Phishing là gì? Nhận biết link, trang giả trong crypto

Phishing là kiểu lừa đảo mạo danh: kẻ gian giả làm một bên bạn tin (sàn, ví, ngân hàng, nhân viên hỗ trợ, cơ quan nhà nước) để bạn tự nhập thông tin vào trang giả, tự đọc mã OTP, hoặc tự bấm ký một giao dịch. Với tài sản mã hóa, hậu quả thường không đảo ngược được: tài sản đã chuyển đi trên chuỗi khối thì không ai hủy được giao dịch. Theo Scam Sniffer (công ty bảo mật Web3), chỉ riêng phishing rút ví trên các mạng EVM năm 2025 đã lấy 83,85 triệu USD của 106.106 nạn nhân.

Lỡ bấm link hoặc nhập thông tin rồi thì xem ngay bảng “Lỡ bấm link hoặc nhập thông tin vào trang giả thì làm gì?” bên dưới: việc cần làm tùy theo thứ bạn đã đưa ra.

Bài này tập trung vào phishing nói chung: email, tin nhắn, quảng cáo, mạng xã hội, trang giả của ví. Sàn giao dịch giả, sàn tự xưng “được cấp phép” có bài riêng: sàn tài sản mã hóa giả mạo.

Phishing là gì?

Phishing là lừa đảo bằng cách giả mạo một bên đáng tin để lấy thông tin đăng nhập, mã xác thực hoặc tiền của bạn. Tên gọi đọc giống “fishing” (câu cá): kẻ gian thả mồi hàng loạt, chờ người cắn câu. Các dạng chính:

Dạng	Mồi đến qua	Ví dụ hay gặp
Email phishing	Email	“Tài khoản của bạn bị tạm khóa do đăng nhập lạ, xác minh trong 24 giờ”
Smishing	Tin nhắn SMS, tin nhắn ứng dụng	Đường dẫn “nhận thưởng”, “cập nhật thông tin”
Vishing	Cuộc gọi	Giả nhân viên ngân hàng, nhà mạng, công an, xin đọc mã OTP
Trang web giả	Quảng cáo tìm kiếm, đường dẫn gửi kèm	Trang nhái giao diện ví, sàn, ngân hàng
Mạng xã hội	Telegram, X, Facebook, Discord	Tài khoản “hỗ trợ” tự nhắn, nhóm airdrop giả
Ứng dụng giả	Đường dẫn tải tệp, cửa hàng ứng dụng	Ví giả có tên, biểu tượng gần giống bản thật

Ở Việt Nam, đại diện Cục Cảnh sát điều tra tội phạm về tham nhũng, kinh tế, buôn lậu (C03, Bộ Công an) nêu các thủ đoạn: “lập hội nhóm Telegram giả mạo chương trình tặng thưởng (airdrop)”, “giao nhiệm vụ xem video TikTok để dụ nạn nhân cung cấp thông tin ví cá nhân”, và “xây dựng website hoặc ứng dụng giả mạo dụ người dùng truy cập các đường dẫn chứa mã độc” (Tuổi Trẻ, 5/6/2026).

Phishing trong tài sản mã hóa nhắm vào cái gì?

Ba thứ: mật khẩu kèm mã OTP của tài khoản, cụm từ khôi phục của ví tự quản, và chữ ký cấp quyền rút token. Mỗi thứ mất theo một cách khác nhau:

Kẻ gian muốn	Trang giả làm gì	Bạn mất gì
Mật khẩu và mã 2FA của tài khoản sàn, email	Trang đăng nhập nhái, hỏi cả mã OTP rồi dùng ngay	Tài khoản bị chiếm, tài sản bị rút
Cụm từ khôi phục	“Đồng bộ ví”, “xác minh ví”, “khôi phục ví bị lỗi” bằng cách nhập 12 hoặc 24 từ	Toàn bộ ví, trên mọi mạng
Chữ ký approve, permit	“Kết nối ví để nhận thưởng”, rồi bật cửa sổ ký	Những token bạn đã cấp quyền

Dạng thứ ba khó nhận ra nhất vì bạn không đưa gì cả, chỉ bấm “xác nhận”. Báo cáo năm 2025 của Scam Sniffer (3/1/2026) ghi nhận vụ lớn nhất là 6,5 triệu USD qua một chữ ký dạng permit; năm 2024 con số tổng là 494 triệu USD với 332.000 nạn nhân. Báo cáo chỉ đếm các vụ rút ví trên các mạng EVM qua trang lừa đảo, nên đây là mức tối thiểu. Phân tích theo loại chữ ký, cơ chế cấp quyền và cách thu hồi ở bài approve token và revoke.

