Mã độc thay địa chỉ ví thường theo dõi nội dung clipboard. Khi phát hiện chuỗi có định dạng giống địa chỉ tiền mã hoá, nó thay chuỗi vừa sao chép bằng địa chỉ do kẻ tấn công kiểm soát. Người dùng có thể không nhận ra và ký một giao dịch hợp lệ về mặt kỹ thuật nhưng gửi tài sản sai người.
Cách phòng tránh không phải là tin tuyệt đối vào một phần mềm bảo mật. Hãy xem clipboard là kênh truyền dữ liệu không đáng tin cậy, đối chiếu toàn bộ địa chỉ on-chain từ nguồn độc lập, kiểm tra đích đến trên màn hình ký giao dịch và thực hiện giao dịch thử khi phù hợp.
Mã độc thay địa chỉ ví hoạt động như thế nào?
Clipboard malware crypto thường hoạt động theo quy trình sau:
- Người dùng sao chép địa chỉ nhận từ tin nhắn, website, ứng dụng ví hoặc sàn giao dịch.
- Mã độc giám sát clipboard và nhận diện chuỗi giống địa chỉ blockchain.
- Chuỗi gốc bị thay bằng một địa chỉ khác do kẻ tấn công kiểm soát.
- Người dùng dán địa chỉ đã bị thay vào ví hoặc sàn.
- Nếu người dùng ký và phát giao dịch, blockchain vẫn xử lý bình thường vì địa chỉ giả có thể hoàn toàn hợp lệ.
Mã độc có thể phân biệt một số định dạng địa chỉ để chọn địa chỉ thay thế tương ứng. Tuy nhiên, khả năng cụ thể phụ thuộc vào từng mẫu mã độc; không nên giả định rằng nó chỉ nhắm đến một đồng coin hoặc một mạng duy nhất.
Cơ chế này khác với address poisoning. Mã độc clipboard can thiệp trực tiếp trên thiết bị, còn address poisoning thường đưa địa chỉ giống địa chỉ quen thuộc vào lịch sử giao dịch để dụ người dùng sao chép nhầm. Cả hai đều khai thác thói quen chỉ nhìn đầu và cuối chuỗi. Người dùng có thể tìm hiểu thêm về cách tránh chuyển nhầm ví do address poisoning để phân biệt hai rủi ro.
Dấu hiệu đáng chú ý
Một thiết bị có thể đáng nghi nếu xuất hiện một hoặc nhiều hiện tượng sau:
- Địa chỉ sau khi dán khác địa chỉ vừa sao chép.
- Clipboard tự thay đổi dù người dùng chưa sao chép nội dung mới.
- Tiện ích trình duyệt, ứng dụng hoặc tiến trình lạ xuất hiện sau khi cài phần mềm không rõ nguồn gốc.
- Ví hiển thị địa chỉ nhận khác với địa chỉ trên màn hình độc lập của thiết bị ký.
- Phần mềm bảo mật phát cảnh báo liên quan đến clipboard, trình duyệt hoặc ứng dụng ví.
Không có dấu hiệu bất thường cũng không chứng minh thiết bị an toàn. Một số mã độc được thiết kế để hoạt động kín đáo và chỉ thay thế nội dung khi nhận diện đúng mẫu địa chỉ.
Vì sao đối chiếu vài ký tự có thể không đủ?
Thói quen kiểm tra vài ký tự đầu và cuối tốt hơn việc không kiểm tra, nhưng không nên được xem là biện pháp xác minh đầy đủ.
Kẻ tấn công có thể chuẩn bị nhiều địa chỉ hoặc tìm địa chỉ có phần đầu, phần cuối gần giống địa chỉ mục tiêu. Nếu người dùng chỉ nhìn bốn hoặc sáu ký tự ở hai đầu, địa chỉ giả có thể vượt qua bước kiểm tra bằng mắt. Các chuỗi dài, ký tự lặp và kiểu chữ hiển thị trên màn hình nhỏ cũng làm tăng nguy cơ đọc nhầm.
