Các nguy cơ tấn công: Lừa đảo, phần mềm chiếm quyền clipboard, ứng dụng giả và tráo SIM

Bạn sao chép địa chỉ ví, dán vào trường gửi rồi nhấn xác nhận. Mọi thứ trông có vẻ ổn. Nhưng một phần mềm độc hại âm thầm đã thay địa chỉ ngay khi nó được sao chép vào clipboard — và giờ tiền của bạn đã biến mất vĩnh viễn, chuyển đến tay một kẻ xa lạ. Hầu hết các cuộc tấn công thành công nhằm vào người nắm giữ tiền mã hóa không phá vỡ blockchain. Chúng khai thác những hành vi dễ đoán của con người: sao chép rồi dán địa chỉ mà không kiểm tra, tải ứng dụng từ kết quả tìm kiếm và tin tưởng số điện thoại như một phương thức khôi phục. Tự lưu ký có nghĩa là bạn là tuyến phòng thủ cuối cùng. Hiểu rõ những điểm có thể bị tấn công là bước đầu tiên để bảo vệ tài sản.

Lừa đảo giả mạo: Khi mối đe dọa mang bộ mặt đáng tin cậy

Lừa đảo trong lĩnh vực tiền mã hóa thường diễn ra dưới ba hình thức chính. Lừa đảo qua email giả mạo thông báo từ sàn giao dịch hoặc ví để tạo cảm giác cấp bách — chẳng hạn như tài khoản bị đình chỉ, đăng nhập đáng ngờ hoặc giao dịch rút tiền bạn không thực hiện. Quảng cáo tìm kiếm lừa đảo đặt quảng cáo trả phí giả mạo trang web ví hoặc sàn giao dịch phi tập trung lên trên kết quả tìm kiếm tự nhiên; tên miền trong quảng cáo chỉ khác đôi chút so với tên miền thật ("metamask-app.io" thay vì "metamask.io"). Lừa đảo trên mạng xã hội xuất hiện qua tin nhắn riêng trên Discord từ bot hỗ trợ giả mạo hoặc trong các nhóm Telegram hứa hẹn airdrop.

Trong mọi trường hợp, mục tiêu đều giống nhau: lấy cắp cụm từ khôi phục hoặc khóa riêng tư của bạn, hoặc lừa bạn phê duyệt một giao dịch độc hại. Không dịch vụ hợp pháp nào yêu cầu cụm từ khôi phục. Dù là nhà cung cấp ví, bộ phận hỗ trợ của sàn giao dịch hay trang web đề nghị xác minh tài khoản của bạn.

Lừa đảo qua quảng cáo tìm kiếm ngày càng nguy hiểm vì thiết kế trực quan của trang giả mạo có thể giống hệt trang thật đến từng điểm ảnh. Kẻ tấn công mua quảng cáo Google hoặc Bing cho những truy vấn thể hiện rõ ý định như "MetaMask download" hoặc "Uniswap app". Người dùng nhấp vào quảng cáo thay vì tự truy cập trang web sẽ bị đưa đến một trang rút cạn tài sản. Những dấu hiệu cảnh báo — URL không khớp, lời nhắc nhập ví ngay khi mở trang, cách diễn đạt tạo cảm giác cấp bách — rất dễ bị bỏ qua khi bạn đang vội.

Cách tự bảo vệ: Đánh dấu URL chính thức của ví và truy cập trực tiếp. Đừng bao giờ nhấp vào liên kết ví trong email hoặc quảng cáo tìm kiếm. Nếu có thể, hãy dùng ví phần cứng để ký giao dịch, nhờ đó ngay cả một trang giả mạo trông rất thuyết phục cũng không thể lấy được khóa của bạn — thiết bị yêu cầu bạn nhấn nút vật lý trên màn hình chống can thiệp của chính nó.

Phần mềm chiếm quyền clipboard: Âm thầm thay địa chỉ

Phần mềm chiếm quyền clipboard (một loại phần mềm độc hại) theo dõi clipboard của hệ thống để tìm các chuỗi có dạng địa chỉ ví tiền mã hóa. Địa chỉ Bitcoin bắt đầu bằng 1, 3 hoặc bc1; địa chỉ Ethereum bắt đầu bằng 0x. Khi phát hiện một chuỗi phù hợp, phần mềm độc hại âm thầm thay chuỗi đó bằng địa chỉ do kẻ tấn công kiểm soát trước khi bạn dán.

