Lừa đảo on-chain gây thiệt hại gần 50 triệu USD, Hoskinson chỉ ra điểm yếu

Một trong những vụ thiệt hại lớn nhất gần đây từ các vụ lừa đảo on-chain vừa được ghi nhận, khi một người dùng mất gần 50 triệu USDT do một cuộc tấn công “address poisoning”. Hình thức lừa đảo này khai thác cách các blockchain sử dụng mô hình account-based quản lý lịch sử giao dịch và việc tái sử dụng địa chỉ, khiến người dùng dễ nhầm lẫn khi sao chép địa chỉ từ các giao dịch trước đó.

Theo diễn biến vụ việc, sau khi rút tiền từ Binance, ví của nạn nhân – đã hoạt động khoảng hai năm và chủ yếu dùng để chuyển USDT – nhận được một giao dịch nhỏ từ địa chỉ giả mạo có hình thức gần giống địa chỉ từng sử dụng trước đây. Nạn nhân sau đó gửi một giao dịch thử nghiệm đến địa chỉ dự định, rồi vài phút sau chuyển toàn bộ số tiền. Tuy nhiên, ở lần chuyển thứ hai, người dùng đã vô tình chọn nhầm địa chỉ bị “đầu độc” trong lịch sử giao dịch, khiến toàn bộ gần 50 triệu USDT bị chuyển nhầm chỉ với một thao tác.

Bình luận về sự cố, Charles Hoskinson cho rằng vụ việc khó có thể xảy ra trên các kiến trúc blockchain có khả năng chống lỗi tốt hơn, đặc biệt là mô hình UTXO. Theo ông, các blockchain account-based như Ethereum vô tình tạo điều kiện cho kiểu lừa đảo này do người dùng thường xuyên sao chép địa chỉ từ lịch sử giao dịch. Ngược lại, các mạng sử dụng UTXO như Bitcoin hay Cardano không dựa vào trạng thái tài khoản cố định, mỗi giao dịch tạo ra các output mới, qua đó hạn chế khả năng “đầu độc” địa chỉ và giảm rủi ro do sai sót của con người.