Address poisoning (Địa chỉ độc) trong crypto và cách phòng tránh

Phishing trong crypto là một dạng address poisoning phổ biến, trong đó kẻ xấu tạo website, email hoặc thông điệp giả mạo giống hệt các tổ chức uy tín như sàn giao dịch hoặc nhà cung cấp ví.

Những nền tảng giả mạo này lừa người dùng tiết lộ thông tin đăng nhập, private key hoặc cụm từ khôi phục (mnemonic phrase/seed phrase). Sau khi chiếm được quyền truy cập, kẻ tấn công có thể thực hiện giao dịch trái phép và chiếm đoạt tài sản.

Ví dụ, hacker có thể tạo một website sàn giao dịch giả giống hệt bản gốc và yêu cầu người dùng đăng nhập. Khi nạn nhân nhập thông tin, kẻ tấn công sẽ truy cập được tài khoản thật và chiếm đoạt tiền. Điều này từng xảy ra với MyEtherWallet.com.

Trong vụ việc đó, kẻ lừa đảo thao túng hệ thống định tuyến internet để chuyển hướng người dùng đến một website giả trông giống hệt bản thật, khiến họ tin rằng đó là MyEtherWallet chính thức.

Người dùng vô tình tương tác với website giả và bị đánh cắp thông tin đăng nhập cùng crypto. Nền tảng MyEtherWallet thật không bị xâm nhập, nhưng người dùng bị tấn công thông qua chuyển hướng độc hại.

Trong tấn công chặn giao dịch, kẻ tấn công chặn các giao dịch tiền mã hóa hợp lệ và thay đổi địa chỉ đích.

Các khoản tiền vốn được gửi tới người nhận hợp pháp sẽ bị chuyển hướng bằng cách thay đổi địa chỉ người nhận thành địa chỉ do kẻ tấn công kiểm soát. Loại tấn công này thường liên quan đến việc phần mềm độc hại (malware) xâm nhập vào thiết bị của người dùng, mạng của họ, hoặc cả hai.

Kẻ tấn công, thường sử dụng malware, âm thầm thay đổi một giao dịch crypto trong lúc giao dịch đó đang được chuẩn bị hoặc xử lý trên thiết bị của người dùng. Điều này xảy ra khi một địa chỉ ví hợp lệ được sao chép, nhưng malware ngay lập tức thay thế nó bằng địa chỉ của kẻ tấn công trước khi người dùng dán và xác nhận giao dịch chuyển tiền.

Một ví dụ nổi tiếng là vụ tấn công sàn giao dịch tiền mã hóa ByBit vào ngày 21 tháng 2 năm 2025, được cho là do nhóm hacker Lazarus Group của Triều Tiên thực hiện.

Trong quá trình chuyển tiền định kỳ giữa kho lưu trữ an toàn của ByBit (ví lạnh) và tài khoản chi tiêu đang hoạt động của họ (ví nóng), các hacker đã tìm thấy một điểm yếu trong phần mềm đang được sử dụng. Chúng bí mật chèn mã độc vào hệ thống. Điều này cho phép chúng chặn một yêu cầu giao dịch hợp lệ, chỉnh sửa nó để chuyển tiền đến ví của chúng, và hiển thị giao dịch đó như hợp lệ để được CEO của ByBit phê duyệt theo cơ chế multisig.

Cuộc tấn công này đã dẫn đến việc đánh cắp 1,5 tỷ USD token Ethereum, trong đó ít nhất 160 triệu USD đã được rửa tiền ngay sau đó thông qua các sàn giao dịch phi tập trung và nhiều ví khác nhau.

Vì tất cả các giao dịch crypto đều được ghi lại và lưu trữ trên blockchain, thông tin này có thể bị những kẻ lừa đảo sử dụng để khai thác người dùng. Kẻ tấn công theo dõi blockchain để tìm các trường hợp địa chỉ được sử dụng lặp lại, sau đó tận dụng những trường hợp này để phục vụ mục đích của mình. Ví dụ, nếu một người dùng thường xuyên nhận tiền từ cùng một địa chỉ Ethereum, kẻ tấn công có thể nhận ra mô hình này và khai thác một lỗ hổng trong phần mềm ví của người dùng để truy cập trái phép vào tài sản của họ.

