Wallet drainer là gì?
Wallet drainer là mã độc, đoạn mã hoặc hạ tầng lừa đảo được thiết kế để rút tài sản khỏi ví tiền mã hoá. Nó thường xuất hiện trong website giả mạo, ứng dụng không rõ nguồn gốc, quảng cáo độc hại, tài khoản mạng xã hội bị chiếm quyền hoặc tin nhắn mạo danh dự án.
Không phải wallet drainer nào cũng cần đánh cắp seed phrase. Nhiều vụ việc xảy ra khi người dùng tự kết nối ví rồi ký một giao dịch, chữ ký hoặc quyền chi tiêu mà họ không hiểu rõ. Kẻ tấn công sau đó có thể chuyển token, NFT hoặc những tài sản đã được cấp quyền sang địa chỉ do chúng kiểm soát.
Cần phân biệt ba hành động:
- Kết nối ví: chủ yếu cho website biết địa chỉ ví và yêu cầu một số quyền tương tác ở giao diện. Chỉ ngắt kết nối không tự động xoá quyền đã ghi trên blockchain.
- Ký thông điệp hoặc giao dịch: có thể chỉ dùng để đăng nhập, nhưng cũng có thể xác nhận lệnh chuyển tài sản, cấp quyền hoặc một uỷ quyền có giá trị đối với giao thức cụ thể. Vì vậy, người dùng nên biết cách kiểm tra chữ ký ví crypto trước khi ký.
- Lộ private key hoặc seed phrase: cho phép kẻ khác kiểm soát ví và tự ký giao dịch. Đây là tình huống nghiêm trọng hơn một quyền chi tiêu đơn lẻ.
Wallet drainer không phải một loại coin hay một blockchain. Đây là cách gọi chung cho công cụ và phương thức rút tài sản trái phép từ ví.
Wallet drainer rút tài sản bằng cách nào?
Lừa người dùng ký giao dịch chuyển tài sản
Website giả có thể hiển thị một hành động vô hại như nhận airdrop, mint NFT, xác minh tài khoản hoặc sửa lỗi ví, trong khi yêu cầu thực tế là chuyển token hay tài sản gốc của mạng sang địa chỉ khác.
Nếu người dùng ký và giao dịch được xác nhận, việc chuyển tài sản được ghi nhận trên blockchain. Khả năng đảo ngược thường rất hạn chế, đặc biệt khi giao dịch đã đạt mức finality trên blockchain.
Lợi dụng quyền chi tiêu token
Với nhiều tiêu chuẩn token, người dùng có thể cho phép một địa chỉ hoặc hợp đồng, thường gọi là spender, sử dụng token thay mình. Quyền này phục vụ các hoạt động hợp pháp như swap hoặc gửi tài sản vào giao thức, nhưng cũng có thể bị lợi dụng.
Một trang phishing wallet drainer có thể yêu cầu hạn mức cao hơn nhu cầu thực tế hoặc cấp quyền không có thời hạn rõ ràng. Sau khi quyền được ghi nhận, spender độc hại có thể gọi hàm chuyển token mà không cần người dùng ký lại từng lần. Rủi ro này được giải thích chi tiết trong bài về token approval vô hạn và cách kiểm tra.
Quyền đối với token không đồng nghĩa với toàn quyền kiểm soát ví. Phạm vi ảnh hưởng phụ thuộc vào mạng, hợp đồng, loại tài sản, hạn mức và nội dung đã ký. NFT cũng có thể sử dụng cơ chế cho phép một bên vận hành toàn bộ tài sản thuộc một bộ sưu tập.
Lợi dụng chữ ký ngoài chuỗi
Một số chữ ký không tạo giao dịch ngay tại thời điểm ký nhưng có thể được dùng làm bằng chứng uỷ quyền trong giao thức hỗ trợ. Chẳng hạn, chữ ký có thể liên quan đến permit, lệnh giao dịch hoặc yêu cầu chuyển tài sản theo điều kiện nhất định.
Không nên mặc định rằng ký miễn phí hoặc chữ ký không tốn phí gas là an toàn. Cần đọc tên miền, mạng, hợp đồng, địa chỉ được cấp quyền, loại tài sản và nội dung mà ví hiển thị.
Đánh cắp seed phrase hoặc private key
Mã độc trên thiết bị, tiện ích trình duyệt giả, ứng dụng ví giả và biểu mẫu khôi phục ví có thể đánh cắp thông tin kiểm soát ví. Khi private key hoặc seed phrase bị lộ, kẻ tấn công không còn phụ thuộc vào một approval cụ thể mà có thể tự ký giao dịch.
