Bảo mật tiền mã hóa: lừa đảo phổ biến, phishing, rug pull và các vụ tấn công sàn có thật

Unicorn Private Research. Đăng ngày 27 tháng 10 năm 2026.

Làm sao tự bảo vệ trước lừa đảo và tấn công tiền mã hóa? Phần lớn thiệt hại không đến từ việc mật mã bị phá mà từ sự lừa gạt: trang web giả, nhân viên hỗ trợ giả, nền tảng đầu tư giả và các phê duyệt độc hại. Các biện pháp phòng vệ cơ bản rất đơn giản: không bao giờ chia sẻ cụm từ khôi phục hay mã đăng nhập, chỉ liên hệ công ty qua địa chỉ bạn tự gõ hoặc đã lưu, dùng ứng dụng xác thực hoặc khóa phần cứng, kiểm tra mọi địa chỉ và mọi phê duyệt trước khi ký, và coi mọi lời hứa lợi nhuận cố định hoặc rất cao là dấu hiệu cảnh báo.

Quy mô của vấn đề

Trung tâm Khiếu nại Tội phạm Internet (IC3) của FBI nhận 181.565 khiếu nại liên quan đến tiền mã hóa trong năm 2025, với thiệt hại báo cáo khoảng 11,4 tỷ đô la, tăng 22% so với năm 2024; riêng lừa đảo đầu tư tiền mã hóa chiếm khoảng 7,2 tỷ đô la, và thiệt hại qua máy ATM tiền mã hóa lên tới 389 triệu đô la (báo cáo IC3 năm 2025, công bố tháng 4 năm 2026, theo bản tóm tắt của The Block). Thêm vào đó là các vụ trộm từ nền tảng: Chainalysis đếm được khoảng 2,17 tỷ đô la bị đánh cắp từ các dịch vụ tiền mã hóa chỉ trong nửa đầu năm 2025 (báo cáo giữa năm của Chainalysis, tháng 7 năm 2025).

Những chiêu lừa đảo phổ biến nhất

• Lừa đảo đầu tư: một người quen trên mạng xã hội, ứng dụng hẹn hò hay nhóm nhắn tin cho bạn xem lợi nhuận trên một nền tảng trông chuyên nghiệp, thúc bạn nạp thêm, rồi chặn rút tiền hoặc đòi phí và thuế để mở khóa. Đây là nhóm lớn nhất trong dữ liệu IC3.
• Phishing: email, SMS và kết quả tìm kiếm được tài trợ sao chép trang của sàn hoặc ví để đánh cắp thông tin đăng nhập, mã hoặc cụm từ khôi phục.
• Hỗ trợ giả: tài khoản mạng xã hội hoặc cuộc gọi giả danh bộ phận hỗ trợ, thường xuất hiện sau khi nạn nhân đặt câu hỏi công khai, đòi quyền truy cập từ xa, mã hoặc chuyển tiền sang một ví được gọi là an toàn.
• Phê duyệt độc hại và công cụ rút sạch ví: một trang web yêu cầu bạn ký giao dịch hoặc quyền cho phép một hợp đồng di chuyển token của bạn.
• Đầu độc địa chỉ: kẻ gian gửi một khoản rất nhỏ từ địa chỉ giống với địa chỉ bạn hay dùng, mong bạn sao chép nhầm từ lịch sử giao dịch.
• Rug pull: những người tạo ra token hoặc dự án thu hút tiền rồi rút thanh khoản hoặc bán số nắm giữ của họ, để lại cho người mua những token không thể bán ở mức giá có ý nghĩa.
• Quà tặng và airdrop giả: lời hứa nhân đôi số tiền bạn gửi, hoặc token đòi kết nối ví để nhận.
• Lừa đảo thu hồi: sau khi bạn bị mất tiền, có người đề nghị lấy lại tiền với điều kiện trả phí trước.

Bảo vệ tài khoản

• Dùng mật khẩu dài và riêng biệt cho mỗi sàn và cho email liên kết, lưu trong trình quản lý mật khẩu.
• Ưu tiên ứng dụng xác thực hoặc khóa bảo mật vật lý thay cho mã SMS vốn dễ bị chiếm SIM; đề nghị nhà mạng khóa chuyển mạng giữ số.
• Bật danh sách địa chỉ rút tiền được phép và mã chống phishing nếu sàn có cung cấp.
• Chỉ vào sàn bằng cách tự gõ địa chỉ hoặc từ dấu trang đã lưu, không qua quảng cáo hay liên kết nhận được.
• Cập nhật thiết bị, chỉ cài ví và tiện ích từ cửa hàng và liên kết chính thức, và gỡ các tiện ích không dùng.

Bảo vệ cụm từ khôi phục và ví tự lưu ký

• Ghi cụm từ khôi phục ngoại tuyến, trên giấy hoặc kim loại, không bao giờ chụp ảnh hay lưu lên đám mây.
• Không bao giờ nhập nó vào trang web hay biểu mẫu: ví chỉ hỏi khi bạn khôi phục trên thiết bị của chính mình.
• Kiểm tra trên màn hình thiết bị địa chỉ nhận đầy đủ, mạng và số tiền trước khi xác nhận.
• Đọc kỹ nội dung bạn ký; thu hồi các phê duyệt token cũ không còn cần.
• Giữ khối tài sản lớn trong lưu trữ lạnh hoặc cơ chế đa chữ ký, và dùng một ví nóng riêng cho chi tiêu hằng ngày.

