Lừa đảo đầu độc địa chỉ ví (address poisoning)

Đầu độc địa chỉ (address poisoning) là chiêu cài một địa chỉ ví giả vào lịch sử giao dịch của bạn. Địa chỉ giả được tạo để có vài ký tự đầu và cuối giống hệt địa chỉ bạn hay chuyển tới; kẻ gian gửi vào ví bạn một khoản rất nhỏ, một giao dịch giá trị 0 hoặc một token giả để nó nằm sẵn trong lịch sử, rồi chờ lần sau bạn chép nhầm. Chiêu này không rút được gì khỏi ví bạn; bạn mất tiền khi chính bạn chuyển tới địa chỉ đó, và giao dịch đã xác nhận thì không đảo ngược được.

Quy mô không nhỏ: nghiên cứu của nhóm Đại học Carnegie Mellon (bản sửa 2/7/2025) đếm hơn 270 triệu lượt đầu độc nhắm vào khoảng 17,4 triệu địa chỉ trên Ethereum và BNB Smart Chain trong hai năm 7/2022–6/2024, với 6.633 lần lừa thành công, thiệt hại ít nhất 83,8 triệu USD. Bài địa chỉ ví là gì đã nhắc chiêu này trong một đoạn; bài này đi sâu vào cơ chế, các vụ lớn và checklist chống chép nhầm.

Address poisoning là gì?

Address poisoning là kiểu lừa đánh vào thói quen chép địa chỉ từ lịch sử giao dịch và chỉ nhìn vài ký tự đầu, cuối; nó không khai thác lỗ hổng nào của chuỗi khối hay của ví. MetaMask mô tả: kẻ tấn công gửi cho bạn “một giao dịch rất nhỏ từ một địa chỉ trông rất giống địa chỉ bạn từng dùng”, mong bạn chép nhầm. Trust Wallet viết chiêu này dựa trên giả định người dùng “sẽ không kiểm lại từng ký tự của địa chỉ”.

Hai điều kiện khiến nó hiệu quả:

• Địa chỉ dài và khó nhớ. Địa chỉ Tron dài 34 ký tự, địa chỉ Ethereum 42 ký tự. Gần như không ai đọc hết.
• Ví và trình khám phá chuỗi khối rút gọn địa chỉ. Theo VnExpress (15/1/2023), MetaMask chỉ hiện vài ký tự đầu và cuối. Hai địa chỉ khác nhau hoàn toàn ở giữa trông giống hệt khi rút gọn.

Ví dụ minh họa (không phải địa chỉ thật, chữ 0 cố ý đặt vào để chuỗi này không hợp lệ):

	Hiển thị rút gọn trong lịch sử	Địa chỉ đầy đủ
Địa chỉ người nhận thật	TQ7mK…W8fKp	TQ7mKa2Vd0hRsNcYbE9uQx3LjZtGeW8fKp
Địa chỉ đầu độc	TQ7mK…W8fKp	TQ7mKPz0Lr5TcvHqM1wDgXeA7kSnBW8fKp

Kẻ gian đầu độc địa chỉ như thế nào?

Bốn bước, chạy tự động bằng phần mềm: theo dõi giao dịch, tạo địa chỉ giống, cài vào lịch sử của bạn, rồi chờ.

1. Theo dõi. Bot quét các giao dịch mới, nhất là giao dịch stablecoin giá trị lớn, để biết ví bạn hay chuyển tới đâu.
2. Tạo địa chỉ giống (“vanity address”). Kẻ gian không thể chọn trọn một địa chỉ, nhưng tạo hàng loạt địa chỉ đến khi trùng vài ký tự đầu và cuối với địa chỉ mục tiêu. Nghiên cứu Carnegie Mellon chỉ tính các địa chỉ trùng từ 3 ký tự đầu và 4 ký tự cuối trở lên; phần lớn các nhóm tạo được địa chỉ trùng tối đa 14 ký tự, nhóm giỏi nhất trùng tới 20 ký tự. Nhóm nghiên cứu cho rằng có một nhóm dùng card đồ họa để tạo địa chỉ, và nhóm lớn nhất đã bỏ ra hơn 8 triệu USD cho các đợt tấn công.
3. Cài vào lịch sử của bạn, bằng một trong ba cách ở bảng dưới.
4. Chờ. Khi bạn mở lịch sử, thấy “TQ7mK…W8fKp” quen thuộc và bấm sao chép, tiền đi tới kẻ gian.