Việc lặp lại địa chỉ như vậy là vấn đề vì nó tạo ra một hồ sơ tài chính toàn diện gắn với địa chỉ đó, có thể tiết lộ giá trị giao dịch, thời điểm giao dịch và các mối liên kết. Kẻ tấn công sau đó có thể khai thác lịch sử chi tiết này.

Giả sử bạn là một “crypto whale” và sử dụng cùng một địa chỉ để giao dịch những khoản tiền lớn, kẻ lừa đảo có thể tìm ra các lỗ hổng cụ thể trong phần mềm ví của bạn, thao túng màn hình thiết bị của bạn để hiển thị một địa chỉ trông hợp lệ, hoặc nếu bạn sử dụng ví phần cứng, chúng thậm chí có thể dành thời gian tạo ra một cuộc tấn công phishing được cá nhân hóa cao, hoặc sử dụng kỹ thuật social engineering để khiến bạn chấp thuận một giao dịch độc hại.

Để giành quyền kiểm soát không cân xứng đối với hoạt động của một mạng lưới tiền mã hóa, tấn công Sybil liên quan đến việc tạo ra nhiều danh tính hoặc node giả. Với quyền kiểm soát này, kẻ tấn công có thể sửa đổi dữ liệu, lừa người dùng và thậm chí làm suy yếu bảo mật của mạng.

Trong bối cảnh các mạng blockchain sử dụng cơ chế đồng thuận proof-of-stake (PoS), kẻ tấn công có thể sử dụng số lượng lớn các node giả để ảnh hưởng mạnh đến cơ chế đồng thuận, cho phép chúng sửa đổi giao dịch và thậm chí thực hiện hành vi double-spend tiền mã hóa.

Một cuộc tấn công Sybil thực tế đã xảy ra vào tháng 8 năm 2020 trên mạng Ethereum Classic (ETC). Một kẻ tấn công đã kiểm soát hơn 51% sức mạnh khai thác của mạng bằng cách vận hành nhiều node do mình kiểm soát. Sau đó, kẻ tấn công có thể hoàn tác các giao dịch trước đó trên mạng Ethereum Classic và chi tiêu cùng một loại tiền kỹ thuật số hai lần, qua đó đánh cắp hàng triệu USD.

Tấn công dusting xảy ra khi ai đó gửi một lượng crypto cực nhỏ (nhỏ đến mức gần như vô giá trị) vào ví của bạn.

Thoạt nhìn, nó có thể chỉ giống như spam ngẫu nhiên, nhưng thực tế lại có mục đích đối với những kẻ lừa đảo. Chúng sử dụng các giao dịch nhỏ này, thường được gọi là “dust”, để theo dõi hoạt động của bạn trên nhiều ví khác nhau hoặc âm thầm chèn một địa chỉ giả vào lịch sử giao dịch của bạn.

Giả sử bạn nhận được một giao dịch dust bằng XRP, và sau đó bạn chuyển tài sản này giữa các địa chỉ ví khác nhau, kẻ tấn công có thể liên kết ví đã bị dust với các giao dịch khác của bạn, từ đó làm mất tính ẩn danh của bạn hoặc xây dựng một hồ sơ tài chính về bạn.

Thông tin này sau đó có thể được sử dụng cho nhiều hình thức tấn công khác nhau như đã đề cập ở trên.

Tương tự như dusting, chuyển giá trị bằng 0 cũng là một phương thức tấn công sử dụng số tiền không đáng kể. Đây là một giao dịch mà thực tế không có token nào được chuyển, nhưng một bản ghi giao dịch vẫn được tạo ra trên blockchain.

Kẻ lừa đảo thường sử dụng phương pháp này để chèn một địa chỉ trông giống thật vào lịch sử giao dịch của bạn.

