Blind Signing là gì? Rủi ro khi ký giao dịch không rõ nội dung

Blind Signing là gì? Đây là việc xác nhận chữ ký khi bạn chưa đọc hoặc chưa kiểm chứng được nội dung thực sự mà ví đang ký. Website có thể ghi “nhận thưởng”, nhưng yêu cầu gửi đến ví lại mang ý nghĩa khác. Nếu chỉ dựa vào tên nút trên website, bạn đang bỏ qua phần quyết định quyền nào được trao đi.

Rủi ro này vẫn tồn tại khi dùng ví phần cứng. Thiết bị giúp bảo vệ khóa riêng tư; người dùng vẫn phải kiểm tra lệnh được xác nhận. EMA Crypto hướng dẫn cách phân biệt các yêu cầu ký và những điểm nên đối chiếu trước khi bấm đồng ý.

Blind Signing bắt đầu từ khoảng cách giữa lời giới thiệu và nội dung ký

Giả sử một trang giới thiệu chương trình nhận token miễn phí. Bạn kết nối ví, bấm kiểm tra điều kiện rồi thấy yêu cầu ký. Không có phí gas đáng kể, số dư chưa thay đổi, nên bạn nghĩ đó chỉ là bước đăng nhập.

Nhưng trước khi ký, hãy tự hỏi: màn hình ví đang xác nhận điều gì? Nếu không xác định được loại yêu cầu, hợp đồng liên quan và phạm vi quyền, câu “chỉ ký để xác minh” của website chưa đủ làm bằng chứng. Ví dụ này là tình huống giả định, không mô tả một vụ mất tiền cụ thể.

Về mặt kỹ thuật, ví có thể phải xử lý dữ liệu mã hóa khó đọc. Tài liệu Clear Signing của Ledger mô tả vấn đề khi thiết bị không giải mã được giao dịch thành thông tin mà người dùng có thể hiểu. Người ký có dữ liệu để xác nhận, nhưng thiếu ngữ cảnh để đánh giá tác động.

Cũng cần phân biệt Blind Signing với việc thấy một mã hash. Một số quy trình kiểm chứng nâng cao dùng hash để đối chiếu dữ liệu đã được giải mã và xác minh độc lập. Vì vậy, không thể kết luận mọi màn hình có hash đều là lừa đảo. Với người chưa đủ khả năng đối chiếu, hash đơn lẻ không giúp hiểu nội dung lệnh.

Phân biệt kết nối ví, ký thông điệp và ký giao dịch

Ba thao tác thường xuất hiện nối tiếp trên cùng một website nhưng không có cùng ý nghĩa. Hiểu sự khác nhau giúp bạn không đánh đồng mọi cửa sổ bật lên thành bước xác minh thông thường. Giao diện cụ thể còn tùy ví và ứng dụng.

Tài liệu giao dịch Ethereum giải thích các trường như bên nhận, giá trị và dữ liệu đầu vào. Với một tương tác hợp đồng, nhìn số ETH gửi đi bằng 0 chưa đủ biết toàn bộ hành động bên trong. Phần dữ liệu có thể yêu cầu gọi chức năng của hợp đồng.

Trong khi đó, một thông điệp ký ngoài chuỗi có thể được bên khác sử dụng về sau. Theo hướng dẫn signature phishing của MetaMask, việc tài sản chưa rời ví ngay sau khi ký không tự xác nhận yêu cầu an toàn.

Blind Signing vì thế không chỉ là câu chuyện chuyển coin. Quyền giao dịch, quyền sử dụng token hay một lệnh đặt bán tài sản cũng cần được đọc theo đúng cơ chế của ứng dụng. Đừng lấy kết quả của một lần kết nối ví làm căn cứ cho mọi thao tác tiếp theo.

Vì sao ký không tốn gas vẫn có thể liên quan đến tài sản?

Phí gas và phạm vi chữ ký là hai vấn đề khác nhau. Một người có thể ký dữ liệu ngoài chuỗi, còn giao dịch sử dụng dữ liệu ấy do bên khác gửi. Lúc ký, bạn chưa chắc nhìn thấy một giao dịch trừ tiền trên trình khám phá blockchain.