Tấn công phi kỹ thuật (social engineering) là gì?

Tấn công phi kỹ thuật, hay social engineering, là lừa người chứ không phá máy: kẻ gian thao túng nỗi sợ, lòng tin hoặc lòng tham để chính bạn đưa ra mật khẩu, mã OTP, cụm từ khôi phục hoặc tự chuyển tài sản đi. Phishing là một dạng của nó. Viện Tiêu chuẩn và Công nghệ Mỹ (NIST) định nghĩa đây là “an attempt to trick someone into revealing information (e.g., a password) that can be used to attack systems or networks” (cố lừa ai đó tiết lộ thông tin, ví dụ mật khẩu, để tấn công hệ thống). Một định nghĩa khác của NIST nói thêm kẻ tấn công tiếp cận, gắn bó với nạn nhân để lấy sự tin cậy, nhằm lấy thông tin nhạy cảm, truy cập trái phép hoặc lừa đảo.

Vì không cần lỗi phần mềm nào, ví lạnh hay 2FA cũng không chặn được nếu bạn tự đọc mã hoặc tự bấm xác nhận. Các kịch bản hay gặp với người dùng Việt Nam:

Kịch bản	Đòn tâm lý	Ví dụ	Bài chi tiết
Giả danh công an, cơ quan thuế	Sợ hãi, quyền lực	Báo tài khoản “liên quan vụ án”, bắt chuyển tài sản sang “ví xác minh”	Giả danh công an, cơ quan thuế
Hỗ trợ viên giả	Cần được giúp	“Admin” nhắn riêng khi bạn hỏi lỗi, gửi đường dẫn “sửa ví”	Lừa đảo qua Telegram
Làm quen, yêu đương	Lòng tin xây dần	Trò chuyện nhiều tuần rồi rủ nạp tiền vào “sàn”	Lừa đảo tình cảm
Giả người nổi tiếng bằng video giả	Tin người có tiếng	Video, cuộc gọi deepfake mời đầu tư	Deepfake lừa đảo đầu tư
Mồi quà tặng	Lòng tham	Airdrop, token lạ trong ví kèm đường dẫn nhận thưởng	Airdrop giả mạo
Hứa lấy lại tiền đã mất	Hy vọng	“Chuyên gia” thu phí để truy hồi tài sản	Lừa lấy lại tiền bị lừa

Ba nguyên tắc chặn được phần lớn các kịch bản trên:

1. Bạn tự mở kênh liên lạc. Người lạ gọi, nhắn tới thì cúp máy, tự tra số hoặc trang chính thức rồi liên hệ lại.
2. Có những thứ không bên thật nào xin. Cụm từ khôi phục, khóa riêng tư, mã OTP đọc qua điện thoại. Công an tỉnh Thái Bình (Báo Công an TP.HCM, 2/6/2025) nêu cơ quan chức năng làm việc với công dân bằng “giấy mời, giấy triệu tập hợp lệ hoặc làm việc trực tiếp tại trụ sở”.
3. Bị hối thúc thì dừng. Hạn chót “trong 10 phút”, lời dọa “khóa vĩnh viễn” là để bạn không kịp hỏi ai.

Link phishing đến với bạn qua đường nào?

Phần lớn đến qua quảng cáo tìm kiếm, tin nhắn tự gửi tới và tài khoản mạo danh hỗ trợ; ít khi bạn tự gõ ra nó.

