Rủi ro an ninh trong giao dịch tiền điện tử
Hai hành động sao chép và dán thông thường đã khiến 62 triệu USD trong tiền điện tử biến mất trong tháng 12 và tháng 1, phơi bày cách mà những thói quen sử dụng ví cơ bản đang trở thành một trong những rủi ro an ninh lớn nhất của Ethereum.
Các sự cố đáng chú ý
ScamSniffer cho biết trong một bài đăng trên X vào ngày 8 tháng 2 rằng một nạn nhân đã mất khoảng 50 triệu USD vào tháng 12 năm 2025 sau khi gửi tiền đến một địa chỉ giả được sao chép từ lịch sử giao dịch. Vào tháng 1 năm 2026, một người dùng khác đã mất khoảng 12,25 triệu USD, tương đương với khoảng 4.556 ETH vào thời điểm đó, do cùng một sai lầm.
“Hai nạn nhân. 62 triệu USD đã biến mất,” công ty viết.
Cả hai sự cố đều theo cùng một mô hình. Tiền đã được gửi đến các địa chỉ giống hệt nhau mà đã được âm thầm cài đặt trong hồ sơ hoạt động gần đây của các nạn nhân. Đầu độc địa chỉ hoạt động bằng cách khai thác cách mà hầu hết người dùng tương tác với ví của họ.
Chiến thuật tấn công
Kẻ tấn công theo dõi các giao dịch, tạo ra các địa chỉ vanity giống như thật, và gửi các giao dịch “bụi” nhỏ đến các mục tiêu tiềm năng. Những giao dịch gần như bằng không này đưa các địa chỉ giả vào lịch sử giao dịch. Ai đó đã mất 12,25 triệu USD vào tháng 1 bằng cách sao chép địa chỉ sai từ lịch sử giao dịch của họ. Vào tháng 12, một nạn nhân khác đã mất 50 triệu USD theo cách tương tự.
Những công ty bảo mật cho biết chiến thuật này đã mở rộng nhanh chóng kể từ khi nâng cấp Fusaka của Ethereum (ETH) vào cuối năm 2025, làm giảm phí giao dịch. Những gì từng tốn kém để vận hành ở quy mô lớn giờ đây đã trở nên rẻ và hiệu quả. Hàng triệu giao dịch bụi hiện đang được gửi hàng ngày, theo các nhà nghiên cứu bảo mật blockchain.
Tác động của lừa đảo chữ ký
Bên cạnh việc đầu độc địa chỉ, ScamSniffer đã ghi nhận sự gia tăng mạnh mẽ trong lừa đảo chữ ký vào tháng 1. Công ty báo cáo 6,27 triệu USD thiệt hại từ 4.741 nạn nhân trong tháng này, tăng 207% so với tháng 12 về giá trị. Hai ví chịu trách nhiệm cho khoảng 65% tổng thiệt hại.
Các trường hợp lớn nhất bao gồm 3,02 triệu USD bị đánh cắp từ SLVon và XAUt tokens thông qua các phê duyệt cho phép độc hại và tăngAllowance, và 1,08 triệu USD bị lấy từ aEthLBTC bằng cách sử dụng các kỹ thuật tương tự.
Khuyến nghị bảo mật
Các nhà phân tích bảo mật cho biết các kế hoạch này thành công vì chúng nhắm vào những thói quen hình thành trong giao dịch hàng ngày, không phải là những điểm yếu kỹ thuật trong các giao thức. “Hầu hết các nạn nhân không cẩu thả,” một nhà nghiên cứu cho biết. “Họ đang làm những gì họ đã làm hàng trăm lần trước đó.”
ScamSniffer và các công ty khác đã kêu gọi người dùng tránh sao chép địa chỉ từ lịch sử giao dịch, xác minh các chuỗi ví đầy đủ bằng tay, và sử dụng danh bạ đã lưu cho các giao dịch thường xuyên. Khi chi phí giao dịch vẫn thấp và tự động hóa cải thiện, các nhà phân tích dự đoán rằng đầu độc địa chỉ và lừa đảo chữ ký sẽ vẫn là những mối đe dọa dai dẳng.
Cho đến khi các công cụ và thói quen tốt hơn được áp dụng, những sai lầm vận hành cơ bản có khả năng tiếp tục tạo ra những tổn thất lớn.
