Mất gần 1 triệu USD USDT chỉ vì một chữ ký phishing trên Ethereum

Mất gần 1 triệu USD chỉ sau một cú click

Một người dùng crypto chưa được xác định danh tính vừa mất 999.999 USDT trên mạng Ethereum sau khi ký một yêu cầu phê duyệt token giả mạo. Dữ liệu on-chain cho thấy kẻ tấn công chia số tiền bị đánh cắp thành ba giao dịch riêng biệt, tất cả được thực hiện trong các block 25489460 và 25489463 — chỉ trong vài phút sau khi nạn nhân ký.

Vụ việc được công ty bảo mật Web3 Scam Sniffer ghi nhận và công bố ngày 9/7/2026, kèm theo địa chỉ ví nạn nhân và hash giao dịch liên quan.

Token Approval Phishing hoạt động như thế nào

Đây là kiểu tấn công không cần đánh cắp khóa riêng tư của nạn nhân. Thay vào đó, kẻ xấu dụ người dùng ký một yêu cầu cấp quyền (approval), cho phép một hợp đồng thông minh độc hại truy cập không giới hạn vào số dư token trong ví. Quyền này duy trì hiệu lực cho đến khi người dùng chủ động thu hồi.

Trong vụ này, ví nạn nhân đang giữ một allowance không giới hạn cho token USDT, tạo điều kiện để kẻ tấn công hành động ngay lập tức mà không cần thêm bất kỳ xác nhận nào.

Multicall — vũ khí tăng tốc vụ trộm

Điểm đáng chú ý trong vụ tấn công này là việc sử dụng hàm Multicall để gói nhiều thao tác vào một giao dịch duy nhất. Cơ chế này cho phép kẻ tấn công chuyển toàn bộ USDT đã được phê duyệt và chia thành ba luồng đầu ra chỉ trong vài giây.

Tốc độ xử lý nhanh như vậy gần như triệt tiêu hoàn toàn cơ hội của nạn nhân để thu hồi approval kịp thời. Vì khóa riêng tư của ví không bị xâm phạm, các cảnh báo bảo mật thông thường cũng ít có khả năng phát hiện kiểu khai thác này.

Theo nhận định của Scam Sniffer, phương thức này có điểm tương đồng với các vụ wallet address poisoning gần đây — đều khai thác cấu trúc giao dịch thay vì đánh cắp thông tin xác thực.

Xu hướng đáng lo ngại trong năm 2026

Đây không phải vụ đơn lẻ. Năm 2026 đã ghi nhận nhiều vụ tương tự:

• Tháng 5: Một trang web giả mạo Uniswap đã rút khoảng 400.000 USD từ nhiều ví sau khi người dùng phê duyệt hợp đồng độc hại.
• Đầu tháng 7: Một người dùng HyperSwap mất toàn bộ số dư ví chỉ trong vài giây vì dính bẫy airdrop giả.
• Tháng 1/2026: Một chiến dịch phishing nhắm vào người dùng MetaMask sử dụng màn hình xác thực hai yếu tố giả để qua mặt nạn nhân.

Scam Sniffer cho biết tổng thiệt hại do phishing trong năm nay đã tăng 200%, với xu hướng kẻ tấn công ngày càng nhắm vào các ví có số dư lớn.

Cách bảo vệ ví của bạn

Theo các nhà phân tích bảo mật tại Scam Sniffer, người dùng cần thực hiện một số biện pháp phòng ngừa cơ bản:

• Đọc kỹ mọi yêu cầu chữ ký trước khi xác nhận — kiểm tra địa chỉ hợp đồng và phạm vi quyền hạn được cấp.
• Không phê duyệt theo mặc định, đặc biệt với các trang web hoặc dApp không quen thuộc.
• Thường xuyên thu hồi các approval không dùng đến hoặc không giới hạn thông qua các công cụ như Revoke.cash hoặc tính năng tương tự trên ví.
• Luôn cảnh giác với các trang web giả mạo các giao thức DeFi phổ biến.

Các nhà phân tích nhấn mạnh rằng dù các nhà cung cấp ví liên tục cải tiến giao diện bảo mật, không có thay đổi nào thay thế được việc người dùng tự đọc hiểu những gì một chữ ký thực sự cho phép.