Lừa đảo multisig giả trên Tron

Độ khó: Trung cấp

Lừa đảo multisig trên Tron là chiêu khiến ví của bạn rơi vào trạng thái "tiền vào được, không rút ra được", vì quyền ký đã nằm trong tay người khác. Nó dựa vào tính năng phân quyền hợp pháp của tài khoản Tron. Nội dung chỉ nhằm giải thích kiến thức, không phải khuyến nghị đầu tư.

Multisig hợp lệ là gì

Ví đa chữ ký yêu cầu nhiều khoá cùng đồng ý trước khi chuyển tiền. Tổ chức dùng để chia quyền kiểm soát, còn cá nhân dùng để giảm rủi ro mất một khoá. Xem cơ chế ở ví đa chữ ký là gì.

Trên Tron, tính năng tương tự nằm ở phần quyền tài khoản: người dùng đặt các khoá, trọng số và ngưỡng. Cointelegraph mô tả đây là chức năng giống multisig dùng để thiết lập vai trò khoá, trọng số và ngưỡng. Lừa đảo lợi dụng chính tính năng này, không phải một lỗi của giao thức.

Cách một: ví có sẵn quyền

TokenPocket mô tả kịch bản như sau. Kẻ gian chia sẻ công khai một ví đã cấu hình sẵn, kèm cụm từ khôi phục, và trình bày như món quà hoặc nhờ "giúp đỡ". Nạn nhân nhập ví, thấy số dư thật, nhưng không rút được.

Rồi họ bị yêu cầu gửi TRX để trả phí. Kẻ gian giữ khoá còn lại nên rút luôn số TRX vừa gửi, và số dư kia không bao giờ thuộc về nạn nhân.

Cách hai: cập nhật quyền qua chữ ký

Kẻ gian gửi một đường link giả, như trang nạp tiền, nhận voucher hoặc "nâng cấp bảo mật". Trang đưa ra một giao dịch trông bình thường. Thực chất nó là giao dịch cập nhật quyền tài khoản, có thể hiện ra là "UpdateAccountPermission".

Khi bạn ký, kẻ gian có thể được thêm vào danh sách khoá, nâng ngưỡng chữ ký hoặc nhận quyền Owner. Sau đó ví ở trạng thái "tiền vào, không ra".

Quy mô: số liệu của AMLBot

Cointelegraph, ngày 21/01/2025, dẫn báo cáo của AMLBot: ước tính 14.545 ví Tron có nguy cơ bị chiếm quyền âm thầm. Trong quý IV/2024, 2.130 ví bị xâm phạm, nắm giữ gần 31,5 triệu USD tại thời điểm viết bài.

Lưu ý phạm vi: bài báo mô tả kịch bản kẻ gian đã có khoá riêng của chủ ví, rồi thêm khoá của chúng và đặt ngưỡng để chủ ví không gửi tiền một mình được. Đây là số liệu về chiếm quyền sau khi lộ khoá, không đo riêng các vụ do nạn nhân ký giao dịch phân quyền.

CTO AMLBot nói ví không có thông báo khi ai đó thêm khoá, nên nạn nhân thường không biết ví đã mất.

Cùng bài báo cho biết hàm này tốn 100 TRX, nên giữ ít TRX trong ví làm khó việc khai thác.

Chiêu "mở khoá" tiếp theo

Sau khi khoá ví, kẻ gian gửi một khoản USDT hoặc TRX nhỏ kèm lời nhắn. Nội dung nói ví bạn đã bị bật multisig và bạn phải liên hệ một người để mở khoá. Liên hệ đó dẫn tới phí giả hoặc yêu cầu ký tiếp.

Đừng trả phí mở khoá và đừng ký thêm gì. TokenPocket khuyên chuyển số tài sản còn lại sang địa chỉ mới nếu còn được.

Dấu hiệu cảnh báo

• Người lạ tặng ví, seed phrase hoặc khoá riêng, kể cả khi nói là "giúp đỡ".
• Số dư hiện nhưng rút không được, kèm yêu cầu gửi TRX phí.
• Cửa sổ ký nhắc tới quyền tài khoản, Owner hoặc Active permission khi bạn chỉ muốn chuyển tiền.
• Link từ quảng cáo, nạp tiền, hoàn tiền hoặc "nâng cấp bảo mật".
• Ai đó nhắn nhờ chia sẻ màn hình hoặc chuyển sang tin nhắn riêng.
• Lời nhắn trong giao dịch nhỏ báo ví bị khoá.

Cách kiểm tra và phòng ngừa

1. Tra địa chỉ của bạn trên trình khám phá blockchain như TronScan, xem các quyền Owner và Active. TokenPocket khuyên nếu thấy địa chỉ lạ hoặc ngưỡng bất thường thì ngừng dùng địa chỉ đó và chuyển tài sản sang ví mới.
2. Không bao giờ nhập ví do người khác đưa. Tự tạo ví và tự giữ cụm từ khôi phục, xem seed phrase là gì.
3. Đọc kỹ nội dung giao dịch trước khi ký. Dừng nếu thấy cập nhật quyền mà bạn không chủ ý.
4. Dùng ví phụ chứa ít tiền khi thử dịch vụ lạ.
5. Không chia sẻ màn hình hoặc cụm từ khôi phục với người tự xưng hỗ trợ. Xem thêm social engineering.

Học tiếp trong khoá Crypto

Các bài học liên quan trong Khoá học Crypto của HODL.VN:

• Các kiểu lừa đảo tiền mã hoá phổ biến nhất
• Ví tiền mã hoá là gì: khoá riêng, khoá công khai, địa chỉ

Câu hỏi thường gặp