Chẳng hạn, ERC-2612 định nghĩa cơ chế permit, cho phép thay đổi quyền sử dụng token thông qua thông điệp có chữ ký. Các trường như bên được cấp quyền, hạn mức và thời hạn có ý nghĩa thực tế. Tên gọi “message” không làm các trường đó trở thành thông tin vô hại.

Điều này không có nghĩa mọi thông điệp đăng nhập đều cấp quyền rút token. Cần xem đúng dữ liệu và giao thức đang dùng. Nguy cơ xuất hiện khi người dùng không phân biệt được một yêu cầu chứng minh quyền sở hữu tài khoản với một yêu cầu cho phép hành động khác.

Giả sử bạn định thử một dịch vụ với 20 đơn vị token, nhưng màn hình lại đề nghị một hạn mức lớn hơn rất nhiều. Cần tìm hiểu vì sao ứng dụng cần phạm vi ấy, chứ không suy ra “mình chỉ giao dịch 20 nên chỉ có 20 gặp rủi ro”. Hạn mức cấp quyền và giá trị thao tác hiện tại có thể khác nhau.

Bài ví nhận token lạ có nguy hiểm không phân biệt việc nhìn thấy tài sản trong ví với việc tương tác hoặc ký yêu cầu liên quan. Sự xuất hiện của token không phải lý do để tin một đường dẫn nhận thưởng đi kèm.

5 điểm cần kiểm tra trước khi xác nhận Blind Signing

1. Kiểm tra nguồn mở ứng dụng

Đối chiếu tên miền với nguồn chính thức đã biết, thay vì chỉ nhìn logo hoặc tin nhắn của người gửi. Một đường dẫn quảng cáo, bình luận hay tin nhắn riêng chưa xác nhận được danh tính ứng dụng. Nếu vừa được thúc giục “ký ngay để không hết suất”, hãy dành thời gian kiểm tra lại.

2. Xác định đúng tài khoản và mạng

Đọc tài khoản đang ký và mạng liên quan. Đừng chỉ nhớ rằng lần trước bạn dùng ví thử nghiệm. Một phiên kết nối khác hoặc thao tác chuyển tài khoản có thể khiến yêu cầu hiện tại áp dụng cho tài khoản khác với dự định.

3. Đọc hành động, địa chỉ và phạm vi quyền

Với lệnh chuyển, kiểm tra bên nhận và số lượng. Với cấp quyền token, kiểm tra tài sản, bên được cấp quyền và hạn mức. Với dữ liệu có cấu trúc, đọc cả bên xác minh và thời hạn nếu được hiển thị. Nếu những thông tin thiết yếu bị thiếu, không nên lấp khoảng trống bằng lời giới thiệu trên website.

4. Đối chiếu trên màn hình ký đáng tin cậy

Nếu dùng ví phần cứng có màn hình, đọc thông tin ngay trên thiết bị và so với ý định ban đầu. Hướng dẫn ký giao dịch của Ledger yêu cầu cảnh báo khi nội dung không được giải mã đầy đủ. Việc thiết bị chấp nhận ký chỉ phản ánh khả năng thực hiện thao tác, không thay bạn đánh giá mục đích của lệnh.

5. Dừng nếu không giải thích được nội dung

Đừng bật một tùy chọn ký chỉ để làm mất cảnh báo hoặc hoàn thành theo hướng dẫn của người lạ. Tìm tài liệu đúng ứng dụng, kiểm tra phạm vi hỗ trợ và chỉ tiếp tục khi hiểu được yêu cầu. Bài viết này không hướng dẫn bật Blind Signing để vượt qua bước xem xét.

Clear Signing và mô phỏng giao dịch giúp được đến đâu?

Clear Signing đưa nội dung được hỗ trợ về dạng dễ đọc để người dùng xác nhận. Đây là cải thiện quan trọng so với việc chỉ nhìn dữ liệu khó hiểu. Tuy nhiên, đọc rõ một lệnh không đồng nghĩa hợp đồng đó không có lỗi hoặc giao dịch phù hợp với nhu cầu của bạn.