• Quảng cáo trên công cụ tìm kiếm. Check Point Research (4/11/2021) ghi nhận nhiều nhóm mua quảng cáo cho từ khóa tên ví, dẫn về tên miền nhái như phanton.app, phantonn.app (bản thật là phantom.app), ghi nhận ít nhất 500.000 USD bị đánh cắp, riêng vài ngày trước khi công bố đã mất hàng trăm nghìn USD. Ở Việt Nam, VnExpress (27/11/2021) kể một người dùng ở Hà Nội tìm “pancake”, bấm kết quả quảng cáo đứng đầu, kết nối ví và cấp quyền, mất toàn bộ tài sản; tên miền là “pancakeswop” chứ không phải “pancakeswap”. Một người khác tìm “ví metamask” gặp trang “metemask” phát tệp cài đặt .apk.
• Email, tin nhắn báo sự cố. “Tài khoản bị khóa”, “có lệnh rút chưa xác nhận”, “cập nhật KYC kẻo bị đóng băng”. Mục đích là để bạn hoảng và bấm.
• Hỗ trợ giả trên mạng xã hội. Bạn đăng hỏi lỗi trong nhóm, lập tức có “admin”, “support” nhắn riêng. MetaMask ghi rõ đội hỗ trợ của họ “never contacts you first” (không bao giờ liên hệ trước) và không xử lý yêu cầu trên mạng xã hội.
• Airdrop, nhiệm vụ, quà tặng. Nhóm Telegram giả chương trình tặng thưởng như cảnh báo của C03 ở trên; chi tiết ở bài airdrop giả mạo.
• Tài khoản thật bị chiếm. Tài khoản mạng xã hội của dự án, người có tiếng bị chiếm rồi đăng đường dẫn; Scam Sniffer nêu đây là một kênh phát tán trong năm 2025. Tài khoản quen không có nghĩa đường dẫn an toàn.

Cách kiểm một tên miền có phải trang giả không?

Đọc tên miền chính (phần ngay trước đuôi .com, .io, .vn) và so từng ký tự với tên miền bạn đã lưu từ trước; mọi dấu hiệu khác chỉ là phụ. Năm bước:

1. Đọc từ phải sang trái. Trong địa chỉ metamask.io.xac-minh-vi.com (ví dụ minh họa), tên miền thật là xac-minh-vi.com; chữ “metamask.io” ở đầu chỉ là phần trang giả tự đặt.
2. Soi ký tự na ná. Các ca thật đã ghi nhận: thay một chữ (phanton, metemask), đổi nguyên âm (pancakeswop), nhân đôi ký tự (phantonn), đổi đuôi tên miền (.pw thay cho .app theo Check Point). Chữ “rn” đứng cạnh nhau trông như “m”; số 0 trông như chữ o. Trình duyệt hiện tên miền bắt đầu bằng xn-- là tên miền có ký tự đặc biệt, cần kiểm kỹ.
3. Đừng tin ổ khóa. FBI (IC3, 10/6/2019) cảnh báo: “Do not trust a website just because it has a lock icon or https” (đừng tin một trang chỉ vì có biểu tượng ổ khóa hay https). Ổ khóa chỉ nói kết nối được mã hóa, trang giả cũng có.
4. Không vào từ quảng cáo, không vào từ đường dẫn người khác gửi. Lưu dấu trang (bookmark) cho các trang bạn dùng tiền, rồi chỉ mở từ đó. Check Point khuyến cáo chọn kết quả không phải quảng cáo và dùng địa chỉ đã biết.
5. Tra danh sách đen. Hệ thống Tín nhiệm mạng (tinnhiemmang.vn) do Trung tâm An ninh mạng quốc gia, Cục An ninh mạng vận hành có danh sách đen website lừa đảo; khi Vietnambit kiểm ngày 27/10/2026, trang ghi hơn 125.000 địa chỉ giả mạo. Không có trong danh sách chưa có nghĩa là an toàn, vì trang giả mới dựng thường chưa kịp bị đưa vào.

Với các tổ chức đang xin cấp phép sàn tài sản mã hóa ở Việt Nam, tên miền và kênh chính thức (kèm các tên miền giả đã bị chính họ cảnh báo) được tổng hợp ở trang kênh chính thức.

Tin nhắn, email phishing có dấu hiệu gì?

