Cuộc tấn công đầu độc địa chỉ Ethereum nâng cấp: Sau một lần chuyển tiền, anh ta nhận được 89 email cảnh báo

Trong thế giới tiền mã hóa, không có nút “Hoàn tác”. Một khi tiền đã gửi đến địa chỉ sai, khả năng thu hồi là rất thấp.

Bài viết của: etherscan.eth

Biên tập: AididiaoJP, Foresight News

Vài tuần trước, một người dùng Etherscan tên Nima đã chia sẻ một trải nghiệm không vui. Sau khi chỉ thực hiện hai giao dịch chuyển stablecoin, anh ta đã nhận được hơn 89 email cảnh báo theo dõi địa chỉ trong thời gian ngắn.

Như Nima đã chỉ ra, các cảnh báo này được kích hoạt bởi các giao dịch đầu độc địa chỉ. Kẻ tấn công tạo ra các giao dịch này với mục đích duy nhất là đưa các địa chỉ giả có độ tương tự cao vào lịch sử giao dịch của người dùng, nhằm lừa người dùng sao chép và sử dụng nhầm các địa chỉ giả trong lần chuyển tiếp theo.

Đầu độc địa chỉ đã tồn tại trên Ethereum nhiều năm. Tuy nhiên, các sự kiện này cho thấy hoạt động tấn công đã trở nên tự động hóa và quy mô hóa cao. Những thông tin rác rưởi nhỏ lẻ từng xảy ra thưa thớt trước đây nay có thể thực hiện quy mô lớn, với kẻ tấn công thường chỉ mất vài phút sau giao dịch hợp pháp để thực hiện các chuyển khoản đầu độc.

Để hiểu vì sao các cuộc tấn công này ngày càng phổ biến, chúng ta cần phân tích từ hai góc độ: quá trình phát triển của phương pháp tấn công đầu độc địa chỉ và nguyên nhân khiến chúng dễ dàng hoạt động quy mô lớn.

Ngoài ra, bài viết sẽ tập trung trình bày một nguyên tắc phòng ngừa cốt lõi để giúp người dùng chống lại các cuộc tấn công này hiệu quả.

一、产业化 phát triển của đầu độc địa chỉ

Đầu độc địa chỉ từng được xem là phương thức lừa đảo nhỏ lẻ của các kẻ tấn công cơ hội. Tuy nhiên, đến nay, mô hình hoạt động của nó đã ngày càng mang đặc điểm của một ngành công nghiệp.

Một nghiên cứu công bố năm 2025 phân tích hoạt động đầu độc địa chỉ từ tháng 7 năm 2022 đến tháng 6 năm 2024 (trước khi nâng cấp Fusaka). Nghiên cứu cho thấy có khoảng 17 triệu lần cố gắng đầu độc trên Ethereum, liên quan đến khoảng 1,3 triệu người dùng, thiệt hại xác nhận ít nhất 79,3 triệu USD.

Bảng dưới dựa trên kết quả của “Nghiên cứu về đầu độc địa chỉ blockchain”, thể hiện quy mô hoạt động đầu độc trên Ethereum và BSC từ tháng 7 năm 2022 đến tháng 6 năm 2024. Dữ liệu cho thấy, trên chuỗi BSC với phí giao dịch thấp hơn nhiều, tần suất xảy ra các chuyển khoản đầu độc cao hơn 1355%.

Kẻ tấn công thường theo dõi hoạt động blockchain để xác định mục tiêu tiềm năng. Khi phát hiện giao dịch của người dùng mục tiêu, hệ thống tự động tạo ra các địa chỉ rất giống nhau về mặt ký tự đầu/cuối, có cùng đặc điểm với địa chỉ hợp lệ đã tương tác trước đó. Sau đó, chúng gửi các chuyển khoản đầu độc chứa các địa chỉ giả này đến địa chỉ mục tiêu, khiến chúng xuất hiện trong lịch sử giao dịch của người dùng.

Kẻ tấn công thường chọn các địa chỉ có khả năng sinh lợi cao làm mục tiêu. Các địa chỉ thường xuyên chuyển tiền, giữ lượng token lớn hoặc tham gia các giao dịch lớn thường sẽ nhận nhiều cố gắng đầu độc hơn.

Cơ chế cạnh tranh nâng cao hiệu quả tấn công

Nghiên cứu năm 2025 tiết lộ một hiện tượng đáng chú ý: các nhóm tấn công thường cạnh tranh lẫn nhau. Trong nhiều hoạt động đầu độc, nhiều kẻ tấn công gần như cùng lúc gửi các chuyển khoản đầu độc đến cùng một địa chỉ mục tiêu.

Các nhóm tấn công cố gắng đưa địa chỉ giả của mình vào lịch sử giao dịch của người dùng trước, để khi người dùng sao chép địa chỉ sau này, địa chỉ giả của nhóm nào đó sẽ được ưu tiên chọn. Người thành công trong việc đưa địa chỉ giả vào sớm nhất sẽ có khả năng bị người dùng sao chép nhầm cao hơn.

