Ví Solana chuyển 30.749,80 USDT đến địa chỉ giả sau giao dịch thử 10 USD, Bitquery cho biết

Công ty dữ liệu blockchain Bitquery mô tả một vụ việc ngày 17 tháng 11 năm 2025, trong đó một ví Solana lần đầu chuyển 10 USD bằng USDT đến địa chỉ nạp tiền Gate.io của ví. 12 giây sau, một địa chỉ giả dạng tương tự gửi một khoản tiền rất nhỏ. Sau đó, ví chuyển thêm 10 USD để thử giao dịch đến địa chỉ giả. Tiếp đó, ví chuyển 30.749,80 USDT đến chính địa chỉ giả đó.

Thủ đoạn đầu độc địa chỉ tạo một mục gây nhầm lẫn trong lịch sử thanh toán của ví. Một khoản tiền nhỏ được chuyển đến sẽ đưa địa chỉ của người gửi, vốn tương tự địa chỉ thật, lên gần một giao dịch hợp lệ. Người dùng sau đó có thể chuyển tiền nhầm người nhận nếu sao chép địa chỉ giả dạng này. Giao dịch thử thành công xác nhận tiền đã được chuyển đến địa chỉ được chọn, nhưng không thể xác định ai kiểm soát địa chỉ đó. Nếu địa chỉ đích bị sao chép sai, việc thanh toán lặp lại sẽ lặp lại sai lầm. Chỉ riêng việc nhận một khoản tiền nhỏ không làm cạn ví thông qua thủ đoạn này. Tổn thất xảy ra khi chủ ví sau đó xác nhận thanh toán đến địa chỉ giả dạng.

Trong kết quả công bố ngày 9 tháng 10 năm 2026, Bitquery thống kê 4.497.798 ví Solana bị nhắm mục tiêu từ ngày 30 tháng 10 năm 2025 đến ngày 7 tháng 10 năm 2026, trong khoảng thời gian 11 tháng. Theo tiêu chí xác định mục tiêu của Bitquery, ví phải thực hiện khoản thanh toán ít nhất 1 USD bằng SOL, USDC hoặc USDT trong cùng ngày, sau đó nhận một khoản chuyển rất nhỏ hoặc token stablecoin giả. Khoản chuyển tiếp theo phải đến từ một địa chỉ khác có ít nhất ba ký tự trùng khớp ở mỗi đầu với địa chỉ người nhận. Con số ví bị nhắm mục tiêu không có nghĩa 4,5 triệu ví đã mất tiền.

Phân tích tổn thất của Bitquery bao gồm một tập hợp nhỏ hơn, khoảng 3,0 triệu ví bị đầu độc tính đến ngày 9 tháng 7 năm 2026. Trong số đó, 1.104 ví thực hiện các khoản thanh toán đủ điều kiện, với tổng giá trị 940.106 USD. Tổng tổn thất là mức ước tính thấp nhất. Phân tích tính các khoản thanh toán từ 1 USD trở lên trong vòng 90 ngày kể từ lần chuyển tiền nhỏ đầu tiên. Khoản thanh toán ngoài khoảng thời gian đó vẫn có thể đủ điều kiện nếu trong ngày có thêm các khoản chuyển nhỏ. Phân tích loại trừ những ví bị đầu độc sau ngày 9 tháng 7 và các khoản thanh toán không đáp ứng những quy tắc này. Bitquery cũng loại bỏ các mối liên hệ có khả năng đã tồn tại, trong đó có những cặp địa chỉ từng thanh toán hoặc hoàn trả tiền trước đó. Các trường hợp loại trừ này có thể bao gồm một số vụ trộm cắp thực sự.

Hướng dẫn của Phantom về thủ đoạn đầu độc địa chỉ khuyên người dùng tránh sử dụng địa chỉ sao chép từ lịch sử giao dịch và xác minh địa chỉ trước khi gửi. Hướng dẫn nhận thanh toán của Phantom yêu cầu người dùng trước tiên xác nhận chính xác địa chỉ người nhận và mạng lưới. Sau đó, hướng dẫn yêu cầu người dùng kiểm tra trạng thái giao dịch trên trình khám phá blockchain. Phantom cho biết họ không thể thu hồi token được gửi nhầm địa chỉ.