Lừa đảo mã QR chiếm quyền ví crypto diễn ra thế nào?

Lừa đảo mã QR (mã vạch hai chiều mà camera điện thoại đọc được) là chiêu đưa bạn một mã trông vô hại để dẫn tới trang giả, lời mời kết nối ví hoặc địa chỉ nhận tiền của kẻ gian. Bộ Công an (18/9/2026) đã nêu đích danh thủ đoạn này: tội phạm dùng “mã độc, đường dẫn và mã QR độc hại để chiếm quyền kiểm soát tài khoản, ví tài sản mã hóa”.

Bản thân mã QR không rút được tiền. Bạn mất tài sản ở bước sau: nhập cụm từ khôi phục vào trang giả, ký một yêu cầu cấp quyền, cài ứng dụng lạ hoặc chuyển tiền tới địa chỉ trong mã.

Quét mã QR lạ có mất tiền ngay không?

Thường là không: mã QR chỉ chứa một đoạn chữ, thứ gây mất tiền là việc bạn làm sau khi mở nó. Đoạn chữ đó có thể là đường dẫn trang web, địa chỉ ví, lời mời kết nối ví hoặc đường dẫn mở thẳng vào một ứng dụng (deep link).

FBI (18/1/2022) viết rằng mã QR “không độc hại về bản chất”. Theo FBI, kẻ gian dùng mã QR để dẫn tới trang đánh cắp thông tin đăng nhập, cài mã độc vào điện thoại và chuyển hướng thanh toán. Hãng bảo mật CYFIRMA (14/4/2026) cũng nhận xét lời rao “hack ví bằng QR” là gây hiểu nhầm: mã QR chỉ là phương tiện dẫn nạn nhân tới một ứng dụng độc hại.

Vì vậy câu hỏi đúng không phải “quét có sao không” mà là “mã này mở ra cái gì, và nó xin mình làm gì”.

Năm kiểu lừa bằng mã QR nhắm vào ví và tài khoản

Kiểu	Quét xong bạn thấy gì	Bạn mất gì nếu làm theo	Ai đã ghi nhận
Trang giả xin thông tin	Trang giống ví, sàn, dịch vụ hỗ trợ	Cụm từ khôi phục, mật khẩu, mã OTP	Bộ Công an 18/9/2026; Công an TP Hà Nội 6/5/2025 (VnEconomy)
Kết nối ví, ký cấp quyền	Màn hình “gửi USDT”, “xác minh ví”, “nhận thưởng”	Quyền chi tiêu token (approve, permit)	CYFIRMA 14/4/2026
Mã QR đăng nhập hộ	Lời nhờ “quét để hỗ trợ lệnh chuyển”	Quyền điều khiển tài khoản trên ứng dụng	Bộ Công an 04/7/2024 (vụ ở Bắc Ninh)
Mã địa chỉ, thanh toán bị tráo	Địa chỉ ví hoặc tài khoản nhận lạ	Số tiền bạn chuyển	FBI 18/1/2022; Công an TP Hà Nội 6/5/2025 (VnEconomy)
Cài ứng dụng	Lời mời tải app, tệp APK	Thiết bị, dữ liệu, ví trên máy	FBI 18/1/2022; Bộ Công an 18/9/2026

Lời dụ đi kèm thường là “quét để nhận airdrop”, “quét nhận thưởng”, “quét để hoàn tiền”. Airdrop là việc dự án phát token miễn phí vào ví; các chiêu airdrop giả nói chung có ở bài airdrop giả mạo.

Mã QR dẫn tới trang giả

Đây là kiểu cũ nhất: mã QR thay cho đường dẫn lừa đảo (phishing) trong tin nhắn. Công an TP Hà Nội (6/5/2025, theo VnEconomy) gọi chiêu này là “Quishing”, ghép từ “QR code” và “phishing”. Mã được gửi qua email, tin nhắn giả danh tổ chức uy tín, in trên tài liệu giả, hoặc dán đè ở nơi công cộng.

Trang mở ra có thể xin cụm từ khôi phục để “đồng bộ ví”, “sửa lỗi”. Không ví thật nào cần cụm từ khôi phục để kết nối hay nhận tiền. Cách kiểm một tên miền giả ở bài phishing là gì.