Cách cài	Diễn ra thế nào	Số lượt (Ethereum, BNB Smart Chain, 7/2022–6/2024)
Giao dịch giá trị 0	Gọi hàm transferFrom của chính hợp đồng token thật để ghi một lần “chuyển 0” giữa ví bạn và địa chỉ giả	147.742.203
Token giả	Tạo token đặt tên USDT, USDC, gửi từ địa chỉ giả vào ví bạn	118.367.370
Số tiền rất nhỏ	Gửi một lượng token thật rất nhỏ (thường gọi “dust”) từ địa chỉ giả	3.959.896

Tỷ lệ thành công rất thấp, khoảng 0,01% trên Ethereum theo cùng nghiên cứu. Kẻ gian bù bằng số lượng: chỉ cần một người chép nhầm một khoản lớn.

Giao dịch 0 USDT lạ trong ví là gì?

Đó gần như chắc chắn là dấu vết của chiêu đầu độc: một lần “chuyển 0 USDT” giữa ví bạn và một địa chỉ na ná địa chỉ quen, do người khác tạo ra, không cần chữ ký của bạn. Revoke.cash giải thích: hàm transferFrom chỉ kiểm số lượng chuyển có nhỏ hơn hoặc bằng hạn mức được cấp hay không; “nếu số lượng là 0 thì giao dịch luôn thành công, kể cả khi hạn mức cũng là 0”. Vì vậy giao dịch đó hiện trong lịch sử như thể chính bạn vừa gửi 0 USDT tới địa chỉ giả, và nó dùng hợp đồng USDT thật nên khó nhận ra hơn token giả.

Việc cần làm và không cần làm:

• Không mất tiền, không cần thu hồi quyền gì. Không ai có quyền với ví bạn từ giao dịch này. Bạn không cần đọc bài approve token và revoke cho trường hợp này.
• Không chép bất kỳ địa chỉ nào trong giao dịch đó. Từ giờ coi lịch sử giao dịch là nơi không đáng tin để lấy địa chỉ.
• Không bấm đường dẫn đi kèm token lạ, không kết nối ví vào trang “nhận thưởng”. Token lạ tự vào ví còn là mồi cho các chiêu khác, xem USDT flash là gì và dusting attack là gì.
• Ẩn giao dịch, token lạ nếu ví hay trình khám phá cho phép, để lần sau không bấm nhầm.

Vì sao người chuyển USDT TRC20 cũng là mục tiêu?

Vì kẻ gian nhắm vào nơi có dòng stablecoin lớn và chuyển thường xuyên, và USDT trên Tron (TRC20) là mạng USDT người Việt dùng phổ biến. Token TRC20 cũng có hàm transferFrom như ERC20 trên Ethereum, nên về nguyên lý các cách cài ở bảng trên đều áp dụng được; số liệu trong bảng chỉ đo trên Ethereum và BNB Smart Chain.

Dữ liệu về Tron hiện ít hơn Ethereum. Nghiên cứu Carnegie Mellon chỉ đo Ethereum và BNB Smart Chain; tính đến 27/10/2026, Vietnambit chưa tìm thấy thống kê hệ thống công khai nào cho Tron. Các vụ được báo cáo cho thấy chiêu này đang chạy trên Tron: CoinTurk News (27/8/2026), dẫn nhà phân tích on-chain SpecterAnalyst, đưa tin 15 người mất tổng cộng 9,4 triệu USD trong khoảng bốn tuần vào cùng một kẻ đầu độc địa chỉ trên Tron, hai vụ lớn nhất 2,5 triệu USD mỗi vụ, tài sản bị đổi nhanh sang một stablecoin khác trên Tron. Bài cũng nhận xét các tính năng cảnh báo của ví chủ yếu làm cho mạng EVM, người dùng Tron “phần lớn chưa được bảo vệ”.

Chọn mạng nào khi chuyển USDT, phí và rủi ro từng mạng: xem chọn mạng khi chuyển USDT.

Những vụ lớn nào đã xảy ra?

