Copy trade, bot trade coin: rủi ro và chiêu lừa

Bot trade coin là phần mềm tự đặt lệnh mua bán tài sản mã hóa theo quy tắc cài sẵn; copy trade là tự động sao chép lệnh của một người khác. Cả hai chỉ tự động hóa việc giao dịch, không biết trước giá và không làm rủi ro nhỏ đi. Nhiều vụ lừa đảo ở Việt Nam dùng chữ “bot” mà không có bot nào: ở vụ “3COMMAS” giả tại Khánh Hòa, kết quả xác minh cho thấy hệ thống hứa lãi “lên đến 0,7% mỗi ngày” không có hoạt động giao dịch nào, tiền lãi trả cho người trước lấy từ tiền của người sau.

Dấu hiệu cần dừng lại ngay: hứa lãi cố định theo ngày, đòi nạp tiền vào ví của bên vận hành, hoa hồng khi mời người, đòi khóa API có quyền rút tiền. Nếu đã lỡ nạp tiền: dừng nạp thêm (kể cả khi bị đòi “phí rút”), lưu mã giao dịch, địa chỉ ví và ảnh chụp nhóm chat, rồi trình báo công an nơi cư trú; các bước chi tiết ở cuối bài.

Bài này giải thích cách bot và copy trade vận hành, rủi ro đã được ghi nhận, các chiêu lừa nhắm vào người Việt kèm vụ việc có nguồn, và pháp lý theo Nghị quyết 05/2025/NQ-CP, Nghị định 284/2026/NĐ-CP. Vietnambit không giới thiệu, xếp hạng hay đánh giá bot, nhóm copy trade hay nền tảng nào.

Bot trade coin và copy trade là gì?

Bot trade là chương trình đặt lệnh thay bạn theo quy tắc; copy trade là sao chép lệnh của người khác vào tài khoản của bạn theo một tỷ lệ. Ba dạng hay được quảng cáo:

Dạng	Cách chạy	Ai quyết định lệnh	Tiền nằm ở đâu
Bot theo quy tắc (lưới giá, mua định kỳ, theo chỉ báo)	Phần mềm nối vào tài khoản sàn qua khóa API, tự đặt lệnh	Quy tắc bạn hoặc nhà cung cấp cài sẵn	Tài khoản sàn của bạn
Copy trade	Nền tảng sao chép lệnh của “người dẫn” sang tài khoản bạn theo tỷ lệ vốn	Người được sao chép	Tài khoản của bạn trên nền tảng đó
“Bot”, “quỹ AI” lãi cố định	Bạn nạp tiền vào ví hoặc tài khoản của bên kia, mỗi ngày thấy lãi	Không rõ, thường không có lệnh nào	Ví của người khác

Hai dạng đầu là công cụ có thật, rủi ro nằm ở thị trường và ở quyền bạn trao cho phần mềm. Dạng thứ ba không phải công cụ giao dịch mà là một khoản gửi tiền cho người lạ kèm lời hứa lãi; đây là dạng xuất hiện trong các vụ án ở Việt Nam.

Bot và copy trade hoạt động thế nào?

Bot thường không giữ tiền của bạn mà giữ quyền đặt lệnh trên tài khoản sàn của bạn, qua một cặp khóa API. Khóa API là “chìa khóa phụ” do sàn cấp, có thể giới hạn quyền: chỉ đọc số dư, được giao dịch, hoặc được rút tiền. Ai có khóa API có quyền giao dịch là có thể đặt lệnh trên tài khoản của bạn mà không cần mật khẩu hay mã xác thực hai lớp.

Copy trade chạy ngay trên nền tảng giao dịch: bạn chọn một người, đặt số vốn, mỗi khi người đó vào lệnh thì nền tảng đặt lệnh tương ứng cho bạn. Người được sao chép thường nhận một phần lợi nhuận của người sao chép. Ba điều ít được nói:

• Kết quả của bạn khác bảng thành tích. Lệnh sao chép vào sau, khớp ở giá khác, chịu phí và phần chia lợi nhuận, nên lãi lỗ thực tế có thể lệch so với con số người dẫn khoe.
• Người dẫn hưởng lợi khi có thêm người sao chép, không nhất thiết khi người sao chép có lãi. Thành tích quá khứ có thể chỉ là một giai đoạn may mắn.
• Đòn bẩy nhân cả lỗ. Nhiều lệnh copy trade là hợp đồng phái sinh có đòn bẩy; một lệnh lỗ của người dẫn có thể đóng vị thế của bạn trước khi họ kịp xử lý.