Cơ chế checksum của một số định dạng địa chỉ chủ yếu giúp phát hiện lỗi nhập hoặc định dạng không hợp lệ. Nó không ngăn được việc thay địa chỉ bằng một địa chỉ hợp lệ khác. Vì vậy, thông báo địa chỉ hợp lệ không có nghĩa đó là đúng người nhận.
Ngoài địa chỉ, người gửi còn phải kiểm tra:
- Mạng blockchain được chọn.
- Loại tài sản và chuẩn token.
- Memo, tag hoặc thông tin định tuyến nếu bên nhận yêu cầu.
- Hợp đồng token trong trường hợp có nhiều tài sản trùng tên hoặc ký hiệu.
- Nội dung giao dịch thực tế được ví yêu cầu ký.
Quy trình kiểm tra địa chỉ nhận coin trước khi gửi
1. Lấy địa chỉ từ nguồn có thể xác minh
Ưu tiên địa chỉ được hiển thị trực tiếp trong ứng dụng chính thức của bên nhận, tài khoản sàn đã đăng nhập đúng tên miền hoặc thiết bị ví của người nhận. Nếu địa chỉ được gửi qua tin nhắn, hãy xác nhận bằng một kênh liên lạc độc lập khi giao dịch có mức độ quan trọng cao.
Không dựa riêng vào kết quả tìm kiếm, quảng cáo, tài khoản mạng xã hội mới liên hệ hoặc ảnh chụp không thể xác minh. Tài khoản của người nhận cũng có thể bị chiếm quyền.
2. Kiểm tra đúng mạng và thông tin bổ sung
Một địa chỉ có thể được sử dụng trên nhiều mạng có định dạng tương tự, nhưng tài sản gửi sai mạng có thể không tự xuất hiện ở phía nhận. Trước khi nhập số lượng, hãy kiểm tra tên mạng, loại tài sản và yêu cầu về memo hoặc tag.
Nếu gửi token, cần phân biệt địa chỉ ví nhận với địa chỉ hợp đồng token. Không gửi tài sản vào địa chỉ hợp đồng trừ khi tài liệu chính thức nêu rõ thao tác đó được hỗ trợ.
3. So sánh toàn bộ địa chỉ sau khi dán
Sau khi dán, không chỉ nhìn vài ký tự đầu và cuối. Hãy chia chuỗi thành từng nhóm nhỏ rồi đối chiếu lần lượt toàn bộ địa chỉ với nguồn gốc. Có thể đọc từ đầu đến cuối một lượt và từ cuối về đầu thêm một lượt để giảm nguy cơ bỏ sót.
Nếu dùng mã QR, vẫn phải kiểm tra địa chỉ được giải mã. Mã QR hiển thị trên một thiết bị đã bị xâm nhập cũng có thể chứa địa chỉ sai.
4. Xác minh trên màn hình ký giao dịch
Thông tin trong giao diện máy tính hoặc điện thoại có thể bị sửa. Nếu sử dụng thiết bị ký có màn hình độc lập, hãy đối chiếu địa chỉ đích và số lượng trên chính màn hình đó trước khi xác nhận.
Thiết bị phần cứng không tự loại bỏ mọi rủi ro. Người dùng vẫn có thể ký sai địa chỉ, phê duyệt hợp đồng độc hại hoặc bỏ qua cảnh báo. Với giao dịch hợp đồng thông minh, cần hiểu tài sản, quyền hạn và hành động đang được yêu cầu; hướng dẫn kiểm tra chữ ký ví trước khi ký giúp nhận diện thêm các yêu cầu đáng ngờ.
5. Lưu địa chỉ đã xác minh một cách thận trọng
Nếu thường xuyên chuyển đến cùng một địa chỉ, có thể dùng danh bạ hoặc danh sách cho phép của nền tảng nếu tính năng đó sẵn có. Việc thêm địa chỉ cũng phải được xác minh đầy đủ ngay từ đầu.
