Tác giả: Dilip Kumar Patairya
Biên dịch: Chopper, Foresight News
Trước đây, các hướng dẫn phổ cập an ninh mạng thường dạy mọi người những cách đơn giản để nhận diện lừa đảo: chú ý đến lỗi chính tả, câu cú không mạch lạc và bố cục bất thường. Trong các cuộc tấn công lừa đảo thời kỳ đầu, cách này thực sự hiệu quả. Email lừa đảo thường được viết vội vàng, dịch cứng nhắc, để lộ nhiều sơ hở. Theo thời gian, mọi người bắt đầu coi cách diễn đạt vụng về là tín hiệu nguy hiểm.
Và sự xuất hiện của trí tuệ nhân tạo đã hoàn toàn thay đổi cục diện này.
Nhờ các công cụ AI tiên tiến, kẻ lừa đảo có thể nhanh chóng tạo ra những email diễn đạt trôi chảy, cuộc trò chuyện hỗ trợ khách hàng chân thực, các trang web trông chính quy, và nội dung mạng xã hội cực kỳ có sức thuyết phục. Kẻ gian không còn cần kỹ năng viết lách tốt để tạo ra cạm bẫy lừa đảo y như thật. Trong lĩnh vực tiền mã hóa, một khi người dùng nhấp vào ủy quyền giao dịch, tài sản có thể bị mất ngay lập tức, sự thay đổi này mang lại rủi ro bảo mật hoàn toàn mới.
Ngày nay, mối đe dọa không còn đến từ thông tin giả mạo đầy sơ hở, mà chính những nội dung lừa đảo được viết tốt, trông có vẻ chính quy lại dễ khiến người ta mất cảnh giác hơn.
Khi công nghệ AI không ngừng lặp lại và phát triển, tư duy bảo vệ an toàn của người dùng tiền mã hóa cũng phải thay đổi. Thay vì băn khoăn xem thông tin có đáng ngờ hay không, hãy xác minh từng yêu cầu thao tác thông qua các kênh độc lập.
Các kênh lừa đảo phổ biến
Tại sao việc nhận diện chữ viết từng có hiệu quả
Các vụ lừa đảo thời kỳ đầu theo đuổi việc gieo rộng mạng lưới, chú trọng số lượng hơn chất lượng nội dung. Kẻ lừa đảo gửi hàng loạt tin nhắn, chỉ cầu mong có một số ít người mắc bẫy.
Do phần lớn các nhóm lừa đảo ở nước ngoài, hoặc sử dụng công cụ dịch thuật đơn giản, thông tin gửi đi thường có lỗi ngữ pháp, diễn đạt cứng nhắc, bố cục lộn xộn. Người dùng cũng dần học cách coi những chi tiết này như tín hiệu cảnh báo.
Các chiến dịch tuyên truyền an ninh mạng khác nhau cũng phổ biến hàng loạt kỹ năng nhận diện cơ bản:
- Kiểm tra xem văn bản có lỗi chính tả không
- Tránh những thông tin có ngữ pháp không thông suốt
- Cảnh giác với các câu từ diễn đạt kỳ quặc
- Chú ý đến định dạng bố cục bất thường
Những mẹo nhỏ này có thể nhanh chóng loại bỏ nội dung lừa đảo được tạo ra một cách thô sơ.
Nhưng bản thân nó không phải là biện pháp phòng thủ vạn năng, chỉ có thể đóng vai trò nhắc nhở. Thế nhưng theo thời gian, nhiều người mặc định rằng văn bản chuyên nghiệp trôi chảy có nghĩa là nội dung đáng tin cậy, và sự phổ cập của AI đã hoàn toàn phá vỡ nhận thức cố hữu này.
Công cụ AI có thể tạo hàng loạt nội dung lừa đảo với bố cục và từ ngữ xuất sắc, việc dựa vào việc tìm lỗi chữ viết để phòng chống lừa đảo ngày càng trở nên không đáng tin cậy.
AI Nâng Cấp Thủ Đoạn Lừa Đảo Như Thế Nào
Các mô hình ngôn ngữ lớn có thể tạo ra văn bản tự nhiên trôi chảy bằng nhiều ngôn ngữ, kẻ lừa đảo mượn đó để chế tạo các loại nội dung giả mạo khác nhau:
- Làm giả lịch sử trò chuyện hỗ trợ khách hàng
- Tạo email lừa đảo tinh xảo
- Giả mạo thông báo từ sàn giao dịch chính quy
- Viết các đề xuất đầu tư hấp dẫn
- Đăng thông báo chân thực từ nhóm Telegram
- Tùy chỉnh hướng dẫn khôi phục ví tiền giả mạo
Đồng thời, AI còn hỗ trợ thực hiện các cuộc tấn công nhắm mục tiêu chính xác. Kẻ lừa đảo sẽ sử dụng thông tin rò rỉ dữ liệu, cũng như dữ liệu người dùng từ các nền tảng như LinkedIn, X, Discord, Telegram để tùy chỉnh ngôn từ lừa đảo.