Tuy nhiên, có sự khác biệt giữa chuyển giá trị bằng 0 và dusting. Cả hai đều thao túng lịch sử giao dịch để lợi dụng sai sót của con người, nhưng dusting chủ yếu nhằm mục đích theo dõi, còn chuyển giá trị bằng 0 là phương thức trực tiếp để giả mạo địa chỉ.

Vào ngày 26 tháng 5 năm 2025, những kẻ lừa đảo đã đánh lừa một trader crypto bằng cách gửi các giao dịch giả có giá trị bằng 0 từ một địa chỉ gần giống với địa chỉ trong lịch sử giao dịch của trader đó, thêm các bản ghi “đã gửi” giả vào ví của họ mà không cần đánh cắp bất kỳ khóa nào. Bị đánh lừa bởi các bản ghi giả này, trader nghĩ rằng địa chỉ đó là an toàn và đã gửi 843.000 USDT cho kẻ lừa đảo. Chỉ ba giờ sau, cùng một thủ đoạn khiến họ gửi thêm 1,75 triệu USD, nâng tổng thiệt hại lên khoảng 2,6 triệu USD.

Các giao dịch chuyển giá trị bằng 0 không yêu cầu chữ ký private key, khiến chúng trở nên khó phát hiện và rất hiệu quả. Hơn 270 triệu nỗ lực kiểu này đã xảy ra trên các mạng Ethereum và BNB Chain, với 83 triệu USD thiệt hại được xác nhận, khiến đây trở thành một mối đe dọa xuyên chuỗi ngày càng gia tăng.

Address poisoning cũng có thể xảy ra khi các địa chỉ thanh toán hoặc mã QR giả được phát tán. Kẻ tấn công thường phát tán các mã này dưới dạng vật lý đến những người dùng không cảnh giác nhằm lừa họ gửi crypto đến một địa chỉ không xác định.

Ví dụ, một hacker có thể phát tán các mã QR ví crypto trông giống thật nhưng thực tế có những thay đổi nhỏ trong địa chỉ được mã hóa.

Người dùng khi quét những mã này có thể vô tình gửi tiền đến địa chỉ của kẻ tấn công thay vì địa chỉ của người nhận dự định, dẫn đến tổn thất tài chính.

Kẻ tấn công sử dụng phương thức giả mạo địa chỉ sẽ tạo ra các địa chỉ tiền mã hóa trông rất giống với địa chỉ thật. Mục tiêu là lừa người dùng chuyển tiền đến địa chỉ của kẻ tấn công thay vì địa chỉ của người nhận dự định. Sự giống nhau về mặt hình ảnh giữa địa chỉ giả và địa chỉ thật được khai thác trong phương thức address poisoning này.

Ví dụ, một kẻ tấn công có thể tạo ra một địa chỉ Bitcoin gần giống với địa chỉ quyên góp của một tổ chức từ thiện uy tín hoặc thậm chí là của một sàn giao dịch.

Những người quyên góp không biết có thể vô tình chuyển tiền vào địa chỉ của kẻ tấn công khi nghĩ rằng họ đang gửi tiền cho tổ chức, khiến khoản tiền bị chuyển hướng khỏi mục đích ban đầu.

Lấy ví dụ cuộc tấn công trên blockchain EOS. Sau khi đổi thương hiệu thành Vaulta, blockchain này đã trải qua một cuộc tấn công address poisoning vào tháng 3 năm 2025. Hacker đã gửi các khoản EOS nhỏ từ những địa chỉ giả mạo các sàn giao dịch lớn như Binance và OKX, nhằm lừa người dùng gửi tiền đến các địa chỉ gian lận. Cuộc tấn công này khai thác sự giống nhau giữa các tên địa chỉ để đánh lừa người dùng.

Kẻ tấn công lợi dụng các lỗi hoặc lỗ hổng trong các ứng dụng phi tập trung (DApps) hoặc smart contract trên hệ thống blockchain để thực hiện các cuộc tấn công address poisoning.

