Hướng dẫn · Rủi ro ví · · tác giả Stefan Tsezarov · cập nhật
Mười hai từ
Tin nhắn đắt giá nhất trong crypto, được mổ xẻ từng dòng.
Tin nhắn đến một cách lịch sự.
Logo khớp.
Liên kết mở ra một trang trông y hệt chiếc ví bạn đang dùng—cùng màu sắc, cùng kiểu chữ, cùng hình minh họa nhẹ nhàng ở góc.
Nó bình thản đề nghị bạn xác nhận cụm từ khôi phục để có thể khôi phục quyền truy cập.
Không có tình huống nào mà yêu cầu đó là chính đáng.
Không phải bộ phận hỗ trợ. Không phải đợt chuyển đổi. Không phải airdrop. Không phải kiểm tra bảo mật. Không phải hoàn tiền. Không phải xác thực.
Không một lần nào. Không bao giờ. Bởi bất kỳ ai.
Thật ra đó là toàn bộ bài viết. Mọi điều tiếp theo chỉ giải thích vì sao yêu cầu đó vẫn thường thành công.
1. Mười hai từ thực ra là gì
Hầu hết mọi người coi cụm từ khôi phục như một mật khẩu. Chính sự nhầm lẫn về bản chất đó là gốc rễ của gần như mọi thảm họa sau này.
Mật khẩu bảo vệ một tài khoản do người khác nắm giữ. Mất mật khẩu thì bạn đặt lại. Tài khoản vẫn còn.
Cụm từ khôi phục thì khác.
Nó là con số gốc mà từ đó mọi khóa riêng của bạn được tạo ra. Ví lấy mười hai (hoặc hai mươi bốn) từ đó, chuyển thành một số nguyên cực lớn, và suy ra mọi địa chỉ bạn sẽ kiểm soát trên mọi chuỗi mà ví hỗ trợ—kể cả những chuỗi bạn chưa dùng.
Cụm từ không phải chìa khóa của một cánh cửa.
Nó là vật liệu để làm ra chính những cánh cửa.
2. Vì sao không ai chính đáng đòi nó
Bộ phận hỗ trợ không thể dùng nó. Nhà cung cấp ví không bao giờ giữ tiền của bạn nên không thể chuyển tiền thay bạn; đó là thiết kế. Đưa cụm từ cho nhân viên hỗ trợ là trao cho họ toàn quyền kiểm soát tiền của bạn. Không công ty có năng lực nào cho phép yêu cầu đó.
Một đợt chuyển đổi không thể đòi hỏi nó. Việc chuyển sang hợp đồng mới hay phiên bản ứng dụng mới diễn ra trên chuỗi, hoặc do chính bạn nhập lại ví, trên thiết bị bạn kiểm soát.
Một airdrop không thể đòi hỏi nó. Gửi token chỉ cần địa chỉ công khai của bạn—địa chỉ bạn dán vào các biểu mẫu. Việc nhận không bao giờ đòi bằng chứng rằng bạn có thể chi tiêu.
Một kiểm tra bảo mật không thể đòi hỏi nó. Chứng minh quyền sở hữu được thực hiện bằng cách ký một thông điệp; chữ ký xác nhận quyền kiểm soát mà không bao giờ tiết lộ khóa.
Một khoản hoàn tiền không thể đòi hỏi nó—càng không phải hoàn tiền cho một vụ lừa đảo trước đó.
Tất cả những dịch vụ đó đều tồn tại. Không dịch vụ nào từng cần cụm từ khôi phục của bạn, vì cụm từ không xác thực bạn. Nó thay thế bạn.
Đây không chỉ là khẳng định của chúng tôi. Tài liệu hỗ trợ của chính MetaMask nêu quy tắc này rõ ràng: “if anyone asks for your Secret Recovery Phrase, they are trying to scam you” — một nhà cung cấp ví nói, về chính đội hỗ trợ của mình, rằng bản thân yêu cầu đó là bằng chứng.
3. Năm lớp vỏ, một yêu cầu
Câu chuyện thay đổi. Câu cuối cùng thì không.
4. Đây là một ví dụ
Hãy đọc nó như cách bạn sẽ đọc lúc mười một giờ rưỡi đêm, trên điện thoại, sau khi được báo rằng tiền của bạn có vấn đề.