Rủi ro có thật khi dùng bot hay copy trade

Rủi ro lớn nhất không phải bot “chạy sai”, mà là thị trường đi ngược quy tắc của bot, và khóa API bị lộ. Các rủi ro đã được ghi nhận:

Rủi ro	Ví dụ có nguồn
Bot không dự đoán được giá	CFTC cảnh báo kẻ gian lợi dụng sự quan tâm tới trí tuệ nhân tạo để quảng cáo thuật toán giao dịch tự động, và nhấn mạnh công nghệ AI không dự đoán được tương lai hay biến động bất ngờ
Lộ khóa API	Ngày 28/12/2022, giám đốc điều hành 3Commas (nền tảng bot thật) xác nhận dữ liệu bị tin tặc đăng là thật: “We saw the hacker’s message and can confirm that the data in the files is true” (Cointelegraph). Công ty đề nghị các sàn thu hồi mọi khóa API đã kết nối
Phần mềm “bot” chứa mã độc	ESET (23/7/2024) phát hiện kho mã trên GitHub giới thiệu là “bot”, công cụ tự bấm cho game Telegram nhưng thực chất chứa phần mềm đánh cắp dữ liệu Lumma Stealer
Nền tảng gom tiền khách bằng lời mời bot	CFTC nêu vụ Mirror Trading International: mời tham gia “không cần kinh nghiệm giao dịch”, thu gần 30.000 bitcoin, khoảng 1,7 tỷ USD lúc đó

Rủi ro khi đưa khóa API cho bot

Đưa khóa API cho bot là trao cho người vận hành bot (và bất kỳ ai lấy được khóa) quyền làm những việc khóa đó cho phép trên tài khoản của bạn, không cần mật khẩu hay mã xác thực hai lớp. Vì vậy điều quan trọng nhất là khóa được cấp quyền gì, và dùng được từ đâu.

Quyền của khóa API	Bot làm được gì	Kẻ gian lấy được khóa làm được gì
Chỉ đọc	Xem số dư, lịch sử lệnh	Biết bạn có bao nhiêu, dùng để nhắm lừa đảo
Giao dịch	Đặt, hủy lệnh	Mua bán bằng số dư của bạn, kể cả mua coin ít thanh khoản ở giá bị đẩy cao
Rút tiền, chuyển tài sản	Chuyển tài sản ra khỏi tài khoản	Chuyển thẳng tài sản về ví của họ

Ba điểm cần biết:

• Bot giao dịch không cần quyền rút tiền. Bot nào đòi quyền rút tiền, chuyển tài sản, hay đòi cụm từ khôi phục ví là dấu hiệu nên dừng lại.
• Chỉ có quyền giao dịch vẫn có thể mất tiền. Trong vụ lộ khóa API liên quan 3Commas từ tháng 10 đến tháng 12/2022, Cointelegraph (28/12/2022) dẫn phản ánh của người dùng rằng khóa bị lộ được dùng để giao dịch các coin vốn hóa nhỏ nhằm đẩy giá lên kiếm lời. Cách này không cần rút tiền: kẻ gian có thể dùng số dư của bạn mua coin họ đang giữ ở giá bị đẩy cao, rồi bán ra.
• Giới hạn theo địa chỉ IP (IP whitelist). Nhiều sàn cho gắn khóa API với một danh sách địa chỉ IP; lệnh gửi từ địa chỉ khác bị từ chối. Bot chạy trên máy chủ của nhà cung cấp thì bạn chỉ điền được IP do họ đưa, tức vẫn phụ thuộc vào việc máy chủ đó có bị xâm nhập hay không.

Lúc đầu, blog của 3Commas viết các khóa “were not taken from 3Commas but from outside of the 3Commas platform”, và giám đốc điều hành nói có bằng chứng lừa đảo giả mạo (phishing) “at least in some part” là nguyên nhân. Ngày 28/12/2022, sau khi tin tặc đăng một loạt khóa lên mạng, chính giám đốc điều hành xác nhận “the data in the files is true” (Cointelegraph, 28/12/2022). Tức là khóa có thể lộ từ cả hai phía: từ nhà cung cấp bot và từ người dùng bị lừa. Xem thêm cách nhận diện ở bài phishing là gì.

Nếu vẫn dùng một công cụ tự động, các thao tác giảm thiệt hại phổ biến là: tắt quyền rút tiền trên khóa API, giới hạn khóa theo địa chỉ IP nếu sàn hỗ trợ, tạo khóa riêng cho từng công cụ để thu hồi được từng cái, xóa khóa không dùng, và không nhập cụm từ khôi phục ví vào bất kỳ bot nào. Đây là việc bảo vệ tài khoản, không phải lời khuyên nên dùng bot. Các lớp bảo vệ tài khoản khác có ở bài bảo mật ví và tài khoản sàn.

