Nhà giao dịch mất gần 1 triệu USD sau khi "approve" token lừa đảo trên Ethereum

Một người dùng tiền mã hóa đã mất gần 1 triệu USD sau khi phê duyệt (approve) quyền token độc hại trên Ethereum, theo dữ liệu theo dõi on-chain do Scam Sniffer chia sẻ. Vụ việc cho thấy hình thức lừa đảo qua "token approval" đang chuyển từ các cú lừa đơn lẻ sang quy trình đánh cắp có thể lặp lại. Scam Sniffer cho biết khoản thất thoát của nạn nhân là 999.999 USDT (USDT), liên quan trực tiếp đến một giao dịch phê duyệt (phishing approval) trên Ethereum. Kẻ tấn công ban đầu tìm cách rút tiền bằng yêu cầu multicall nhưng không thành do số dư không đủ, sau đó chỉ vài giây đã thành công khi thực hiện các lệnh chuyển tiếp theo để vét sạch phần còn lại. Điểm chính - Chỉ một thao tác "approve" với token trên Ethereum có thể trao quyền rất lớn cho kẻ xấu, cho phép rút tài sản nhanh chóng qua các lệnh chuyển tự động. - Quy trình rút tiền có thể theo nhiều bước: multicall đầu tiên có thể thất bại, nhưng các giao dịch tiếp theo vẫn có thể làm rỗng ví. - Approval phishing vẫn là thủ đoạn phổ biến trong hệ sinh thái lừa đảo on-chain, bao gồm cả lừa đảo đầu tư. - Giới nghiên cứu cảnh báo tội phạm thường tái sử dụng mẫu ví và hành vi rút tiền; từ một vụ bị phát hiện có thể lần ra cả mạng lưới. - "Address poisoning" tiếp tục làm tăng rủi ro; người dùng cần đặc biệt cẩn trọng với địa chỉ được sao chép/dán và dữ liệu hợp đồng hoặc ví. Vụ đánh cắp gần 1 triệu USD bắt nguồn từ một lệnh phê duyệt Cơ chế lừa đảo dựa trên các lệnh token approval trông có vẻ bình thường. Nạn nhân bị dụ ký một giao dịch cấp quyền cho tác nhân độc hại được phép chi tiêu token hoặc điều hướng dòng tiền từ ví. Thao tác này thường được ngụy trang như một bước nhỏ để "kích hoạt" chuyển khoản, tương tác hoặc "xác minh", nhưng thực chất có thể trao quyền rộng hoặc kéo dài để kẻ tấn công khai thác ngay. Trong vụ việc được báo cáo, Scam Sniffer cho biết đoạn script đã tính lại số dư còn lại của nạn nhân rồi rút chính xác phần còn lại sau lần thử rút đầu tiên. Nhờ vậy, kẻ tấn công không cần đoán trong ví còn bao nhiêu, mà điều chỉnh theo thời gian thực để tối đa hóa số tiền chiếm đoạt. Trên Etherscan, hoạt động lừa đảo thể hiện qua ba giao dịch, kết thúc bằng việc rút 999.999 USDT. (Xem: giao dịch trên Etherscan.) Vì sao approval phishing vẫn liên tục hiệu quả Approval phishing không phải thủ thuật mới mà là mô hình lặp lại. Dữ liệu CertiK được trích dẫn cho biết trong năm 2025, thiệt hại do phishing đạt 723 triệu USD với 248 vụ. Kịch bản tương đối nhất quán: nạn nhân bị dẫn dắt để bấm "approve", rồi quyền chi tiêu được chuyển cho một hợp đồng do kẻ tấn công kiểm soát. Các con số của CertiK cho thấy rủi ro mang tính hệ thống. Với tội phạm, hình thức này dễ mở rộng: chỉ cần nạn nhân cấp quyền token, chúng có thể rút số dư mà không cần nạn nhân tương tác thêm. Bài viết cũng nêu ngành crypto ghi nhận 366 triệu USD thiệt hại do phishing trong nửa đầu năm, củng cố rằng lừa đảo dựa trên cấp