Vụ lớn có chi tiết công khai rõ nhất cho thấy kịch bản điển hình: người gửi chép địa chỉ từ lịch sử ngay sau một giao dịch đúng, kể cả giao dịch thử.

Thời gian	Mạng	Thiệt hại	Chi tiết	Nguồn
12/2025	Ethereum	49.999.950 USDT	Chuyển thử 50 USDT đúng địa chỉ lúc 3:06 UTC; khoảng 26 phút sau chuyển phần lớn tới địa chỉ giả trùng 5 ký tự đầu và 4 ký tự cuối; kẻ gian đổi sang DAI trong vòng 30 phút, rồi sang ETH và đưa phần lớn qua Tornado Cash	The Block (20/12/2025)
7–8/2026	Tron	9,4 triệu USD	15 nạn nhân; một kẻ đầu độc, khoảng bốn tuần, hai vụ 2,5 triệu USD	CoinTurk News (27/8/2026)
7/2022–6/2024	Ethereum, BNB Smart Chain	83,8 triệu USD	Ít nhất; 6.633 lần chuyển tiền; vụ lớn nhất trong dữ liệu khoảng 20 triệu USD trên Ethereum	Carnegie Mellon (arXiv, 2025)

Chi tiết “đổi sang DAI trong 30 phút” quan trọng: USDT có thể bị Tether đóng băng, còn khi đã đổi sang tài sản khác thì việc đóng băng USDT không còn giữ được số tiền đó. Thời gian để người bị hại phản ứng tính bằng phút.

Vì sao chuyển thử một khoản nhỏ không cứu được?

Vì đầu độc xảy ra sau giao dịch thử: bot thấy giao dịch thử của bạn, cài ngay địa chỉ giả vào lịch sử, và lần chép thứ hai mới là lần sai. Chuyển thử chỉ chứng minh địa chỉ bạn dùng lần đầu là đúng; nó không bảo đảm gì cho địa chỉ bạn dán ở lần sau. Vụ gần 50 triệu USDT ở trên là ví dụ rõ nhất.

Chuyển thử vẫn có ích để phát hiện sai mạng, sai memo, như hướng dẫn ở bài địa chỉ ví là gì. Muốn nó chống được đầu độc thì lần chuyển chính phải lấy địa chỉ từ đúng nguồn của lần thử (sổ địa chỉ, tin nhắn gốc của người nhận), không từ lịch sử, và so lại toàn bộ.

Checklist kiểm địa chỉ chống đầu độc

Mọi lần chuyển, lấy địa chỉ từ nguồn gốc, so cả đoạn giữa, và dùng sổ địa chỉ. Bảng in hoặc lưu được:

#	Việc	Đạt khi
1	Lấy địa chỉ từ nguồn gốc	Từ người nhận (tin nhắn gốc, gọi điện xác nhận), trang nạp của nơi nhận, hoặc sổ địa chỉ đã lưu; KHÔNG từ lịch sử giao dịch hay trình khám phá chuỗi khối
2	Dùng sổ địa chỉ của ví	Địa chỉ hay chuyển đã được kiểm một lần và lưu có tên; MetaMask: “Địa chỉ lưu ở đây là địa chỉ bạn đã kiểm, nên bạn không cần chép từ lịch sử”
3	So toàn bộ, không chỉ đầu và đuôi	So theo từng cụm 4–5 ký tự, có đoạn giữa; Revoke.cash: kiểm 4 ký tự đầu và cuối là không đủ
4	Đọc lại sau khi dán	Địa chỉ trong ô gửi khớp nguồn gốc; mã độc trên máy có thể thay nội dung bộ nhớ tạm
5	Xác nhận trên thiết bị nếu dùng ví phần cứng	Địa chỉ hiện trên màn hình thiết bị khớp nguồn gốc
6	Không bỏ qua cảnh báo của ví	MetaMask hiện cảnh báo chặn khi địa chỉ đích “rất giống một địa chỉ đã dùng trước đó”, và cảnh báo khi gửi tới địa chỉ mới
7	Chuyển thử đúng cách	Lần thử và lần chính lấy địa chỉ từ cùng một nguồn gốc, không từ lịch sử
8	Không vội	Người nhận hối thúc, số tiền lớn, đang di chuyển: đó là lúc dễ chép nhầm nhất

Các bước kiểm mạng, định dạng, memo cơ bản ở bài địa chỉ ví là gì; bảng này chỉ thêm phần chống đầu độc.