Các vụ tấn công có thật vào sàn và ví

• Bybit, ngày 21 tháng 2 năm 2025: khoảng 1,5 tỷ đô la ether bị đánh cắp từ một ví lạnh trong lúc chuyển tiền định kỳ; ngày 26 tháng 2 năm 2025, FBI quy vụ trộm cho nhóm Triều Tiên có tên TraderTraitor (FBI IC3). Chainalysis ước tính vụ này chiếm khoảng 69% số tiền bị đánh cắp từ các dịch vụ trong nửa đầu năm 2025.
• Coinbase, tháng 5 năm 2025: tội phạm mua chuộc nhân viên hỗ trợ thuê ngoài bên ngoài nước Mỹ để lấy dữ liệu khách hàng, rồi giả danh Coinbase để lừa khách hàng chuyển tiền; công ty từ chối khoản tiền chuộc 20 triệu đô la và ước tính chi phí từ 180 đến 400 triệu đô la (mẫu 8-K nộp cho SEC, tháng 5 năm 2025). Mật khẩu và khóa riêng không bị xâm phạm.
• Trust Wallet, tháng 12 năm 2025: phiên bản 2.68 độc hại của tiện ích trình duyệt, được phát hành bằng thông tin đăng nhập cửa hàng bị lộ, đã rút khoảng 7 triệu đô la từ các ví; công ty công bố bồi hoàn (The Block, tháng 12 năm 2025).
• Ledger, tháng 6 năm 2020: vụ xâm nhập cơ sở dữ liệu thương mại điện tử làm lộ khoảng 1 triệu địa chỉ email và dữ liệu của 9.500 khách hàng, sau đó bị dùng cho thư và email lừa đảo; thiết bị và tiền không bị ảnh hưởng (Ledger, tháng 7 năm 2020).
• FTX, tháng 11 năm 2022: không phải vụ tấn công mạng mà là sự sụp đổ của một sàn giao dịch, theo đơn kiện của SEC ngày 13 tháng 12 năm 2022 đã chuyển dùng tiền của khách hàng. Điều này nhắc rằng rủi ro lưu ký bao gồm cả hành vi sai trái chứ không chỉ các vụ tấn công.

Nếu có chuyện xảy ra

Hãy hành động nhanh: chuyển số tiền còn lại sang ví mới với cụm từ khôi phục mới, đổi mật khẩu, thu hồi phê duyệt, liên hệ sàn qua kênh chính thức và trình báo công an, tại Mỹ có thể báo qua ic3.gov. Giữ lại mã băm giao dịch và ảnh chụp màn hình. Cảnh giác với bất kỳ ai liên hệ sau đó hứa lấy lại tiền để đổi lấy một khoản phí.

Bảo mật và Unicorn Club

Các quy tắc này cũng áp dụng cho mọi khoản thanh toán bằng tiền mã hóa cho đối tác: xác nhận địa chỉ qua kênh đã được kiểm chứng và, khi nghi ngờ, gửi trước một khoản thử nhỏ. Unicorn Club, câu lạc bộ dành cho nhà đầu tư được công nhận do Unicorn Private LLC tổ chức, chấp nhận BTC, ETH, USDT và USDC (ERC-20) cho các thương vụ câu lạc bộ trước IPO; hướng dẫn về cách đầu tư vào công ty trước IPO bằng tiền mã hóa mô tả cách các khoản thanh toán được xác nhận.

Câu hỏi thường gặp

Tiền mã hóa bị đánh cắp có lấy lại được không?

Đôi khi có, khi tiền đến một sàn chịu phong tỏa theo yêu cầu của cơ quan thực thi pháp luật, nhưng trong đa số trường hợp, giao dịch đã xác nhận không thể hủy. Phòng ngừa quan trọng hơn thu hồi.

Làm sao nhận ra một nền tảng đầu tư giả?

Dấu hiệu cảnh báo: lợi nhuận trông như được bảo đảm, áp lực nạp thêm, người liên hệ bạn chưa từng gặp trực tiếp, rút tiền phải trả thêm phí, và công ty không có tên trong danh bạ của bất kỳ cơ quan quản lý nào.

Chỉ cần ví phần cứng là đủ?

Ví phần cứng bảo vệ khóa riêng khỏi mã độc, nhưng không ngăn bạn tiết lộ cụm từ khôi phục hay phê duyệt một giao dịch độc hại. Nó phát huy tác dụng cùng với thói quen tốt.

Hướng dẫn liên quan

• Cách đầu tư vào công ty trước IPO bằng tiền mã hóa qua Unicorn Club
• ETF bitcoin và ether và các cách gián tiếp khác để đầu tư tiền mã hóa
• Giải thích ví tiền mã hóa: lưu ký và tự lưu ký, ví nóng và ví lạnh, cụm từ khôi phục
• Cách mua tiền mã hóa đầu tiên của bạn, từng bước một
• Thương vụ câu lạc bộ là gì? Cách các thương vụ câu lạc bộ trước IPO vận hành

Nguồn

• FBI Internet Crime Complaint Center, 2025 IC3 Report, April 2026
• The Block, FBI says crypto-related fraud losses hit record 11.4 billion dollars in 2025, April 2026
• Chainalysis, 2025 crypto crime mid-year update, July 2025
• The Record, Chainalysis: 2.17 billion dollars stolen in the first half of 2025, July 2025
• FBI IC3, public service announcement on the Bybit theft, 26 February 2025
• Coinbase Global, Form 8-K filed with the SEC, May 2025
• The Block, Trust Wallet extension incident, December 2025
• Ledger, addressing the July 2020 e-commerce and marketing data breach, July 2020
• SEC, charges against the founder of FTX, 13 December 2022