An toàn crypto
Kiểm tra, đừng tin suông. Đó là cách của Polkadot và cũng là cách của $WUD. Quá nhiều người mất tiền tiết kiệm vì lừa đảo crypto, và gần như vụ nào cũng theo vài kiểu quen thuộc. Đây là tất cả những gì chúng tôi ước có người nói cho mình từ ngày đầu. Nó áp dụng cho mọi website, app và mọi người trong crypto, kể cả chúng tôi.
Cập nhậtQuy tắc quan trọng nhất
Cụm từ khôi phục (còn gọi là seed phrase hay secret phrase) là chìa khóa tổng của ví. Ai có nó là lấy được tất cả, từ bất cứ đâu, bất cứ lúc nào, và không ai đảo ngược được.
- Không bao giờ nhập nó vào website, form, chat hay email. Nó chỉ thuộc về app ví của bạn, hoặc được chép ra giấy cất ngoại tuyến.
- Không bao giờ đưa nó cho ai. Không đưa support, không đưa team nào, không đưa công ty ví, không đưa bạn bè, không đưa người hứa airdrop hay hứa giúp đỡ.
- Ai hỏi cụm từ này là đang muốn lấy tiền của bạn. Không có ngoại lệ. Team thật, ví thật và support thật không bao giờ cần nó.
Kết nối, ký và duyệt
Website có thể yêu cầu ví làm ba việc rất khác nhau. Phân biệt được ba việc này là đã an toàn được phần lớn.
| Yêu cầu | Nó làm gì | Cần kiểm tra gì |
|---|---|---|
| Kết nối | Chia sẻ địa chỉ công khai để trang hiện số dư. Không chuyển được gì. | Bạn đang ở đúng địa chỉ thật của trang bạn định vào. |
| Ký tin nhắn | Chứng minh bạn sở hữu địa chỉ, ví dụ để đăng nhập. Trên ví Polkadot việc này miễn phí và không chuyển được tiền. | Nội dung đọc phải hợp lý. Trên ví Ethereum, cẩn thận với thứ gọi là permit, vì nó có thể cho phép chi tiêu. |
| Duyệt giao dịch | Thực sự làm một việc: gửi, swap, mua, đốt hoặc đổi cài đặt. Đây là loại có thể chuyển tiền của bạn. | Gửi cái gì, bao nhiêu, gửi đi đâu. Nếu không khớp với thứ bạn vừa bấm, từ chối ngay. |
| Duyệt quyền chi tiêu (Ethereum) | Cho một contract lấy token của bạn sau này, thường là không giới hạn số lượng. Đây là chiêu ruột của drainer. | Chỉ cấp cho app bạn tin, và chỉ đúng số bạn cần. Gỡ quyền cũ ở revoke.cash. |
Từ chối một yêu cầu luôn miễn phí và luôn an toàn. Khi phân vân, cứ từ chối rồi hỏi trong kênh cộng đồng chính thức.
Drainer hoạt động thế nào
Drainer không tự phá được ví của bạn. Nó phải khiến chính bạn mở cửa. Các đường quen thuộc:
- Website nhái đổi một chữ cái hoặc đổi đuôi tên miền, xuất hiện qua quảng cáo, kết quả tìm kiếm hoặc link trong phần trả lời.
- Airdrop và giveaway giả bảo bạn kết nối rồi "claim", sau đó đưa ra một giao dịch gửi token của bạn đi mất.
- Support giả nhắn tin cho bạn trước sau khi bạn hỏi gì đó công khai, rồi bảo bạn "xác minh", "đồng bộ" hoặc "validate" ví.
- App và tiện ích giả sao chép từ ví thật, đưa lên kho ứng dụng hoặc chạy quảng cáo.
- Tài khoản và website bị hack, khi tài khoản mạng xã hội hoặc website của một dự án thật bị chiếm và bắt đầu đăng bẫy.
Kiểu nào cũng kết thúc giống nhau: bạn duyệt thứ mình không đọc, hoặc nhập cụm từ khôi phục vào chỗ không được nhập. Đọc kỹ mọi yêu cầu, giữ cụm từ ngoại tuyến, là gần như kiểu nào cũng thất bại.
Kiểm tra link bằng VirusTotal
Trước khi mở một link bạn không chờ đợi, hoặc kết nối với trang lần đầu, bạn có thể kiểm tra miễn phí ở virustotal.com. Trang này hỏi hàng chục công ty bảo mật xem địa chỉ đó có bị đánh dấu nguy hiểm không.
- Copy link. Đừng mở vội.
- Vào virustotal.com, chọn URL, dán link và bấm tìm.
- Xem kết quả. Có bất kỳ cờ đỏ nào là đừng mở. Bấm Reanalyze để kiểm tra lại nếu kết quả đã cũ.
Đây là một báo cáo thật, cho chính website này: gavunwud.com trên VirusTotal. Bấm Reanalyze là có kết quả mới từ mọi bên, lúc nào cũng được.