Đây là ví dụ tiêu biểu cho các chiến dịch có thật được các nhà nghiên cứu bảo mật và nhà cung cấp ví ghi nhận. Cách diễn đạt, sự gấp gáp, các hạn chế bịa đặt và yêu cầu cụm từ khôi phục lặp lại nhiều lần trong tin nhắn phishing nhắm vào người dùng MetaMask, Trust Wallet, ví phần cứng và người nhận “ví crypto” chung chung. Các phiên bản thật dùng tên thương hiệu và tên miền khác; yêu cầu cốt lõi thì không đổi.
Cho tôi xem nó sai ở đâu
Bản thân yêu cầu là toàn bộ câu trả lời. Mọi thứ khác là thứ yếu. Dù vậy, vẫn đáng để ý lớp vỏ được dựng công phu thế nào:
- “Chế độ giới hạn” và “quản lý bảo vệ” là những trạng thái bịa đặt. Ví thật không có chúng. Chúng nghe như ngôn ngữ ngân hàng vì ngân hàng là nơi mọi người đã quen nghe những từ như thế.
- “Trong vòng 24 giờ” là chiếc đồng hồ—được đặt ở đó chính là để ngăn bạn hỏi bất kỳ ai khác.
- Địa chỉ đọc từ trái sang phải thì trông đáng tin.
wallet-supportchỉ là tên miền con và không mang thẩm quyền gì. Phần thực sự quyết định bạn đến đâu làverify-restore.example.com. Hãy luôn đọc URL từ bên phải. - Chính tả hoàn hảo. Ngữ pháp đúng. Không còn gì để bắt lỗi bằng cách nhìn bề ngoài.
Và một dòng kỳ lạ hơn vẻ ngoài của nó: “xác nhận quyền sở hữu.” Cụm từ khôi phục của bạn không xác nhận quyền sở hữu với ai cả. Nó chuyển giao quyền sở hữu.
5. Vì sao phép thử chính tả không còn hiệu quả
Suốt hai thập kỷ, người ta được dạy nhận ra lừa đảo qua các đường may—tiếng Anh sai, logo không khớp, lời chào bắt đầu bằng “Kính gửi Quý khách.”
Lời khuyên đó hợp lý khi việc tạo một trang thuyết phục còn tốn kém.
Giờ nó miễn phí. Văn bản trôi chảy bằng bất kỳ ngôn ngữ nào có thể được tạo trong vài giây. Sao chép chính xác giao diện của một trang web chưa bao giờ khó; thiết kế vốn dĩ là công khai.
Vì vậy, một tin nhắn trông chuyên nghiệp không cho bạn biết gì về tính chính đáng của nó. Nó chỉ cho biết có người đã bỏ ra vài phút.
Điều không thay đổi—và không thể thay đổi—là thứ kẻ tấn công cần. Họ cần các từ đó. Dù bịa ra thêm điều gì, cuối cùng họ cũng phải đòi chúng.
Đừng chấm điểm hình thức. Hãy đọc yêu cầu.
6. Vì sao luôn có một chiếc đồng hồ
Mọi phiên bản của tin nhắn này đều có hạn chót: hai mươi bốn giờ, cuối ngày, trước khi tài khoản bị tạm khóa.
Chiếc đồng hồ không ở đó để hối thúc bạn. Nó ở đó để ngăn hành động duy nhất chắc chắn làm cuộc tấn công sụp đổ: kể với người khác. Nói to với hầu như bất kỳ ai—một người bạn, một diễn đàn, một công cụ tìm kiếm—yêu cầu đó tan biến. Hạn chót buộc bạn phải quyết định một mình.
Vì vậy hạn chót không phải là một chi tiết của câu chuyện. Nó là trụ đỡ. Khi bạn thấy hạn chót gắn với một yêu cầu bí mật, chính nhận xét đó đã là phát hiện.
7. Cụm từ nên ở đâu
Ngắn gọn thôi, vì quy tắc rất đơn giản.
Bạn chỉ gõ cụm từ khôi phục trong đúng một tình huống: khôi phục ví vào phần mềm bạn tự cài, trên thiết bị bạn kiểm soát.
Không bao giờ vào một trang web.
Không bao giờ vào một biểu mẫu đến từ một tin nhắn.
Không bao giờ vào một cuộc chat, một phiếu hỗ trợ, một bảng tính, một bức ảnh, một ghi chú trong trình quản lý mật khẩu, hay một trợ lý AI.
Nếu bạn dùng ví phần cứng, cụm từ không bao giờ nên được gõ vào máy tính sau ngày bạn chép nó ra lần đầu.
