Biên soạn: Dilip Kumar Patairya
Biên dịch: Chopper, Foresight News
Trước đây, các bài học về an ninh mạng thường dạy mọi người cách đơn giản để nhận diện lừa đảo: để ý đến lỗi chính tả, câu từ không thông suốt và định dạng bất thường. Trong các cuộc tấn công lừa đảo (phishing) thời kỳ đầu, phương pháp này thực sự hiệu quả. Các email lừa đảo thường viết vội vàng, dịch thuật cứng nhắc, để lộ nhiều sơ hở. Theo thời gian, mọi người đã coi việc diễn đạt vụng về như một tín hiệu nguy hiểm.
Sự xuất hiện của trí tuệ nhân tạo (AI) đã thay đổi hoàn toàn tình thế này.
Với sự trợ giúp của các công cụ AI tiên tiến, kẻ lừa đảo có thể nhanh chóng tạo ra những email có văn phong trôi chảy, các đoạn hội thoại hỗ trợ khách hàng (chat) chân thực, những trang web trông có vẻ chính thức, và nội dung mạng xã hội cực kỳ gây nhầm lẫn. Kẻ lừa đảo không cần kỹ năng viết lách điêu luyện để tạo ra những cái bẫy lừa đảo tinh vi. Trong lĩnh vực tiền mã hóa (crypto), một khi người dùng nhấp vào và phê duyệt giao dịch, tài sản có thể bị mất ngay lập tức, sự thay đổi này mang lại những rủi ro bảo mật mới.
Ngày nay, mối đe dọa không còn đến từ thông tin giả mạo đầy sơ hở, mà những nội dung lừa đảo được viết chỉn chu, trông có vẻ chính thức lại dễ khiến người ta mất cảnh giác hơn.
Với công nghệ AI không ngừng phát triển, tư duy bảo vệ an toàn của người dùng crypto cũng phải thay đổi. Thay vì băn khoăn về bản thân thông tin có đáng ngờ hay không, hãy xác minh từng yêu cầu thao tác thông qua các kênh độc lập.
Các kênh lừa đảo phổ biến
Tại Sao Phân Biệt Chữ Từng Hiệu Quả
Các vụ lừa đảo phishing thời kỳ đầu theo đuổi chiến lược gửi hàng loạt, chú trọng số lượng hơn chất lượng nội dung. Kẻ lừa đảo gửi tin nhắn hàng loạt, chỉ cần một số ít người mắc bẫy.
Vì hầu hết các nhóm lừa đảo ở nước ngoài, hoặc sử dụng công cụ dịch đơn giản, thông tin gửi đi thường có lỗi ngữ pháp, diễn đạt cứng nhắc, định dạng lộn xộn. Người dùng cũng dần học cách coi những chi tiết này như tín hiệu cảnh báo.
Các chiến dịch tuyên truyền an ninh mạng cũng phổ biến một loạt kỹ năng nhận biết cơ bản:
- Kiểm tra xem văn bản có lỗi chính tả không
- Tránh xa thông tin có ngữ pháp không thông suốt
- Cảnh giác với những cách nói kỳ quặc
- Để ý đến định dạng bất thường
Những mẹo nhỏ này có thể nhanh chóng loại bỏ các nội dung lừa đảo được làm cẩu thả.
Nhưng bản thân nó không phải là biện pháp phòng thủ vạn năng, chỉ có tác dụng nhắc nhở. Tuy nhiên, theo thời gian, nhiều người mặc định rằng văn bản chuyên nghiệp, trôi chảy đồng nghĩa với nội dung đáng tin cậy. Và sự phổ biến của AI đã phá vỡ hoàn toàn nhận thức cố hữu này.
Công cụ AI có thể tạo hàng loạt nội dung phishing với định dạng và từ ngữ trau chuốt. Việc dựa vào tìm lỗi chữ để phòng chống lừa đảo ngày càng trở nên không đáng tin cậy.
AI Nâng Cấp Thủ Đoạn Lừa Đảo Như Thế Nào
Các mô hình ngôn ngữ lớn (LLM) có thể tạo ra văn bản tự nhiên, trôi chảy bằng nhiều ngôn ngữ, kẻ lừa đảo mượn chúng để tạo ra các loại nội dung giả mạo:
- Làm giả lịch sử chat hỗ trợ khách hàng
- Tạo email phishing chất lượng cao
- Giả mạo thông báo từ sàn giao dịch chính thức
- Viết các đề xuất đầu tư hấp dẫn
- Đăng thông báo nhóm Telegram chân thực
- Tạo hướng dẫn khôi phục ví giả mạo được cá nhân hóa
Đồng thời, AI cũng hỗ trợ thực hiện các cuộc tấn công có chủ đích chính xác. Kẻ lừa đảo sẽ sử dụng thông tin rò rỉ dữ liệu, cùng với dữ liệu người dùng từ các nền tảng như LinkedIn, X (Twitter), Discord, Telegram để tạo ra những lời lẽ lừa đảo được thiết kế riêng.