Cuộc tấn công được thiết kế để không ai nhận ra. Trường gửi hiển thị địa chỉ của kẻ tấn công, thoạt nhìn có thể trông đúng, nhất là khi vài ký tự đầu và cuối được làm giả để giống địa chỉ bạn định gửi đến.

Phần mềm độc hại này phát tán qua nhiều kênh: tiện ích mở rộng trình duyệt độc hại, ứng dụng máy tính để bàn bị cài mã độc như công cụ giao dịch bẻ khóa hoặc ứng dụng theo dõi danh mục giả mạo, và phần mềm đi kèm ví phần cứng giả. Chiến dịch GitVenom, được Kaspersky ghi nhận vào cuối năm 2024, phát tán phần mềm chiếm quyền clipboard thông qua các kho lưu trữ GitHub giả mạo. Khoảng 5 BTC — trị giá khoảng $485,000 vào thời điểm đó — đã bị lấy cắp từ nạn nhân ở Brazil, Thổ Nhĩ Kỳ và Nga. Tình trạng chiếm quyền clipboard không chỉ giới hạn ở Windows. ClipXDaemon, được Cyble phát hiện vào tháng 2 năm 2026, nhắm vào các hệ thống Linux bằng cách chặn các phiên clipboard X11.

Cách tự bảo vệ: Sau khi dán bất kỳ địa chỉ ví nào, hãy kiểm tra toàn bộ chuỗi, từng ký tự một, trước khi xác nhận. Ví phần cứng giúp bạn duy trì thói quen này bằng thiết kế: thiết bị hiển thị địa chỉ đích thực trên màn hình riêng, độc lập với nội dung clipboard trên máy tính. Đừng cài tiện ích mở rộng trình duyệt từ bên ngoài các cửa hàng chính thức, và tránh chạy phần mềm lấy từ ngoài kênh phân phối đã được nhà phát triển xác minh.

Đầu độc địa chỉ: Sai một ký tự, mất tất cả

Thủ đoạn đầu độc địa chỉ lợi dụng một lối tắt phổ biến trong giao diện ví. Hầu hết ví chỉ hiển thị bốn đến sáu ký tự đầu và bốn đến sáu ký tự cuối của một địa chỉ ví. Kẻ tấn công tạo các địa chỉ giả mạo trông giống địa chỉ thật — gọi là địa chỉ vanity — khớp chính xác với những ký tự đang hiển thị. Sau đó, chúng gửi các giao dịch "bụi" nhỏ (số tiền rất nhỏ, gần như không có giá trị) từ địa chỉ giả đến ví của nạn nhân, khiến địa chỉ trông giống thật xuất hiện trong lịch sử giao dịch của họ.

Khi nạn nhân muốn gửi lại tiền đến một địa chỉ quen thuộc, họ cuộn qua lịch sử giao dịch, thấy mục trông quen mắt, sao chép rồi gửi tiền — đến ví của kẻ tấn công.

Quy mô của kiểu tấn công này rất lớn. Chainalysis ghi nhận một chiến dịch duy nhất trong năm 2024 đã tạo ra 82,031 địa chỉ giả, ảnh hưởng đến 2,774 nạn nhân và gây tổng thiệt hại khoảng $69.7 million. Vào tháng 5 năm 2024, một cuộc tấn công đầu độc địa chỉ suýt khiến một người nắm giữ mất $68 million bằng Wrapped Bitcoin (WBTC); số tiền được hoàn trả sau khi đàm phán, nhưng kẻ tấn công vẫn giữ lại khoảng $3 million tiền lãi tăng giá trong thời gian thương lượng. Vào tháng 12 năm 2025, một nhà giao dịch tiền mã hóa mất $49,999,950 USDT trong một giao dịch duy nhất do gửi đến địa chỉ bị đầu độc.

Đừng bao giờ sao chép địa chỉ từ lịch sử giao dịch. Hãy dùng sổ địa chỉ đã lưu hoặc mỗi lần đều dán lại từ nguồn gốc đã xác minh.

