Phantom là gì? Ví Solana có an toàn không, lỗi hay gặp

Phantom là ứng dụng ví tự quản cho tài sản mã hóa, ra đời năm 2021 cho mạng Solana và nay hỗ trợ thêm Ethereum, Bitcoin, Base, Polygon, HyperEVM. Ví giữ khóa trên thiết bị của bạn, công ty Phantom không giữ hộ; chưa có nguồn nào cho thấy hệ thống của Phantom bị xâm nhập, nhưng rất nhiều người đã mất tiền vì trang giả, app giả, tiện ích giả mang tên Phantom.

Bài này nêu ví Phantom là gì, các sự cố bảo mật có nguồn, cách nhận ra bản giả và vị trí của ví này trong quy định Việt Nam. Bài không hướng dẫn hoán đổi hay giao dịch trong ví và không khuyên dùng ví nào.

Ví Phantom là gì, của ai?

Phantom là phần mềm ví của công ty Phantom Technologies, Inc. (Mỹ), bắt đầu từ tháng 1/2021, có bản tiện ích trình duyệt và ứng dụng điện thoại. Theo trang giới thiệu chính thức (truy cập 28/10/2026):

• Tháng 7/2021 gọi vốn vòng A 9 triệu USD từ a16z, Variant, Jump Capital.
• Tháng 1/2025 gọi vốn vòng C 150 triệu USD do Sequoia Capital và Paradigm dẫn dắt, định giá 3 tỷ USD.
• Ban lãnh đạo: Brandon Millman (CEO), Francesco Agosti (CTO), Chris Kalani (CPO).
• Trang chủ ghi “Trusted by a community of 20+ million users” (tự công bố, chưa có kiểm chứng độc lập).

Tài liệu cho nhà phát triển của Phantom liệt kê các mạng: Solana, Ethereum, Bitcoin, Base, Polygon và HyperEVM, kèm ghi chú “Sui support has been deprecated” (đã ngừng hỗ trợ Sui). Vì vậy gọi Phantom là “ví Solana” chỉ đúng một phần: Solana là gốc, nhưng ví đã thành ví đa mạng như MetaMask hay Trust Wallet.

Phantom không phải sàn giao dịch: không có tài khoản nạp tiền đồng, không giữ tài sản của bạn, không “đóng băng” hay “mở khóa” ví được. Trang chủ Phantom hiện quảng bá hoán đổi, hợp đồng vĩnh cửu (perps), thị trường dự đoán và thẻ trả trước; các tính năng này do bên thứ ba cung cấp qua ví, phần pháp lý ở mục “Phantom ở Việt Nam” bên dưới.

Ví Phantom có an toàn không?

Về thiết kế, Phantom là ví tự quản: khóa riêng và cụm từ khôi phục nằm trên máy bạn, Phantom tuyên bố “We never have access” (không bao giờ truy cập được tiền của bạn). Điều đó có hai mặt: không ai lấy được tiền từ phía công ty, nhưng cũng không ai khôi phục hay hoàn giao dịch giúp bạn.

Những gì Phantom tự công bố trên trang bảo mật (truy cập 28/10/2026):

Biện pháp	Nội dung tự công bố
Kiểm toán mã	Mã được các công ty kiểm toán phần mềm đánh giá, có công bố báo cáo
Thưởng tìm lỗi	Tới 50.000 USD cho lỗ hổng có thể làm mất tiền người dùng
Phát hiện lừa đảo	Cảnh báo giao dịch độc hại trước khi ký
Danh sách chặn	Danh sách trang lừa đảo mã nguồn mở
Ví phần cứng	Kết nối được với Ledger

Các biện pháp này giảm rủi ro chứ không loại bỏ nó. Rủi ro lớn nhất với ví tự quản vẫn nằm ở phía người dùng: lộ cụm từ khôi phục, cài bản giả, ký giao dịch cấp quyền cho trang lạ. Phantom ghi rõ trên trung tâm hỗ trợ: “Phantom Support will never DM you or ask you for your recovery phrase” (bộ phận hỗ trợ không bao giờ nhắn tin trước hay hỏi cụm từ khôi phục).

Phantom từng bị hack chưa? Các sự cố có nguồn

Chưa có nguồn nào xác nhận máy chủ hay mã của Phantom bị xâm nhập làm mất tiền người dùng; các vụ mất tiền được ghi nhận đều đến từ bản giả, trang giả hoặc ví khác. Bảng dưới chỉ gồm sự cố có nguồn:

Thời điểm	Chuyện gì xảy ra	Nguồn
11/2021	Quảng cáo Google đưa trang giả (vd phanton.app) lên trên trang thật khi tìm “Phantom”; cả chiến dịch lấy ít nhất 500.000 USD	Check Point Research
6/2022	Lỗi Demonic: trình duyệt lưu cụm từ khôi phục gõ vào ô nhập xuống ổ đĩa không mã hóa; Halborn phối hợp với MetaMask, Phantom, Brave, xDefi để khắc phục	Halborn, NVD
8/2022	Khoảng 8.000 ví Slope và Phantom trên điện thoại bị rút 4,5–8 triệu USD; Phantom cho rằng nguyên nhân liên quan việc nhập ví sang, từ ví Slope	The Register
10/2022	NFT giả “cập nhật bảo mật Phantom” gửi vào ví, dẫn tới trang tải mã độc đánh cắp mật khẩu, ví	BleepingComputer
6/2024	App giả “Phantom” trên App Store (nhà phát hành Meta Voxify, mục Education) rút sạch tài sản khi người dùng nhập khóa để khôi phục	CryptoSlate
2/2025	Trang độc hại kết nối ví thật, hiện yêu cầu ký “update extension” giả rồi khung giả đòi cụm từ khôi phục	Scam Sniffer qua Cointelegraph
7/2025	Hơn 40 tiện ích Firefox giả mạo ví (có Phantom, MetaMask, Trust Wallet…) gửi cụm từ khôi phục về máy chủ kẻ gian	Koi Security qua Decrypt

Cập nhật 28/10/2026. Về vụ Slope, Solana Foundation cùng thời điểm nói các địa chỉ bị ảnh hưởng “at one point created, imported, or used in Slope mobile wallet applications” (từng tạo, nhập hoặc dùng trong ứng dụng ví Slope). Bài học chung: một cụm từ khôi phục từng nhập vào ứng dụng có lỗi là đã có thể lộ, dù ví bạn dùng hằng ngày không có lỗi.

Phân biệt ví Phantom thật và bản giả

Cách chắc nhất là đi từ tên miền chính thức phantom.com, không đi từ quảng cáo, kết quả tìm kiếm có trả tiền hay link người khác gửi. Tên miền cũ phantom.app hiện chuyển hướng về phantom.com (kiểm 28/10/2026); các biến thể như phanton.app, phantom-wallet, phantomapp đều không phải trang chính thức.

Kiểm gì	Bản thật	Dấu hiệu bản giả
Tên miền	phantom.com	Thêm chữ, sai chính tả, đuôi lạ, trang trên blogspot, pages.dev
App iOS	Nhà phát hành “Phantom Technologies Incorporated”, mục Finance	Nhà phát hành khác, mục Education, đánh giá 1 sao
Tiện ích trình duyệt	Trang tải chính thức liệt kê Chrome, Brave, Edge	Tiện ích Firefox mang tên Phantom, nhà phát hành lạ, đánh giá ảo
Cửa sổ ví	Địa chỉ bắt đầu bằng chrome-extension://, thu nhỏ, kéo giãn được	Khung nằm cứng trong tab, chặn chuột phải
Hỗ trợ	Chỉ trong app: Settings, Help & Support	Tài khoản nhắn tin trước qua Telegram, X, Discord

Hai dấu hiệu về cửa sổ ví là khuyến cáo của Scam Sniffer, đơn vị theo dõi lừa đảo Web3 (Cointelegraph, 07/02/2025). Phantom thật không bao giờ cần bạn gõ lại cụm từ khôi phục để “cập nhật”, “xác minh” hay “đồng bộ”; khung nào đòi điều đó là giả. Cách nhận diện trang giả nói chung có ở bài phishing là gì; các loại mã độc nhắm ví như tiện ích giả, phần mềm đánh cắp ở bài mã độc đánh cắp ví crypto.

Các kịch bản lừa đảo hay mượn tên Phantom

Phần lớn kịch bản không cần hack gì cả, chỉ cần bạn tự đưa cụm từ khôi phục hoặc tự ký giao dịch. Những kiểu đã được ghi nhận:

• “Hỗ trợ Phantom” nhắn tin trước: tự xưng nhân viên, gửi link “khắc phục lỗi ví”, đòi cụm từ khôi phục. Phantom nói hỗ trợ không bao giờ nhắn tin trước.
• Token, NFT lạ trong ví: tên kèm chữ “Airdrop”, “Rewards”, “Upgrade”, “Gift” và một đường dẫn. Phantom khuyên coi mọi tài sản không mời mà đến là lừa đảo và không bấm link trong đó.
• Quảng cáo, bài đăng airdrop giả: Phantom khuyên không vào ứng dụng hay airdrop từ quảng cáo Google, bài đăng, tin nhắn.
• Yêu cầu ký giao dịch lạ: trang độc hại xin quyền chi tiêu hoặc chuyển tài sản. Cách thu hồi quyền đã cấp ở bài approve token và revoke.
• Ứng dụng tên “Phantom” trong vụ lừa đầu tư vàng ảo ở Cần Thơ: ngày 10/10/2026 Công an TP Cần Thơ cho biết đã khởi tố 24 bị can trong đường dây đặt tại Campuchia, hướng dẫn người tham gia “tải ứng dụng Phantom”, tạo tài khoản rồi chuyển tiền vào “sàn giao dịch vàng ảo”; bước đầu xác định 4 bị hại với hơn 26,5 tỷ đồng (Tiền Phong). Bài báo không nêu ứng dụng đó có phải ví Phantom của Phantom Technologies hay không. Dù là ứng dụng nào, điểm cần nhớ: ví tự quản không có tài khoản đăng nhập để nạp tiền đồng, không có “sàn vàng”; ai bảo bạn chuyển tiền vào “tài khoản Phantom” để đầu tư là đang lừa.