Mã QR mở trang giả rồi xin ký cấp quyền

Kiểu nguy hiểm nhất với ví tự quản: bạn tưởng mình chuyển ít tiền, thực ra bạn ký cho kẻ gian quyền rút token. Có hai dạng ký cần nhận ra:

• Approve (giao dịch cấp quyền cho một hợp đồng được rút token của bạn, tốn phí mạng).
• Permit (chữ ký thông điệp có cùng tác dụng, không tốn phí nên trông như “đăng nhập”).

Cả hai được giải thích kỹ ở bài approve token và revoke. Bộ công cụ làm sẵn để dụ người dùng ký những yêu cầu này được gọi là drainer.

Chiến dịch CYFIRMA phân tích (14/4/2026) diễn ra như sau:

1. Kẻ gian phát mã QR qua các kênh Telegram, lồng trong ảnh chụp màn hình giao diện ví Trust Wallet bị chỉnh sửa.
2. Mã QR là một deep link của chính ví, nên ví tự mở một trang lừa đảo đặt trên tên miền phụ của một dịch vụ lưu trữ web miễn phí.
3. Trang giả giống màn hình “Send USDT” (USDT là đồng tiền ổn định neo theo USD), xin bạn chuyển sang mạng BNB Smart Chain (một mạng blockchain phí thấp).
4. Bạn tưởng gửi khoảng 1 USD, nhưng giao dịch thật là approve với hạn mức không giới hạn cho hợp đồng của kẻ gian.
5. Ví có hiện cảnh báo “Medium Risk” và nhãn “Unlimited”, nhưng theo CYFIRMA, người dùng hay bỏ qua vì đã tin các bước trước đó.

CYFIRMA đếm được ít nhất 52 thông báo giao dịch gửi về bot Telegram của kẻ gian, và thấy bộ công cụ này được rao bán như một dịch vụ. Quyền đã cấp còn nguyên tới khi bị thu hồi, nên cả số USDT nạp vào ví về sau cũng có thể bị rút.

Mã QR kết nối ví cũng hay đi qua WalletConnect (giao thức nối ví điện thoại với ứng dụng web qua mã QR). Một ứng dụng giả mạo WalletConnect trên Google Play từng dụ người dùng ký approve, thiệt hại trên 70.000 USD (Check Point, 26/9/2024). Phiên kết nối được làm gì, không được làm gì ở bài WalletConnect là gì.

Quy mô chung: theo Scam Sniffer (3/1/2026), năm 2025 có 3 vụ lừa qua chữ ký dạng permit mất từ 1 triệu USD trở lên mỗi vụ, tổng 8,72 triệu USD trên các mạng tương thích EVM.

Mã QR đăng nhập hộ kẻ gian

Kẻ gian nhờ bạn quét một mã QR “để hỗ trợ”, và ngay sau đó chiếm được tài khoản của bạn. Theo Bộ Công an (04/7/2024), Công an tỉnh Bắc Ninh khởi tố 4 bị can về hành vi lừa đảo chiếm đoạt tài sản, qua hình thức truy cập trái phép tài khoản người dùng ứng dụng Binance.

Theo bài đăng, nhóm này rao bán USDT, rồi báo người mua rằng lệnh chuyển bị lỗi. Họ yêu cầu người mua “quét vào mã QR” để “hỗ trợ cài đặt lệnh chuyển USDT thủ công”. Khi người mua làm theo, nhóm này chiếm quyền điều khiển tài khoản, rút tài sản trong ví và bán hết số USDT. Theo lời khai bước đầu, nhóm đã làm hơn 50 vụ, chiếm đoạt khoảng 10 tỷ đồng.

Bài của Bộ Công an không mô tả kỹ thuật. Theo cách đọc của VietnamBit, kịch bản này khớp với tính năng đăng nhập bằng mã QR có ở nhiều ứng dụng: thiết bị mới hiện mã, ứng dụng đã đăng nhập quét để duyệt. Quét mã đăng nhập của người khác là duyệt cho họ vào tài khoản của bạn. Các chiêu khác khi mua bán USDT ở bài lừa đảo mua bán USDT.

Mã địa chỉ hoặc mã thanh toán bị đánh tráo

Mã QR nhận tiền bị thay bằng mã của kẻ gian, bạn chuyển đúng số tiền nhưng sai người nhận. Công an TP Hà Nội (6/5/2025, theo VnEconomy) ghi nhận chiêu dán đè mã QR thanh toán ở nhà hàng, bến xe. FBI (18/1/2022) mô tả việc thay mã QR thanh toán thật bằng mã bị can thiệp, cả mã in lẫn mã gửi qua mạng.