Cách tự bảo vệ: Lưu những địa chỉ thường dùng vào sổ địa chỉ của ví thay vì sao chép lại từ lịch sử. Khi gửi số tiền lớn, hãy kiểm tra từng ký tự của địa chỉ đích — không chỉ vài ký tự đầu và cuối. Ví phần cứng hiển thị toàn bộ địa chỉ trên màn hình để bạn kiểm tra thủ công trước khi ký.

Ứng dụng ví giả mạo: Phần mềm độc hại ẩn trong App Store

Ứng dụng ví giả mạo sao chép biểu tượng, tên và giao diện của các ví hợp pháp. Sau khi được cài đặt, chúng có thể hiển thị màn hình nhập cụm từ khôi phục giả — để lấy cắp cụm từ của người dùng khôi phục ví hiện có — hoặc âm thầm thực hiện giao dịch rút cạn tài sản từ các tài khoản đã kết nối.

Những ứng dụng này được phát tán qua các cửa hàng chính thức, khiến chúng đặc biệt đáng tin. Check Point Research ghi nhận một ứng dụng giả mạo có tên "WalletConnect — Crypto Wallet" trên Google Play vào năm 2024. Ứng dụng này đạt hơn 10,000 lượt tải trong năm tháng, hoàn toàn tránh được phát hiện (không có lượt phát hiện nào trên VirusTotal) và rút hơn $70,000 từ hơn 150 nạn nhân bằng bộ công cụ MS Drainer. Năm 2025, Google gỡ bỏ hơn 22 ứng dụng ví tiền mã hóa giả mạo PancakeSwap, SushiSwap và Raydium — nhiều ứng dụng dùng màn hình nhập giả để lấy cắp cụm từ khôi phục.

Quảng cáo tìm kiếm và thao túng SEO đẩy ứng dụng giả lên trên phiên bản hợp pháp trong cả kết quả tìm kiếm trên cửa hàng ứng dụng lẫn trên web, khiến vấn đề thêm trầm trọng.

Cách tự bảo vệ: Trước khi cài bất kỳ ứng dụng ví nào, hãy truy cập trang web chính thức của ví trước rồi theo liên kết tải xuống tại đó. Kiểm tra chính xác tên nhà phát triển — chỉ một ký tự khác biệt cũng có thể là dấu hiệu phân biệt duy nhất. Đọc các đánh giá gần đây để tìm báo cáo về việc mất tiền. Và điều quan trọng là: đừng bao giờ nhập cụm từ khôi phục vào ứng dụng vừa cài đặt, trừ khi bạn đã đến ứng dụng đó qua kênh phân phối chính thức.

Tráo SIM: Khi số điện thoại trở thành điểm yếu

Tráo SIM (còn gọi là chiếm quyền SIM) là một hình thức tấn công phi kỹ thuật, trong đó kẻ tấn công thuyết phục nhà mạng chuyển số điện thoại của bạn sang SIM mà chúng kiểm soát. Thủ đoạn này thường kết hợp dữ liệu cá nhân thu thập từ các vụ rò rỉ dữ liệu, mạng xã hội và đôi khi là hối lộ nhân viên nhà mạng.

Khi đã kiểm soát được số điện thoại, kẻ tấn công có thể chặn mã xác thực dùng một lần qua SMS (SMS OTP). Nhờ đó, chúng có thể đặt lại mật khẩu email, rồi đăng nhập vào tài khoản trên sàn giao dịch của bạn và cuối cùng rút sạch tiền mã hóa. Tính không thể đảo ngược của giao dịch on-chain khiến tiền mã hóa trở thành mục tiêu lý tưởng: không giống chuyển khoản ngân hàng, giao dịch không thể bị hoàn tiền và không có quy trình giải quyết tranh chấp.

Quy mô vấn đề đã được ghi nhận và ngày càng gia tăng. Báo cáo thường niên năm 2024 của Trung tâm Tiếp nhận Khiếu nại Tội phạm Internet (IC3) thuộc FBI ghi nhận 982 khiếu nại về tráo SIM tại Hoa Kỳ, với tổng thiệt hại được báo cáo khoảng $26 million. Dịch vụ chống gian lận Cifas của Vương quốc Anh cho biết các vụ tráo SIM tăng 1,055% trong năm 2024, lên gần 3,000 vụ so với 289 vụ trong năm trước đó. Vào tháng 3 năm 2025, T-Mobile bị buộc phải trả $33 million theo phán quyết trọng tài sau khi một vụ tráo SIM khiến tiền mã hóa của một khách hàng bị đánh cắp.

