Một chữ ký duy nhất, một khoản lỗ sáu con số
TREE NEWS đưa tin: Theo giám sát on-chain của Scam Sniffer, một người dùng tiền mã hóa đã mất số token LINK trị giá 167.342 USD sau khi ký một ủy quyền Permit2 độc hại trên Ethereum. Nạn nhân đã ký phê duyệt vào ngày 18 tháng 8 năm 2025, nhưng số token chỉ bị rút gần đây — sự chậm trễ này tự nó là dấu hiệu đặc trưng của các chiến dịch lừa đảo tinh vi.
Vụ việc là lời nhắc nhở mới rằng trong tài chính phi tập trung, giao dịch nguy hiểm nhất thường là giao dịch trông giống như một phê duyệt thông thường.
Tại sao Permit2 là nam châm hút kẻ tấn công
Permit2, được phát triển bởi Uniswap, là một hợp đồng phê duyệt token được thiết kế để hợp lý hóa hạn mức ERC-20 trên nhiều ứng dụng. Thay vì phê duyệt từng dApp riêng lẻ, người dùng cấp một quyền duy nhất dựa trên chữ ký có thể tái sử dụng. Chính sự tiện lợi đó khiến nó trở nên hấp dẫn đối với kẻ lừa đảo: một chữ ký off-chain duy nhất có thể ủy quyền cho một hợp đồng độc hại di chuyển số lượng token không giới hạn của nạn nhân, thường mà không cần bất kỳ xác nhận on-chain nào thêm.
Vì phê duyệt được ký off-chain, nó có thể bị đánh cắp thông qua các trang web giả mạo, giao diện front-end bị xâm phạm, quảng cáo độc hại, hoặc các bộ công cụ ví rút tiền mô phỏng giao diện DeFi hợp pháp. Một khi chữ ký tồn tại, kẻ tấn công có thể thực hiện chuyển tiền bất cứ lúc nào — điều này giải thích khoảng cách giữa lần ký vào tháng 8 và vụ trộm gần đây.
Nền kinh tế ví rút tiền mở rộng
Lừa đảo và rút tiền ví đã trở thành một trong những phân khúc được công nghiệp hóa nhất của tội phạm tiền mã hóa. Các nhóm tội phạm thuê bộ công cụ drainer-as-a-service, mua quảng cáo tìm kiếm và vị trí trên mạng xã hội, và nhắm vào người dùng của các giao thức có thanh khoản cao. LINK, là một trong những token ERC-20 được nắm giữ rộng rãi nhất với thanh khoản sâu, thường xuyên là mục tiêu.
- Chữ ký off-chain là bề mặt tấn công mới: Người dùng được huấn luyện để xem xét kỹ các giao dịch on-chain nhưng thường coi các yêu cầu chữ ký là vô hại.
- Thực thi trì hoãn làm phức tạp việc khôi phục: Khi vụ trộm xảy ra vài tuần hoặc vài tháng sau chữ ký, nạn nhân có thể không liên kết được khoản lỗ với phê duyệt ban đầu.
- Thu hồi chưa được sử dụng đầy đủ: Nhiều người dùng không bao giờ xem xét hoặc thu hồi các phê duyệt token cũ, để lại các quyền thường trực mà drainer có thể khai thác.
Người dùng và nhà phát triển nên làm gì
Đối với người dùng, các biện pháp phòng vệ thực tế rất đơn giản nhưng đòi hỏi kỷ luật: xác minh tên miền trước khi kết nối ví, coi mọi yêu cầu chữ ký Permit hoặc Permit2 tương đương với một giao dịch chuyển tiền, sử dụng ví phần cứng hiển thị chi tiết ký ở dạng người đọc được, và định kỳ thu hồi các phê duyệt không dùng qua các công cụ như Revoke.cash hoặc trình kiểm tra phê duyệt token của Etherscan.
Đối với nhà phát triển, áp lực là phải cải thiện UX xung quanh việc ký. Cảnh báo rõ ràng hơn, mô phỏng hậu quả của chữ ký, và giới hạn chi tiêu mặc định thay vì phê duyệt không giới hạn sẽ giảm bán kính ảnh hưởng của một sai lầm duy nhất. Một số ví đã bắt đầu hiển thị điểm rủi ro cho các hợp đồng, nhưng mức độ áp dụng vẫn không đồng đều.
Triển vọng: Quy định và công cụ hội tụ
Khi tổn thất tăng lên, dự kiến hai xu hướng sẽ tăng tốc. Thứ nhất, thực thi và triệt phá mạnh mẽ hơn đối với hạ tầng drainer, dựa trên các hành động đã được thực hiện chống lại các mạng lừa đảo. Thứ hai, thúc đẩy trừu tượng hóa tài khoản và tài khoản thông minh có thể thực thi giới hạn chi tiêu, khóa phiên, và khôi phục xã hội — biến chính ví thành một tuyến phòng thủ thay vì một điểm thất bại duy nhất.
Cho đến lúc đó, bài học từ khoản lỗ 167.342 USD này rất thẳng thắn: trong tiền mã hóa, một chữ ký là tiền. Hãy đối xử với mọi yêu cầu phê duyệt với sự thận trọng như một giao dịch chuyển tiền trực tiếp, bởi vì kẻ tấn công đã làm như vậy.