Với tài sản mã hóa, mã QR thường chứa địa chỉ ví. Giao dịch đã xác nhận không đảo ngược được, và FBI cũng ghi rằng cơ quan thực thi pháp luật không bảo đảm lấy lại được tiền đã chuyển. Kiểu đánh tráo địa chỉ qua lịch sử giao dịch ở bài lừa đảo đầu độc địa chỉ ví.

Mã QR mời cài ứng dụng

Mã dẫn tới tệp cài đặt hoặc ứng dụng ví giả, và mã độc trong đó đọc dữ liệu ví trên máy. FBI khuyên không tải ứng dụng từ mã QR, hãy vào kho ứng dụng của điện thoại. Bộ Công an (18/9/2026) khuyến cáo không “quét mã QR hoặc cài đặt ứng dụng do các đối tượng cung cấp”. Các loại mã độc nhắm vào ví ở bài mã độc đánh cắp ví crypto.

Kiểm gì trước khi quét và trước khi ký?

Quy tắc gốc: không quét mã QR do người lạ gửi, và không ký gì mà bạn chưa đọc được loại yêu cầu. Danh sách dưới đây đi theo thứ tự bạn gặp, từ lúc nhìn thấy mã tới lúc bấm xác nhận.

Trước khi quét

1. Mã đến từ đâu? Mã gửi qua Telegram, Zalo, Facebook, nhóm đầu tư, hoặc người “hỗ trợ” tự nhắn tới: bỏ qua. Bộ Công an và CYFIRMA đều khuyên không quét mã từ nguồn không tin cậy.
2. Mã in có bị dán đè không? Với mã ở nơi công cộng, FBI khuyên xem có miếng dán chồng lên mã gốc.
3. Dùng camera có sẵn, không tải ứng dụng quét mã riêng (FBI).
4. Lời mời có quá hời không? Công an TP Hà Nội (theo VnEconomy) khuyên tránh quét mã kèm khuyến mãi quá hấp dẫn. Nhận thưởng, nhận airdrop, nhân đôi tiền mà phải quét mã là dấu hiệu lừa.

Sau khi quét, trước khi mở

5. Đọc đường dẫn camera hiện ra. FBI khuyên kiểm tra tên miền ngay sau khi quét: tên miền giả có thể chỉ sai một chữ cái. Tên miền phụ trên dịch vụ làm web miễn phí không phải trang của ví hay sàn.
6. Mã đòi mở ví hoặc ứng dụng? Deep link mở thẳng vào ví vẫn có thể dẫn tới trang của kẻ gian, như chiến dịch CYFIRMA mô tả. Thấy ví tự mở một trang lạ thì đóng lại.
7. Mã đăng nhập: chỉ quét mã đăng nhập hiện trên thiết bị của chính bạn, do chính bạn vừa mở.

Khi ví hiện màn hình kết nối hoặc ký

8. So tên miền trong màn hình kết nối với trang bạn tự gõ địa chỉ. Với ví có tích hợp Verify API của WalletConnect, tên miền bị ít nhất một nhà cung cấp dữ liệu bảo mật gắn cờ sẽ bị đánh dấu là lừa đảo. Ý nghĩa các nhãn ở bài bảo mật ví và tài khoản sàn.
9. Đọc loại yêu cầu. Bạn định chuyển tiền mà ví hiện “approve”, “cấp quyền”, “spending cap”, hạn mức “Unlimited”, hoặc chữ ký có các trường spender, value, deadline: dừng lại.
10. Từ chối yêu cầu đổi mạng bất ngờ. CYFIRMA khuyên không chấp nhận đổi mạng khi không thật sự cần.
11. Xem phần mô phỏng giao dịch. Mô phỏng là bản chạy thử để ví dự đoán số dư của bạn sẽ thay đổi thế nào. MetaMask lưu ý mô phỏng chạy ngoài chuỗi có thể bị hợp đồng độc hại đánh lừa, và mô phỏng giúp cảnh báo bảo mật tốt hơn nhưng không bảo đảm phát hiện mọi mối đe dọa.
12. Không bỏ qua cảnh báo rủi ro. Trong vụ CYFIRMA phân tích, ví đã cảnh báo nhưng người dùng vẫn bấm.

Thói quen giảm thiệt hại: dùng một ví riêng, ít tiền, để kết nối ứng dụng; phần lớn tài sản để ở ví không bao giờ kết nối (CYFIRMA cũng khuyên như vậy).