Thông tin người dùng nhận được có thể đề cập đến những chi tiết này:
- Mã token bạn mua gần đây
- Thông tin tài khoản sàn giao dịch của bạn
- Nhà cung cấp dịch vụ ví bạn đang sử dụng
- Nền tảng tài chính phi tập trung (DeFi) mà bạn đã kết nối
- Các vấn đề hỗ trợ khách hàng bạn đã tham khảo trên kênh công khai
Nội dung được tùy chỉnh cao độ làm tăng đáng kể độ tin cậy của trò lừa đảo.
Ngoài ra, công nghệ vẽ AI, nhân bản giọng nói cũng làm cho việc mạo danh danh tính trở nên dễ dàng hơn. Giờ đây, việc làm giả video lãnh đạo, mô phỏng giọng nói hỗ trợ khách hàng, sao chép yếu tố hình ảnh thương hiệu đều có thể dễ dàng thực hiện.
Rủi Ro Đặc Thù Mà Người Dùng Tiền Mã Hóa Phải Đối Mặt
Logic an toàn tài sản mã hóa hoàn toàn khác với ngân hàng truyền thống. Trong tài chính truyền thống, nếu gặp phải chuyển khoản nhầm hoặc lừa đảo, thông thường có thể liên hệ với ngân hàng, tổ chức thanh toán hoặc đội kiểm soát rủi ro để thu hồi tiền. Nhưng giao dịch tiền mã hóa một khi được xác nhận trên blockchain, về cơ bản không thể thu hồi.
Ví tự lưu giữ cũng mở rộng mặt tấn công. Kẻ lừa đảo không nhất thiết cần đánh cắp mật khẩu hoặc khóa riêng tư, nhiều khi chỉ cần dụ dỗ người dùng ủy quyền giao dịch độc hại, mở quyền ví nguy hiểm là có thể đạt được mục đích.
Nghĩa là, ngay cả khi người dùng chưa từng tiết lộ cụm từ ghi nhớ, giao diện lừa đảo được tạo ra tinh xảo vẫn sẽ mang lại rủi ro lớn.
Các hình thức lừa đảo phổ biến trong lĩnh vực tiền mã hóa bao gồm:
- Trang web nhận airdrop giả mạo
- Hoạt động đúc NFT giả mạo
- Trang đăng nhập sàn giao dịch giả mạo
- Dụ dỗ kết nối ví độc hại
- Cửa sổ bật lên dụ dỗ ủy quyền mã token độc hại
- Giao diện khai thác staking giả mạo
- Mạo danh nhân viên hỗ trợ chính thức để lừa đảo
- Đăng ký tài khoản sao chép cao cấp trên các nền tảng như Telegram, Discord
Với sự hỗ trợ của AI, những trò lừa đảo này có thể được sản xuất hàng loạt, đồng thời duy trì độ chân thực của nội dung và giao diện.
Phương Pháp Xác Minh Cốt Lõi Mà Người Dùng Nên Nắm Vững
Đối mặt với các trò lừa đảo ngày càng chân thực, người dùng tiền mã hóa không thể chỉ dừng lại ở việc phán đoán bề ngoài, mà phải coi việc xác minh là nguyên tắc đầu tiên.
1) Kiểm tra kỹ tên miền
Giao diện trang web có thể bắt chước, nhưng địa chỉ URL rất khó để hoàn toàn giống nhau. Tên miền lừa đảo thường dùng những thủ thuật này: thêm ký tự thừa, thêm dấu gạch ngang lung tung, sử dụng ký tự trông giống nhau, xáo trộn tên miền phụ, chọn phần mở rộng ít phổ biến.
Cho dù trang có giống hệt với nền tảng chính quy, đừng chỉ dựa vào logo và hiệu ứng hình ảnh mà tin tưởng một cách nhẹ dạ. Phương pháp được khuyến nghị là:
- Nhập thủ công địa chỉ URL của các nền tảng thường dùng
- Ưu tiên sử dụng dấu trang đã lưu cho ví, sàn giao dịch
- Trước khi kết nối ví, nhất định phải kiểm tra đối chiếu tên miền
- Không nhấp vào các liên kết trong tin nhắn lạ, nội dung quảng cáo
Trang đẹp, không có nghĩa là trang web chính quy.