Thông tin người dùng nhận được có thể đề cập đến các chi tiết này:
- Token bạn mua gần đây
- Thông tin tài khoản sàn giao dịch của bạn
- Nhà cung cấp dịch vụ ví bạn đang sử dụng
- Các nền tảng Tài chính Phi tập trung (DeFi) bạn đã kết nối
- Các câu hỏi hỗ trợ khách hàng bạn đã thảo luận trên các kênh công khai
Nội dung được cá nhân hóa cao làm tăng đáng kể tính tin cậy của trò lừa đảo.
Ngoài ra, công nghệ vẽ AI, sao chép giọng nói cũng khiến việc giả mạo danh tính trở nên dễ dàng hơn. Hiện nay có thể dễ dàng thực hiện việc làm giả video lãnh đạo, mô phỏng giọng nói hỗ trợ khách hàng, sao chép các yếu tố hình ảnh thương hiệu.
Rủi Ro Đặc Thù Mà Người Dùng Crypto Đối Mặt
Logic bảo mật tài sản crypto hoàn toàn khác với ngân hàng truyền thống. Trong tài chính truyền thống, nếu gặp phải chuyển khoản nhầm hoặc lừa đảo, thường có thể liên hệ với ngân hàng, tổ chức thanh toán hoặc nhóm kiểm soát rủi ro để truy thu tiền. Nhưng giao dịch crypto một khi được xác nhận trên blockchain về cơ bản không thể hủy bỏ.
Ví tự lưu giữ (self-custody wallet) cũng mở rộng phạm vi tấn công. Kẻ lừa đảo chưa chắc cần đánh cắp mật khẩu hoặc khóa riêng tư (private key), nhiều khi chỉ cần dụ người dùng ủy quyền giao dịch độc hại, mở quyền truy cập ví rủi ro cao là có thể thành công.
Điều đó có nghĩa là, ngay cả khi người dùng chưa bao giờ tiết lộ cụm từ khôi phục (seed phrase), giao diện lừa đảo được làm tinh vi vẫn mang lại rủi ro lớn.
Các hình thức lừa đảo phổ biến trong lĩnh vực crypto bao gồm:
- Trang web nhận airdrop giả mạo
- Sự kiện đúc NFT (Token không thể thay thế) giả mạo
- Trang đăng nhập sàn giao dịch giả mạo
- Dụ dỗ kết nối ví độc hại
- Cửa sổ bật lên dụ dỗ ủy quyền token độc hại
- Giao diện đặt cọc (staking) và khai thác (mining) giả mạo
- Giả mạo nhân viên hỗ trợ chính thức để lừa đảo
- Đăng ký tài khoản giả mạo chất lượng cao trên Telegram, Discord và các nền tảng khác
Với sự trợ giúp của AI, những trò lừa đảo kiểu này có thể được sản xuất hàng loạt, đồng thời duy trì độ chân thực về nội dung và giao diện.
Phương Pháp Xác Minh Cốt Lõi Mà Người Dùng Nên Nắm Vững
Đối mặt với những trò lừa đảo ngày càng chân thực, người dùng crypto không thể chỉ dừng lại ở việc đánh giá bề mặt nữa, mà phải coi việc xác minh là nguyên tắc hàng đầu.
1) Kiểm Tra Kỹ Tên Miền
Giao diện trang web có thể bắt chước, nhưng địa chỉ URL khó có thể giống hoàn toàn. Các tên miền lừa đảo thường dùng những thủ thuật này: thêm ký tự thừa, thêm dấu gạch ngang lung tung, sử dụng ký tự trông giống nhau, sửa đổi tên miền phụ, chọn đuôi tên miền ít phổ biến.
Ngay cả khi trang trông giống hệt nền tảng chính thức, đừng chỉ tin tưởng vào logo và hiệu ứng hình ảnh. Cách làm được khuyến nghị là:
- Nhập thủ công địa chỉ URL của các nền tảng thường dùng
- Ưu tiên sử dụng dấu trang (bookmark) đã lưu cho ví và sàn giao dịch
- Nhất định phải đối chiếu tên miền trước khi kết nối ví
- Không nhấp vào các liên kết trong tin nhắn lạ, nội dung quảng cáo
Trang đẹp không có nghĩa là trang web chính thức.