Người nắm giữ tiền mã hóa thường là mục tiêu hơn: tài sản on-chain hiển thị công khai, mạng xã hội thường để lộ thông tin về tài sản đang nắm giữ, và giao dịch không thể đảo ngược nên không thể yêu cầu hoàn tiền.

Cách tự bảo vệ: Gỡ số điện thoại khỏi danh sách phương thức xác thực hai yếu tố (2FA) trên mọi sàn giao dịch, dịch vụ email và dịch vụ đám mây. Thay mã SMS OTP bằng ứng dụng xác thực TOTP (chẳng hạn Aegis hoặc Raivo) hoặc khóa bảo mật phần cứng FIDO2. Đặt mã PIN hoặc mật mã cấp tài khoản với nhà mạng di động. Dùng địa chỉ email riêng, không liên kết với tài khoản mạng xã hội, để đăng nhập sàn giao dịch. Tránh công khai việc bạn đang nắm giữ tiền mã hóa.

Thói quen giúp ngăn chặn phần lớn các cuộc tấn công: Kiểm tra trước khi xác nhận

Mọi cuộc tấn công được đề cập ở đây đều khai thác cùng một kẽ hở: khoảng cách giữa những gì bạn thấy trên màn hình và những gì thực sự được ký, gửi hoặc phê duyệt. Mục tiêu của kẻ tấn công luôn là khiến bạn xác nhận điều gì đó trước khi kiểm tra.

Cách phòng vệ áp dụng cho mọi trường hợp là dừng lại ở mỗi bước xác nhận:

1. Kiểm tra toàn bộ địa chỉ đích, từng ký tự một — không chỉ vài ký tự đầu và cuối.
2. Xác nhận đúng số tiền và tài sản trước khi ký.
3. Kiểm tra URL của trang web hoặc ứng dụng phải khớp chính xác với dấu trang của bạn.

Ví phần cứng buộc bạn duy trì thói quen này ngay từ thiết kế. Chi tiết giao dịch hiển thị trên màn hình chống can thiệp mà máy tính chủ không thể chỉnh sửa, và bạn phải nhấn nút vật lý để ký. Điều này không khiến ví phần cứng miễn nhiễm với mọi cuộc tấn công, nhưng loại bỏ toàn bộ nhóm tấn công dựa vào việc thao túng nội dung hiển thị trên màn hình đã bị xâm nhập.

Để bảo mật tài khoản, hãy thay 2FA qua SMS bằng TOTP hoặc FIDO2 trên mọi nền tảng hỗ trợ. Để bảo vệ cụm từ khôi phục: cụm từ này tuyệt đối không được xuất hiện trong tab trình duyệt, cửa sổ trò chuyện, ảnh chụp màn hình hay bản sao lưu đám mây — bất kể bất kỳ “nhân viên hỗ trợ” nào yêu cầu điều gì.

Những điểm chính cần ghi nhớ

• Lừa đảo giả mạo, phần mềm chiếm quyền clipboard, ứng dụng giả mạo và tráo SIM là những hình thức tấn công phổ biến nhất nhắm vào người tự lưu ký — không hình thức nào trong số đó cần phá vỡ mật mã học.
• Đầu độc địa chỉ chèn các địa chỉ trông giống thật vào lịch sử giao dịch của bạn; đừng bao giờ sao chép địa chỉ nhận từ lịch sử giao dịch.
• Phần mềm độc hại chiếm quyền clipboard âm thầm thay thế địa chỉ bạn sao chép; luôn kiểm tra toàn bộ địa chỉ sau khi dán trước khi xác nhận gửi.
• Ứng dụng ví giả mạo vẫn xuất hiện trên các cửa hàng chính thức mà không bị phần mềm diệt virus nào phát hiện; luôn truy cập đường dẫn tải xuống qua trang web chính thức của ví.
• 2FA qua SMS là một điểm yếu — hãy thay bằng TOTP hoặc khóa bảo mật phần cứng FIDO2 trên mọi tài khoản bảo vệ quyền truy cập vào tiền mã hóa.
• Ví phần cứng buộc bạn xác minh tại thời điểm ký và loại bỏ nhóm lớn nhất các cuộc tấn công đánh lừa bằng nội dung hiển thị trên màn hình.