Giả mạo nhân viên hỗ trợ sàn, ví: nhận ra và xử lý thế nào?

Giả mạo nhân viên hỗ trợ là khi kẻ gian tự xưng bộ phận hỗ trợ của sàn hoặc ví tài sản mã hóa, chủ động liên hệ bạn trước, rồi xin thứ đủ để lấy tài sản. Đó là cụm từ khôi phục (12 hoặc 24 từ mở được ví), mã OTP (mã dùng một lần gửi qua SMS hay email), mã xác thực hai lớp 2FA, API key (cặp khóa sàn cấp để phần mềm khác truy cập tài khoản), hoặc quyền điều khiển điện thoại từ xa.

Ngày 18/9/2026, Cục C03 (Cục Cảnh sát điều tra tội phạm về tham nhũng, kinh tế, buôn lậu, Bộ Công an) nêu đúng thủ đoạn này: đối tượng “giả mạo tổ chức tài chính, sàn giao dịch, nhân viên hỗ trợ” rồi đòi “mật khẩu, mã OTP, mã xác thực hai lớp, khóa riêng tư hoặc cụm từ khôi phục ví” (Báo Đại biểu Nhân dân). Khóa riêng tư là chuỗi bí mật cho quyền chi tiêu tài sản trong ví, xem private key là gì.

Hỗ trợ thật không cần những gì từ bạn?

Bộ phận hỗ trợ thật không cần cụm từ khôi phục, OTP, mã 2FA, API key hay quyền điều khiển máy của bạn. Ai xin một trong những thứ dưới đây, dù xưng là ai, nên coi là kẻ gian.

Thứ bị xin	Kẻ gian làm được gì	Ai đã nói rõ
Cụm từ khôi phục, khóa riêng tư	Lập lại ví ở máy khác, rút sạch	MetaMask, Ledger, Walt; Cục C03
Mã OTP, mã 2FA	Đăng nhập, xác nhận lệnh rút trên sàn	Cục C03; Công an Hà Nội, Đà Nẵng
API key và secret key	Đặt lệnh, có khi rút, không cần mật khẩu	Mô tả của VietnamBit, xem bài API key sàn
Chia sẻ màn hình, cài app điều khiển từ xa	Nhìn thấy mã, tự thao tác trên máy bạn	Công an Quảng Ninh, Tây Ninh
Chuyển tài sản sang “ví an toàn”	Nhận thẳng tài sản của bạn	Mô tả của VietnamBit
Điền biểu mẫu “xác thực ví”, “đồng bộ ví”	Thu cụm từ khôi phục qua trang giả	Suy ra từ lời MetaMask, Ledger, Walt

Bảng tổng hợp ngày 31/10/2026 từ các nguồn ghi ở cuối bài; dòng API key và “ví an toàn” là mô tả của VietnamBit, chưa thấy cơ quan nào cảnh báo riêng.

Kẻ gian tiếp cận bạn qua những kênh nào?

Kẻ gian dùng mọi kênh: tin nhắn riêng, điện thoại, SMS, email, trang hỗ trợ giả và số tổng đài giả trên mạng. Điểm chung là họ liên hệ trước, hoặc dẫn bạn tới kênh của họ thay vì kênh của sàn.

• Tin nhắn riêng (DM) sau khi bạn kêu lỗi. Bạn đăng “rút tiền mãi chưa về” trên Telegram, X (Twitter cũ), Discord (ứng dụng chat theo máy chủ cộng đồng) hay nhóm Facebook. Vài phút sau có tài khoản mang tên, ảnh giống sàn nhắn riêng. Chi tiết với Telegram ở bài lừa đảo qua Telegram.
• Cuộc gọi báo tài khoản bị khóa, bị đóng băng. Người gọi biết tên bạn, đôi khi biết cả sàn bạn dùng, và giục làm ngay để “tránh mất tài sản”.
• SMS mang tên thương hiệu giả, email giả. Công an TP Hà Nội (9/9/2026) cảnh báo tin nhắn Brandname giả mạo đòi “mã OTP, mật khẩu tài khoản” với lý do “xác minh thông tin”, “nhận hoàn tiền”.
• Trang hỗ trợ giả, số tổng đài giả. Trang có ô chat “hỗ trợ trực tuyến” và nút “xác thực ví”, hoặc số điện thoại “tổng đài sàn” lấy từ quảng cáo tìm kiếm, bình luận, nhóm chat.

Quanh mốc 6 tháng sau giấy phép đầu tiên còn có biến thể “tài khoản sàn nước ngoài sắp bị khóa theo luật”, phân tích ở bài thông báo khóa tài khoản giả.

Một vụ giả hỗ trợ thường diễn ra thế nào?