Nếu có dấu hiệu này, chỉ thu hồi quyền là không đủ. Ví cũ phải được xem là không còn đáng tin cậy và cần xử lý theo quy trình dành cho trường hợp seed phrase bị lộ.
Dấu hiệu ví crypto bị drain
Một dấu hiệu riêng lẻ chưa luôn chứng minh ví đã bị tấn công, nhưng cần kiểm tra ngay nếu xuất hiện các tình huống sau:
- Token, NFT hoặc tài sản gốc bị chuyển đi mà chủ ví không chủ động thực hiện.
- Có giao dịch approve, permit hoặc cấp quyền vận hành NFT cho địa chỉ không nhận ra.
- Ví liên tục phát sinh giao dịch rút tài sản trái phép sau khi vừa nhận thêm token hoặc phí gas.
- Sự cố xảy ra ngay sau khi truy cập liên kết nhận thưởng, mint NFT, hỗ trợ kỹ thuật hoặc xác minh ví.
- Phần mềm ví hiển thị yêu cầu ký khó hiểu, địa chỉ nhận lạ hoặc quyền truy cập lớn hơn hành động dự kiến.
- Lịch sử trình duyệt hoặc thiết bị xuất hiện tiện ích, ứng dụng và tệp cài đặt không rõ nguồn gốc.
- Cụm từ khôi phục từng được nhập vào website, biểu mẫu hỗ trợ hoặc ứng dụng không phải ví chính thức.
Số dư bằng không chưa đủ để xác định nguyên nhân. Người dùng cần xem lịch sử giao dịch trên đúng blockchain để biết tài sản được chuyển bằng giao dịch trực tiếp, quyền chi tiêu hay private key bị chiếm.
Thứ tự xử lý khi nghi ví bị rút tài sản
Không có một quy trình duy nhất phù hợp với mọi sự cố. Thứ tự ưu tiên phụ thuộc vào việc người dùng chỉ kết nối website, đã cấp approval, đã ký giao dịch hay đã làm lộ seed phrase. Quy trình dưới đây giúp giảm nguy cơ thực hiện thêm thao tác có hại.
1. Dừng ký và ngắt kết nối với nguồn nghi ngờ
Đóng website hoặc ứng dụng đáng ngờ, huỷ các yêu cầu ký chưa xác nhận và ngắt phiên kết nối trong phần quản lý của ví. Nếu nghi thiết bị nhiễm mã độc, hãy ngắt mạng khi phù hợp và chuyển sang một thiết bị sạch để kiểm tra.
Ngắt kết nối chỉ chấm dứt phiên làm việc ở giao diện. Hành động này không huỷ giao dịch đã gửi, không xoá approval trên blockchain và không vô hiệu hoá private key bị lộ.
Không tiếp tục bấm vào liên kết do tài khoản hỗ trợ gửi trong tin nhắn riêng. Kẻ gian thường lợi dụng tâm lý khẩn cấp để thực hiện vòng lừa đảo thứ hai.
2. Kiểm tra địa chỉ và lịch sử giao dịch
Mở trình khám phá blockchain chính thức bằng cách tự nhập địa chỉ quen thuộc, thay vì đi theo liên kết trong tin nhắn. Tra cứu địa chỉ ví và ghi lại:
- Mã giao dịch, thời điểm và trạng thái đang chờ hay đã xác nhận.
- Địa chỉ nhận tài sản và địa chỉ hợp đồng đã tương tác.
- Loại tài sản, số lượng và mạng blockchain liên quan.
- Các giao dịch approve, permit hoặc quyền vận hành NFT gần thời điểm sự cố.
- Những giao dịch do chính địa chỉ ví ký nhưng người dùng không nhận ra.
Nên lưu ảnh chụp, mã giao dịch và tên miền lừa đảo để phục vụ báo cáo. Không suy đoán danh tính kẻ tấn công chỉ từ nhãn địa chỉ trên một nguồn duy nhất.
3. Xác định phạm vi bị xâm phạm
Có thể tạm chia thành bốn trường hợp:
| Tình huống | Mức độ cần xử lý |
|---|---|
| Chỉ kết nối ví, chưa ký và chưa gửi giao dịch | Ngắt kết nối, kiểm tra lịch sử và theo dõi ví |
| Đã cấp approval hoặc ký uỷ quyền đáng ngờ | Chuyển tài sản có nguy cơ và thu hồi quyền khi còn an toàn |
| Có giao dịch chuyển tài sản đã ký | Kiểm tra trạng thái; giao dịch đã hoàn tất thường không thể tự đảo ngược |
| Seed phrase, private key hoặc thiết bị ký bị xâm phạm | Tạo ví mới trên thiết bị sạch và di chuyển tài sản còn lại; không tiếp tục tin cậy ví cũ |
Nếu chưa xác định được loại chữ ký, nên hành động thận trọng như thể quyền đã cấp có thể gây rủi ro, nhưng không ký thêm giao dịch tuỳ tiện để thử sửa lỗi.