Hối thúc, đòi thông tin bí mật và đưa đường dẫn để bạn bấm; gặp cả ba thì gần như chắc là lừa. Danh sách kiểm:

• Tạo hạn chót: “trong 24 giờ”, “kẻo bị khóa vĩnh viễn”, “lệnh rút sẽ được xử lý sau 10 phút”.
• Xin thứ không dịch vụ thật nào xin: cụm từ khôi phục, khóa riêng tư, mã OTP qua điện thoại. MetaMask: “No legitimate MetaMask website will ever ask for your Secret Recovery Phrase.”
• Tên hiển thị đúng nhưng địa chỉ email gửi là tên miền khác.
• Đường dẫn rút gọn, mã QR, hoặc tệp đính kèm (.apk, .exe, .zip, tài liệu đòi bật macro).
• Quà quá hời: tặng token, hoàn tiền, airdrop bạn không đăng ký.
• Người lạ tự nhắn trước, xưng hỗ trợ, admin, nhân viên sàn.

Mã chống lừa đảo (anti-phishing code) là gì?

Mã chống lừa đảo (anti-phishing code) là một chuỗi ký tự do bạn tự đặt trong phần cài đặt bảo mật của tài khoản; từ đó email thật của dịch vụ (thường là email bảo mật, giao dịch; tùy dịch vụ) sẽ chèn chuỗi này, nên email tự xưng của dịch vụ mà thiếu đúng chuỗi đó thì nên coi là giả. Một số dịch vụ (sàn, ví) có tính năng này, thường nằm trong mục bảo mật của tài khoản; tên gọi và nơi hiển thị khác nhau tùy dịch vụ.

Mã chống lừa đảo giúp được	Mã chống lừa đảo không giúp được
Nhận ra email giả mạo dịch vụ gửi vào hộp thư của bạn	Trang giả bạn vào từ quảng cáo tìm kiếm hoặc đường dẫn trên mạng xã hội
Nhận ra email “khóa tài khoản”, “lệnh rút chưa xác nhận” giả	Cuộc gọi, tin nhắn Telegram, Zalo mạo danh
Nhắc bạn dừng lại kiểm trước khi bấm đường dẫn trong email	Trường hợp kẻ gian đã biết mã (bạn từng chụp màn hình, đọc cho “hỗ trợ viên”)

Cột bên phải suy ra từ cách mã hoạt động (chỉ chèn vào email dịch vụ gửi), Vietnambit chưa có nguồn độc lập xác nhận.

Cách dùng cho đúng:

• Đặt chuỗi riêng, không trùng mật khẩu, không dùng thông tin cá nhân dễ đoán. Mã này không phải mật khẩu và không dùng để đăng nhập.
• Không đưa mã cho ai, không đăng ảnh chụp email có mã. Ai xin mã này là dấu hiệu lừa đảo.
• Email có đúng mã vẫn không thay cho thói quen gõ tay tên miền: mở ứng dụng hoặc trang đã lưu dấu trang để kiểm, đừng bấm đường dẫn trong email.
• Dịch vụ không có tính năng này thì kiểm theo danh sách dấu hiệu ở trên và tên miền email gửi.

Lỡ bấm link hoặc nhập thông tin vào trang giả thì làm gì?

Làm theo thứ bạn đã đưa ra, và làm ngay: kẻ gian thường dùng thông tin trong vài phút.

Bạn đã làm gì	Việc cần làm ngay
Chỉ mở trang, chưa nhập, chưa ký gì	Đóng trang. Không tải tệp nào. Nếu đã tải và chạy tệp, coi máy đó là không sạch
Nhập mật khẩu	Vào trang thật (gõ tay tên miền) đổi mật khẩu, đăng xuất mọi phiên, kiểm 2FA và địa chỉ rút tiền có bị thêm, đổi không. Đổi cả mật khẩu email nếu dùng chung
Nhập cả mã OTP, mã 2FA	Coi như tài khoản đã bị chiếm: đổi mật khẩu, liên hệ hỗ trợ qua kênh chính thức trong ứng dụng để khóa tạm tài khoản
Nhập cụm từ khôi phục	Tạo ví mới bằng cụm từ mới trên thiết bị sạch, chuyển ngay phần tài sản còn lại sang; bỏ hẳn ví cũ. Xem ví bị hack phải làm gì
Bấm ký, kết nối ví, cấp quyền	Kiểm và thu hồi quyền đã cấp; xem approve token và revoke
Đã chuyển tiền, tài sản	Báo ngân hàng nếu là tiền đồng, giữ bằng chứng, trình báo công an; xem bị lừa tiền ảo làm gì