Lỡ chuyển nhầm vào địa chỉ đầu độc thì làm gì?

Hành động trong vài phút đầu: ghi lại giao dịch, trình báo, và đề nghị chặn dòng tiền qua các bên có khả năng đóng băng. Giao dịch không đảo ngược được và kẻ gian giữ khóa địa chỉ, nên cơ hội duy nhất là chặn tiền trước khi bị đổi, chuyển đi.

1. Lưu bằng chứng ngay: mã giao dịch, địa chỉ của bạn, địa chỉ nhận, giờ chuyển, ảnh chụp lịch sử có giao dịch đầu độc.
2. Trình báo công an nơi cư trú hoặc nơi gần nhất, mang theo bằng chứng. Cách chuẩn bị hồ sơ ở bài bị lừa tiền ảo có lấy lại được không.
3. Nếu là USDT: điều khoản dịch vụ của Tether (cập nhật 26/2/2026) cho phép Tether đóng băng token, đưa địa chỉ vào danh sách đen và hợp tác với cơ quan thực thi pháp luật. Điều khoản này dẫn kèm chính sách tiếp nhận yêu cầu của cơ quan thực thi pháp luật (Law Enforcement Requests Policy), nên trình báo càng sớm, cơ quan chức năng càng có cơ hội đề nghị đóng băng.
4. Theo dõi dòng tiền trên trình khám phá chuỗi khối và cung cấp cho cơ quan đang thụ lý, nhất là khi tiền đi tiếp vào một sàn: chỉ cơ quan có thẩm quyền mới đề nghị được sàn hay đơn vị phát hành phong tỏa.
5. Không gửi tiền cho dịch vụ “thu hồi tài sản”, không nhắn tin trả tiền chuộc cho kẻ gian. Lừa lần hai sau khi bị lừa là kịch bản phổ biến.

Nếu ví bị rút mà bạn không tự chuyển, đó không phải đầu độc địa chỉ; đọc bài ví bị hack phải làm gì.

Ở Việt Nam, có ai cảnh báo và ai chịu trách nhiệm?

Tính đến 27/10/2026, Vietnambit chưa tìm thấy cảnh báo của cơ quan nhà nước Việt Nam dùng tên “đầu độc địa chỉ”; báo chí đã mô tả chiêu này từ năm 2023 (VnExpress, 15/1/2023). Phạm vi tìm: cổng Bộ Công an, công an các tỉnh, báo lớn. Các cảnh báo hiện có của công an về tài sản mã hóa tập trung vào mua bán USDT, sàn giả, đầu tư hứa lãi, tổng hợp ở bài các kiểu lừa đảo tài sản mã hóa phổ biến.

Về trách nhiệm: chuyển từ ví tự quản tới một địa chỉ sai là giao dịch do chính bạn ký, thường không có tổ chức nào có nghĩa vụ hoàn tiền. Khung thí điểm theo Nghị quyết 05/2025/NQ-CP (đối chiếu văn bản gốc 27/10/2026) có hai điểm liên quan:

• Điều 15 khoản 2 điểm l buộc tổ chức được cấp phép lưu trữ tại Việt Nam tối thiểu 10 năm lịch sử giao dịch và thông tin người khởi tạo, người thụ hưởng, gồm “tối thiểu tên, địa chỉ, địa chỉ ví”. Vì vậy khi dòng tiền đi qua tổ chức được cấp phép, tổ chức đó có dữ liệu để đối chiếu khi cơ quan có thẩm quyền yêu cầu.
• Điều 15 khoản 2 điểm m buộc tổ chức được cấp phép giải quyết và bồi thường thiệt hại theo quy định pháp luật khi nhà đầu tư mất tiền, tài sản mã hóa “do hệ thống bảo mật mất an toàn, bị xâm nhập, bị lừa đảo”. Văn bản không nói rõ trường hợp khách tự rút nhầm tới địa chỉ đầu độc có thuộc diện này không.

Tính đến 28/10/2026 chưa có tổ chức nào được cấp phép. Tiến độ ở lịch cấp phép.