4. Chuyển tài sản còn lại sang ví sạch khi cần
Nếu seed phrase hoặc private key có khả năng bị lộ, hãy tạo ví mới bằng thiết bị đáng tin cậy và cụm từ khôi phục hoàn toàn mới. Không nhập lại seed phrase cũ vào ví mới và không lưu seed mới trên cùng thiết bị đang bị nghi nhiễm mã độc.
Ưu tiên chuyển các tài sản còn lại mà kẻ tấn công có thể tiếp cận. Việc chuyển token thường cần phí giao dịch bằng tài sản gốc của mạng. Tuy nhiên, nạp thêm phí gas vào ví đã bị kiểm soát có thể khiến khoản tiền đó bị lấy ngay. Nếu không hiểu cách giao dịch đang bị theo dõi hoặc tự động rút, nên dừng lại và tìm hỗ trợ kỹ thuật có thể xác minh thay vì liên tục nạp thêm tiền.
Nếu chỉ có một approval độc hại và không có dấu hiệu lộ khoá, việc chuyển tài sản có giá trị sang ví sạch có thể giảm rủi ro trong lúc đánh giá. Thứ tự giữa chuyển tài sản và thu hồi quyền cần dựa trên trạng thái tấn công, loại token, phí gas và khả năng ký an toàn.
5. Thu hồi quyền khi ví vẫn an toàn để thao tác
Chỉ thực hiện revoke nếu có cơ sở cho rằng thiết bị và khoá ký chưa bị chiếm. Người dùng có thể dùng chức năng quản lý quyền của ví hoặc công cụ chính thức trên trình khám phá blockchain, sau đó đối chiếu đúng mạng, hợp đồng token và spender.
Quyền phải được kiểm tra riêng trên từng blockchain. Thu hồi trên một mạng không tự động tác động đến mạng khác. Hướng dẫn thu hồi quyền truy cập ví crypto an toàn có thể giúp phân biệt revoke on-chain với thao tác ngắt kết nối website.
Thu hồi approval không lấy lại tài sản đã chuyển đi và không bảo vệ được ví nếu seed phrase đã lộ. Nó chỉ hạn chế quyền cụ thể của spender sau khi giao dịch revoke được xác nhận.
6. Bảo vệ các tài khoản liên quan
Nếu thiết bị có khả năng nhiễm mã độc, cần kiểm tra các tài khoản email, sàn giao dịch và trình quản lý mật khẩu từng sử dụng trên thiết bị đó. Đổi mật khẩu từ thiết bị sạch, rà soát phương thức khôi phục và bật xác thực nhiều lớp phù hợp.
Quét hoặc cài đặt lại thiết bị có thể cần thiết tuỳ mức độ xâm nhập. Không nên tiếp tục nhập seed phrase mới trên một hệ thống chưa được xác định là an toàn.
Xử lý theo từng tình huống cụ thể
Chỉ kết nối ví với website lạ
Ngắt kết nối phiên, xoá quyền truy cập ở giao diện ví nếu có và kiểm tra lịch sử giao dịch. Nếu chưa ký thông điệp, chưa cấp approval, chưa gửi giao dịch và chưa nhập seed phrase, việc kết nối đơn thuần thường chưa đủ để chuyển tài sản. Dù vậy, vẫn cần kiểm tra xem có yêu cầu nào đã được xác nhận mà người dùng bỏ sót hay không.
Đã ký approval nhưng token chưa bị chuyển
Dừng tương tác với website, xác định spender và hạn mức, sau đó cân nhắc chuyển tài sản liên quan hoặc revoke từ môi trường an toàn. Không chờ đến khi xuất hiện giao dịch rút token mới kiểm tra quyền.
Cần nhớ rằng một approval ERC-20 thường chỉ tác động đến token cụ thể, còn quyền vận hành NFT có thể áp dụng cho nhiều NFT trong cùng bộ sưu tập. Phạm vi chính xác phụ thuộc vào tiêu chuẩn và hợp đồng.
Token hoặc NFT đã bị rút
Kiểm tra trạng thái giao dịch và các approval còn tồn tại. Nếu giao dịch đã được xác nhận và đạt finality, ví thông thường không có nút hoàn tác. Hãy tập trung bảo vệ tài sản chưa bị chuyển, lưu bằng chứng và báo cáo địa chỉ đáng ngờ cho nền tảng hoặc dịch vụ liên quan.