Grid bot (bot lưới) là gì?

Grid bot là bot đặt sẵn một loạt lệnh mua và bán giới hạn cách đều nhau trong một khoảng giá, mua khi giá giảm chạm mức dưới và bán khi giá tăng chạm mức trên. Nó chỉ tự động hóa lệnh giới hạn, không dự đoán giá. Khi giá ra khỏi khoảng đã đặt, bot ngừng khớp lệnh: giá rơi dưới khoảng thì bạn giữ tài sản đã mua ở các mức cao hơn; giá vượt lên trên thì bot đã bán hết. Grid bot chạy trên hợp đồng có đòn bẩy còn chịu thêm rủi ro bị thanh lý.

Chiêu lừa “bot trade” nhắm vào người Việt

Mẫu chung của các vụ đã khởi tố: hứa lãi đều theo ngày, gói đầu tư tính bằng USDT, hoa hồng nhiều tầng khi mời người, cho rút ít lúc đầu, rồi khóa rút. Các vụ dưới đây là thông tin của cơ quan điều tra hoặc cáo trạng; người bị khởi tố, truy tố được coi là không có tội cho đến khi có bản án có hiệu lực pháp luật.

Vụ “3COMMAS” giả (Khánh Hòa). Theo Công an tỉnh Khánh Hòa, nhóm đối tượng dựng hệ thống mang tên một nền tảng bot quốc tế, quảng cáo “Bot Trade” thông minh có khả năng sinh lời ổn định “lên đến 0,7% mỗi ngày”, gói đầu tư từ 2.000 đến 30.000 USDT, trả hoa hồng khi giới thiệu người mới. Kết quả xác minh được 24HMoney (3/11/2025) dẫn lại cho thấy hệ thống “hoàn toàn không có bất kỳ hoạt động giao dịch hay sinh lời nào”; “tiền lãi mà các nạn nhân được nhận là lấy từ tiền của người sau chi cho người trước” (Người Lao Động). Tháng 11/2025, 5 bị can bị khởi tố, bắt tạm giam; Người Lao Động (22/5/2026) đưa tin tổng cộng 7 bị can bị khởi tố về tội lừa đảo chiếm đoạt tài sản, vụ án đang mở rộng điều tra. Đến 27/10/2026 chúng tôi chưa thấy tin truy tố hay xét xử vụ này.

Sàn giả hiện lãi ảo (Hưng Yên). Cổng thông tin Bộ Công an (1/8/2025) đăng tin Công an tỉnh Hưng Yên bắt giữ 9 đối tượng vận hành “sàn BO (sàn giả)”: tài khoản hiện lãi “gấp nhiều lần tiền gốc” nhưng chủ tài khoản “không thể rút được tiền mặt”, lượng tiền ảo giao dịch trên sàn đến thời điểm bắt giữ lên đến 100 triệu USDT (hơn 2.600 tỷ đồng theo cơ quan công an). Đọc thêm về mô hình này ở bài sàn BO là gì.

“Chuyên gia” cho lệnh, kỹ thuật can thiệp kết quả. Trong vụ lừa đảo ngoại hối, chứng khoán với 188 bị cáo, dự kiến đưa ra xét xử từ ngày 26/10/2026, VnExpress (22/10/2026) dẫn cáo buộc: nhân viên dùng kịch bản soạn sẵn mạo danh chuyên gia, nhóm chat có “chim mồi” tung hô, nạn nhân “vội vàng đặt lệnh theo chỉ dẫn”; bộ phận kỹ thuật cho thắng những lệnh đầu rồi làm tài khoản “âm nặng”, tính năng rút tiền bị vô hiệu hóa. Vụ này không phải tài sản mã hóa, nhưng cơ chế “làm theo lệnh chuyên gia” giống hệt lời mời copy trade trong các nhóm Telegram, Zalo.

Vì sao bot lãi cố định là dấu hiệu Ponzi?

Vì không thị trường nào trả lãi đều mỗi ngày, và con số hứa hẹn tự nó đã không thể duy trì. Tính với mức 0,7% mỗi ngày của vụ “3COMMAS”:

• Lãi đơn một năm: 0,7% × 365 = 255,5%.
• Nếu lãi được cộng dồn mỗi ngày: (1 + 0,007)^365 ≈ 12,76 lần vốn, tức 1.000 USDT thành khoảng 12.760 USDT sau một năm.

Một công cụ thật làm được như vậy thì không cần đi tìm vốn của người lạ qua nhóm chat và hoa hồng nhiều tầng. Cách nhận diện đầy đủ ở bài đa cấp tiền ảo, Ponzi; các chiêu lôi kéo qua nhóm chat ở bài lừa đảo qua Telegram. Chiêu “bot MEV” tự triển khai hợp đồng được giải thích ở bài về MEV.