Ví dụ dưới đây thể hiện mức độ cạnh tranh khốc liệt này. Trong trường hợp này, sau khi một giao dịch hợp lệ USDT hoàn tất, chỉ trong vài phút đã có 13 giao dịch đầu độc được chèn vào.

Lưu ý: Etherscan mặc định ẩn các giao dịch có giá trị bằng 0; ở đây đã bỏ ẩn để trình diễn

Các phương pháp phổ biến trong tấn công đầu độc bao gồm: chuyển dust, giả mạo chuyển token, và chuyển token không giá trị.

二、Nguyên nhân khiến tấn công đầu độc địa chỉ dễ quy mô hóa

Ban đầu, tỷ lệ thành công của đầu độc địa chỉ có vẻ không cao. Hầu hết người dùng sẽ không bị lừa. Tuy nhiên, xét về mặt kinh tế, logic của loại tấn công này lại khác biệt hoàn toàn.

Logic của trò chơi xác suất

Các nhà nghiên cứu phát hiện rằng, trên Ethereum, tỷ lệ thành công của một lần cố gắng đầu độc là khoảng 0,01%. Nói cách khác, trung bình cứ 10.000 lần chuyển khoản đầu độc thì chỉ có khoảng 1 lần khiến người dùng gửi nhầm tiền cho kẻ tấn công.

Vì vậy, hoạt động đầu độc không còn giới hạn ở một số địa chỉ nhỏ lẻ nữa, mà hướng tới việc gửi hàng nghìn, thậm chí hàng triệu lần chuyển khoản đầu độc. Khi số lượng cố gắng đủ lớn, dù tỷ lệ thành công nhỏ cũng có thể tích lũy thành lợi nhuận đáng kể.

Một vụ lừa đảo chuyển khoản lớn thành công đủ để bù đắp chi phí của hàng nghìn lần thất bại.

Chi phí giao dịch thấp hơn thúc đẩy cố gắng đầu độc nhiều hơn

Nâng cấp Fusaka kích hoạt ngày 3 tháng 12 năm 2025 đã giới thiệu các tối ưu về khả năng mở rộng, giảm đáng kể chi phí giao dịch trên Ethereum. Thay đổi này không chỉ mang lại lợi ích cho người dùng và nhà phát triển mà còn làm giảm đáng kể chi phí của các cuộc tấn công đầu độc, cho phép chúng được thực hiện với quy mô chưa từng có.

Sau nâng cấp Fusaka, hoạt động của mạng Ethereum tăng rõ rệt. Trong 90 ngày sau nâng cấp, trung bình mỗi ngày có nhiều giao dịch hơn 30% so với 90 ngày trước đó. Số địa chỉ mới tạo mỗi ngày cũng tăng trung bình khoảng 78%.

Ngoài ra, hoạt động dust cũng tăng rõ rệt. Các chuyển khoản dust này là các giao dịch kẻ tấn công gửi token hoặc ETH có giá trị cực nhỏ, giống với các giao dịch lịch sử của người dùng.

Dưới đây là so sánh hoạt động dust của các loại tài sản chính trong 90 ngày trước và sau nâng cấp Fusaka. Với các stablecoin như USDT, USDC, DAI, dust là các giao dịch có giá trị dưới 0,01 USD; còn với ETH, là các giao dịch dưới 0,00001 ETH.

USDT

• Trước nâng cấp: 4,2 triệu lần
• Sau nâng cấp: 29,9 triệu lần
• Tăng trưởng: +25,7 triệu lần (+612%)

USDC

• Trước nâng cấp: 2,6 triệu lần
• Sau nâng cấp: 14,9 triệu lần
• Tăng trưởng: +12,3 triệu lần (+473%)

DAI

• Trước nâng cấp: 142,405 lần
• Sau nâng cấp: 811,029 lần
• Tăng trưởng: +668,624 lần (+470%)

ETH

• Trước nâng cấp: 104,5 triệu lần
• Sau nâng cấp: 169,7 triệu lần
• Tăng trưởng: +65,2 triệu lần (+62%)

Dữ liệu cho thấy, sau nâng cấp Fusaka, hoạt động dust (dưới 0,01 USD) tăng mạnh, đạt đỉnh rồi giảm nhẹ nhưng vẫn cao hơn nhiều so với trước đó. Trong khi đó, các giao dịch có giá trị lớn hơn 0,01 USD vẫn duy trì ổn định.

Biểu đồ: So sánh xu hướng dust (<0,01 USD) của USDT, USDC, DAI trong 90 ngày trước và sau nâng cấp Fusaka

Biểu đồ: So sánh xu hướng các giao dịch bình thường (>0,01 USD) của USDT, USDC, DAI trong 90 ngày trước và sau nâng cấp Fusaka

Trong nhiều hoạt động tấn công, kẻ tấn công ban đầu phân phối token và ETH hàng loạt đến các địa chỉ giả mới tạo, sau đó các địa chỉ này lần lượt gửi dust đến mục tiêu. Do các chuyển khoản dust có giá trị cực thấp, khi chi phí giao dịch giảm, kẻ tấn công có thể thực hiện quy mô lớn với chi phí cực thấp.