2) Ưu Tiên Sử Dụng Liên Kết Từ Kênh Chính Thức
Thông báo giả mạo, tài khoản giả mạo chất lượng cao của người nổi tiếng, tài khoản lừa đảo đã trở thành phương tiện phổ biến để phát tán lừa đảo. Các liên kết lừa đảo chủ yếu lan truyền qua các kênh sau: nhóm Telegram, kênh Discord, phần bình luận nền tảng X, quảng cáo tìm kiếm trả phí, tin nhắn hỗ trợ khách hàng giả mạo.
Vui lòng xác nhận liên kết đến từ trang web chính thức của dự án hoặc kênh được công bố chính thức, đồng thời có thể đối chiếu chéo động thái của nhiều tài khoản chính thức để giảm thiểu rủi ro hơn nữa.
Khi nhận được tin nhắn riêng tư từ người lạ, tuyên bố tài khoản của bạn có vấn đề khẩn cấp, nhất định phải cảnh giác cao độ.
Phát hiện liên kết độc hại kiểm tra số dư ví Trezor trong tìm kiếm Bing
3) Làm Rõ Quyền Ví Trước Khi Ủy Quyền
Nhiều người dùng có quan niệm sai lầm, bất kỳ yêu cầu nào hiện lên từ ví đều nhất định an toàn. Đặc biệt khi đối mặt với những trang web trông có vẻ chuyên nghiệp, mọi người thường vô tư nhấp vào xác nhận, bỏ qua các chi tiết về quyền hạn.
Tương tác với ví bao gồm nhiều loại thao tác: kết nối ví, ký tin nhắn, ủy quyền chuyển token, mở quyền truy cập chung, kích hoạt tương tác hợp đồng thông minh.
Trong đó, ủy quyền không giới hạn (unlimited/infinite approval) có rủi ro cao nhất, sẽ cho phép hợp đồng độc hại sau này tùy ý chuyển tài sản của bạn. Trước khi ủy quyền, nhất định phải đối chiếu xem loại token liên quan, số tiền cho phép chuyển, địa chỉ hợp đồng khởi tạo yêu cầu, nội dung thao tác có nhất trí với dự kiến của bạn không.
Ngay cả khi trang web trông không có sơ hở gì, cũng có thể kích hoạt thao tác ví rủi ro cao.
4) Kiểm Tra Toàn Bộ Chi Tiết Trước Khi Ký Giao Dịch
Các vụ lừa đảo AI thường lợi dụng cảm giác cấp bách để thúc giục người dùng xác nhận nhanh chóng. Trước khi ký bất kỳ giao dịch nào, nhất định phải kiểm tra từng mục: địa chỉ nhận tiền, số lượng token, blockchain được chọn, thông tin tương tác hợp đồng, quy tắc phí giao dịch, phạm vi ủy quyền.
Nếu trang ghi "Nhận phần thưởng" nhưng lại yêu cầu mở quyền truy cập token không giới hạn; ghi "Xác minh ví" nhưng lại khởi tạo chuyển tài sản, hãy dừng ngay thao tác và kiểm tra rủi ro.
Một khi chi tiết giao dịch không nhất trí với dự kiến, tuyệt đối không tiếp tục thao tác.
Nhiều vụ lừa đảo ví bắt đầu từ việc người dùng công khai phàn nàn về vấn đề tài khoản trên nền tảng mạng xã hội. Kẻ lừa đảo sẽ rình rập các động thái liên quan, sau đó giả mạo nhân viên hỗ trợ khách hàng để gửi tin nhắn riêng tư lừa đảo.
5) Xác Minh Địa Chỉ Hợp Đồng, Đừng Tin Tưởng Mù Quáng Vào Tên Token
Kẻ lừa đảo sẽ mô phỏng tên token và biểu tượng, tạo ra token giả mạo chất lượng cao. Token trông tên là "USDT" hoặc "ETH Yield", nhưng đơn vị phát hành có thể hoàn toàn không liên quan.
Cách xác minh: Thông qua trang web chính thức của dự án, trình duyệt khối (block explorer) chính thức, tài liệu công bố chính thức, thông tin từ các sàn giao dịch chính, xác nhận địa chỉ hợp đồng tương ứng của token. Hiện nay các vụ lừa đảo AI ngày càng chân thực, chỉ dựa vào tên token và biểu tượng để đánh giá thật giả, rủi ro ngày càng cao.