Kịch bản điển hình đi qua bốn bước: bắt chuyện, tạo hoảng, xin quyền, lấy tài sản. Ví dụ dưới đây do VietnamBit soạn để minh họa, ghép từ các thủ đoạn cơ quan công an đã nêu.

1. Bạn hỏi trong nhóm cộng đồng vì sao lệnh rút bị treo. Một tài khoản tên “Hỗ trợ [tên sàn]” nhắn riêng, xin mã người dùng (UID) để “kiểm tra”.
2. “Hỗ trợ” báo tài khoản bị gắn cờ rửa tiền, phải “xác thực ví” trong 30 phút, nếu không sẽ bị đóng băng.
3. Bạn được gửi link một trang giống trang của sàn, yêu cầu nhập cụm từ khôi phục, mã OTP vừa nhận, hoặc cài một ứng dụng “hỗ trợ từ xa” để họ “xử lý giúp”.
4. Ví hoặc tài khoản bị rút sạch. Sau đó có khi còn một “bộ phận pháp lý” liên hệ đòi phí để lấy lại.

Bước 4 là chiêu lừa lần hai, xem lừa đảo lấy lại tiền bị lừa.

Cơ quan nhà nước đã cảnh báo những gì?

Từ tháng 5 đến tháng 9/2026, Bộ Công an và công an ít nhất bốn tỉnh, thành đã cảnh báo các mảnh của thủ đoạn này. Bảng dưới trích nguyên văn, kèm ngày.

Ngày	Cơ quan	Nội dung trích
18/9/2026	Cục C03, Bộ Công an	Giả mạo “sàn giao dịch, nhân viên hỗ trợ”; đòi “mã OTP, mã xác thực hai lớp, khóa riêng tư hoặc cụm từ khôi phục ví”
9/9/2026	Công an TP Hà Nội	Tin nhắn Brandname giả mạo; “phần mềm điều khiển từ xa để chiếm đoạt tài khoản mạng xã hội, tài khoản ngân hàng”
29/7/2026	Công an tỉnh Tây Ninh (CafeF đăng lại tin Đời sống và Pháp luật)	Giả “nhân viên hỗ trợ kỹ thuật”, yêu cầu “chia sẻ màn hình hoặc cấp quyền điều khiển thiết bị từ xa”
19/7/2026	Công an tỉnh Quảng Ninh	Giả “nhân viên ngân hàng hoặc đơn vị cung cấp ví điện tử”; ngân hàng, đơn vị uy tín “không bao giờ yêu cầu khách hàng chia sẻ màn hình điện thoại hoặc cung cấp thông tin bảo mật để thực hiện việc hoàn tiền”
8/5/2026	Công an TP Đà Nẵng	Giả “hỗ trợ kỹ thuật”; “không cung cấp mã OTP dưới bất kỳ hình thức nào”

Ngân hàng Nhà nước (23/1/2025) cho biết ngân hàng, trung gian thanh toán không gửi SMS, email chứa đường dẫn cho khách (trừ khi khách yêu cầu), nên tin như vậy “có thể xác định ngay là tin nhắn, thư điện tử giả mạo”. Quy tắc này dành cho ngân hàng; chúng tôi chưa thấy quy định tương tự cho sàn tài sản mã hóa.

Các cảnh báo của Tây Ninh, Quảng Ninh và Đà Nẵng nói về ngân hàng, ví điện tử, không riêng tài sản mã hóa. Cách làm giống hệt khi kẻ gian xưng là sàn.

Nhà phát triển ví nói gì về kênh hỗ trợ của họ?

Các nhà phát triển ví lớn tuyên bố công khai: không nhắn trước, không gọi điện, không hỏi cụm từ khôi phục. Đây là lời của từng hãng về chính họ, đọc ngày 31/10/2026.

• MetaMask (ví trình duyệt và điện thoại): “We will never ask for your Secret Recovery Phrase” (không bao giờ hỏi cụm từ khôi phục); “we will never DM you offering support” (không nhắn riêng để hỗ trợ); “MetaMask Support does not have a phone number” (không có số điện thoại hỗ trợ).
• Ledger (ví lạnh dạng thiết bị): “Ledger will never contact users via phone call, for any reason” và “will never send users a direct message on social media”. Hãng cũng nói Ledger và bộ phận hỗ trợ sẽ không bao giờ hỏi 24 từ khôi phục.
• Walt (tên mới của ví Wallet trong Telegram): “Walt support never messages you first and never asks for your DeFi Account recovery phrase, confirmation codes, or account access” (không bao giờ nhắn trước, không hỏi cụm từ khôi phục của DeFi Account, tức ví tự quản trong Walt, mã xác nhận hay quyền truy cập tài khoản).