Hình minh họa: Địa chỉ Fake_Phishing1688433 gửi token và ETH hàng loạt đến nhiều địa chỉ giả khác nhau trong một giao dịch

Cần làm rõ rằng, không phải tất cả các chuyển khoản dust đều là tấn công đầu độc. Dust cũng có thể xuất phát từ hoạt động hợp pháp như đổi token hoặc giao dịch nhỏ giữa các địa chỉ. Tuy nhiên, sau khi xem xét nhiều hồ sơ dust, có thể xác định phần lớn trong số đó là các cố gắng đầu độc.

三、Nguyên tắc phòng ngừa cốt lõi

Trước khi gửi bất kỳ khoản tiền nào, hãy kiểm tra kỹ địa chỉ đích.

Dưới đây là một số lời khuyên thực tiễn giúp giảm thiểu rủi ro khi sử dụng Etherscan:

Sử dụng nhãn địa chỉ dễ nhận biết

Đặt tên nhãn riêng cho các địa chỉ thường xuyên tương tác trên Etherscan. Điều này giúp phân biệt rõ các địa chỉ hợp lệ trong hàng nghìn địa chỉ tương tự.

Sử dụng dịch vụ tên miền như ENS để nâng cao khả năng nhận diện địa chỉ trong trình duyệt.

Ngoài ra, khuyên dùng chức năng danh bạ của ví để lưu các địa chỉ thường dùng vào danh sách trắng, đảm bảo gửi tiền đúng mục tiêu dự kiến.

Bật chức năng làm nổi bật địa chỉ

Chức năng làm nổi bật địa chỉ của Etherscan giúp người dùng dễ phân biệt các địa chỉ có vẻ giống nhau. Nếu hai địa chỉ trông gần như giống hệt nhau nhưng cách hiển thị khác nhau, thì một trong hai khả năng cao là địa chỉ đầu độc.

Xác nhận kỹ địa chỉ trước khi sao chép

Khi sao chép địa chỉ có thể liên quan đến hoạt động đáng ngờ, Etherscan sẽ tự động hiển thị cảnh báo. Các hoạt động đáng ngờ bao gồm:

• Chuyển token giá trị thấp
• Chuyển token giả mạo
• Token có uy tín kém
• Token chưa cập nhật thông tin

Khi thấy cảnh báo này, hãy tạm dừng thao tác và kiểm tra kỹ xem địa chỉ bạn sao chép có đúng là mục tiêu bạn muốn giao dịch hay không.

Nhớ rằng, trong thế giới mã hóa không có nút “Hoàn tác”. Một khi tiền đã gửi đến sai địa chỉ, khả năng thu hồi là rất thấp.

总结

Với chi phí giao dịch giảm, các chiến lược tấn công quy mô lớn trở nên kinh tế hơn, hoạt động đầu độc địa chỉ ngày càng phổ biến trên Ethereum. Các cuộc tấn công này cũng gây ảnh hưởng tiêu cực đến trải nghiệm người dùng, khi hàng loạt thông tin rác đầu độc tràn ngập trong các giao diện lịch sử giao dịch của người dùng.

Để phòng tránh hiệu quả các cuộc tấn công đầu độc địa chỉ, cần nâng cao ý thức bảo mật của người dùng và cải thiện thiết kế giao diện. Đối với người dùng, thói quen quan trọng nhất là: trước khi gửi tiền, hãy kiểm tra kỹ địa chỉ đích.

Ngoài ra, các công cụ và giao diện người dùng cũng cần phát huy vai trò giúp người dùng nhanh chóng nhận diện các hoạt động đáng ngờ.

Nhãn địa chỉ đầu độc trên Etherscan (https://etherscan.io/accounts/label/poisoning-address)

Etherscan liên tục cải tiến giao diện trình duyệt và dịch vụ API để hỗ trợ người dùng dễ dàng nhận diện các cuộc tấn công này. Chúng tôi chủ động đánh dấu các địa chỉ giả, nhận diện và ẩn các chuyển khoản token có giá trị bằng 0, đánh dấu token giả mạo. Nhờ các dữ liệu đã được xử lý này, người dùng không cần phải tự lọc qua hàng loạt giao dịch mà vẫn dễ dàng phát hiện các cố gắng đầu độc địa chỉ tiềm năng.

Khi các cuộc tấn công đầu độc ngày càng nâng cao nhờ tự động hóa và quy mô lớn của các chuyển dust, việc hiển thị rõ ràng các tín hiệu rủi ro này sẽ giúp người dùng phân biệt hoạt động đáng ngờ với giao dịch hợp pháp một cách hiệu quả.