Kết quả sạch thì có ích, nhưng không phải bảo đảm. Trang lừa đảo mới tinh thường vẫn sạch trong vài giờ hoặc vài ngày đầu. Coi đây là một bước kiểm tra trong nhiều bước, và tập thói quen kiểm tra mọi trang bạn kết nối ví.
Checklist trước khi duyệt bất cứ thứ gì
- Địa chỉ trang có đúng từng chữ không? Lưu bookmark cho các trang bạn dùng với ví, thay vì bấm link từ tin nhắn hay quảng cáo.
- Có phải bạn tự bắt đầu thao tác này không? Nếu một yêu cầu hiện ra mà bạn không chờ, hãy từ chối.
- Ví có hiện đúng thứ bạn định làm không? Đúng token, đúng số lượng, đúng nơi nhận.
- Có ai đang hối bạn không? "Chỉ còn 10 phút" hay "ví của bạn sẽ bị khóa" là chiêu gây áp lực. Dự án thật luôn để bạn từ từ.
- Có ai hỏi cụm từ khôi phục không? Dừng lại. Đó là lừa đảo, lần nào cũng vậy.
Thiết lập an toàn
- Dùng hai ví. Một ví tiêu với số dư nhỏ cho website, game và app mới, và một ví tiết kiệm không bao giờ kết nối với đâu cả.
- Cân nhắc ví cứng. Ledger giữ khóa trong thiết bị và hiện từng giao dịch trên màn hình riêng, nên website xấu không ký được gì mà bạn không thấy. Bạn dùng được Ledger trên Polkadot qua Talisman, SubWallet, Nova Wallet hoặc Polkadot.js.
- Chỉ tải ví từ trang chính thức hoặc kho ứng dụng. Kiểm tra tên nhà phát hành trước khi cài.
- Bảo vệ email và tài khoản sàn bằng app xác thực hoặc khóa bảo mật, đừng dùng SMS.
Nếu có chuyện xảy ra
- Nếu cụm từ khôi phục bị lộ: tạo ngay một ví hoàn toàn mới với cụm từ mới và chuyển hết những gì còn lại sang đó. Ví cũ không bao giờ đáng tin nữa.
- Nếu bạn đã duyệt quyền chi tiêu trên Ethereum: gỡ quyền đó ở revoke.cash càng sớm càng tốt.
- Cẩn thận với dịch vụ "lấy lại tiền". Người hứa lấy lại crypto bị mất để thu phí gần như luôn là một vụ lừa đảo thứ hai.
- Báo cho cộng đồng. Báo nhanh link lừa đảo hay tài khoản giả là bảo vệ được người tiếp theo.
gavunwud.com hoạt động thế nào
Chúng tôi tự áp cùng những quy tắc đó. gavunwud.com không bao giờ hỏi cụm từ khôi phục hay khóa của bạn, và không bao giờ xin quyền chi tiêu token không giới hạn. Chữ ký tin nhắn chỉ dùng để chứng minh bạn sở hữu địa chỉ. Giao dịch chỉ xảy ra khi bạn chọn một thao tác, và ví hiện từng giao dịch trước khi bạn duyệt. Dù vậy, đừng chỉ tin lời chúng tôi: hãy tự kiểm tra. Chi tiết có trong điều khoản.
Link chính thức của chúng tôi là gavunwud.com, x.com/gavunwud, t.me/gavunwud và Discord của chúng tôi. Thứ gì tự nhận là chúng tôi mà không nằm trong danh sách này, hãy coi là giả.
Câu hỏi thường gặp
Kết nối ví với website có an toàn không?
Kết nối chỉ chia sẻ địa chỉ công khai, nên tự nó không chuyển được tiền của bạn. Rủi ro đến sau đó, nếu bạn duyệt một giao dịch hoặc quyền chi tiêu mà không đọc. Chỉ kết nối với trang bạn tin, kiểm tra địa chỉ, và đọc kỹ mọi yêu cầu trước khi duyệt.
Chỉ có địa chỉ ví thì người khác lấy được crypto của tôi không?
Không. Địa chỉ vốn để công khai, giống số tài khoản. Muốn chuyển tiền của bạn, người ta cần cụm từ khôi phục hoặc khóa riêng, hoặc cần chính bạn duyệt giao dịch.
Lỡ đưa cụm từ khôi phục cho người khác thì làm gì?
Làm ngay. Tạo ví mới với cụm từ khôi phục mới và chuyển hết những gì còn lại sang đó. Coi ví cũ là đã bị lộ vĩnh viễn, và đừng trả tiền cho ai hứa lấy lại tiền bị mất.
VirusTotal báo sạch nghĩa là trang an toàn?
Nghĩa là chưa công ty bảo mật nào trong danh sách đánh dấu địa chỉ đó. Có ích, nhưng trang lừa đảo mới có thể trông sạch lúc đầu. Kết hợp với việc kiểm tra địa chỉ, đọc kỹ mọi yêu cầu từ ví và không bao giờ chia sẻ cụm từ khôi phục.