6) Cảnh Giác Với Tin Nhắn Riêng Tư Hỗ Trợ Khách Hàng Không Rõ Nguồn Gốc
Giả mạo nhân viên hỗ trợ chính thức vẫn là thủ đoạn lừa đảo phổ biến trong giới crypto. Kẻ lừa đảo theo dõi các bình luận cầu cứu của người dùng trên nền tảng mạng xã hội, sau đó gửi tin nhắn riêng tư giả làm nhân viên, dụ dỗ người dùng thực hiện "xác minh" ví, đòi cụm từ khôi phục, gửi liên kết độc hại, đề xuất công cụ điều khiển từ xa, hoặc hướng dẫn người dùng hoàn thành ủy quyền nguy hiểm.
Nhân viên hỗ trợ chính thức thực sự hầu như không chủ động gửi tin nhắn riêng tư; nền tảng cũng tuyệt đối không đòi khóa riêng tư (private key), cụm từ khôi phục. Khi gặp vấn đề, vui lòng chủ động liên hệ bộ phận hỗ trợ qua kênh chính thức, không trả lời tin nhắn riêng tư từ người lạ.
7) Thúc Giục Khẩn Cấp, Thường Là Tín Hiệu Lừa Đảo
Ngay cả khi trò lừa đảo được tạo ra chuyên nghiệp, kẻ lừa đảo vẫn sẽ lợi dụng áp lực tâm lý để tạo cảm giác cấp bách, thường dùng các cách nói bao gồm: "Ví đã bị đánh cắp", "Token sắp hết hạn, vui lòng nhận ngay", "Tài khoản sắp bị khóa", "Xác minh danh tính (KYC) thất bại", "Cần hoàn thành cập nhật bảo mật ngay lập tức".
Những cách nói này sẽ làm rối loạn khả năng phán đoán của con người. Càng thúc giục bạn thao tác ngay lập tức, càng phải chậm lại, kiểm tra kỹ lưỡng.
Quy tắc an toàn crypto đơn giản: Bất cứ khi nào yêu cầu bạn thao tác ví ngay lập tức, trước tiên hãy dừng lại, bình tĩnh kiểm tra.
Vẻ Ngoài Hào Nhoáng Không Còn Đồng Nghĩa Với An Toàn
Các trang web lừa đảo ngày nay có thể sao chép chính xác nhận diện thương hiệu, màu sắc, bố cục trang và phong cách viết. AI còn có thể hỗ trợ tạo trang Câu hỏi thường gặp giả mạo, phản hồi hỗ trợ khách hàng giả mạo, bài viết tin tức giả mạo, quy trình hướng dẫn người dùng mới và văn bản quảng cáo hoàn chỉnh.
Chỉ dựa vào hiệu ứng hình ảnh, đã không thể đánh giá nền tảng có đáng tin hay không. Kẻ tấn công chỉ cần nắm bắt khoảnh khắc lơ là của người dùng là có thể thực hiện việc đánh cắp tài sản không thể đảo ngược.
Cốt lõi của việc bảo vệ an toàn, luôn là xác minh: đối chiếu tên miền, kiểm tra hợp đồng, xem xét yêu cầu từ ví, xác nhận danh tính nhân viên hỗ trợ, làm rõ mục đích giao dịch. Thiết kế đẹp không có nghĩa là đáng tin cậy.
An Toàn Crypto, Đã Diễn Biến Thành Một Cuộc Chiến Xác Minh
AI không tạo ra mô hình lừa đảo hoàn toàn mới, mà chỉ nâng cấp đáng kể hiệu quả trình bày và trình độ ngụy trang của các thủ đoạn lừa đảo truyền thống. Trước đây mọi người quen dựa vào đặc điểm bề ngoài để phân biệt rủi ro, nhưng lại bỏ qua việc kiểm tra chính thao tác, tư duy này trong ngành công nghiệp crypto sẽ dẫn đến tổn thất lớn.
Đằng sau một đoạn văn từ ngữ hoàn hảo, có thể ẩn chứa liên kết độc hại; một phản hồi hỗ trợ khách hàng trông có vẻ chuyên nghiệp, có thể dụ dỗ bạn ủy quyền chuyển tài sản; một trang web đủ để giả mạo như thật, cũng có thể mở quyền truy cập rủi ro cao.
Thông điệp cốt lõi rất đơn giản, văn bản trôi chảy, giao diện tinh tế, hình ảnh thương hiệu quen thuộc, đều không thể dùng làm bằng chứng an toàn. Đối mặt với mỗi liên kết, mỗi cửa sổ bật lên từ ví, mỗi tin nhắn hỗ trợ khách hàng, hãy xác minh trước, rồi mới thao tác.
