Wallet drainer là gì?

Wallet drainer là mã độc nhúng vào trang phishing, lừa nạn nhân ký giao dịch ủy quyền (`approve`, `permit`, `setApprovalForAll`) cho địa chỉ của kẻ tấn công. Sau khi có quyền, kẻ tấn công gọi `transferFrom` rút hết token/NFT trong ví. Drainer thường được bán dưới dạng dịch vụ (DaaS) như Inferno, Pink, Pussinboots, ăn 20% doanh thu của affiliate dựng trang phishing.

Blind signing là gì và tại sao nguy hiểm?

Blind signing là khi hardware wallet (Ledger/Trezor) chỉ hiển thị hash của payload giao dịch chứ không decode chi tiết — bạn ký mà không biết thực sự đang phê duyệt cái gì. Nguy hiểm vì drainer có thể nhúng `setApprovalForAll` ngụy trang thành giao dịch bình thường. Luôn bật "Clear signing" trong app Ethereum và dùng wallet hỗ trợ decode (Rabby, Trezor Suite).

Làm sao chọn hardware wallet 2026?

Ưu tiên Ledger Nano S Plus (~80 USD) hoặc Trezor Safe 3 (~80 USD) cho user mới; Ledger Nano X / Trezor Safe 5 cho user cần Bluetooth/touchscreen. Mua trực tiếp Ledger.com hoặc Trezor.io, không qua Lazada/Shopee/Amazon third-party. Setup seed mới khi mở hộp; nếu device đã có seed in trên giấy → bỏ ngay vì supply-chain bị tấn công.

Tôi vừa bị drainer rút sạch, phải làm gì?

Trong 10 phút đầu: chuyển fund còn lại sang ví sạch mới (ví mới tạo từ seed mới trên máy khác), revoke toàn bộ approvals trên revoke.cash, gỡ extension wallet nghi nhiễm. Báo sàn CEX kèm tx hash nếu drainer chuyển fund qua sàn (Binance/OKX có thể freeze). Thu thập bằng chứng, báo ScamSniffer/Chainabuse. KHÔNG trả tiền cho bất kỳ "recovery service" nào — đó là scam lần 2.

AI deepfake call nhận diện thế nào?

Dấu hiệu: video có chuyển động miệng lệch tiếng nhẹ, mắt ít chớp, ánh sáng không khớp môi trường; voice clone có nhịp nói hơi máy móc, thiếu tiếng thở. Quan trọng hơn: nội dung — sàn/dự án/Mã Hoá KHÔNG BAO GIỜ gọi yêu cầu seed phrase, mã 2FA, hay xác minh ví qua điện thoại. Nguyên tắc: nhận call lạ xưng tổ chức → cúp máy, gọi lại qua số hotline trên website chính thức.

Hot wallet vs cold wallet khác nhau gì?

Hot wallet (MetaMask, Rabby, Phantom, Trust) kết nối internet liên tục, tiện giao dịch nhưng dễ bị tấn công qua trình duyệt/extension. Cold wallet (Ledger, Trezor) là thiết bị offline, private key không bao giờ rời thiết bị, chỉ kết nối khi ký giao dịch. Nguyên tắc: hot wallet giữ <5% NAV, cold wallet giữ phần còn lại.

Passphrase 25th word có cần thiết không?

Rất nên dùng nếu vốn >10k USD. Passphrase là từ thứ 25 do bạn tự chọn (không nằm trong BIP39 list) tạo ra hidden wallet hoàn toàn riêng. Kẻ trộm có seed 24 từ nhưng thiếu passphrase vẫn không vào được vault. Lưu passphrase trong đầu hoặc cất NƠI KHÁC với seed — tránh tổ hợp thua sạch nếu mất cả 2 cùng chỗ.

Address poisoning là gì và phòng thế nào?

Kẻ xấu gửi tx 0-value (hoặc 0.0001 USDT) tới ví bạn từ địa chỉ có ký tự đầu/cuối GIỐNG địa chỉ thật bạn hay gửi. Lần sau bạn copy từ tx history → copy nhầm địa chỉ kẻ xấu. Phòng: luôn copy địa chỉ từ nguồn gốc (sổ tay, password manager), KHÔNG copy từ tx history. Bật address-book trong ví và verify 6 ký tự đầu + 6 ký tự cuối trước khi gửi.

Bảo mật ví crypto 2026: chống drainer, AI deepfake, phishing chữ ký mù

Q: Passphrase 25th word có cần thiết không?

Rất nên dùng nếu vốn >10k USD. Passphrase là từ thứ 25 do bạn tự chọn (không nằm trong BIP39 list) tạo ra hidden wallet hoàn toàn riêng. Kẻ trộm có seed 24 từ nhưng thiếu passphrase vẫn không vào được vault. Lưu passphrase trong đầu hoặc cất NƠI KHÁC với seed — tránh tổ hợp thua sạch nếu mất cả 2 cùng chỗ.

Bảo mật ví crypto 2026: chống drainer, AI deepfake, phishing chữ ký mù — Checklist 12 bước cho nhà đầu tư Việt

Cập nhật: 28 tháng 5, 2026

Năm 2026, mất tiền trong crypto không còn vì bạn "ngu" hay vì hacker "thiên tài" — mà vì ngành scam đã có CRM, có affiliate, có dashboard chia hoa hồng. Một bộ kit drainer thuê 20% doanh thu cho phép kẻ tay mơ dựng trang phishing đẹp như Uniswap. Một video deepfake CEO sàn dài 12 giây đủ để khiến nạ