2) Ưu tiên sử dụng liên kết từ kênh chính thức
Thông báo giả mạo, tài khoản sao chép cao cấp của người nổi tiếng, tài khoản lừa đảo đã trở thành phương tiện phổ biến để truyền bá trò lừa đảo, liên kết lừa đảo chủ yếu lan truyền qua các kênh sau: nhóm Telegram, kênh Discord, bình luận trên nền tảng X, quảng cáo tìm kiếm trả phí, tin nhắn hỗ trợ khách hàng giả mạo.
Vui lòng xác nhận liên kết đến từ trang web chính thức của dự án hoặc kênh công bố chính thức, đồng thời có thể đối chiếu chéo động thái của nhiều tài khoản chính thức để giảm thiểu rủi ro hơn nữa.
Khi nhận được tin nhắn riêng tư từ người lạ, tuyên bố tài khoản của bạn có vấn đề khẩn cấp, nhất định phải cảnh giác cao độ.
Phát hiện liên kết độc hại kiểm tra số dư ví Trezor trong tìm kiếm Bing
3) Làm rõ quyền ví trước khi ủy quyền
Nhiều người dùng có quan niệm sai lầm, bất kỳ yêu cầu nào hiện lên từ ví đều an toàn. Đặc biệt khi đối mặt với các trang web trông chuyên nghiệp, mọi người thường nhấp vào xác nhận một cách dễ dàng, bỏ qua các chi tiết về quyền hạn.
Tương tác ví bao gồm nhiều loại thao tác: kết nối ví, ký tin nhắn, ủy quyền chuyển mã token, mở quyền chung, kích hoạt tương tác hợp đồng thông minh, v.v.
Trong đó, ủy quyền vô hạn có rủi ro cao nhất, cho phép hợp đồng độc hại sau này tự ý chuyển tài sản của bạn. Trước khi ủy quyền, nhất định phải kiểm tra đối chiếu, liên quan đến loại mã token, số tiền cho phép chuyển, địa chỉ hợp đồng khởi tạo yêu cầu, nội dung thao tác có phù hợp với mong đợi của bạn không.
Ngay cả khi trang web trông không có sơ hở gì, cũng có thể kích hoạt thao tác ví nguy hiểm cao.
4) Kiểm tra đối chiếu toàn bộ chi tiết trước khi ký giao dịch
Lừa đảo AI thường lợi dụng cảm giác cấp bách để thúc giục người dùng xác nhận nhanh chóng. Trước khi ký bất kỳ giao dịch nào, nhất định phải kiểm tra từng mục: địa chỉ nhận tiền, số lượng mã token, chuỗi công khai được chọn, thông tin tương tác hợp đồng, quy tắc phí giao dịch, phạm vi ủy quyền.
Nếu trang đánh dấu 'Nhận thưởng', nhưng lại yêu cầu mở quyền mã token không giới hạn; đánh dấu 'Xác minh ví', nhưng lại khởi tạo chuyển tài sản, hãy dừng thao tác ngay lập tức và kiểm tra rủi ro.
Một khi chi tiết giao dịch không phù hợp với mong đợi, tuyệt đối không tiếp tục thao tác.
Nhiều vụ lừa đảo ví bắt đầu từ việc người dùng công khai phàn nàn về vấn đề tài khoản trên nền tảng mạng xã hội. Kẻ lừa đảo sẽ rình rập các động thái liên quan, sau đó giả mạo thành nhân viên hỗ trợ để gửi tin nhắn riêng tư lừa đảo.
5) Xác minh địa chỉ hợp đồng, đừng tin tưởng mù quáng vào tên mã token
Kẻ lừa đảo sẽ sao chép tên mã token và biểu tượng, tạo ra mã token giả mạo cao cấp. Mã token có vẻ như tên là 'USDT' hoặc 'Lợi nhuận ETH', bên phát hành có thể hoàn toàn không liên quan.
Phương pháp xác minh: Thông qua trang web chính thức của dự án, trình duyệt khối chính quy, tài liệu công bố chính thức, thông tin từ sàn giao dịch chính thống để xác nhận địa chỉ hợp đồng tương ứng của mã token. Ngày nay, lừa đảo AI ngày càng chân thực, việc chỉ dựa vào tên mã token và biểu tượng để đánh giá thật giả, rủi ro ngày càng cao.
