Lừa đảo phê duyệt không giới hạn trên TRON: Cách phê duyệt mã thông báo làm cạn kiệt ví

Phê duyệt mã thông báo không giới hạn là cơ chế im lặng đằng sau nhiều lần rút ví TRON. Khi bạn tương tác với một sàn giao dịch phi tập trung, giao thức cho vay hoặc trang web lừa đảo, bạn có thể ký một giao dịch approve cấp quyền cho hợp đồng thông minh để di chuyển mã thông báo TRC-20 của bạn. Những kẻ lừa đảo yêu cầu trợ cấp không giới hạn — sau đó rút toàn bộ số dư USDT của bạn hàng giờ hoặc hàng tuần sau đó mà không cần bất kỳ lời nhắc nào thêm.

Hiểu rõ các phê duyệt là điều cần thiết đối với bất kỳ ai nắm giữ USDT trên TRON. Hướng dẫn này trình bày cách hoạt động của approve, lý do tại sao quyền không giới hạn lại nguy hiểm cũng như cách kiểm tra và thu hồi chúng.

Phê duyệt TRC-20 là gì? {#phê duyệt là gì}

Các token TRC-20 như USDT tồn tại trong hợp đồng thông minh. Việc di chuyển mã thông báo thông qua hợp đồng của bên thứ ba (bộ định tuyến DEX, hợp đồng đặt cược, trình rút tiền độc hại) yêu cầu hai bước:

1. phê duyệt(người chi tiêu, số tiền) — Bạn cho phép spender rút tối đa amount số token của bạn.
2. transferFrom(bạn, người nhận, số tiền) — Hợp đồng chi tiêu lấy mã thông báo trong giới hạn được phê duyệt.

Mẫu này hỗ trợ DeFi hợp pháp trên SunSwap và JustLend. Mối nguy hiểm là chấp thuận một người chi tiêu có ác tâm hoặc bị xâm phạm với một khoản trợ cấp khổng lồ.

Mẫu phê duyệt không giới hạn

Nhiều dApp mặc định phê duyệt 2^256 - 1 (giá trị uint256 tối đa) nên người dùng ký một lần và trao đổi nhiều lần. Các giao thức hợp pháp đã thực hiện việc này để thuận tiện — nhưng điều đó có nghĩa là một chữ ký độc hại có thể làm lộ toàn bộ số dư của bạn.

Trong TronLink, phê duyệt không giới hạn có thể hiển thị dưới dạng:

• "Không giới hạn" bên cạnh USDT
• Một con số rất dài trong ký hiệu khoa học
• Giá trị hex tối đa trong chế độ xem nâng cao

Cờ đỏ: Trang web bạn đã truy cập một lần yêu cầu phê duyệt USDT không giới hạn nhưng bạn chưa bao giờ hoàn thành việc hoán đổi hoặc gửi tiền.

Cách các công cụ thoát nước khai thác các phê duyệt

Trình tự tấn công điển hình:

1. Người dùng truy cập trang web lừa đảo (giả mạo SunSwap, airdrop giả mạo, đặt cược giả mạo).
2. Trang web nhắc kết nối ví + phê duyệt USDT.
3. Người dùng phê duyệt trợ cấp không giới hạn cho hợp đồng kẻ tấn công T....
4. Kẻ tấn công chờ đợi (giảm sự nghi ngờ ngay lập tức) hoặc tiêu hao ngay lập tức thông qua transferFrom.
5. USDT thực của người dùng chuyển sang ví của kẻ tấn công chỉ trong một giao dịch.

Bạn có thể không nhận thấy cho đến khi kiểm tra số dư của mình hoặc thử chuyển khoản.

Vì TRON xác nhận nhanh chóng nên số tiền rút cạn thường được chuyển tiếp qua nhiều bước nhảy trong vòng vài giây.

Phê duyệt hợp pháp và độc hại

Xác minh địa chỉ hợp đồng chi tiêu trên TronScan trước khi phê duyệt. So sánh với các địa chỉ được công bố trong tài liệu giao thức chính thức.

Cách đọc lời nhắc phê duyệt trong TronLink

Trước khi xác nhận:

1. Hợp đồng đang được phê duyệt — USDT là TR7NHqjeKQxGTCi8q8ZY4pL8otSzgjLj6t.
2. Địa chỉ người chi tiêu — Ai nhận được sự cho phép? Tìm kiếm trên TronScan.
3. Số tiền — Con số chính xác và không giới hạn.
4. Trang web gọi điện — Nó có khớp với tên miền chính thức không?

Nếu bất kỳ lĩnh vực nào không rõ ràng, hãy từ chối và nghiên cứu trước.

