Lừa đảo NFT và cách tránh

Phần lớn các vụ trộm NFT đều cần chữ ký của bạn. Việc của kẻ lừa đảo là khiến bạn vội vàng ký một thứ gì đó. Bài học này đi qua các kịch bản thường gặp và chữ ký mà mỗi kịch bản nhắm tới.

Trang mint giả

Kẻ lừa đảo bịa ra một dự án, hoặc sao chép một dự án thật, rồi quảng bá một đợt "mint" qua tin nhắn riêng, email hay mạng xã hội. Trang web hối thúc bạn: đồng hồ đếm ngược, bộ đếm cho thấy số lượng sắp hết, thông báo bật lên về người khác đang mint.

Khi bạn bấm nút, ví sẽ hiện một trong ba thứ:

Một khoản thanh toán thông thường. Bạn gửi ETH và không nhận được gì.
Một sự chấp thuận token. Bạn cho hợp đồng của trang quyền chuyển token ra khỏi ví của bạn.
Một yêu cầu bị ví gắn cờ nguy hiểm. Một số ví hiện cảnh báo đỏ rằng bạn có thể đang trao quyền kiểm soát tài sản của mình.

Hướng dẫn của MetaMask rất thẳng thắn: mint một NFT chỉ nên tốn ETH, nên một đợt mint chẳng có lý do gì để đòi chấp thuận. Nếu ví hiện cảnh báo, đừng ký.

Công cụ rút sạch qua chấp thuận

Bài học 53 đã giải thích rằng việc rao bán NFT dùng một hàm tên là setApprovalForAll. Hàm này cho phép một hợp đồng khác di chuyển mọi token bạn giữ trong một bộ sưu tập.

Các trang lừa đảo xin đúng sự chấp thuận đó trong khi giả vờ làm việc khác: nhận thưởng, xác minh ví, đăng ký một đợt drop. Một khi bạn đã ký, hợp đồng của kẻ lừa đảo lấy NFT bất cứ lúc nào nó muốn. Không cần thêm chữ ký nào nữa.

Quy tắc kinh nghiệm của MetaMask: bạn không bao giờ phải ký loại chấp thuận này để nhận bất cứ thứ gì.

Bài học 37 nói về chấp thuận cho token thông thường. NFT hoạt động y như vậy.

Bộ sưu tập giả

Bất kỳ ai cũng có thể sao chép hình ảnh của một bộ sưu tập và tạo hợp đồng mới cùng tên. Bản sao xuất hiện trong kết quả tìm kiếm cạnh bản thật, thường rẻ hơn.

Tên và hình ảnh không chứng minh được gì. Địa chỉ hợp đồng là dấu hiệu nhận diện duy nhất. Hãy lấy nó từ trang chính thức của dự án và đối chiếu trước khi mua.

NFT bất ngờ

Một NFT bạn chưa từng yêu cầu xuất hiện trong ví. Tên hoặc mô tả của nó chứa một địa chỉ web và một lời hứa: một giải thưởng để nhận, một token để quy đổi.

Đó là mồi nhử. Trang web sẽ xin chấp thuận hoặc chữ ký. Hãy để yên NFT đó. Bạn không cần xóa nó, và việc cố bán hay chuyển nó đi có thể chính là cái bẫy.

Rug pull

Một dự án bán hết đợt mint nhờ một lộ trình: một trò chơi, các sự kiện, một phần doanh thu tương lai. Rồi đội ngũ ngừng phản hồi và tiền biến mất. Bài học 11 đã nói về rug pull với token. Các dự án NFT sụp đổ theo đúng cách đó.

Đội ngũ ẩn danh, lộ trình mơ hồ và áp lực phải mint ngay là những dấu hiệu quen thuộc.

Giá giả

Bài học 53 đã nói về wash trading. Kẻ lừa đảo mua bán một NFT giữa các ví của chính mình với giá tăng dần, rồi rao bán cho bạn với giá "giảm".

Những thói quen chặn được hầu hết các chiêu này

Dùng một ví riêng để mint và lướt web. Giữ NFT giá trị và tiền tiết kiệm trong một ví không bao giờ kết nối với trang web mới.
Vào trang web từ dấu trang hoặc hồ sơ đã xác minh của dự án. Không bao giờ từ tin nhắn riêng.
Đọc yêu cầu của ví. Hãy hỏi nó sẽ cho phía bên kia làm gì. Nếu bạn thấy "approval for all" mà mình không đang rao bán gì, hãy dừng lại.
Chậm lại. Sự hối thúc chính là trò lừa. Một đợt mint thật bán hết mà không có bạn thì cũng chẳng làm bạn mất gì.
Rà soát và thu hồi những chấp thuận bạn không còn cần.
Nhớ những gì ví cứng không làm được. Nó giữ khóa của bạn ngoại tuyến. Nhưng nó vẫn sẽ ký một chấp thuận độc hại nếu bạn bấm nút.

Nếu bạn đã ký thứ không nên ký, Bài học 40 có kế hoạch ứng phó. Tốc độ rất quan trọng.