Tiện ích ví giả trên trình duyệt: nhận biết thế nào?

Tiện ích ví giả là tiện ích mở rộng (extension, phần mềm nhỏ gắn thêm vào trình duyệt) mang tên và logo của một ví tài sản mã hóa có thật. Nó chờ bạn tạo ví mới hoặc nhập ví cũ, rồi gửi cụm từ khôi phục (seed phrase, dãy 12 hoặc 24 từ mở được toàn bộ ví) về máy chủ của kẻ gian.

Kho tiện ích chính thức không chặn hết. Mozilla cho biết kho tiện ích Firefox đã phát hiện “hàng trăm” ví giả trong vài năm gần đây (30/5/2025). Năm 2020, Google gỡ 49 tiện ích giả ví khỏi Chrome Web Store sau báo cáo của MyCrypto và PhishFort.

Cách tự bảo vệ chắc nhất không nằm ở việc soi kỹ trang tiện ích, mà ở chỗ bạn đi từ đâu tới đó: mở trang chính thức của ví bằng địa chỉ tự gõ hoặc đã lưu, rồi chỉ cài tiện ích mà trang đó dẫn tới.

Tiện ích ví giả là gì, khác ví thật ở đâu?

Bề ngoài gần như giống hệt, khác ở chỗ cụm từ khôi phục bạn nhập vào bị gửi đi. Nhiều ví phổ biến như MetaMask là ví tự quản (bạn tự giữ khóa, không ai giữ hộ) chạy dưới dạng tiện ích trình duyệt.

Theo Koi Security (2/7/2025), một số tiện ích giả còn sao chép nguyên mã nguồn mở của ví thật rồi chèn thêm đoạn lấy dữ liệu. Vì vậy tiện ích giả có thể hoạt động như ví bình thường, trong khi bí mật của bạn đã nằm ở máy chủ khác.

Ví tự quản không có tổng đài khôi phục tài khoản. Ai có cụm từ khôi phục hoặc khóa riêng tư là mở được ví ở bất kỳ máy nào, nên mất cụm từ này là mất quyền với toàn bộ tài sản trong ví.

Kẻ gian đưa tiện ích giả tới bạn bằng cách nào?

Chúng làm cho tiện ích giả trông đáng tin trên chính những tín hiệu người dùng hay nhìn: tên, logo, đánh giá, thứ hạng tìm kiếm. Các báo cáo đã công bố ghi nhận năm cách chính.

• Chép tên và logo. Koi Security (2/7/2025) ghi nhận kẻ gian dùng tên và logo giống hệt ví thật như MetaMask, Trust Wallet, Phantom, Exodus, Keplr để người dùng cài nhầm. Chính sách của Chrome Web Store cấm sản phẩm tự nhận là của công ty khác, nhưng chính sách không thay được việc bạn tự kiểm.
• Thổi phồng đánh giá. Cũng theo Koi Security, nhiều tiện ích giả có hàng trăm đánh giá 5 sao giả, vượt xa số người dùng thật. Trong vụ 49 tiện ích trên Chrome năm 2020, một số tiện ích cũng có đánh giá 5 sao giả (The Register, 15/4/2020).
• Nuôi tiện ích vô hại rồi đổi ruột. Trong chiến dịch GreedyBear (Koi Security, 8/8/2025), kẻ gian đăng 5–7 tiện ích trông như công cụ thông thường (làm sạch đường dẫn, tải video YouTube) nhưng không có chức năng thật, đăng hàng chục đánh giá tốt giả, sau đó đổi tên, đổi biểu tượng thành ví và chèn mã độc, giữ nguyên lịch sử đánh giá.
• Mua quảng cáo tìm kiếm. Kẻ gian trả tiền để trang giả đứng trên kết quả thật khi bạn tìm tên ví. Cách này đã có bài riêng ở phishing là gì (phishing: lừa đảo bằng cách mạo danh dịch vụ thật).
• Gửi đường dẫn hoặc tệp cài qua tin nhắn. Bài MetaMask là gì đã nhắc không cài tệp gửi qua Zalo, Telegram.

