Mã độc đánh cắp ví crypto: clipper, infostealer và app giả

Mã độc đánh cắp ví tài sản mã hóa là phần mềm độc hại lấy tài sản khỏi ví của bạn, theo ba cách chính: đổi địa chỉ ví bạn vừa sao chép thành địa chỉ của kẻ gian (clipper), gom mật khẩu, dữ liệu trình duyệt, tệp ví và ảnh chụp cụm từ khôi phục gửi đi (infostealer), hoặc giả làm app, tiện ích ví thật để bạn tự nhập cụm từ khôi phục. Các loại này lọt được vào cả kho ứng dụng chính thức: tháng 4/2026 Kaspersky báo cáo 26 app ví giả trên App Store, tháng 2/2025 Kaspersky phát hiện mã độc SparkCat trong app trên Google Play và App Store. Ngoài kho ứng dụng, Microsoft ghi nhận một clipper lây qua USB ảnh hưởng người dùng Windows từ tháng 2/2026.

Bài này tách từng loại, ghi rõ ai cảnh báo điều gì, và nêu việc cần làm khi máy đã nhiễm. Loại mã độc chỉ dùng sức máy để đào coin có bài riêng: virus đào coin (cryptojacking).

Có những loại mã độc đánh cắp ví nào?

Ba nhóm, khác nhau ở chỗ lấy gì: clipper lấy từng giao dịch, infostealer lấy dữ liệu để mở ví, app và tiện ích giả lấy cụm từ khôi phục do bạn tự nhập.

Loại	Làm gì	Bạn mất gì	Ví dụ có nguồn
Clipper	Theo dõi bộ nhớ tạm, thay địa chỉ ví bạn sao chép bằng địa chỉ kẻ gian	Khoản đang gửi	CryptoBandits (Microsoft, 2026)
Infostealer	Gom mật khẩu, cookie, tệp, ảnh có cụm từ khôi phục, gửi cho kẻ gian	Có thể cả ví	Lumma (Microsoft, 2025), SparkCat (Kaspersky, 2025)
App, tiện ích ví giả	Giả giao diện ví thật, chờ bạn nhập hoặc tạo cụm từ khôi phục	Cả ví	FakeWallet (Kaspersky, 2026), GreedyBear (Koi Security, 2025)
Virus đào coin (để so sánh)	Dùng CPU, GPU của bạn đào coin cho kẻ gian	Điện, hiệu năng máy	Xem bài cryptojacking

Nhiều mẫu làm cùng lúc nhiều việc: mẫu clipper Microsoft phân tích năm 2026 vừa đổi địa chỉ vừa lấy cụm từ khôi phục, khóa riêng và chụp màn hình.

Clipper: mã độc đổi địa chỉ ví khi bạn dán

Clipper chờ bạn sao chép một địa chỉ ví rồi thay bằng địa chỉ của kẻ gian, nên bạn tự tay gửi tiền đi mà không biết. Địa chỉ ví dài và khó nhớ nên đa số người dùng sao chép, dán rồi chỉ liếc vài ký tự đầu.

• Trên Windows, lây qua USB (Microsoft, 17/6/2026): Microsoft Threat Intelligence và Microsoft Defender Experts phát hiện một clipper ảnh hưởng người dùng từ tháng 2/2026. Mã độc đi vào qua tệp lối tắt .lnk trên USB, kiểm tra bộ nhớ tạm khoảng 500 mili giây một lần, lấy cụm từ khôi phục và khóa riêng khớp mẫu ví, thay địa chỉ ví đã sao chép và gửi ảnh chụp màn hình qua mạng Tor. Microsoft Defender nhận diện mẫu này với tên Trojan:Win32/CryptoBandits.A.
• Trên Android, lọt Google Play (ESET, 08/02/2019): ESET phát hiện clipper đầu tiên trên Google Play, giả làm MetaMask, thay địa chỉ Bitcoin hoặc Ethereum đã sao chép bằng địa chỉ của kẻ tấn công; Google đã gỡ app sau khi ESET báo.