Thu hồi phê duyệt trên TronScan

Phê duyệt vệ sinh thường xuyên:

1. Vào TronScan.
2. Tìm kiếm địa chỉ ví của bạn.
3. Mở phần Phê duyệt hoặc Phê duyệt mã thông báo.
4. Xem xét từng người chi tiêu USDT (và mã thông báo khác).
5. Thu hồi những người chi tiêu không xác định hoặc không sử dụng — xác nhận thu hồi tx trong TronLink (TRX/Chi phí năng lượng nhỏ).

Sau khi thu hồi, người chi tiêu không thể rút thêm mã thông báo trừ khi bạn phê duyệt lại.

Thực hành phê duyệt an toàn hơn

• Ưu tiên phê duyệt có giới hạn khi dApp hỗ trợ số tiền chính xác cho mỗi giao dịch.
• Sử dụng tính năng chia nóng/lạnh — Giữ tiền tiết kiệm dài hạn trong một chiếc ví không bao giờ kết nối với các trang web không xác định.
• Ngắt kết nối ví khỏi các trang web sau khi sử dụng (TronLink danh sách các trang web được kết nối).
• Xác minh hợp đồng — Xem xác minh hợp đồng thông minh trên TRON.
• Không bao giờ phê duyệt trên các trang "xác minh ví" hoặc "đồng bộ hóa" — luôn lừa đảo.

Nếu ví của bạn đã bị rút hết thông qua phê duyệt

1. Thu hồi tất cả các phê duyệt còn lại khỏi ví bị xâm nhập ngay lập tức.
2. Chuyển mọi tài sản còn sót lại sang ví mới với cụm từ hạt giống mới.
3. Ghi lại băm giao dịch và địa chỉ người chi tiêu.
4. Báo cáo qua TronScan báo cáo lừa đảo và chính quyền địa phương của bạn nếu tổn thất đáng kể.

Việc khôi phục USDT đã chuyển là rất hiếm khi những kẻ tấn công chuyển tiền ra khỏi chuỗi hoặc thông qua các máy trộn.

Ghi chú của nhà phát triển

Nếu bạn xây dựng dApp, hãy mặc định phê duyệt chính xác hoặc các luồng kiểu cấp phép nếu có thể. Ghi lại địa chỉ hợp đồng bộ định tuyến của bạn một cách công khai. Người dùng tin cậy các giao thức giúp giảm thiểu phạm vi cho phép.

Câu hỏi thường gặp

Phê duyệt không giới hạn có ý nghĩa gì trên TRON?

Điều đó có nghĩa là bạn đã ủy quyền cho một hợp đồng thông minh (người chi tiêu) chuyển tối đa số lượng mã thông báo TRC-20 từ ví của bạn - không chỉ số tiền được hiển thị trong giao diện người dùng.

Làm cách nào để thu hồi phê duyệt nguy hiểm trên TRON?

Mở TronScan, đi đến địa chỉ ví của bạn → tab Phê duyệt, tìm hợp đồng chi tiêu và thu hồi hoặc đặt khoản trợ cấp về 0. Xác nhận giao dịch thu hồi trong ví của bạn.

Tôi có thể bị cạn tiền sau khi ngắt kết nối ví của mình khỏi một trang web không?

Đúng. Phê duyệt vẫn tồn tại trên chuỗi cho đến khi bị thu hồi. Việc ngắt kết nối chỉ dừng các yêu cầu chữ ký mới từ trang web đó.

Việc phê duyệt TRX có hoạt động giống như vậy không?

TRX là gốc, không phải TRC-20 — nó không sử dụng approve. Công cụ khai thác nhắm mục tiêu các nội dung TRC-20 như USDT, USDD và mã thông báo dự án. Bạn vẫn ký chuyển nhượng TRX trực tiếp.

Việc phê duyệt SunSwap có an toàn không?

Bộ định tuyến chính thức của SunSwap tại miền sun.io hợp pháp được sử dụng rộng rãi. Rủi ro đến từ các trang web lừa đảo mạo danh SunSwap chứ không phải từ việc phê duyệt hợp đồng thực khi bạn xác minh URL và địa chỉ hợp đồng.

Danh sách kiểm tra khắc phục sự cố

Nếu có sự cố xảy ra trên TRON, hãy xử lý nó như một vấn đề gỡ lỗi có cấu trúc: xác nhận txid chính xác trên chuỗi, xác minh địa chỉ hợp đồng mục tiêu và chỉ sau đó quyết định xem liệu lỗi có thể phục hồi được hay không. Trên TRON, nhiều vấn đề “bí ẩn” chỉ đơn giản là một trong số: sai mạng (mainnet so với testnet), hợp đồng mã thông báo sai (USDT giả / mã thông báo có tên tương tự), không đủ tài nguyên (OUT_OF_ENERGY / băng thông) hoặc độ trễ giao diện người dùng/trình lập chỉ mục giữa ví và trình khám phá.