Không nên sao chép địa chỉ từ lịch sử giao dịch mà chỉ dựa vào hình dạng quen thuộc. Lịch sử có thể chứa giao dịch rác hoặc địa chỉ giả được tạo để gây nhầm lẫn.
Giao dịch thử có giúp ngăn chuyển nhầm không?
Giao dịch thử là việc gửi một lượng nhỏ trước, xác nhận bên nhận đã nhận đúng tài sản trên đúng mạng rồi mới cân nhắc gửi phần còn lại. Đây là một lớp kiểm tra hữu ích, đặc biệt khi dùng địa chỉ mới hoặc chuyển tài sản giữa các nền tảng.
Quy trình nên gồm:
- Kiểm tra toàn bộ địa chỉ, mạng và memo hoặc tag.
- Gửi một lượng nhỏ nhưng đáp ứng yêu cầu tối thiểu của nền tảng nhận nếu có.
- Theo dõi giao dịch bằng mã giao dịch trên trình khám phá blockchain phù hợp.
- Yêu cầu người nhận hoặc nền tảng xác nhận tài sản đã được ghi nhận.
- Trước giao dịch tiếp theo, kiểm tra lại toàn bộ địa chỉ và thông tin ký.
Giao dịch thử không phải bảo đảm tuyệt đối. Mã độc có thể thay địa chỉ ở lần gửi tiếp theo, hoặc chỉ kích hoạt trong một số điều kiện. Vì thế, không được bỏ qua bước xác minh giao dịch chính chỉ vì giao dịch thử đã thành công.
Cũng cần tính đến phí mạng, số tiền nạp tối thiểu và yêu cầu ghi có của nền tảng. Nếu giao dịch thử không được ghi nhận, hãy kiểm tra chính sách của bên nhận thay vì liên tục gửi thêm.
Cách xử lý thiết bị nghi nhiễm mã độc clipboard
Dừng giao dịch ngay
Không tiếp tục sao chép địa chỉ, đăng nhập ví, nhập mật khẩu hoặc ký giao dịch trên thiết bị nghi nhiễm. Ngắt kết nối mạng có thể hạn chế hoạt động tiếp theo, nhưng không đồng nghĩa mã độc đã bị loại bỏ.
Nếu cần lưu bằng chứng, chỉ ghi lại những thông tin không bí mật như mã giao dịch, địa chỉ nhận sai, thời điểm phát hiện và tên ứng dụng đáng ngờ. Không chụp hoặc chia sẻ seed phrase, private key hay mã khôi phục.
Chuyển sang một thiết bị sạch để đánh giá tài sản
Dùng một thiết bị khác được cập nhật, không cài phần mềm không rõ nguồn gốc và truy cập dịch vụ qua kênh chính thức. Kiểm tra lịch sử giao dịch, số dư, các phiên đăng nhập và quyền đã cấp cho ứng dụng phi tập trung.
Nếu phát hiện quyền token không còn cần thiết hoặc không rõ nguồn gốc, có thể xem quy trình thu hồi quyền truy cập ví crypto an toàn. Thu hồi quyền không thể đảo ngược giao dịch đã hoàn tất và cũng không khắc phục việc seed phrase bị lộ.
Đánh giá liệu khoá ví có thể đã bị lộ
Mã độc thay clipboard không mặc nhiên đồng nghĩa seed phrase hoặc private key đã bị đánh cắp. Tuy nhiên, rủi ro cao hơn nếu người dùng từng:
- Nhập seed phrase trên thiết bị nghi nhiễm.
- Lưu seed phrase trong tệp, ảnh, email hoặc trình quản lý clipboard.
- Cài ví giả hoặc tiện ích trình duyệt không rõ nguồn gốc.
- Ký yêu cầu không hiểu rõ hoặc cung cấp khoá riêng cho website.