Không trả phí cho người tự nhận có thể hack ngược hoặc chắc chắn lấy lại tiền. Khả năng thu hồi phụ thuộc vào đường đi của tài sản, bên trung gian và quy trình pháp lý; không có bảo đảm rằng tài sản on-chain sẽ được trả lại.
Tài sản vừa nạp vào là bị rút ngay
Đây có thể là dấu hiệu private key đã bị kiểm soát hoặc có hệ thống tự động theo dõi ví. Không tiếp tục nạp thêm token hay phí gas theo cách cũ. Tạo ví mới trên thiết bị sạch và xem ví cũ là không an toàn.
Giao dịch vẫn đang chờ xác nhận
Một số ví và mạng cho phép gửi giao dịch thay thế hoặc yêu cầu huỷ bằng nonce tương ứng, nhưng hiệu quả phụ thuộc vào cơ chế của mạng và việc giao dịch độc hại đã được xác nhận hay chưa. Không nên coi thao tác huỷ là chắc chắn thành công.
Những việc không nên làm sau sự cố
- Không nhập seed phrase vào website sửa lỗi, biểu mẫu hoàn tiền hoặc công cụ revoke.
- Không ký giao dịch mới chỉ vì website thông báo cần xác minh quyền sở hữu ví.
- Không cho rằng ngắt kết nối dApp đồng nghĩa với đã thu hồi approval.
- Không gửi phí gas liên tục vào ví có dấu hiệu bị kiểm soát.
- Không xoá lịch sử, mã giao dịch hoặc bằng chứng trước khi ghi lại.
- Không chuyển toàn bộ tài sản sang ví mới được tạo từ seed phrase cũ.
- Không tin tài khoản hỗ trợ chủ động nhắn riêng và yêu cầu chia sẻ màn hình, private key hoặc mã khôi phục.
- Không tải công cụ cứu ví từ quảng cáo tìm kiếm hoặc liên kết rút gọn chưa xác minh.
Cách phòng tránh phishing wallet drainer
Kiểm tra tên miền và nguồn liên kết
Tự nhập địa chỉ website chính thức hoặc sử dụng dấu trang đã xác minh. Cẩn trọng với tên miền gần giống, ký tự thay thế, trang được tài trợ và liên kết từ tài khoản mạng xã hội mới tạo.
Đọc nội dung trước khi ký
Kiểm tra mạng, địa chỉ nhận, hợp đồng, token, hạn mức và loại thao tác. Nếu ví chỉ hiển thị dữ liệu khó đọc hoặc nội dung không phù hợp với hành động trên giao diện, hãy từ chối ký.
Hạn chế approval
Chỉ cấp hạn mức cần thiết khi ứng dụng hỗ trợ và định kỳ kiểm tra quyền không còn sử dụng. Tuy vậy, approval giới hạn không loại bỏ mọi rủi ro vì một giao dịch chuyển trực tiếp hoặc chữ ký khác vẫn có thể gây mất tài sản.
Tách ví theo mục đích
Có thể dùng ví giao dịch với số dư giới hạn để thử dApp và một ví lưu trữ riêng ít kết nối. Việc tách ví giúp giới hạn phạm vi thiệt hại nhưng không thay thế cho kiểm tra chữ ký và bảo vệ seed phrase.
Bảo vệ thiết bị và cụm từ khôi phục
Chỉ cài ví, tiện ích và bản cập nhật từ nguồn chính thức. Seed phrase cần được lưu ngoại tuyến theo cách phù hợp và không nhập vào website. Ví cứng có thể giúp tách khoá khỏi máy tính, nhưng người dùng vẫn có thể ký một giao dịch độc hại nếu không kiểm tra nội dung.
Kết luận
Wallet drainer lợi dụng sự nhầm lẫn giữa kết nối ví, chữ ký, quyền chi tiêu và giao dịch on-chain để rút tài sản. Khi nghi ví crypto bị drain, ưu tiên là dừng ký, ngắt kết nối nguồn đáng ngờ, kiểm tra lịch sử giao dịch và xác định seed phrase có bị lộ hay không.
Nếu khoá ví đã bị xâm phạm, cần chuyển tài sản còn lại sang ví mới được tạo trên thiết bị sạch. Nếu rủi ro chỉ nằm ở approval và ví vẫn an toàn để ký, có thể thu hồi quyền sau khi xác minh đúng spender. Không có thao tác revoke nào tự động khôi phục token đã bị chuyển hoặc biến một seed phrase bị lộ thành an toàn trở lại.