Bắt đầu với các bước kiểm tra dựa trên chuỗi sau:

• Luôn sao chép toàn bộ txid/hash từ ví hoặc explorer của bạn.
• Xác nhận trạng thái kết quả tx trên TronScan (SUCCESS, REVERT, OUT_OF_ENERGY hoặc vẫn đang chờ xử lý).
• Kiểm tra xem địa chỉ người nhận/hợp đồng có khớp với nội dung bạn định gửi hay không.
• Nếu đó là lệnh gọi hợp đồng, hãy xác nhận rằng bộ chọn chức năng và các tham số phù hợp với tiêu chuẩn mã thông báo mà bạn cho rằng mình đang sử dụng (TRC-20 so với TRC-10 so với BEP-20 trên BSC).

Sau đó áp dụng đường dẫn sửa lỗi cho danh mục của bạn:

• Xác nhận trạng thái và thông số giao dịch.
• Xác minh địa chỉ (hợp đồng mã thông báo, người nhận, bộ định tuyến/người chi tiêu).
• Thêm hoặc ủy quyền tài nguyên (Năng lượng/Băng thông) khi lỗi do tài nguyên.

###Những lỗi thường gặp

Các mẫu này gây ra hầu hết các lỗi ở cấp độ người dùng:

• Sử dụng địa chỉ mainnet trên testnet (hoặc ngược lại).
• Sao chép ký hiệu mã thông báo thay vì địa chỉ hợp đồng TRC-20 thực tế.
• Ký sai địa chỉ phê duyệt/chi tiêu do liên kết UI độc hại hoặc lỗi thời.
• Thử lại mà không thay đổi đầu vào bị lỗi (ví dụ: REVERT tiếp tục hoàn nguyên cho đến khi bạn sửa được tham số).

Nếu bạn không chắc chắn, đừng “gửi lại”. Thực hiện một thay đổi có kiểm soát, xác minh trên TronScan rồi tiếp tục.

##Câu hỏi thường gặp

Làm cách nào để biết liệu giao dịch có thực sự được xác nhận hay không?

Sử dụng TronScan và kiểm tra trạng thái kết quả tx. Nhãn “đang chờ xử lý” của ví có thể bị trễ; trạng thái dây chuyền là nguồn gốc của sự thật. Sao chép txid và xác minh SUCCESS/REVERT/OUT_OF_ENERGY, không chỉ văn bản giao diện người dùng.

Tại sao giao diện người dùng khác với TronScan?

Một số ví và dApp sử dụng các bộ chỉ mục hoặc lớp bộ đệm khác nhau. Độ trễ ngắn giữa phát sóng và lập chỉ mục là bình thường; so sánh txid và đợi chuỗi ổn định trước khi kết luận thất bại.

Tôi nên làm gì sau REVERT?Dừng và giải mã cuộc gọi thất bại. Hầu hết REVERT đều do tham số không hợp lệ, địa chỉ hợp đồng sai, thiếu phê duyệt hoặc không khớp giữa tiêu chuẩn và phương thức mã thông báo. Khắc phục nguyên nhân rồi ký lại.

Ký phê duyệt không giới hạn có an toàn không?

Phê duyệt không giới hạn chỉ an toàn đối với các địa chỉ chi tiêu đáng tin cậy mà bạn đã xác minh (nguồn đã xác minh, bộ định tuyến chính xác và hợp đồng mã thông báo dự kiến). Để thử nghiệm, hãy ưu tiên phê duyệt có giới hạn và thu hồi sau khi bạn hoàn thành.

TRON yêu cầu những tài nguyên gì cho các cuộc gọi hợp đồng?

Việc thực thi hợp đồng thông minh chủ yếu tiêu thụ Năng lượng, trong khi byte giao dịch tiêu thụ Băng thông. Nếu bạn nhận được OUT_OF_ENERGY, hãy thêm/đóng băng/ủy thác Năng lượng. Nếu băng thông cạn kiệt, hãy tập trung vào việc giữ đủ chất lỏng TRX để phân bổ byte và tài nguyên.

Làm cách nào để giảm phiếu hỗ trợ?

Hiển thị cho người dùng thông báo rõ ràng về “điều gì đã xảy ra” dựa trên trạng thái chuỗi và liên kết trực tiếp đến hướng dẫn có liên quan (đang chờ xử lý, không thành công, hết năng lượng hoặc xác minh). Lưu trữ txid để bạn có thể hòa giải nhanh chóng.