Lừa đảo ví crypto: cách chúng hoạt động và cách phòng tránh
Phần lớn thiệt hại ví crypto đến từ mánh khóe, không phải do ví bị lỗi: lừa lấy seed phrase, chữ ký độc hại rút sạch token, ứng dụng giả, địa chỉ trông giống hệt và hỗ trợ giả mạo. Hãy chậm lại, tự xác minh mọi nguồn và đừng bao giờ chia sẻ seed phrase.
Vấn đề lớn đến mức nào?
Lừa đảo bằng wallet drainer trên các chuỗi EVM đã lấy khoảng 494 triệu USD từ khoảng 332.000 địa chỉ trong năm 2024 (ScamSniffer, tháng 1/2025). Năm 2025, ScamSniffer ghi nhận 83,85 triệu USD bị đánh cắp từ 106.106 nạn nhân, giảm 83%, dù vụ trộm đơn lẻ lớn nhất vẫn là 6,5 triệu USD từ một chữ ký Permit vào tháng 9/2025 (ScamSniffer, tháng 1/2026). Các con số này chỉ tính lừa đảo qua chữ ký; ứng dụng giả, lừa đảo đầu tư và đánh cắp seed phrase còn cộng thêm.
10 chiêu lừa đảo ví phổ biến nhất
| Chiêu lừa đảo | Cách hoạt động | Cách phòng vệ |
|---|---|---|
| Wallet drainer | Trang airdrop hoặc mint giả yêu cầu bạn ký approval hoặc permit để giao token của bạn cho chúng | Đọc kỹ mọi chữ ký; từ chối các yêu cầu Permit/approve bạn không mong đợi. Hướng dẫn |
| Ứng dụng ví giả | Ứng dụng hoặc tiện ích mạo danh đánh cắp cụm từ khi bạn "khôi phục" | Chỉ cài đặt qua tên miền chính thức. Hướng dẫn |
| Đầu độc địa chỉ (address poisoning) | Địa chỉ trông giống hệt được cài vào lịch sử giao dịch của bạn | Không bao giờ sao chép địa chỉ từ lịch sử. Hướng dẫn |
| Hỗ trợ giả mạo | "Nhân viên" trả lời lời phàn nàn của bạn và hỏi cụm từ hoặc đòi chia sẻ màn hình | Hỗ trợ thật không bao giờ nhắn tin trước và không bao giờ hỏi cụm từ của bạn |
| Thư và email lừa đảo | Tin nhắn "xác minh bắt buộc" kèm mã QR | Bỏ qua; kiểm tra thông báo trong ứng dụng chính thức |
| Approval độc hại vẫn còn mở | Các approval không giới hạn cũ bị lạm dụng về sau | Rà soát và thu hồi. Hướng dẫn |
| Token và NFT lừa đảo được airdrop | Token không mời mà đến dẫn link tới trang drainer | Ẩn chúng đi; đừng mở link hay cố bán chúng |
| Lừa đảo đầu tư và "giết heo" (pig butchering) | Một người bạn mới quen trên mạng hướng dẫn bạn nạp tiền vào nền tảng giả | Không bao giờ gửi tiền tới nền tảng do người lạ giới thiệu |
| Phần cứng giả hoặc bị can thiệp | Thiết bị giá rẻ từ đại lý, hoặc thẻ khôi phục điền sẵn | Mua trực tiếp; luôn tạo cụm từ mới |
| Mã độc clipboard và trình duyệt | Tráo địa chỉ bạn dán hoặc chèn mã vào trang ví | Kiểm tra địa chỉ trên màn hình thiết bị; luôn cập nhật phần mềm |
Vụ việc thật, có ngày tháng
- 20/12/2025: một trader gửi 49.999.950 USDT (khoảng 50 triệu USD) tới một địa chỉ giả bị đầu độc sau khi đã chuyển thử một khoản nhỏ (The Block, tháng 12/2025).
- 24/12/2025: phiên bản 2.68 độc hại của tiện ích Chrome Trust Wallet đã rút khoảng 7 triệu USD; Trust Wallet phát hành bản 2.69 và mở quy trình yêu cầu bồi thường (BleepingComputer, tháng 12/2025).