Cẩn thận lừa lần hai. Tháng 4/2024, Trung tâm Giám sát an toàn không gian mạng quốc gia (NCSC, khi đó thuộc Bộ Thông tin và Truyền thông) cảnh báo trang policeonline.club mạo danh chính trung tâm này, quảng cáo giúp lấy lại tiền bị lừa với “tỷ lệ thành công 99,9%” (Cổng TTĐT Bộ Khoa học và Công nghệ đăng lại, 11/4/2024). Tài sản đã chuyển trên chuỗi khối rất khó lấy lại; ai thu phí của bạn để “lấy lại” thì nên coi là lừa lần hai.

Báo cáo trang giả mạo ở Việt Nam ở đâu?

Báo trang giả cho hệ thống Tín nhiệm mạng; báo cuộc gọi, tin nhắn lừa đảo qua tổng đài 156/5656; mất tiền thì trình báo công an. Chi tiết (kiểm 27/10/2026):

Kênh	Dùng để	Ghi chú
tinnhiemmang.vn, mục “Báo cáo thông tin giả mạo”	Báo website, tài khoản mạng xã hội mạo danh tổ chức; có biểu mẫu riêng báo tài khoản ngân hàng nhận tiền lừa đảo	Do Trung tâm An ninh mạng quốc gia, Cục An ninh mạng vận hành
Tổng đài 156/5656	Phản ánh cuộc gọi, tin nhắn lừa đảo	Tuần 23–29/12/2024 có 6.909 phản ánh qua kênh này (Cục An toàn thông tin, VietnamPlus đăng 3/1/2025); Vietnambit chưa tìm được xác nhận mới hơn
Cơ quan công an nơi cư trú hoặc nơi gần nhất	Trình báo khi đã mất tiền, tài sản	Mang theo đường dẫn, ảnh chụp, địa chỉ ví, mã giao dịch

Nên báo thêm cho chính dịch vụ bị mạo danh (ví, sàn, ngân hàng) qua kênh hỗ trợ trong ứng dụng của họ; họ có thể đề nghị chặn tên miền giả và cảnh báo người dùng khác.

Ở Việt Nam, phishing tài sản mã hóa bị xử lý thế nào?

Bộ luật Hình sự không có tội danh riêng cho phishing hay cho tài sản mã hóa; các vụ chiếm đoạt qua mạng được xem xét theo các tội chiếm đoạt tài sản hiện có. Hai điều thường được nêu (Văn bản hợp nhất 135/VBHN-VPQH):

• Điều 174 (lừa đảo chiếm đoạt tài sản): “bằng thủ đoạn gian dối chiếm đoạt tài sản của người khác”, khung cao nhất có thể bị phạt tù 12–20 năm hoặc chung thân khi chiếm đoạt từ 500.000.000 đồng.
• Điều 290 (sử dụng mạng máy tính, mạng viễn thông, phương tiện điện tử thực hiện hành vi chiếm đoạt tài sản), áp dụng khi hành vi không thuộc Điều 173, Điều 174; khoản 1 điểm c: “Truy cập bất hợp pháp vào tài khoản của cơ quan, tổ chức, cá nhân nhằm chiếm đoạt tài sản”.

Một vụ cụ thể thuộc tội nào do cơ quan tiến hành tố tụng quyết định; Vietnambit không kết luận thay. Điều thực tế hơn với người bị hại: tài sản đã rời ví thì rất khó lấy lại, nên phòng vẫn hơn chữa. Xem thêm các kiểu lừa đảo tài sản mã hóa phổ biến.

Khi có sàn được cấp phép, Nghị quyết 05/2025/NQ-CP Điều 15 khoản 2 điểm m buộc sàn bồi thường khi nhà đầu tư mất tiền, tài sản mã hóa “do hệ thống bảo mật mất an toàn, bị xâm nhập, bị lừa đảo”. Văn bản chưa quy định rõ trường hợp chính nhà đầu tư nhập mật khẩu, mã OTP vào trang giả thì xử lý ra sao. Tính đến 28/10/2026 chưa có tổ chức nào được cấp phép; tiến độ ở lịch cấp phép.