Dữ liệu có cấu trúc cũng cần được đánh giá về ý nghĩa. EIP-712 tạo cách biểu diễn thông điệp theo cấu trúc để hỗ trợ kiểm chứng, không phải chứng nhận ứng dụng đáng tin. Một yêu cầu có các trường rất rõ vẫn có thể trao quyền mà bạn không muốn trao.

Mô phỏng giao dịch bổ sung một góc nhìn về kết quả dự kiến. Kết quả này phụ thuộc dữ liệu, phạm vi kiểm tra và trạng thái liên quan tại thời điểm mô phỏng. Không nên coi một dòng đánh giá thuận lợi là cam kết rằng mọi rủi ro hợp đồng hoặc quyền sử dụng sau đó đã được loại bỏ.

Với Blind Signing, cách kiểm tra thực tế là dùng nhiều thông tin để đối chiếu cùng một ý định: nguồn ứng dụng, nội dung được giải mã, cảnh báo và địa chỉ đích. Nếu các thông tin mâu thuẫn, dừng lại sẽ có ý nghĩa hơn việc chọn phần dễ tin nhất rồi xác nhận.

Đã ký một yêu cầu không rõ nội dung thì nên kiểm tra gì?

Trước tiên, xác định bạn mới kết nối, đã ký thông điệp hay đã gửi giao dịch. Ghi lại tên miền, tài khoản, thời điểm và mã giao dịch nếu có. Với chữ ký ngoài chuỗi, không tìm thấy giao dịch mới chưa đủ để kết luận không có gì cần xử lý.

Nếu liên quan đến quyền sử dụng token, đối chiếu quyền đã cấp bằng công cụ đáng tin cậy và tài liệu của giao thức. MetaMask giải thích token approval theo tài sản và bên được phép sử dụng; cần xác định đúng quyền thay vì ký một lệnh “làm sạch toàn bộ” từ nguồn lạ.

Ngắt kết nối website không tự thu hồi token approval. Đồng thời, không nên hứa rằng một lần revoke sẽ vô hiệu mọi loại chữ ký. Cách xử lý còn tùy cơ chế, thời hạn và việc chữ ký đã được sử dụng hay chưa.

Nếu đã nhập seed phrase hoặc nghi khóa bị lộ, đó là tình huống khác với một chữ ký không rõ nội dung. Không cung cấp thêm bí mật cho người tự nhận là hỗ trợ. Bài Address Poisoning là gì cũng giúp phân biệt việc chọn nhầm địa chỉ với những vấn đề liên quan quyền ký.

Câu hỏi thường gặp về Blind Signing

Blind Signing có luôn làm lộ khóa riêng tư không?

Không nên đồng nhất hai việc. Một chữ ký có thể cho phép hành động ngoài mong muốn mà không tiết lộ trực tiếp khóa. Cần xem nội dung đã ký và những thao tác khác đã thực hiện, thay vì suy luận chỉ từ tên cảnh báo.

Dùng ví phần cứng có còn gặp Blind Signing không?

Có thể. Khả năng trình bày nội dung phụ thuộc thiết bị, ứng dụng và loại giao dịch. Nếu bạn xác nhận một yêu cầu chưa hiểu, việc bảo vệ khóa không thay thế được bước đọc và đối chiếu lệnh.

Không có phí gas thì có thể ký thử không?

Không nên dùng phí gas làm thước đo an toàn. Một số chữ ký ngoài chuỗi có thể được dùng sau này. Hãy xác định ý nghĩa yêu cầu trước, kể cả khi màn hình không đề nghị thanh toán phí lúc ký.

Tắt tùy chọn Blind Signing có thu hồi chữ ký cũ không?

Không nên coi đó là thao tác thu hồi. Tùy chọn trên thiết bị kiểm soát các lần ký tiếp theo; quyền hoặc chữ ký đã phát sinh cần được đánh giá theo đúng giao thức liên quan.