- Tháng 2/2026: thư lừa đảo in tiêu đề giả của Ledger và Trezor thúc giục "Kiểm tra xác thực" qua mã QR (BleepingComputer, tháng 2/2026).
- 7–13/4/2026: một ứng dụng Ledger giả trên Mac App Store; khoảng 9,5 triệu USD bị đánh cắp (iThinkDiff, tháng 4/2026).
- Tháng 7/2026: ba người dùng kiện Apple vì các ứng dụng iOS "Sparrow Wallet" giả, cáo buộc khoảng 1,8 triệu USD bitcoin bị đánh cắp trong năm 2025; Sparrow thật không có ứng dụng iOS (BleepingComputer, tháng 7/2026).
- Tháng 9/2026: email lừa đảo được gửi từ địa chỉ hỗ trợ thật của Trezor sau khi nhà cung cấp email Brevo bị xâm nhập (BleepingComputer, tháng 9/2026).
- Tháng 10/2026: Ledger xác nhận có bộ phận cấy ghép ẩn đánh cắp seed trong các thiết bị do một đại lý chợ xám bán ra (Crypto Briefing, tháng 10/2026).
Danh sách đầy đủ có trong trình theo dõi sự cố bảo mật của chúng tôi.
Dấu hiệu cảnh báo
- Hối thúc: "ví của bạn sẽ bị tạm khóa", "nhận thưởng trong vòng 24 giờ".
- Bất kỳ ai hỏi seed phrase, private key hoặc đòi chia sẻ màn hình.
- Link được gửi qua tin nhắn riêng, trong phần trả lời, hoặc trong quảng cáo phía trên kết quả tìm kiếm.
- Yêu cầu ký không khớp với việc bạn đang định làm.
- Lợi nhuận được "cam kết", hoặc nền tảng thu "thuế" trước khi cho bạn rút tiền.
Nếu bạn đã bị lừa
- Cầm máu ngay. Nếu seed phrase đã bị lộ, hãy tạo ví mới trên thiết bị sạch và chuyển số tiền còn lại. Nếu bạn đã ký một approval, hãy thu hồi nó (xem token approval).
- Ghi lại mọi thứ: mã hash giao dịch, địa chỉ, website, tin nhắn và ngày tháng.
- Trình báo với cảnh sát hoặc đơn vị phòng chống tội phạm mạng trong nước và với bất kỳ sàn giao dịch nào đã nhận tiền; đôi khi sàn có thể đóng băng khoản nạp.
- Cảnh giác lừa đảo "thu hồi tiền". Những người hứa "lấy lại" crypto bị đánh cắp với khoản phí trả trước gần như luôn cũng là kẻ lừa đảo.
Câu hỏi thường gặp
Chiêu lừa đảo ví crypto phổ biến nhất là gì?
Phishing dưới nhiều hình thức: trang giả yêu cầu chữ ký độc hại, ứng dụng giả và nhân viên hỗ trợ giả hỏi seed phrase của bạn.
Crypto bị đánh cắp có lấy lại được không?
Hiếm khi. Giao dịch blockchain không thể đảo ngược. Đôi khi sàn giao dịch đóng băng tiền bị đánh cắp, hoặc kẻ tấn công trả lại, như vụ đầu độc địa chỉ 68 triệu USD WBTC năm 2024, nhưng đừng trông chờ vào điều đó.
Công ty ví có hoàn tiền nếu tôi bị lừa không?
Thường là không khi chính bạn đã phê duyệt giao dịch. Một số công ty đã bồi thường cho người dùng khi lỗi nằm ở phần mềm của họ, như Ledger sau vụ tấn công Connect Kit năm 2023.
Dịch vụ thu hồi crypto có hợp pháp không?
Hãy cực kỳ nghi ngờ. Nhiều dịch vụ là lừa đảo tiếp nối nhắm vào nạn nhân. Thay vào đó, hãy trình báo vụ trộm với cảnh sát và sàn giao dịch đã nhận tiền.
Làm sao kiểm tra website ví có phải thật không?
Tự gõ tên miền hoặc dùng dấu trang thay vì bấm vào link hay quảng cáo. Các bài đánh giá của chúng tôi ghi tên miền chính thức của từng ví dưới dạng văn bản thường.