Kiểm tra một tiện ích ví trước khi cài

Đi từ trang chính thức của ví tới kho tiện ích, không đi ngược lại. Mozilla khuyên kiểm trang web của ví xem họ có tiện ích chính thức không và chỉ dùng đúng tiện ích được trang đó dẫn tới (30/5/2025). Trang hỗ trợ MetaMask hướng dẫn cài theo cùng thứ tự: vào trang chủ, bấm nút tải, để trang đó chuyển sang kho tiện ích.

1. Tự gõ địa chỉ trang chủ của ví, hoặc mở từ dấu trang đã lưu. Bỏ qua kết quả quảng cáo (có nhãn tài trợ) trên trang tìm kiếm. Cục An ninh mạng (A05, Bộ Công an) ngày 19/10/2026 cảnh báo thủ đoạn thay chữ Latin bằng ký tự trông giống hệt, như chữ “α” Hy Lạp thay chữ “a”, để làm tên miền giả (theo VTC News cùng ngày).
2. Bấm nút tải từ trang chủ đó, để trang tự mở đúng mục trong kho tiện ích của trình duyệt bạn dùng.
3. So tên nhà phát hành với mục mà trang chủ dẫn tới, đừng tự đoán. Tên nhà phát hành không phải lúc nào cũng là tên công ty: trang hỗ trợ MetaMask ghi bản Firefox của MetaMask đăng dưới tên tài khoản cá nhân của một trong những người chủ chốt tạo ra MetaMask. Tiện ích giả có thể đặt tên nhà phát hành nghe chính thức hơn bản thật.
4. Đọc thông báo quyền trước khi xác nhận cài. Quyền (permission) là những việc trình duyệt cho phép tiện ích làm, như đọc trang web hay đọc dữ liệu bạn sao chép. Phần dưới bảng giải thích quyền nào đáng chú ý.
5. Bật Bảo vệ nâng cao của Chrome (Enhanced protection). Theo trang trợ giúp của Google, khi bật chế độ này, Chrome cảnh báo nếu tiện ích bạn sắp cài chưa được tin cậy. Nhà phát triển mới thường mất vài tháng mới đạt mức tin cậy.
6. Không bao giờ nhập cụm từ khôi phục của ví đang có tiền vào tiện ích bạn chưa kiểm xong các bước trên. Muốn thử một ví mới, tạo ví trống trước.

Các tín hiệu trên trang tiện ích giúp loại bớt hàng giả lộ liễu, nhưng không tín hiệu nào đủ để tin một mình:

Tín hiệu	Vì sao không đủ	Kiểm thêm gì
Đánh giá 5 sao	Có thể mua hoặc tự viết, giữ lại khi đổi ruột tiện ích	Đọc đánh giá thấp mới nhất, chú ý báo mất tiền
Số lượt cài	Kẻ gian có thể nuôi số này từ tiện ích vô hại	Có được trang chủ của ví dẫn tới không
Tên, logo	Chép được y hệt	Đường dẫn đi từ trang chủ chính thức
Huy hiệu Established Publisher	Gắn với nhà phát hành, không bảo đảm từng bản cập nhật	Theo dõi thông báo chính thức của ví
Tên nhà phát hành	Bản thật có thể đăng dưới tên cá nhân	So với mục trang chủ dẫn tới

Huy hiệu Established Publisher trên Chrome Web Store được cấp tự động cho nhà phát hành đã xác minh danh tính và có lịch sử tuân thủ chính sách tốt, theo Google. Cũng theo trang này, gần 75% tiện ích trên kho đạt điều kiện đó (trang cập nhật 21/3/2022), nên huy hiệu không phải dấu hiệu hiếm.

Quyền nào của tiện ích đáng để ý?

Ví thật cũng cần quyền rộng, nên quyền chỉ giúp bạn nhận ra tiện ích không phải ví mà xin quyền như ví. Mỗi quyền hiện một dòng cảnh báo trong thông báo quyền khi cài, theo danh sách quyền của Chrome. Câu chữ trên Chrome tiếng Việt có thể khác, dưới đây là nghĩa kèm nguyên văn bản tiếng Anh:

• Quyền đọc và thay đổi dữ liệu trên mọi trang web (cảnh báo bản tiếng Anh: “Read and change all your data on all websites”): tiện ích đọc và sửa được mọi trang bạn mở, kể cả trang đăng nhập sàn.
• Quyền đọc dữ liệu bạn sao chép (clipboardRead, cảnh báo bản tiếng Anh: “Read data you copy and paste”): tiện ích đọc được nội dung bạn vừa sao chép, như địa chỉ ví.