Bằng cách can thiệp vào cách các giao dịch được thực hiện, kẻ tấn công có thể chuyển hướng tiền hoặc khiến hợp đồng hoạt động ngoài ý muốn. Điều này có thể dẫn đến việc người dùng bị mất tiền và các dịch vụ tài chính phi tập trung (DeFi) bị gián đoạn.

Công ty phân tích blockchain Chainalysis đã phát hiện hơn 82.000 ví liên quan đến một chiến dịch tấn công quy mô lớn, nhắm mục tiêu đặc biệt vào những người dùng có số dư crypto lớn, cho thấy mức độ nguy hiểm và phạm vi rộng của các vụ lừa đảo này.

Mặc dù address poisoning thường gắn liền với các blockchain tương thích EVM như Ethereum, một dạng lừa đảo tương tự cũng tồn tại trong hệ sinh thái Bitcoin, thường được gọi là SegWit address scam. Cuộc tấn công này lợi dụng sự giống nhau về mặt hình ảnh giữa các định dạng địa chỉ Bitcoin như Legacy (1…), SegWit (3…), và Bech32 (bc1…) bằng cách chèn một địa chỉ trông giống vào lịch sử giao dịch của người dùng.

Kẻ tấn công gửi một lượng nhỏ BTC từ một địa chỉ giả mạo rất giống với địa chỉ của người dùng, với hy vọng nạn nhân sau này sẽ sao chép nhầm địa chỉ đó.

Mặc dù về mặt kỹ thuật khác với poisoning kiểu Ethereum, trò lừa đảo giả mạo SegWit này về bản chất vẫn là một dạng address poisoning: nó lợi dụng sai sót của con người, hạn chế của giao diện ví và việc xác minh địa chỉ không đầy đủ để chuyển hướng tiền.

Tự lưu ký nghĩa là chỉ bạn và duy nhất bạn có thể quản lý và kiểm soát private key của mình, từ đó luôn nắm quyền kiểm soát tài sản. Tuy nhiên, điều này đi kèm với trách nhiệm bảo vệ cụm từ khôi phục (seed phrase) 24 từ.

Thiết bị Ledger cung cấp giải pháp tự lưu ký an toàn, đồng thời tích hợp nhiều tùy chọn sao lưu như Ledger Recover và Ledger Recovery Key nhằm giúp bạn ứng phó ngay cả trong những tình huống xấu nhất.

Hầu hết các ví hiện đại tự động tạo địa chỉ mới cho mỗi giao dịch, giúp lịch sử giao dịch của bạn khó bị truy vết hoặc sao chép hơn. Kết hợp điều này với ví phần cứng sẽ giữ private key của bạn ở chế độ ngoại tuyến (offline), tránh xa phần mềm độc hại (malware) và các mối đe dọa trực tuyến.

Hãy cẩn trọng khi chia sẻ địa chỉ ví, tránh đăng công khai hoặc liên kết chúng với danh tính thật của bạn.

Ngoài ra, hãy sử dụng các nhà cung cấp ví uy tín, nổi tiếng về tính năng bảo mật, và luôn cập nhật phần mềm ví thường xuyên. Rất nhiều cuộc tấn công khai thác các lỗ hổng đã được vá, vì vậy việc cập nhật kịp thời là yếu tố quan trọng khi giao dịch crypto.

Hệ sinh thái Ledger, bao gồm ứng dụng Ledger Wallet, đảm bảo các lớp bảo vệ đạt tiêu chuẩn hàng đầu ngành trước các mối đe dọa trực tuyến.

Ledger Wallet hiện cũng tự động ẩn các giao dịch token có giá trị bằng 0, giúp lọc các nỗ lực “address poisoning” phổ biến trước khi chúng xuất hiện trong lịch sử giao dịch của bạn.

Luôn kiểm tra kỹ toàn bộ địa chỉ giao dịch (không chỉ vài ký tự đầu và cuối) trước khi gửi tiền, và đối chiếu với nguồn đáng tin cậy.

Thông thường, màn hình trên các thiết bị phổ thông ưu tiên hiển thị hơn là bảo mật và đây chính là điểm khác biệt của thiết bị Ledger.

