Giới thiệu về Drainers
Ví drainers đã đánh cắp hàng tỷ đô la từ người dùng tiền điện tử, và gần như không có trường hợp nào liên quan đến việc đánh cắp mật khẩu hay một blockchain bị hack. Vấn đề nằm ở chỗ nạn nhân đã ký các giao dịch mà họ không hiểu. Hướng dẫn này sẽ giải thích cách mà drainers hoạt động, cơ chế phê duyệt token mà chúng khai thác, ngành công nghiệp “drainer-as-a-service” đã công nghiệp hóa việc đánh cắp, các chữ ký cụ thể cho phép kẻ tấn công thực hiện hành vi trộm cắp, và cách bảo vệ ví của bạn cũng như thu hồi các phê duyệt có thể đã trở nên nguy hiểm.
Cách thức hoạt động của Drainers
Kỹ thuật đánh cắp thành công nhất trong lĩnh vực tiền điện tử không phá vỡ bất cứ thứ gì; nó yêu cầu sự cho phép, và nạn nhân đã cấp cho nó. Ví drainers, những công cụ độc hại làm trống ví tiền điện tử khỏi các token và NFTs trong một giao dịch đã được phê duyệt, đã đánh cắp hàng tỷ đô la từ hàng trăm ngàn nạn nhân. Điều đáng chú ý là gần như mọi trường hợp đều cho thấy blockchain hoạt động hoàn hảo, mật mã giữ vững, và không có mật khẩu nào bị đánh cắp. Nạn nhân đã bị lừa ký một giao dịch cho phép việc đánh cắp, và blockchain thực hiện chính xác những gì nó được thiết kế để làm, đã thực hiện sự ủy quyền một cách trung thành.
Đặc điểm xác định của kỷ nguyên drainer là bề mặt tấn công đã chuyển từ giao thức sang con người. Các blockchain đã làm cho việc đánh cắp coin bằng cách phá vỡ toán học trở nên gần như không thể, vì vậy kẻ trộm đã ngừng cố gắng và chuyển sang một thành phần mà không có mật mã nào có thể bảo vệ: con người quyết định điều gì để ký. Drainers là sản phẩm công nghiệp hóa của sự chuyển dịch đó, các công cụ được đóng gói và bán như một dịch vụ cho những kẻ tội phạm không có kỹ thuật, kèm theo cơ sở hạ tầng lừa đảo để dụ dỗ nạn nhân và các hợp đồng thông minh để quét tài sản của họ ngay khi họ phê duyệt.
Các phê duyệt token và điểm yếu của chúng
Để hiểu drainers, bạn cần hiểu các phê duyệt token, vì toàn bộ cuộc tấn công là một sự lạm dụng của một tính năng hợp pháp và cần thiết. Khi bạn sử dụng một ứng dụng phi tập trung, một DEX, một giao thức cho vay, hoặc một thị trường NFT, nó cần sự cho phép để di chuyển các token của bạn thay mặt cho bạn. Thay vì phê duyệt từng giao dịch một cách riêng lẻ, cơ chế tiêu chuẩn cho phép bạn cấp cho một hợp đồng thông minh một khoản tiền: sự cho phép để chi tiêu tối đa một số lượng nhất định của một token cụ thể từ ví của bạn, để ứng dụng có thể hoạt động trơn tru mà không cần hỏi mỗi lần.
Vấn đề là những gì cơ chế cho phép khi bị lạm dụng. Các phê duyệt có thể là cho các số lượng không giới hạn; một chữ ký đơn lẻ có thể ủy quyền cho một hợp đồng di chuyển tất cả các token mà bạn sẽ từng nắm giữ. Chúng tồn tại, một phê duyệt mà bạn đã cấp một lần vẫn hoạt động cho đến khi bạn thu hồi nó, đôi khi trong nhiều năm, giữ quyền cho phép một cách yên lặng để rút token đó lâu sau khi bạn đã quên giao dịch.