Khác với đầu độc địa chỉ ví (kẻ gian gửi giao dịch giả để bạn chép nhầm địa chỉ trong lịch sử), clipper sửa địa chỉ ngay trên máy bạn. Cách chặn giống nhau: so đủ địa chỉ trước khi gửi, không chỉ vài ký tự đầu cuối. Với ví lạnh, so địa chỉ trên màn hình thiết bị, vì mã độc trên máy tính không sửa được nội dung thiết bị tự hiển thị.

Microsoft khuyến nghị: tắt AutoRun, AutoPlay với mọi thiết bị lưu trữ di động; chặn chạy tệp .lnk từ ổ rời; hạn chế công cụ chạy script như wscript.exe, cscript.exe khi không cần.

Infostealer: mã độc gom dữ liệu để mở ví

Infostealer lấy cắp dữ liệu lưu trên máy (mật khẩu, cookie, tệp, ảnh) rồi gửi về cho kẻ gian; nếu trong đó có cụm từ khôi phục hoặc tệp ví, kẻ gian mở được ví ở máy khác.

Ở Việt Nam, theo Hiệp hội Ngân hàng Việt Nam (đăng ngày 30/12/2024), ngày 26/12/2024 Cục Công nghệ thông tin, Ngân hàng Nhà nước có văn bản số 10558/NHNN-CNTT yêu cầu các tổ chức tín dụng, chi nhánh ngân hàng nước ngoài, Napas và các đơn vị liên quan rà soát, ngăn chặn mã độc Stealer. Chúng tôi chưa tìm thấy bản gốc văn bản trên cổng thông tin Ngân hàng Nhà nước. Theo bài của Hiệp hội, văn bản nói về tài khoản ngân hàng và ví điện tử, không riêng ví tài sản mã hóa, và mô tả cách loại mã độc này hoạt động:

• Thứ bị lấy: thông số máy và phần mềm đã cài; thông tin đăng nhập; dữ liệu trình duyệt (lịch sử, cookie, mật khẩu lưu trên trình duyệt); tệp văn bản, tài liệu trên máy.
• Đường lây chính: thư lừa đảo đính kèm link hoặc tệp độc hại; mã độc nhúng trong phần mềm không rõ nguồn gốc, không bản quyền, công cụ bẻ khóa (crack), bản vá không chính thức; khai thác lỗ hổng; thiết bị lưu trữ di động.
• Xu hướng: theo bài của Hiệp hội, văn bản nêu một số biến thể được tội phạm mạng dùng trí tuệ nhân tạo để phát triển tính năng tự gỡ bỏ, né phần mềm phòng chống mã độc.

Hai trường hợp có công bố chính thức nhắm thẳng vào tài sản mã hóa:

• Lumma Stealer (Microsoft, 21/5/2025): Microsoft mô tả Lumma “steals passwords, credit cards, bank accounts, and cryptocurrency wallets”. Từ 16/3 đến 16/5/2025, Microsoft ghi nhận hơn 394.000 máy Windows trên thế giới nhiễm Lumma; theo lệnh của tòa án Mỹ, Microsoft thu giữ, chặn khoảng 2.300 tên miền hạ tầng của mã độc này. Lumma phát tán qua thư lừa đảo nhắm mục tiêu và quảng cáo độc hại, có lúc giả danh thương hiệu lớn.
• SparkCat (Kaspersky, 05/02/2025): trojan nằm trong app trên Google Play và App Store từ ít nhất tháng 3/2024, xin quyền xem thư viện ảnh, dùng nhận dạng chữ (OCR) để tìm ảnh chụp cụm từ khôi phục rồi gửi cho kẻ gian. Kaspersky cho biết các app nhiễm trên Google Play có hơn 242.000 lượt tải. Đây là lý do không nên chụp ảnh cụm từ khôi phục.