Nếu seed phrase có khả năng đã lộ, việc chỉ xoá mã độc là chưa đủ. Cần tạo ví mới với seed phrase mới trên môi trường đáng tin cậy và chuyển tài sản còn lại theo thứ tự ưu tiên phù hợp. Quy trình xử lý khi seed phrase bị lộ giúp phân biệt việc đổi mật khẩu với việc thay hoàn toàn khoá kiểm soát ví.
Làm sạch hoặc cài đặt lại thiết bị
Có thể quét bằng công cụ bảo mật được cập nhật, gỡ ứng dụng và tiện ích đáng ngờ, kiểm tra chương trình tự khởi động, cập nhật hệ điều hành và trình duyệt. Tuy vậy, không phần mềm bảo mật nào bảo đảm phát hiện mọi mã độc.
Khi không xác định được phạm vi xâm nhập, cài đặt lại hệ điều hành từ nguồn chính thức thường là phương án thận trọng hơn so với chỉ xoá một tệp bị phát hiện. Sau đó, chỉ cài ứng dụng từ nguồn chính thức, xem lại các tiện ích được đồng bộ và đổi mật khẩu quan trọng từ thiết bị sạch. Không khôi phục hàng loạt phần mềm cũ nếu chưa biết nguồn lây.
Làm gì nếu đã gửi coin đến địa chỉ bị thay thế?
Giao dịch blockchain đã được xác nhận thường không thể tự huỷ hoặc đảo ngược. Hành động phù hợp phụ thuộc vào việc địa chỉ nhận thuộc cá nhân, sàn giao dịch hay dịch vụ nào có khả năng xác định được.
Nên thực hiện các bước sau:
- Lưu mã giao dịch, địa chỉ gửi, địa chỉ nhận, mạng và thời điểm xảy ra sự cố.
- Ngừng sử dụng thiết bị nghi nhiễm cho mọi hoạt động tài chính.
- Kiểm tra các ví và tài khoản khác đã dùng trên cùng thiết bị.
- Liên hệ bộ phận hỗ trợ của sàn hoặc đơn vị lưu ký nếu có căn cứ địa chỉ nhận thuộc hệ thống của họ.
- Báo cáo sự việc cho cơ quan có thẩm quyền khi cần thiết.
- Cảnh giác với dịch vụ hứa thu hồi tài sản và yêu cầu trả phí trước, cung cấp seed phrase hoặc ký giao dịch lạ.
Không gửi thêm tiền đến địa chỉ của kẻ tấn công với hy vọng họ hoàn trả. Cũng không nhập seed phrase vào công cụ được giới thiệu bởi người tự xưng là chuyên gia khôi phục.
Checklist an toàn trước mỗi giao dịch
- Lấy địa chỉ từ nguồn chính thức hoặc xác nhận qua kênh độc lập.
- Kiểm tra đúng tài sản, mạng và memo hoặc tag.
- Coi clipboard là kênh không đáng tin cậy.
- Đối chiếu toàn bộ địa chỉ sau khi dán.
- Kiểm tra lại địa chỉ và số lượng trên màn hình ký.
- Gửi thử một lượng nhỏ khi phù hợp.
- Xác nhận bên nhận đã nhận được giao dịch thử.
- Kiểm tra lại giao dịch chính thay vì dựa vào lần gửi trước.
- Không sao chép địa chỉ từ lịch sử chỉ vì vài ký tự trông quen thuộc.
- Dừng thao tác ngay khi địa chỉ bị thay đổi hoặc thiết bị có biểu hiện bất thường.
Nguyên tắc quan trọng nhất là xác minh đích đến tại thời điểm ký. Giao dịch thử, danh bạ ví, thiết bị phần cứng và phần mềm bảo mật đều là các lớp hỗ trợ; không lớp nào thay thế được việc kiểm tra đầy đủ địa chỉ và nội dung giao dịch.