Lỡ quét, lỡ ký thì làm gì?

Việc cần làm tùy vào bước bạn đã đi tới: chỉ quét, đã kết nối, đã ký, hay đã nhập cụm từ khôi phục.

Bạn đã làm gì	Việc làm ngay	Đọc thêm
Chỉ quét, chưa mở hoặc chưa nhập gì	Đóng trang, xóa tin nhắn chứa mã	Không cần thêm
Đã kết nối ví, chưa ký	Ngắt phiên kết nối trong ví	WalletConnect là gì
Đã ký approve hoặc permit	Thu hồi quyền (revoke) ngay, tốn phí mạng	Approve token và revoke
Đã nhập cụm từ khôi phục	Tạo ví mới, chuyển phần còn lại sang	Cất giữ cụm từ khôi phục
Đã quét mã đăng nhập tài khoản	Đổi mật khẩu, đăng xuất mọi thiết bị, báo hỗ trợ qua kênh chính thức	Ví bị hack phải làm gì
Đã chuyển tiền theo mã bị tráo	Giữ bằng chứng, trình báo công an	Tố giác lừa đảo tiền ảo

Ngắt kết nối không thu hồi quyền đã ký: quyền chi tiêu nằm trên blockchain cho tới khi bạn revoke. Revoke cũng không cứu được ví đã lộ cụm từ khôi phục, vì ai có cụm từ là điều khiển được ví.

Khi ví đã bị rút, MetaMask khuyên tạo ví mới trên thiết bị khác hoặc hồ sơ trình duyệt khác, chép cụm từ khôi phục mới ra chỗ an toàn. Đừng nạp thêm coin vào ví cũ để trả phí mạng, vì có thể đã có công cụ tự rút mọi khoản nạp vào (sweeper). Trình tự đầy đủ trong 30 phút đầu ở bài ví bị hack phải làm gì.

Báo cáo ở đâu?

• Mất tiền: trình báo công an nơi cư trú hoặc nơi gần nhất, hoặc gửi tố giác qua VNeID. Mang theo ảnh mã QR, đường dẫn, địa chỉ ví, mã giao dịch (txid) và tin nhắn.
• Trang giả: báo qua mục “Báo cáo thông tin giả mạo” trên tinnhiemmang.vn, chi tiết ở bài phishing là gì.
• Ứng dụng ví: MetaMask có nút báo cáo (Report an issue) ngay trong cảnh báo bảo mật, dùng khi cảnh báo giao dịch bị phân loại sai; cảnh báo sai về trang web thì MetaMask hướng dẫn liên hệ bộ phận hỗ trợ.

Cẩn thận lời mời “lấy lại tiền” sau khi bạn đăng bài kể chuyện bị lừa. Đó thường là lừa đảo lần hai, xem bài lừa đảo lấy lại tiền bị lừa.

Cơ quan nào ở Việt Nam đã cảnh báo lừa đảo mã QR?

Bộ Công an và Công an TP Hà Nội đã nhiều lần nêu mã QR độc hại trong cảnh báo, gần nhất là ngày 18/9/2026.

• Bộ Công an, 04/7/2024: đưa tin vụ ở Bắc Ninh, khuyến cáo “tuyệt đối không chuyển tiền theo mã QR hoặc kích hoạt theo hướng dẫn của người lạ”.
• Công an TP Hà Nội, theo VnEconomy 6/5/2025: cảnh báo “Quishing” gồm mã dán đè nơi công cộng, mã trong email và tin nhắn, mã in trên hàng giả, tài liệu lừa đảo.
• Công an Hà Nội, theo Báo Pháp luật Việt Nam 9/9/2026: xếp “mã QR độc hại” vào nhóm kịch bản đánh cắp dữ liệu, chiếm quyền điều khiển thiết bị trong 25 kịch bản năm 2026.
• Bộ Công an, 18/9/2026: Phó Cục trưởng Cục Cảnh sát điều tra tội phạm về tham nhũng, kinh tế, buôn lậu nêu việc dùng mã QR độc hại để chiếm quyền ví tài sản mã hóa và khuyến cáo không quét mã QR do các đối tượng cung cấp.

Các kiểu lừa đảo khác nhắm vào người dùng tài sản mã hóa được tổng hợp ở bài các kiểu lừa đảo tài sản mã hóa phổ biến.