Trang nhận airdrop giả và tên miền lừa đảo hoạt động thế nào?

Một chiến dịch airdrop giả trông như thế nào?

Nó trông như một thông báo từ dự án, một liên kết và một cửa sổ ví bật lên có vẻ bình thường. Bản tường thuật MalwareTips ngày 23 tháng 4 năm 2025 ghi lại một chiến dịch nhắm vào một token staking. Nó lan qua email rác, tin nhắn Discord, hồ sơ mạng xã hội giả mạo nhân viên dự án, quảng cáo trên công cụ tìm kiếm và trang tiền mã hóa, cùng các nhóm Telegram, và báo cho người giữ token rằng họ đủ điều kiện nhận phần lớn hơn. Nó dùng ba dạng tên miền: tiền tố claims- trên .net, một tên project-airdrop trên .xyz và một tên project-rewards trên .org. Trang sao chép thương hiệu của dự án và dẫn người truy cập qua các bước kết nối ví, kiểm tra đủ điều kiện, nhận và khóa token. Sau khi ví kết nối, một đoạn script yêu cầu phê duyệt token ở chế độ nền và chuyển các tài sản nó với tới được; không có cụm seed phrase nào được yêu cầu.

Bước cuối giải thích vì sao tên miền quan trọng. Người dùng không bị hack: họ ký, trên một trang giống dự án, tại một địa chỉ giống dự án.

Vì sao kẻ drain tiếp tục dùng tên miền mới?

Vì tên miền rẻ để xoay vòng và danh sách chặn cần thời gian để bắt kịp. Báo cáo Check Point Research ngày 7 tháng 5 năm 2025 về Inferno Drainer mô tả hơn 30,000 nạn nhân mới từ tháng 9 năm 2024 đến tháng 3 năm 2025 và ít nhất $9,000,000 thiệt hại trong sáu tháng, lưu ý tổng có thể cao hơn. Báo cáo liệt kê hàng chục tên miền đích giả mạo một dịch vụ xác minh cộng đồng, cho biết chúng được xoay vòng vài ngày một lần, và mô tả một mồi airdrop riêng cho một memecoin chính trị trên tên miền giống hệt riêng.

Cùng báo cáo cho thấy tên miền chỉ là một mắt xích trong chuỗi. Trong chiến dịch Discord mà nó mô tả, kẻ tấn công nhận các liên kết mời vanity Discord đã hết hạn của các dự án tiền mã hóa, nên người dùng đã lưu liên kết cũ tham gia máy chủ của kẻ tấn công và gặp một bot xác minh giả không có dấu tích Verified App. Một dự án để liên kết mời vanity hết hạn, hoặc để tên miền hết hạn, sẽ trao cho kẻ tấn công một cái tên đáng tin. Việc giữ gia hạn được trình bày trong cách ngăn tên miền của bạn hết hạn.

Dự án nên đăng ký những tên nào trước một airdrop?

Đăng ký đúng tên trên các đuôi chính, rồi các từ claim, airdrop và rewards trên các đuôi mà kẻ lừa đảo ưa dùng. Dữ liệu của Interisle từ ngày 1 tháng 5 năm 2025 đến ngày 30 tháng 4 năm 2026 đếm 869,180 tên miền lừa đảo dưới .com, 130,945 dưới .pro, 99,602 dưới .info, 93,987 dưới .xyz, 79,625 dưới .shop và 74,786 dưới .icu. Các đuôi đó đều có trong danh mục của Wardmint.

Một thứ tự thực tế cho một airdrop:

1. Bộ cốt lõi (.com, .net, .org, .io, .xyz, .app, $128.94 mỗi năm) cho đúng tên.
2. Các từ bạn sẽ dùng trong thông báo, như claim, airdrop và rewards, ghép với tên dự án trên .com, .xyz và .org.
3. Các đuôi mà kẻ lừa đảo dùng (.xyz, .pro, .info, .shop, .online, .icu, .click, .live, .support, $212.41 mỗi năm) cho đúng tên.
4. Các lỗi gõ thường gặp của tên, tìm bằng các công cụ miễn phí trong cách tìm tên miền giống thương hiệu của bạn.

Dòng thời gian đầy đủ quanh một sự kiện token nằm trong những tên miền nên đăng ký trước khi ra mắt token. Wardmint đăng ký các biến thể của chính dự án cho dự án đó, không bao giờ đăng ký biến thể giống hệt của thương hiệu khác, và không bán .top, một trong mười đuôi trong danh sách của Interisle.

Dự án nên cảnh báo người dùng thế nào?

Nói trước ở đâu có yêu cầu nhận, và ở đâu thì không. Hướng dẫn của Kerberus ngày 10 tháng 4 năm 2026 liệt kê các dấu hiệu cảnh báo người dùng nên kiểm tra: không có thông báo trên các kênh đã xác minh của dự án, yêu cầu seed phrase hoặc khóa riêng, thanh toán trước để nhận token, số lượng phi thực tế và token không mời trong ví. Nó cũng khuyên đánh dấu trang chính thức và cảnh báo rằng tên miền giống hệt dùng thay đổi nhỏ về ký tự và chữ Cyrillic.

Một dự án có thể biến danh sách đó thành thông báo của riêng mình:

• Công bố một địa chỉ nhận duy nhất, trên một tên miền bạn sở hữu, trước sự kiện.
• Nói rằng bạn sẽ không bao giờ yêu cầu seed phrase hoặc khoản thanh toán để nhận token.
• Ghim cùng nội dung đó trên mọi kênh đã xác minh.
• Chuyển hướng mọi tên phòng thủ về trang chính thức bằng chuyển tiếp, để một liên kết nhận bị gõ sai đưa người dùng tới trang của bạn thay vì trang của người lạ.
• Biết đường báo cáo: cách báo cáo tên miền lừa đảo nêu thông tin liên hệ của nhà đăng ký, máy chủ lưu trữ và các danh sách chặn.

Wardmint cung cấp chuyển hướng URL và chuyển tiếp email miễn phí từ khu vực khách hàng và một mẫu DNS không có email (null MX, SPF -all, DMARC p=reject) cho các tên chưa dùng.

Wardmint bán bao nhiêu trong số các đuôi bị lạm dụng nhiều nhất?

Theo khảo sát của Wardmint ngày 12 tháng 11 năm 2026, 6 trong số 10 đuôi có nhiều tên miền lừa đảo nhất trong dữ liệu 2025-2026 của Interisle (.com, .pro, .info, .xyz, .shop và .icu) nằm trong danh mục 29 đuôi của họ, và 4 (.top, .cn, .vip và .cc) thì không. Một tên phòng thủ do dự án đăng ký thì kẻ điều hành drainer không thể đăng ký được.

Hai câu có thể trích dẫn: một tên miền airdrop giả là bản sao của tên dự án có thêm một từ nhận thưởng; cách phòng thủ đầu tiên là sở hữu những tên hiển nhiên trước khi công bố airdrop. Wardmint không khẳng định việc đăng ký tên sẽ chấm dứt gian lận, vì lừa đảo cũng dùng tên miền con của nền tảng và các kênh bị chiếm. Các tên dùng ký tự ngoại lai được giải thích trong tấn công IDN homograph là gì.