6) Cảnh giác với tin nhắn riêng tư từ nhân viên hỗ trợ không rõ nguồn gốc
Mạo danh nhân viên hỗ trợ chính thức vẫn là thủ đoạn lừa đảo có tần suất cao trong cộng đồng tiền mã hóa. Kẻ lừa đảo giám sát các bình luận cầu cứu của người dùng trên nền tảng mạng xã hội, sau đó gửi tin nhắn riêng tư giả mạo thành nhân viên, dụ dỗ người dùng 'xác minh' ví, đòi cụm từ ghi nhớ, gửi liên kết độc hại, đề xuất công cụ điều khiển từ xa, hoặc hướng dẫn người dùng hoàn thành ủy quyền nguy hiểm.
Nhân viên hỗ trợ chính thức chính quy, hầu như không chủ động gửi tin nhắn riêng tư; nền tảng cũng tuyệt đối không đòi khóa riêng tư, cụm từ ghi nhớ. Khi gặp vấn đề, vui lòng chủ động liên hệ với bộ phận hỗ trợ qua kênh chính thức, không trả lời tin nhắn riêng tư từ người lạ.
7) Thúc giục khẩn cấp, thường là tín hiệu lừa đảo
Ngay cả khi trò lừa đảo được tạo ra chuyên nghiệp đến đâu, kẻ lừa đảo vẫn sẽ lợi dụng áp lực tâm lý để tạo ra cảm giác cấp bách, ngôn từ thường dùng bao gồm: 'Ví đã bị đánh cắp', 'Mã token sắp hết hạn, vui lòng nhận ngay', 'Tài khoản sắp bị khóa', 'Xác minh danh tính (KYC) thất bại', 'Cần hoàn thành cập nhật bảo mật ngay lập tức'.
Những ngôn từ này sẽ làm rối loạn khả năng phán đoán của con người. Càng thúc giục bạn thao tác ngay lập tức, càng phải chậm lại, xác minh kỹ lưỡng.
Nguyên tắc an toàn tiền mã hóa đơn giản: Bất kỳ yêu cầu nào yêu cầu bạn thao tác ví ngay lập tức, hãy dừng lại để bình tĩnh kiểm tra trước.
Vẻ ngoài hào nhoang không còn đồng nghĩa với an toàn
Ngày nay, các trang web lừa đảo có thể sao chép chính xác nhận diện thương hiệu, màu sắc, bố cục trang và phong cách văn bản. AI còn có thể hỗ trợ tạo trang Câu hỏi thường gặp sao chép cao cấp, phản hồi hỗ trợ khách hàng giả mạo, bài viết tin tức giả mạo, quy trình hướng dẫn người dùng mới hoàn chỉnh và văn bản tuyên truyền.
Chỉ dựa vào hiệu ứng hình ảnh, đã không thể đánh giá nền tảng có đáng tin cậy hay không. Kẻ tấn công chỉ cần nắm bắt được khoảnh khắc lơ là của người dùng là có thể thực hiện việc đánh cắp tài sản không thể đảo ngược.
Cốt lõi của việc bảo vệ an toàn, luôn là xác minh: kiểm tra đối chiếu tên miền, kiểm tra hợp đồng, xem xét yêu cầu ví, xác nhận danh tính nhân viên hỗ trợ, làm rõ mục đích giao dịch. Thiết kế đẹp, không đồng nghĩa với đáng tin cậy.
An toàn tiền mã hóa, đã biến thành một cuộc chiến xác minh
AI không tạo ra mô hình lừa đảo hoàn toàn mới, mà chỉ nâng cấp đáng kể hiệu quả trình bày và trình độ ngụy trang của thủ đoạn lừa đảo truyền thống. Trước đây mọi người quen dựa vào đặc điểm bề ngoài để phân biệt rủi ro, nhưng lại bỏ qua việc kiểm tra thao tác bản thân, tư duy này trong ngành công nghiệp tiền mã hóa sẽ dẫn đến tổn thất lớn.
Đằng sau một đoạn văn bản diễn đạt hoàn hảo, có thể ẩn chứa liên kết độc hại; một phản hồi hỗ trợ khách hàng trông có vẻ chuyên nghiệp, có thể dụ dỗ bạn ủy quyền chuyển đi tài sản; một trang web đủ để giả mạo thành thật, cũng có thể mở quyền hạn nguy hiểm cao.
Bài học cốt lõi rất đơn giản, văn bản trôi chảy, giao diện tinh tế, hình ảnh thương hiệu quen thuộc, đều không thể trở thành bằng chứng an toàn. Đối mặt với mỗi liên kết, mỗi lần cửa sổ bật lên từ ví, mỗi tin nhắn hỗ trợ khách hàng, hãy xác minh trước, sau đó mới thao tác.