Một tiện ích tải video hay làm sạch đường dẫn mà xin các quyền trên là điều nên dừng lại. Khi một tiện ích đã cài cập nhật và xin thêm quyền có cảnh báo, Chrome tạm tắt tiện ích cho tới khi bạn đồng ý, theo hướng dẫn cho nhà phát triển của Chrome. Đừng bấm đồng ý theo phản xạ.

Với tiện ích đã cài, bạn có thể giới hạn quyền đọc trang: vào Quản lý tiện ích, chọn Chi tiết, đổi quyền truy cập trang web sang Khi chọn hoặc Trên các trang web cụ thể (tên mục theo trang trợ giúp tiếng Việt của Chrome Web Store, có thể khác theo phiên bản).

Tiện ích giả lấy tài sản thế nào?

Phần lớn chờ bạn gõ cụm từ khôi phục hoặc mật khẩu vào ô nhập, rồi gửi ngay về máy chủ của kẻ gian. Koi Security mô tả tiện ích trong chiến dịch GreedyBear lấy thông tin ví trực tiếp từ ô nhập trong cửa sổ của chính tiện ích, đồng thời gửi địa chỉ IP của nạn nhân về máy chủ.

Lúc bạn bấm “Tạo ví mới” trong tiện ích giả, cụm từ hiện ra cũng có thể đã bị ghi lại. Mọi tài sản nạp vào ví đó sau này đều nằm trong tầm tay kẻ gian.

Mozilla mô tả hậu quả khi người dùng nhập khóa riêng tư vào tiện ích ví giả: tiền thường biến mất ngay và gần như không thể lấy lại (30/5/2025). Giao dịch trên chuỗi khối không đảo ngược được, và ví tự quản không có bên nào chặn giúp bạn.

Các loại mã độc khác nhắm vào ví, như mã đổi địa chỉ khi dán hay mã gom dữ liệu trình duyệt, có bài riêng ở mã độc đánh cắp ví crypto.

Các vụ tiện ích ví giả đã được công bố

Tiện ích giả đã lọt vào cả kho Chrome lẫn Firefox, và cả tiện ích thật cũng từng bị phát hành kèm mã độc. Bảng dưới chỉ gồm vụ có báo cáo của hãng bảo mật, nhà phát triển trình duyệt hoặc chính ví.

Thời điểm công bố	Kho	Quy mô theo nguồn	Nguồn
15/4/2020	Chrome Web Store	49 tiện ích giả ví, nhiều nhất là giả Ledger; Google đã gỡ	The Register, Sophos dẫn MyCrypto, PhishFort
30/5/2025	Firefox	“Hàng trăm” ví giả bị phát hiện trong vài năm	Mozilla
2/7/2025	Firefox	Hơn 40 tiện ích, hoạt động từ ít nhất 4/2025	Koi Security
8/8/2025	Firefox	150 tiện ích, nạn nhân báo mất trên 1 triệu USD	Koi Security
30/12/2025 (cập nhật 17/7/2026)	Chrome Web Store	Bản 2.68 độc hại của tiện ích Trust Wallet thật; 2.520 địa chỉ bị rút, khoảng 8,5 triệu USD	Trust Wallet

Sau vụ năm 2020, Google gỡ các tiện ích giả trong vòng 24 giờ kể từ khi được báo, theo Sophos. Mozilla cho biết (30/5/2025) kho Firefox có hệ thống phát hiện sớm, chấm điểm rủi ro tự động cho tiện ích ví gửi lên, vượt ngưỡng thì chuyển người duyệt xem kỹ, xác định độc hại thì chặn ngay.

Vụ GreedyBear cho thấy lớp kiểm duyệt đó vẫn bị vượt qua: kẻ gian nuôi tiện ích vô hại qua vòng duyệt đầu rồi mới đổi ruột. Koi Security cũng liên kết nhóm này với một tiện ích “Filecoin Wallet” độc hại trên Chrome.