App ví giả và tiện ích trình duyệt giả

App và tiện ích giả dựng giao diện giống ví thật, rồi lấy cụm từ khôi phục khi bạn tạo ví mới hoặc nhập ví cũ vào. Không cần khai thác lỗ hổng nào: bạn tự đưa khóa cho chúng.

• FakeWallet trên App Store (Kaspersky, 20/4/2026): 26 app giả mạo các ví như MetaMask, Ledger, Trust Wallet, TokenPocket, imToken, Bitpie, hoạt động từ ít nhất mùa thu 2025. App bề ngoài là trò chơi, máy tính, danh sách việc cần làm; khi mở thì dẫn tới trang nhái App Store, dụ người dùng cài hồ sơ nhà phát triển để cài app ví bị sửa từ ngoài App Store. Với ví nóng, app giả theo dõi màn hình tạo hoặc khôi phục ví để lấy cụm từ khôi phục; với Ledger, vốn giữ khóa trong thiết bị riêng, app giả tìm cách lừa người dùng tự nhập cụm từ, dù app Ledger thật không bao giờ hỏi. Kaspersky đã báo Apple; gần như toàn bộ app chỉ hiện ở App Store Trung Quốc, nhưng Kaspersky lưu ý mã độc không giới hạn vùng.
• GreedyBear trên kho tiện ích Firefox (BleepingComputer dẫn Koi Security, 07/8/2025): 150 tiện ích giả MetaMask, TronLink, Rabby. Kẻ gian đăng bản vô hại trước để được duyệt và gom đánh giá tốt giả, sau đó đổi tên, đổi logo và chèn mã lấy thông tin ví người dùng nhập vào; ước tính lấy khoảng 1 triệu USD. Koi Security đã báo Mozilla và các tiện ích đã bị gỡ.
• Tiện ích thật bị cài mã độc: tiện ích Trust Wallet trên Chrome bản 2.68.0 phát hành 24/12/2025 bị xâm phạm, thiệt hại ít nhất 7 triệu USD theo BleepingComputer; chi tiết ở bài Trust Wallet là gì. Trường hợp này cho thấy cài đúng kho chính thức vẫn cần theo dõi thông báo của hãng.

Ở Việt Nam, theo VTC News (19/10/2026), Cục An ninh mạng (A05, Bộ Công an) ngày 19/10/2026 khuyến cáo về thủ đoạn dùng ký tự của ngôn ngữ khác có hình dạng gần như chữ Latin để lập tên miền giả trang web chính thức; VTC nêu ví dụ chữ “α” Hy Lạp thay chữ “a”. Trang tải app ví giả cũng có thể dùng kiểu tên miền này, nên chỉ vào trang tải ví từ đường dẫn bạn đã lưu hoặc từ kho ứng dụng, không bấm link quảng cáo, link trong nhóm chat.

Kaspersky khuyên: cẩn thận khi app mở link bất ngờ; không cài hồ sơ nhà phát triển trừ khi nơi làm việc cung cấp; chỉ nhập cụm từ khôi phục trên thiết bị ví của bạn; kiểm tra tên nhà phát triển kể cả khi tải từ App Store và đối chiếu link tải trên website chính thức của ví. Cách nhận ra bản thật của từng ví có ở bài MetaMask là gì và Trust Wallet là gì.

Dấu hiệu máy đã nhiễm mã độc đánh cắp ví

Không có dấu hiệu nào chắc chắn; Kaspersky mô tả SparkCat chạy “without obvious signs of infection”. Các tình huống dưới đây là lý do để nghi ngờ và xử lý ngay.