8. Nếu bạn đã nhập nó
Khi đó phần này là phần duy nhất quan trọng, và tốc độ quan trọng hơn sự gọn gàng.
Hãy coi như chiếc ví đó đã mất và hành động theo giả định đó ngay lập tức. Đừng chờ xác nhận. Đừng thử bằng một giao dịch nhỏ. Đừng tìm cách đổi mật khẩu—không có mật khẩu nào để đổi.
Về vấn đề phí gas, vì nó bắt người ta vào đúng lúc tệ nhất: chuyển một token cần đồng tiền gốc của chuỗi để trả phí. Nếu ví bị xâm phạm không có đồng nào, bạn phải gửi vào—và bot quét tự động theo dõi địa chỉ thường sẽ lấy nó trong cùng một khối. Người ta thử ba lần, mất gas ba lần, và kết luận rằng không thể làm gì.
Có cách khắc phục, bao gồm gộp việc nạp phí và việc giải cứu vào một giao dịch nguyên tử không thể bị gián đoạn. Chúng phức tạp và phụ thuộc vào từng chuỗi. Nếu số tiền đáng kể bị đe dọa, hãy hỏi người có kinh nghiệm trước khi phí thêm những lần thử.
Và phần tiếp theo tàn nhẫn nhất: những người vừa bị cướp thường được tiếp cận trong vòng vài giờ bởi các “chuyên gia thu hồi” hứa sẽ lần theo và trả lại tiền. Họ đòi cụm từ lần nữa, hoặc một khoản phí trả trước. Đó là cùng một cuộc tấn công, nhắm vào cùng một người, vào ngày tồi tệ nhất của họ. Không ai có thể đảo ngược một giao dịch blockchain. Ai nói ngược lại là đang bán vụ cướp thứ hai.
9. Một lần quét có thể và không thể cho bạn biết gì
Dán một tin nhắn như trên vào trình quét của chúng tôi và nó sẽ trả về FAIL, gắn cờ yêu cầu cụm từ khôi phục là nghiêm trọng và ghi nhận cấu trúc liên kết đáng ngờ.
Đây là những gì nó không làm.
- Nó không bao giờ truy cập liên kết. Nó xem xét hình dạng của địa chỉ—tên thương hiệu ở vị trí không mang thẩm quyền, ký tự trông giống nhau, mẫu chuyển hướng—nhưng nó không tải trang. Nó không thể cho bạn biết trang ở đầu bên kia có phải bản sao hay không.
- Nó không thể thấy tin nhắn bạn không bao giờ dán. Hầu hết những tin nhắn này đến khi bạn mệt và vội, đúng lúc không ai kiểm tra gì cả.
- Một kết quả sạch không phải là phán quyết về người gửi. Nó chỉ có nghĩa là không mẫu nào trong phạm vi khớp.
- Nó không thể hoàn tác bất cứ điều gì. Mục 8 tồn tại vì quét sau đó không phải là biện pháp khắc phục.
Với kiểu tấn công cụ thể này, trình quét là một chốt chặn hữu ích, không phải tuyến phòng thủ chính. Tuyến phòng thủ dài đúng một câu, và bạn đã có nó.
Quy tắc
Không ai cần cụm từ khôi phục của bạn. Không bao giờ. Không vì bất kỳ lý do nào. Bất kể họ tự nhận là ai.
Mọi tin nhắn đòi nó đều là một nỗ lực đánh cắp. Đó không phải là một quy tắc kinh nghiệm có ngoại lệ; đó là quy tắc hoàn chỉnh, và là một trong số ít quy tắc bảo mật thực sự không có trường hợp ngoại lệ.
Nếu bạn có lúc không chắc chắn, hãy nghi ngờ hạn chót trước tiên. Rồi hỏi ai đó. Chỉ bước đó thôi đã chấm dứt cuộc tấn công.
Liên quan: chỉ thị viết cho AI chứ không phải cho bạn, và văn bản không hiển thị gì. Bài viết này chỉ nhằm mục đích giáo dục và không phải tư vấn tài chính. Tin nhắn ví dụ tiêu biểu cho các chiến dịch có thật, dùng một tên miền ví dụ được dành riêng, và không nhắm vào công ty có thật nào.
Đang đọc một tin nhắn đáng ngờ trong trình duyệt? Bookmark quét văn bản được chọn kiểm tra nó mà không cần sao chép và dán, và văn bản ở lại trong trình duyệt của bạn.