Vụ Trust Wallet khác hẳn: người dùng cài đúng tiện ích thật, đúng kho chính thức. Theo thông báo của Trust Wallet, kẻ gian tự dựng bản độc hại rồi đăng lên Chrome Web Store bằng khóa API (mã cho phép phần mềm tự đăng bản cập nhật lên kho) bị lộ, bỏ qua quy trình phát hành của hãng; cuộc điều tra vẫn đang tiếp tục. Chi tiết vụ ở bài Trust Wallet là gì.

Tiện ích ví giả khác trang drainer thế nào?

Tiện ích giả lấy cụm từ khôi phục để chiếm cả ví, còn trang drainer lừa bạn ký một yêu cầu để rút tài sản. Drainer là bộ công cụ gắn vào trang web giả, dụ người dùng ký giao dịch hoặc cấp quyền chi tiêu token cho kẻ gian.

	Tiện ích ví giả	Trang drainer
Nằm ở đâu	Cài vào trình duyệt, thay chỗ ví thật	Trang web giả, bạn dùng ví thật để kết nối
Lấy gì	Cụm từ khôi phục, mật khẩu ví	Chữ ký, quyền chi tiêu token
Kẻ gian có gì sau đó	Toàn quyền với ví, cả tài sản nạp về sau	Rút những gì bạn đã cấp quyền
Phòng chính	Cài từ trang chủ chính thức	Đọc kỹ màn hình ký, thu hồi quyền thừa

Với drainer, cụm từ khôi phục của bạn vẫn an toàn nhưng quyền đã cấp vẫn còn hiệu lực cho tới khi bạn thu hồi. Cách đọc màn hình ký và thu hồi quyền ở bài approve token và revoke.

Lỡ cài tiện ích ví giả thì làm gì?

Nếu đã nhập hoặc tạo cụm từ khôi phục trong tiện ích đó, coi như ví đã lộ và chuyển tài sản sang ví mới càng sớm càng tốt. Các bước dưới đây theo hướng dẫn của MetaMask cho ví bị xâm phạm, áp dụng được cho phần lớn ví tự quản.

1. Gỡ tiện ích lạ. Trên Chrome: bấm chuột phải vào biểu tượng tiện ích, chọn Xóa khỏi Chrome (tên mục có thể khác theo phiên bản).
2. Quét máy bằng phần mềm diệt mã độc. Nếu không chắc máy sạch, dùng thiết bị khác cho bước sau, vì cụm từ mới tạo trên máy nhiễm cũng có thể bị lấy.
3. Cài ví thật trên trình duyệt khác, hồ sơ trình duyệt khác hoặc thiết bị khác, tạo ví mới với cụm từ khôi phục mới. MetaMask lưu ý: nếu ví cũ tạo bằng tài khoản Google hoặc Apple, đừng gắn tài khoản đó vào ví mới.
4. Ghi cụm từ mới ra giấy, đúng thứ tự, cất nơi an toàn. Cách cất giữ có bài riêng ở cụm từ khôi phục là gì.
5. Chuyển phần tài sản còn lại từ ví cũ sang ví mới. Nếu nghi ví cũ có công cụ tự động rút sạch mọi khoản nạp vào (sweeper), MetaMask khuyên đừng nạp thêm coin để trả phí mạng.
6. Ngừng dùng ví cũ và mọi tài khoản sinh ra từ cụm từ đã lộ.

Nếu bạn chỉ cài mà chưa nhập gì, gỡ tiện ích và quét máy vẫn là việc đầu tiên. Khi tiện ích từng có quyền đọc mọi trang web, cẩn thận hơn thì đổi mật khẩu các tài khoản bạn đã đăng nhập trong thời gian đó, bật xác thực hai lớp (mã thứ hai ngoài mật khẩu) cho tài khoản sàn.

Đã mất tài sản thì giữ lại mã giao dịch, tên tiện ích, ảnh chụp trang tiện ích, rồi trình báo. Các bước trình báo ở Việt Nam và cách tránh bị lừa lần hai bởi dịch vụ “lấy lại tiền” có ở bài bị lừa tiền ảo phải làm gì.

Ví tự quản đặt toàn bộ trách nhiệm giữ khóa lên bạn. Nếu bạn chỉ cần mua bán chứ không cần tự giữ khóa, so sánh hai mô hình ở bài ví lưu ký và không lưu ký.