Tình huống	Có thể là
Địa chỉ dán ra khác địa chỉ đã sao chép	Clipper
Tài sản bị rút dù bạn chưa ký giao dịch nào, ngay sau khi cài phần mềm, tiện ích lạ hoặc cắm USB lạ	Infostealer, tiện ích giả
App ví đòi nhập lại cụm từ khôi phục để “xác minh”, “đồng bộ”, “kiểm tra bảo mật”	App giả
Trên iPhone có hồ sơ nhà phát triển (VPN và quản lý thiết bị) bạn không nhớ đã cài	Cách cài app ngoài App Store của FakeWallet
Một app chẳng liên quan xin quyền đọc toàn bộ thư viện ảnh	Kiểu xin quyền của SparkCat

Nếu tài sản mất vì bạn đã ký giao dịch cấp quyền trên một trang lạ thì đó không phải mã độc mà là chiêu lấy quyền chi tiêu; xem approve token và revoke.

Máy đã nhiễm thì làm gì?

Coi mọi khóa và cụm từ khôi phục từng nằm hoặc từng được gõ trên máy đó là đã lộ: tạo ví mới trên thiết bị sạch, chuyển tài sản sang, rồi mới làm sạch máy.

1. Dùng thiết bị khác, sạch, không dùng máy nghi nhiễm để tạo ví mới.
2. Tạo ví mới với cụm từ khôi phục mới, chuyển ngay tài sản còn lại sang. Đổi mật khẩu ứng dụng ví không đủ, vì kẻ có cụm từ khôi phục mở được ví ở máy khác.
3. Đổi mật khẩu, đăng xuất phiên của email, tài khoản sàn, ngân hàng từ thiết bị sạch, bật xác thực hai lớp bằng ứng dụng thay vì tin nhắn, vì infostealer lấy cả mật khẩu và cookie trình duyệt.
4. Gỡ app, tiện ích, hồ sơ nhà phát triển lạ, quét máy bằng phần mềm diệt mã độc, cân nhắc cài lại hệ điều hành.
5. Lưu bằng chứng và trình báo công an: mã giao dịch, địa chỉ ví nhận, tên tệp, tên app đã cài, link tải. Thứ tự đầy đủ ở bài ví bị hack phải làm gì.

Cảnh giác người hứa “truy vết, lấy lại tiền” đòi phí trước: đây là kiểu lừa lần hai, xem bị lừa tiền ảo có lấy lại được không.

Phát tán mã độc đánh cắp ví bị xử lý thế nào ở Việt Nam?

Có thể bị truy cứu hình sự về tội phát tán chương trình tin học gây hại, xâm nhập trái phép hoặc chiếm đoạt tài sản qua mạng, tùy hành vi và hậu quả. Các điều luật liên quan (Bộ luật Hình sự, văn bản hợp nhất 135/VBHN-VPQH):

• Điều 286: phát tán chương trình tin học gây hại, khi thu lợi bất chính hoặc gây thiệt hại từ 50 triệu đồng hoặc làm lây nhiễm từ 50 thiết bị; khung cơ bản phạt tiền 50–200 triệu đồng, cải tạo không giam giữ đến 3 năm hoặc tù 6 tháng đến 3 năm.
• Điều 289: xâm nhập trái phép mạng máy tính, phương tiện điện tử của người khác; khung cơ bản phạt tiền 50–300 triệu đồng hoặc tù 1–5 năm.
• Điều 290: sử dụng mạng máy tính, phương tiện điện tử thực hiện hành vi chiếm đoạt tài sản. Tài sản mã hóa vẫn là tài sản theo Luật Công nghiệp công nghệ số 71/2025/QH15 Điều 46, chi tiết ở tiền ảo có phải là tài sản không.

Tội danh cụ thể do cơ quan tố tụng quyết định. Bị hại mất tài sản mã hóa vẫn tố giác được như mất tài sản khác; mẫu đơn và nơi nộp ở bài tố giác lừa đảo tiền ảo. Tổng hợp các rủi ro bảo mật khác ở bài bảo mật ví và tài khoản sàn.