Một vụ $440K heist gần đây vừa phơi bày một điều đáng lo ngại—chức năng 'Permit' của Ethereum đang trở thành sân chơi ưa thích của hacker.

Phần đáng sợ là: đây không phải là những cuộc tấn công phishing thông thường. Cơ chế permit, vốn được thiết kế để đơn giản hóa việc phê duyệt token, giờ đây lại bị lợi dụng như một vũ khí. Nạn nhân vô tình ký một giao dịch trông có vẻ vô hại, nhưng thực chất họ đang trao toàn quyền kiểm soát tài sản của mình.

Mô hình tấn công? Tinh vi. Kẻ lừa đảo che giấu các lệnh permit độc hại trong những DApp hoặc airdrop trông hợp pháp. Một khi bạn ký, bùm—ví của bạn bị rút sạch trước khi kịp nhận ra chuyện gì đã xảy ra.

Tại sao bây giờ lại nở rộ? Hai lý do. Thứ nhất, ngày càng nhiều giao thức triển khai chức năng permit để cải thiện trải nghiệm người dùng. Thứ hai, người dùng vẫn chưa hiểu rõ những gì họ đang ký. Một cái nhấn phê duyệt trong tích tắc có thể khiến bạn mất trắng.

Sự thật phũ phàng: vụ $440K case này sẽ không phải là cuối cùng. Khi DeFi phát triển, bề mặt tấn công cũng mở rộng. Cho đến khi các ví xây dựng cảnh báo xác minh chữ ký tốt hơn, tất cả chúng ta đều đang chơi trò cò quay Nga với những lần phê duyệt của mình.

Hãy luôn cảnh giác. Xác minh mọi chữ ký. Tương lai của bạn sẽ biết ơn điều đó.