quyền là một phần của làn sóng gian lận on-chain rộng hơn. Tái sử dụng ví và mẫu cấp quyền làm rủi ro lan rộng Rủi ro càng lớn khi tội phạm dùng lại cùng hạ tầng và mô hình tấn công. Đầu tháng, một vụ khác được ghi nhận khi nạn nhân mất 1,65 triệu USD sau khi kết nối với một sàn giả và ký hợp đồng độc hại. Theo nhà nghiên cứu Ryan Coleman, lệnh approve khi đó trao "quyền truy cập không giới hạn", cho phép một cơ chế tự động (sweeper) rút tiền. Chainalysis trước đó ước tính các vụ lừa đảo on-chain đã thu về ít nhất 14 tỷ USD trong năm 2025, trong đó lừa đảo đầu tư là nhóm chiếm tỷ trọng lớn. Trong tài liệu về approval phishing, Chainalysis mô tả đây là một mắt xích giúp lừa đảo đầu tư chuyển từ thao túng tâm lý sang đánh cắp tự động trên chuỗi. Chainalysis cũng cảnh báo tội phạm thường tái sử dụng cùng ví, tận dụng các tính năng approval hợp pháp của hợp đồng và đi theo các tuyến rút tiền (cash-out) tương tự giữa nhiều nạn nhân. Điều này khiến một báo cáo đơn lẻ có thể hé lộ hoạt động phối hợp rộng hơn. Điều tra viên cấp cao của Chainalysis, Renato Bastos, được trích dẫn rằng mỗi vụ bị bóc tách có thể dẫn tới cả mạng lưới do kẻ lừa đảo lặp lại ví và quy trình vận hành. Người dùng nên chú ý các dấu hiệu lặp lại như chữ ký approval, mẫu hợp đồng hoặc phương thức rút tiền, vì đây thường là dấu vết của chiến dịch có hệ thống. "Address poisoning" bổ sung một lớp rủi ro Token approval không phải con đường duy nhất để bị lấy tiền. Bài viết cũng đề cập "address poisoning": kẻ xấu tạo địa chỉ ví gần giống địa chỉ hợp pháp rồi gửi một lượng nhỏ "dust" đến các địa chỉ tương tự đó. Khi nạn nhân sao chép/dán, địa chỉ giả có thể bị chọn nhầm, khiến tiền đi thẳng vào tay kẻ tấn công. Rủi ro này đặc biệt đáng chú ý ở những hệ sinh thái người dùng vẫn thường thao tác thủ công bằng copy/paste. Bài viết nêu MetaMask đã triển khai tính năng phát hiện address poisoning theo thời gian thực vào tháng 6. Công cụ này so sánh địa chỉ vừa dán với các địa chỉ ví từng tương tác để cảnh báo các địa chỉ mới hoặc bất thường mang dấu hiệu lừa đảo. Khi approval phishing và address poisoning cùng tồn tại, điểm chung là đánh vào thao tác của người dùng: khiến họ hiểu sai thứ mình đang ký hoặc đang gửi. Biện pháp phòng vệ vì vậy nằm ở việc giảm tốc độ thao tác, kiểm tra đúng quyền được cấp và xác nhận chính xác địa chỉ nhận trước khi thực hiện. Diễn biến cần theo dõi Các vụ approval phishing như trường hợp bị rút 999.999 USDT thường lan nhanh khi tội phạm tối ưu kịch bản và tái sử dụng mẫu ví. Người dùng cần cảnh giác với mọi yêu cầu chữ ký liên quan đến token approval, tránh bấm xác nhận vội vàng và cân nhắc dùng công cụ phát hiện rủi ro. Trong khi đó, các đội bảo mật và nhà phân tích on-chain nhiều khả năng sẽ tiếp tục truy vết các script rút tiền lặp lại và hạ tầng dùng chung để nhận diện chiến dịch trước khi mở rộng. Bài viết gốc được đăng với tiêu đề: "$1M Loss as Trader Approves Phishing Token After Wallet Signature" trên Crypto Breaking News.