy dù bất kỳ khâu nào gặp vấn đề, thiệt hại vẫn nằm trong tầm kiểm soát.

Tài sản bị đánh cắp thật sự không thể thu hồi được sao?

Xác suất rất thấp, nhưng không phải tuyệt đối bằng không. Có chút cơ hội trong hai trường hợp: khi tài sản chảy vào CEX trong khoảng thời gian ngắn (kịp gửi bằng chứng để yêu cầu phong tỏa), và khi cơ quan thực thi pháp luật cùng đội phân tích trên chuỗi vào cuộc. Trong phần lớn trường hợp, tài sản sẽ bị chia nhỏ nhanh chóng, chuyển liên chuỗi và đưa vào dịch vụ trộn coin, hy vọng thu hồi gần như bằng không — nên giá trị của việc phòng ngừa cao hơn hẳn so với việc khắc phục.

Cảnh báo rủi ro và công bố quảng cáo: Giao dịch trên chuỗi không thể hoàn tác, thao tác cấp quyền và ký đều có rủi ro mất tài sản, nội dung bài viết này không cấu thành lời khuyên đầu tư. Bài viết có chứa link quảng cáo, qua link đăng ký chúng tôi có thể nhận hoa hồng, điều này không làm tăng chi phí bạn phải trả, cũng không ảnh hưởng đến đánh giá trong bài. Các công cụ và cơ chế được đề cập trong bài tính đến tháng 10 năm 2026, vui lòng lấy thông tin từ các kênh chính thức làm chuẩn.