Tất cả thiết bị Ledger đều được trang bị Secure Screen hoặc Secure Touchscreen vận hành trực tiếp thông qua chip Secure Element. Vì vậy, khi thực hiện giao dịch, bạn có thể yên tâm rằng thông tin hiển thị trên màn hình Ledger là chính xác và hợp lệ.

Các thành phần này phối hợp với nhau để đảm bảo rằng, ngay cả khi kẻ lừa đảo cố gắng đánh lừa bạn bằng giao dịch hoặc địa chỉ giả mạo, thiết bị chỉ ký xác nhận những gì bạn phê duyệt rõ ràng trên màn hình bảo mật tách biệt.

Bên cạnh đó, sáng kiến Clear Signing của Ledger cho phép bạn xem và xác minh đầy đủ mọi chi tiết giao dịch một cách minh bạch. Đồng thời, ứng dụng Ledger Wallet ẩn các giao dịch token giá trị 0 đáng ngờ nhằm ngăn chặn các chiêu trò phổ biến như address poisoning.

Bạn cũng có thể thiết lập danh sách trắng (whitelisting) trên một số ví để chỉ gửi crypto tới các địa chỉ tin cậy, từ đó bổ sung thêm một lớp bảo vệ.

Càng hạn chế đăng địa chỉ ví công khai càng tốt. Tốt nhất, không nên liên kết địa chỉ ví với thông tin cá nhân trên mạng xã hội.

Việc duy trì tính ẩn danh là yếu tố then chốt khi tham gia vào tài chính phi kiểm duyệt (censorship-resistant finance), đồng thời giúp bạn tránh trở thành mục tiêu của các cuộc tấn công có chủ đích.

Ví multisig tăng cường bảo mật bằng cách yêu cầu nhiều private key để phê duyệt một giao dịch, từ đó loại bỏ điểm lỗi đơn lẻ (single point of failure).

Giải pháp này đặc biệt phù hợp cho quỹ chung, đồng thời cũng là phương án sao lưu cá nhân hiệu quả. Ví dụ mô hình 2-of-3 cho phép khôi phục nếu một khóa bị mất.

Cách tiếp cận này thúc đẩy tự lưu ký an toàn và bảo vệ trước các cuộc tấn công hack hoặc phishing.

Đối với người nắm giữ lượng crypto lớn, sử dụng ví đa chữ ký thông qua công cụ bên thứ ba như Sparrow Wallet kết hợp với thiết bị Ledger sẽ bổ sung thêm một lớp bảo mật, vì mỗi giao dịch cần nhiều phê duyệt độc lập.

Hiểu cách bảo vệ tài sản số giúp bạn nhận diện các mô hình và thủ thuật mà hacker có thể sử dụng để khai thác giá trị của bạn.

Ngay cả khi bạn áp dụng tự lưu ký hoàn toàn, điểm yếu lớn nhất vẫn có thể là chính bạn. Nhận thức cao hơn đồng nghĩa với mức độ bảo vệ tốt hơn trước các chiêu trò lừa đảo mạng.

Đối với người dùng nâng cao, các công cụ phân tích blockchain có thể phát hiện theo thời gian thực các hành vi đáng ngờ như dusting hoặc address poisoning.

Nếu bạn phát hiện địa chỉ bị “đầu độc” hoặc nghi ngờ mình là mục tiêu, hãy báo cáo cho nhà cung cấp ví và, trong trường hợp nghiêm trọng, cho cơ quan chức năng. Việc này không chỉ bảo vệ bạn mà còn giúp cộng đồng an toàn hơn — bởi trong thế giới chống lừa đảo, sự cảnh giác của một người có thể bảo vệ cả hệ sinh thái.

Nếu bạn gặp các nỗ lực phishing mạo danh Ledger qua email, cuộc gọi hoặc tài khoản mạng xã hội giả, bạn cũng có thể trực tiếp báo cáo để hỗ trợ Ledger chống lại các hành vi lừa đảo.