Sau khi mất tiền, kịch bản “lừa đảo lần hai” rất phổ biến: kẻ gian giả luật sư, giả cơ quan chức năng hứa lấy lại tiền rồi đòi thêm phí, đúng như vụ ở Cần Thơ. Nếu ví đã bị rút, xem ví bị hack phải làm gì.

Phantom ở Việt Nam: dùng có vi phạm không?

Phantom không phải tổ chức được Bộ Tài chính cấp phép, và Nghị quyết 05, Nghị định 284 không nói riêng về phần mềm ví tự quản; giữ tài sản trong ví không bị cấm, còn mua bán, hoán đổi trong ví là giao dịch không qua tổ chức được cấp phép. Các điều khoản liên quan:

• Nghị quyết 05/2025/NQ-CP Điều 7 khoản 2: sau 6 tháng kể từ khi tổ chức đầu tiên được cấp phép, nhà đầu tư trong nước giao dịch tài sản mã hóa không thông qua tổ chức cung cấp dịch vụ do Bộ Tài chính cấp phép sẽ bị xử lý. Cá nhân có thể bị phạt 15–25 triệu đồng (Nghị định 284/2026/NĐ-CP Điều 9 khoản 1, Điều 4 khoản 2).
• Giữ tài sản trong ví tự quản: văn bản không cấm nắm giữ và không buộc chuyển tài sản về sàn trong nước.
• Hoán đổi, hợp đồng vĩnh cửu, thị trường dự đoán trong ví: đều là giao dịch không thông qua tổ chức được cấp phép. Tính đến 29/10/2026 chưa có giấy phép nào nên mốc 6 tháng chưa bắt đầu; khi mốc bắt đầu, các hành vi này nằm trong phạm vi bị xử lý. Riêng thị trường dự đoán còn có câu hỏi về cá cược, xem Polymarket có hợp pháp không.
• Đổi ra tiền đồng: Nghị quyết 05 yêu cầu giao dịch, thanh toán bằng Đồng Việt Nam (Điều 4 khoản 7) qua tổ chức được cấp phép (Điều 7 khoản 3). Ví Phantom không có kênh rút về ngân hàng Việt Nam.
• Bồi thường: Nghị quyết 05 Điều 15 khoản 2 điểm m buộc tổ chức được cấp phép bồi thường khi nhà đầu tư mất tài sản do hệ thống bị xâm nhập hoặc bị lừa đảo. Ví tự quản không có bên nào chịu nghĩa vụ này.

Danh sách tổ chức đang xin phép và tình trạng hồ sơ ở trang sàn tài sản mã hóa được cấp phép.

Phantom, MetaMask, Trust Wallet khác nhau thế nào?

Không khác về bản chất: cả ba là ví tự quản, bạn giữ cụm từ khôi phục, nhà phát triển không khôi phục ví hộ được. Khác ở đơn vị đứng sau và mạng gốc:

	Phantom	MetaMask	Trust Wallet
Đơn vị đứng sau	Phantom Technologies (Mỹ)	Consensys (Mỹ)	Binance công bố mua lại 31/7/2018
Ra đời	2021	7/2016	2017
Mạng (tự công bố)	Gốc Solana, nay 6 mạng	Gốc Ethereum, “700+” mạng	“100+ blockchains”
Nền tảng	Trình duyệt, iOS, Android	Trình duyệt, iOS, Android	Trình duyệt, iOS, Android

Cập nhật 28/10/2026, theo trang chính thức của từng ví. Một cụm từ khôi phục có thể nhập vào nhiều ví, nhưng mỗi lần nhập vào một ứng dụng mới là thêm một chỗ có thể lộ, như vụ Slope năm 2022 cho thấy.

Checklist bảo mật nếu bạn đang dùng ví Phantom

Sáu việc dưới đây chặn được phần lớn kịch bản ở trên.

1. Chỉ mở trang tải từ tên miền phantom.com gõ tay hoặc đã lưu dấu trang, không bấm quảng cáo.
2. Chép cụm từ khôi phục ra giấy, cất offline; không chụp ảnh, không lưu trên đám mây, không gõ vào bất kỳ trang web nào.
3. Không nhập cụm từ khôi phục của ví đang giữ nhiều tài sản vào ứng dụng ví khác để “thử”.
4. Đọc kỹ từng yêu cầu ký; trang lạ xin quyền chi tiêu hay chuyển “tất cả” thì từ chối.
5. Bỏ qua token, NFT lạ trong ví, không bấm đường dẫn trong đó.
6. Không làm theo ai nhắn tin trước tự xưng hỗ trợ Phantom, kể cả khi họ biết địa chỉ ví của bạn.