Lợi dụng lòng tin để đánh cắp khóa riêng hoặc thông tin đăng nhập, lợi dụng "lòng tham" để dụ dỗ đầu tư vào dự án ma,... vô số chiêu trò đang khiến nhiều người dùng "mất tiền oan"...

Các chiêu thức, lừa đảo đầu tư, tấn công, chiếm đoạt tài khoản giao dịch tiền điện tử ngày càng tinh vi. 

TẤN CÔNG PHISING

Một trong những thủ đoạn tấn công điển hình là tạo các trang web giả mạo để cài các đoạn mã độc. Khi nạn nhân đăng nhập kết nối ví với trang web và chấp thuận giao dịch, tội phạm có thể tự động rút tiền khỏi ví.

Hình thức khác là lừa đảo qua mã QR, tội phạm sẽ phát tán mã QR chứa liên kết độc hại trong email, tin nhắn hoặc dán ở nơi công cộng. Khi người dùng quét, họ bị dẫn đến trang giả mạo hoặc tự động tải về các mã độc, dẫn đến thông tin đăng nhập bị đánh cắp. 

Do đó, để phòng tránh, người dùng cần luôn kiểm tra kỹ đường dẫn trước khi đăng nhập ví hay sàn giao dịch; không quét mã QR từ nguồn không rõ ràng, bật xác thực hai bước và tuyệt đối không chia sẻ khóa riêng hay cụm từ khôi phục ví (seed phrase) với bất kỳ ai.

"RUG PULLS" 

Đây là một thuật ngữ chỉ chiêu trò lợi dụng làn sóng quan tâm đến các dự án tài chính phi tập trung (DeFi) và các dự án NFT để dụ dỗ người đầu tư sau đó tội phạm ôm tiền và "bốc hơi"

"Rug Pulls" (Kéo thảm) sẽ xảy ra khi nhóm phát triển bất ngờ rút toàn bộ thanh khoản, đóng dự án và biến mất cùng tiền của nhà đầu tư.

Phần lớn các dự án kiểu này được dựng lên rất bài bản, nhìn qua trông chẳng khác gì dự án thật. Chúng thường hứa hẹn lợi nhuận khổng lồ, rủi ro thấp hoặc quảng bá về những tài sản kỹ thuật số “độc quyền”.

Nhiều dự án thổi phồng giá trị nhờ hiệu ứng truyền thông xã hội, nhưng thực chất không có sản phẩm hay nền tảng thực sự. Một số khác còn sao chép y nguyên giao diện của những trang DeFi hoặc NFT uy tín để lừa người dùng chuyển tài sản vào ví giả.

Những dấu hiệu thường thấy của một dự án kiểu này là hứa hẹn lợi nhuận cao bất thường, gần như không có rủi ro; không công khai mã nguồn hoặc báo cáo kiểm toán độc lập; nhóm phát triển ẩn danh, né tránh cung cấp thông tin thật.

Theo thống kê, từ đầu năm 2025, các vụ “kéo thảm” đã gây thiệt hại gần 6 tỷ USD trong hệ sinh thái Web3, tăng gấp nhiều lần so với 90 triệu USD cùng kỳ năm 2024.

DEEPFAKE AI 

Sự phát triển mạnh mẽ của trí tuệ nhân tạo (AI) đã kéo theo một hình thức lừa đảo mới - tạo bản sao của những người nổi tiếng để kêu gọi đầu tư.

Hiện nay, việc giả mạo khuôn mặt, giọng nói, cách nói chuyện và phong thái của một người nổi tiếng đã cực kỳ đơn giản. Hệ thống AI dễ dàng “học” qua các cuộc phỏng vấn, podcast hay video YouTube công khai để tạo ra những người nổi tiếng, doanh nhân "giả mạo" trông y như thật, đủ sức đánh lừa người dùng để họ đầu tư hoặc chuyển tiền theo hướng dẫn.

Những chiêu lừa dạng này đánh vào lòng tin, sự tò mò và tâm lý “sợ bỏ lỡ” (FOMO) của người dùng. Deepfake đang khiến ranh giới giữa thật và giả ngày càng bị xóa nhòa, trở thành một trong những mối đe dọa nguy hiểm nhất của thời đại AI.

GIẢ DANH HỖ TRỢ KHÁCH HÀNG 

Đây là một hình thức lừa đảo lừa đảo ngày càng phổ biến, đặc biệt nhắm vào những người đang gặp trục trặc khi giao dịch hoặc quản lý ví tiền số. Kẻ gian thường giả làm nhân viên chăm sóc khách hàng của các sàn giao dịch hoặc ví điện tử lớn, tiếp cận người dùng qua mạng xã hội Telegram hoặc các trang web giả mạo có giao diện giống hệt trang thật.

Chúng thường tỏ ra chuyên nghiệp, nói năng lịch sự để tạo lòng tin. Sau đó, kẻ lừa đảo sẽ gửi liên kết giả dạng “cổng hỗ trợ”, hoặc đề nghị “khôi phục ví bị khóa” và yêu cầu người dùng cung cấp khóa riêng hoặc cụm từ khôi phục.

Một số khác lại giả mạo hoàn tiền, dụ người dùng xác nhận giao dịch hoặc nhập mã bảo mật, từ đó chiếm quyền truy cập ví và rút toàn bộ tiền.

Nhiều người nhẹ dạ đã cung cấp mã bảo mật, thông tin xác thực hai yếu tố (2FA) hoặc chuyển tài sản sang ví giả mạo, dẫn đến mất trắng. Nhưng nhân viên hỗ trợ chính thức không bao giờ yêu cầu khóa riêng, seed phrase hay mã 2FA.

Người dùng cần luôn kiểm tra kỹ tên miền và địa chỉ email trước khi phản hồi, tránh nhấp vào liên kết từ tin nhắn hoặc tài khoản lạ, khi cần hỗ trợ, chỉ liên hệ qua kênh chính thức được công bố trên website của sàn hoặc nhà cung cấp ví.