Dấu hiệu nhận biết lời mời bot, copy trade lừa đảo

Dấu hiệu	Vì sao đáng ngờ
Hứa lãi cố định theo ngày, tuần, tháng	Giao dịch thật có lúc lỗ; lãi đều là lãi hiển thị
Phải nạp tiền vào ví hoặc tài khoản của bên vận hành	Bạn mất quyền kiểm soát tiền ngay khi chuyển
Hoa hồng khi mời người, chia theo nhiều tầng	Dòng tiền mới dùng trả cho người cũ
Cho rút ít lúc đầu, sau đó đòi “phí”, “thuế”, “nâng cấp gói” mới cho rút	Kịch bản giữ chân và moi thêm tiền
Đòi khóa API có quyền rút tiền, hoặc cụm từ khôi phục ví	Không bot giao dịch nào cần quyền đó
Mượn tên nền tảng nổi tiếng, tên miền na ná	Như vụ “3COMMAS” giả

Copy trade, bot trade có hợp pháp ở Việt Nam không?

Văn bản chưa quy định riêng về bot hay copy trade; điều chắc chắn là chỉ tổ chức được Bộ Tài chính cấp phép mới được cung cấp dịch vụ và quảng cáo, tiếp thị liên quan đến tài sản mã hóa, và tính đến 27/10/2026 chưa có tổ chức nào. Đối chiếu văn bản gốc:

• Người dùng giao dịch qua bot, copy trade. Sau 6 tháng kể từ khi tổ chức đầu tiên được cấp phép, nhà đầu tư trong nước giao dịch tài sản mã hóa không qua tổ chức được Bộ Tài chính cấp phép có thể bị xử lý (Nghị quyết 05/2025/NQ-CP Điều 7 khoản 2). Mức phạt với cá nhân có thể từ 15–25 triệu đồng (Nghị định 284/2026/NĐ-CP Điều 9 khoản 1, Điều 4 khoản 2). Mốc này chưa bắt đầu tính (mốc 6 tháng tính từ khi nào).
• Người cung cấp “dịch vụ bot”, “quỹ copy trade”. Cung cấp dịch vụ liên quan đến tài sản mã hóa khi chưa được cấp phép có thể bị phạt 180–200 triệu đồng với tổ chức, 90–100 triệu đồng với cá nhân, và có thể bị tịch thu tang vật, phương tiện vi phạm (Nghị định 284 Điều 7 khoản 4 điểm a, khoản 5 điểm b).
• Người quảng bá, đăng link mời copy trade. Quảng cáo, tiếp thị liên quan đến tài sản mã hóa khi chưa có giấy phép có thể bị phạt cùng mức 180–200 triệu đồng với tổ chức, 90–100 triệu đồng với cá nhân (Nghị định 284 Điều 7 khoản 4 điểm b). Chi tiết ở bài quảng cáo tài sản mã hóa có bị phạt không.
• Mô hình hứa lãi để chiếm tiền. Mô hình này có thể bị xử lý hình sự, không chỉ hành chính: vụ “3COMMAS” đã bị khởi tố về tội lừa đảo chiếm đoạt tài sản (khởi tố chưa phải là bản án).

Ranh giới giữa “chia sẻ lệnh giao dịch” và “cung cấp dịch vụ”, “tiếp thị” thì văn bản chưa quy định rõ. Khi chưa có hướng dẫn, cách đọc an toàn là bám câu chữ Nghị quyết 05 Điều 4 khoản 4.

Lỡ nạp tiền vào bot lãi cố định thì làm gì?

Dừng nạp thêm ngay, kể cả khi bị đòi “phí rút”, giữ bằng chứng và trình báo công an.

1. Không nạp thêm để “mở khóa”, “nâng hạng”, “đóng thuế” trước khi rút.
2. Nếu đã cấp khóa API cho bot: vào sàn xóa khóa đó, đổi mật khẩu, kiểm tra lịch sử lệnh.
3. Lưu mã giao dịch (TxID), địa chỉ ví đã chuyển tới, tên miền, ảnh chụp nhóm chat, hợp đồng, danh sách người giới thiệu.
4. Trình báo công an nơi cư trú; các bước và mẫu đơn ở bài bị lừa tiền ảo phải làm gì.
5. Không trả tiền cho người hứa “lấy lại tiền” qua mạng: Bộ Công an đã nhiều lần cảnh báo thủ đoạn mạo danh công an, công ty luật để lừa lần hai (Báo Lào Cai, 17/4/2024).