Cafe sáng blockchain số 9.

 Bài viết này tổng hợp các câu chuyện "hack ví", bị mất hết coin, token mà mình đã từng được nhờ tư vấn, được nghe kể, chứng kiến. Những điều này hoàn toàn có thể tránh được, vì chủ yếu là lỗi của người dùng.

Giang hồ crypto hiểm ác, hở ra là mất ngay.
-----
Bạn có thể mất tiền theo những cách nào?

• Approve token vào những dự án scam, bị rút hết tiền mà không biết (vì bản chất là đã ủy quyền cho smartcontract tiêu token của bạn)
• Ví vừa tạo, vừa nhận tiền ngay lập tức bị chuyển đi luôn mà không rõ tại sao (bạn của 1 admin trong BQT từng mất 300k USDT trong ấm ức theo cách như vậy). Trường hợp này đã bị lộ mnemonic phrase vì backup ko tốt.
• Để tiền trên ví centralized, trên sàn. Sau đó Sàn hoặc ví bị hack hoặc sập. Không login được nữa. Cũng mất tiền
• Tự viết smartcontract để tự dùng, chuyển tiền vào đấy, chưa kịp làm gì tiền không cánh mà bay, bị rút hết (do contract không check permission, hoặc có bug).
• Đã có 1 bạn nhắn tin kể với mình mất 500k usd mà không biết tại sao, không approve linh tinh vào đâu. Mình hỏi kỹ hóa ra bạn ấy lưu mnemonic phrase vào facebook messenger với email.
• Viết bot, lưu private key vào bot. Bot bị hack==> lộ private key==> mất tiền.
• Để tiền trong ví cứng(trezor, ledgerNano), nhưng lại lưu mnemonic phrase ra file txt, lưu vào email==> cũng mất luôn
• Để tiền trong ví cứng(trezor, ledgerNano), sau đó quên pass, cũng quên lưu mnemonic ra ngoài==> không truy cập được, cũng mất luôn.
• Sử dụng brainwallet, nhưng lại sử dụng passphrase quá dễ đoán, có trong từ điển==> mất tiền trong 01 giây.
• Đưa private key vào code, upload lên github nhưng quên không xóa đi==> cũng mất luôn
• Chuyển tiền vào 1 smartcontract bị lỗi của 1 dự án kém chất lượng==> tiền bị đóng băng, không rút ra được
• Các trường hợp mua token của các dự án lừa đảo thì nhiều vô kể, nhưng nó thuộc 1 chủ đề khác, nên mình sẽ không list cụ thể vào đây. Mua đỉnh bán đáy xong mất tiền cũng vậy.

----
Vậy có thể phòng tránh việc mất coin, token bằng những phương pháp nào

• Không approve token vào các dự án không đáng tin, nếu có thì revoke ngay hoặc chuyển sang ví khác
• Không lưu mnemonic phrase ,private key vào các trang web, dịch vụ cloud như note, trello, image trên icloud, email, messenger, telegram, whatsapp. Chỉ nên lưu vào giấy
• Nếu sử dụng ví cứng thì cũng cần backup mnemonic phrase ra giấy, tránh việc mất usb hoặc quên password
• Khi viết code mà cần sử dụng private key, mnemonic phrase , thì nên sử dụng ví riêng,cần bao nhiêu chuyển vào bấy nhiêu.
• Chỉ sử dụng phần mềm ví đáng tin cậy, không dùng ví linh tinh
• Chỉ sử dụng các ví, sàn có tên tuổi, uy tín. Và cần bật 2FA đầy đủ.
• Không dùng win lậu, không cài phần mềm lậu, phần mềm free của nhà phát hành không có tên tuổi
• Không cài extension linh tinh trên chrome.
• Viết smartcontract thì cần check cẩn thận trước khi deploy và chuyển tiền vào. Kể cả không verify contract trên bscscan, etherscan thì vẫn cần cẩn thận, vì contract bytecode vẫn có thể decompile, scan quét lỗ hổng.