Cơ quan bảo vệ người tiêu dùng Mỹ (FTC) cũng viết: công ty công nghệ thật “won’t contact you by phone, email, or text message” để báo lỗi máy, và cảnh báo bảo mật thật không bao giờ bảo bạn gọi một số điện thoại.

Kênh hỗ trợ thật trông thế nào?

Kênh thật là kênh bạn tự mở: yêu cầu hỗ trợ trong app hoặc trang chính thức, sau khi đã đăng nhập. Một vài dấu hiệu chung:

• Bạn mở app đã cài từ kho chính thức, hoặc tự gõ tên miền đã lưu, rồi vào mục hỗ trợ.
• Bạn gửi yêu cầu (ticket) và nhận mã yêu cầu. Email phản hồi chỉ đến sau đó, gắn đúng mã ấy.
• Nhân viên trả lời trong khung chat của app hay trang, không chuyển bạn sang Telegram, Zalo hay số điện thoại cá nhân.
• Không ai xin cụm từ khôi phục, OTP, mã 2FA hay quyền điều khiển máy. Lệnh khóa tài khoản, đổi mật khẩu do bạn tự bấm.

Tính đến 31/10/2026, chưa sàn nào được cấp phép. Tên miền, ứng dụng và mạng xã hội do từng hồ sơ sàn tự công bố được tổng hợp ở trang kênh chính thức, kèm tên miền giả đã bị cảnh báo. Mạo danh riêng các hồ sơ sàn trong nước có ở bài mạo danh sàn sắp được cấp phép.

Chia sẻ màn hình, app điều khiển từ xa nguy hiểm ra sao?

Cho người lạ xem hay điều khiển màn hình là đưa luôn mọi mã OTP, 2FA hiện lên máy. Theo tin CafeF đăng lại ngày 29/7/2026, Công an tỉnh Tây Ninh cho biết khi được cấp quyền, kẻ gian điều khiển gần như toàn bộ điện thoại; nhiều trường hợp còn bị yêu cầu bật quyền “Trợ năng” (Accessibility, quyền cho ứng dụng đọc màn hình và bấm thay người dùng).

Với chiêu chia sẻ màn hình, Công an tỉnh Quảng Ninh (19/7/2026) cho biết kẻ gian “chiếm quyền kiểm soát tài khoản ngân hàng để thực hiện các giao dịch chuyển tiền trái phép”.

Khuyến cáo chung của các cơ quan trên: không cài ứng dụng theo yêu cầu của người tự xưng nhân viên, chỉ cài từ App Store, Google Play, không mở tệp .apk lạ. Rủi ro của tệp cài đặt ngoài kho ở bài cài app tài sản mã hóa bằng APK.

Lỡ đưa cụm từ khôi phục, OTP hay API key thì làm gì?

Làm theo thứ bạn đã đưa, càng nhanh càng tốt; kẻ gian thường rút trong vài phút. Thứ tự dưới đây đi từ việc gấp nhất.

Đã đưa cụm từ khôi phục hoặc khóa riêng tư:

1. Tạo ví mới với cụm từ khôi phục mới, trên thiết bị sạch.
2. Chuyển ngay mọi tài sản còn lại sang ví mới. Ví cũ coi như đã mất, không dùng lại.
3. Cách cất cụm từ mới cho an toàn ở bài cất giữ cụm từ khôi phục.

Đã đưa OTP, mã 2FA hoặc mật khẩu tài khoản sàn:

1. Khóa tài khoản qua chức năng khóa khẩn cấp hoặc yêu cầu hỗ trợ trong app, trang chính thức.
2. Đổi mật khẩu sàn và email, đặt lại 2FA, đăng xuất các thiết bị lạ.
3. Kiểm danh sách địa chỉ rút đã lưu, lịch sử rút; ghi lại mã giao dịch lạ.

Đã đưa API key: vào mục quản lý API trên sàn, xóa key đó ngay, rồi kiểm lệnh lạ. Cách thu hồi chi tiết ở bài API key sàn là gì.

Đã cài app điều khiển từ xa hoặc chia sẻ màn hình: ngắt mạng, gỡ app, rồi đổi mật khẩu sàn, email, ngân hàng từ một máy khác. Thứ tự khóa máy, SIM, email, tài khoản sàn giống trường hợp mất điện thoại có cài ví và app sàn.

Sau đó giữ ảnh chụp tin nhắn, số điện thoại, tên miền, địa chỉ ví nhận và mã giao dịch, rồi trình báo công an. Trình tự trình báo ở bài bị lừa tiền ảo làm gì. Ai hứa “lấy lại tiền” có thu phí đều nên nghi là lừa lần hai.