Quy trình tấn công của Drainers
Drainers tồn tại để có được chính những phê duyệt đó bằng cách lừa dối. Mục tiêu toàn bộ của kẻ tấn công là khiến bạn ký một giao dịch mà cấp cho một hợp đồng độc hại quyền hạn đối với tài sản của bạn.
Mọi thứ khác, từ các trang web giả mạo, tin nhắn khẩn cấp, đến các thương hiệu bị giả mạo, đều là máy móc được xây dựng để sản xuất chữ ký đó. Khi được cấp, việc đánh cắp không phải là một cuộc tấn công; đó là hợp đồng thực hiện một quyền mà bạn đã ủy quyền, đó là lý do tại sao việc đánh cắp của drainers rất khó để đảo ngược và tại sao blockchain không cung cấp cho nạn nhân bất kỳ biện pháp khắc phục nào: từ quan điểm của giao thức, không có gì sai cả.
Biện pháp phòng ngừa và bảo vệ ví
Bảo vệ một ví khỏi drainers phụ thuộc vào một tập hợp thói quen và một nhiệm vụ bảo trì mà hầu hết người dùng chưa bao giờ thực hiện. Các thói quen bao gồm: coi mỗi yêu cầu ký là một quyết định, không phải một hình thức, và không bao giờ ký từ một trạng thái khẩn cấp, vì sự khẩn cấp là cuộc tấn công. Xác minh các trang web một cách độc lập, gõ các URL đã biết hoặc sử dụng dấu trang thay vì nhấp vào các liên kết, quảng cáo, hoặc kết quả tìm kiếm.
Hãy cực kỳ nghi ngờ về bất kỳ điều gì miễn phí, bất ngờ, hoặc có áp lực thời gian, các chữ ký cảm xúc của một mồi nhử. Sử dụng một ví mà giải mã và mô phỏng các giao dịch, cho thấy bằng ngôn ngữ đơn giản những gì một chữ ký thực sự sẽ làm trước khi bạn phê duyệt nó, điều này trực tiếp tấn công điểm yếu ký mù, và từ chối ký bất kỳ điều gì bạn không thể đọc.
Giữ các tài sản quan trọng trong một ví phần cứng, và tốt hơn nữa là một ví lạnh chuyên dụng mà không bao giờ kết nối với các ứng dụng, để ví mà bạn sử dụng để tương tác với dapps chỉ giữ những gì bạn có thể đủ khả năng để mất. Hãy đặc biệt cẩn thận với các phê duyệt không giới hạn, chỉ cấp cho khoản tiền mà một tương tác thực sự cần khi có thể.
Kết luận
Tóm lại, drainers là hình thức trưởng thành của việc đánh cắp tiền điện tử trong một kỷ nguyên mà mật mã không thể bị phá vỡ: ngành công nghiệp đã bảo vệ mã đến mức hoàn hảo đến nỗi tội phạm đã từ bỏ nó cho con người, và xây dựng một ngành công nghiệp chuyên nghiệp xung quanh việc sản xuất điều mà tự bảo quản không thể ngăn chặn, chữ ký của nạn nhân trên một giao dịch độc hại.
Không có nâng cấp blockchain nào sửa chữa điều này, vì không có gì sai với blockchain, và biện pháp phòng ngừa tương ứng là con người: sự nghi ngờ thông minh, các giao dịch có thể đọc được, sự tiếp xúc tối thiểu, và các phê duyệt đã bị thu hồi. Công nghệ đã trao cho mọi người quyền lực để trở thành ngân hàng của chính họ, và drainers là lời nhắc rằng việc trở thành ngân hàng của chính mình có nghĩa là trở thành bộ phận an ninh của chính mình.
Lưu ý: Bài viết này chỉ dành cho mục đích giáo dục và không cấu thành lời khuyên đầu tư hoặc bảo mật. Tự bảo quản tài sản kỹ thuật số mang lại rủi ro đáng kể, và không có thực hành nào loại bỏ nó. Chi tiết hiện tại tính đến ngày 9 tháng 7 năm 2026. Luôn tự nghiên cứu.
