Các vụ lừa đảo tiền mã hóa đang gia tăng cả về quy mô lẫn mức độ tinh vi, khiến việc bảo vệ tài sản của nhà đầu tư trở thành vấn đề cấp bách của thị trường. Từ mạo danh, phishing, deepfake đến romance scam, nhiều thủ đoạn hiện không chỉ khai thác lỗ hổng kỹ thuật mà còn đánh thẳng vào tâm lý người dùng.

Theo The Crypto Basic ngày 3/6/2026, quy mô lừa đảo tiền mã hóa trong năm 2025 lên tới 14 tỷ USD, tăng mạnh so với mức 9,9 tỷ USD của năm 2024.

Đáng chú ý, làn sóng mạo danh đang bùng lên nhanh chóng. Dữ liệu từ Chainalysis cho thấy số vụ mạo danh tăng 1.400% so với cùng kỳ. Trong đó, “pig butchering” và các nền tảng đầu tư giả được xem là hai nguồn gây thiệt hại lớn nhất trên thị trường tiền mã hóa toàn cầu.

Phishing vẫn là hình thức phổ biến nhất. Kẻ gian tạo các website giả mạo giống sàn giao dịch, ví điện tử hoặc ứng dụng phi tập trung nhằm đánh cắp mật khẩu, seed phrase và khóa riêng. Gần đây, một website Uniswap giả xuất hiện ở vị trí quảng cáo đầu tiên trên Google, khiến người dùng tưởng là dịch vụ chính thức và bị mất hơn 400.000 USD.

Một thủ đoạn khác là phát hành token giả. Kẻ lừa đảo thường quảng bá những công nghệ được mô tả là “đột phá” hoặc cơ hội đầu tư “độc quyền” để huy động vốn, sau đó biến mất, để lại các token gần như vô giá trị.

Tình trạng mạo danh trên mạng xã hội cũng chưa hạ nhiệt. Kẻ gian giả làm nhà sáng lập dự án hoặc influencer để xin thông tin ví, hoặc dụ nạn nhân chuyển tiền đến một địa chỉ cụ thể. Năm 2025, tài khoản X của nhà sáng lập Ai6z Shaw từng bị hack và bị lợi dụng để quảng bá token ELIZA giả.

Lừa đảo bằng deepfake dựa trên AI cũng tăng nhanh. Các video giả được dựng để khiến người xem tin rằng người nổi tiếng đang ủng hộ một dự án hoặc kêu gọi chuyển tiền. Tại Singapore, Thủ tướng Lawrence Wong từng trực tiếp cảnh báo về các video deepfake mạo danh ông để quảng bá token tiền mã hóa giả trên mạng xã hội.

Trong mảng Web3, rủi ro chiếm quyền ví ngày càng lớn. Khi người dùng kết nối ví với một ứng dụng độc hại và chấp thuận quyền truy cập, kẻ gian có thể rút tài sản mà không cần thêm bước xác nhận nào. Vì vậy, việc cấp quyền cho các ứng dụng không rõ nguồn gốc đang trở thành một trong những nguyên nhân gây thiệt hại phổ biến nhất.

Ngoài ra, thị trường còn đối mặt với hàng loạt rủi ro khác như hỗ trợ khách hàng giả, romance scam, mô hình Ponzi lãi suất cao, mã độc và các chương trình airdrop hoặc tặng quà giả. Với thủ đoạn giả danh bộ phận hỗ trợ, kẻ gian thường tiếp cận những người đang gặp sự cố kỹ thuật, cảnh báo tài khoản có vấn đề rồi yêu cầu nhập thông tin nhạy cảm hoặc chuyển tài sản.

Romance scam thường được triển khai theo hướng xây dựng quan hệ tình cảm hoặc lòng tin trong thời gian dài, trước khi dẫn dụ nạn nhân chuyển tiền vào một nền tảng đầu tư giả. Trong khi đó, mô hình Ponzi dùng lời hứa lợi nhuận bất thường để hút tiền nhà đầu tư mới, lấy tiền của người đến sau trả cho người tham gia trước và cuối cùng sụp đổ.

Thiệt hại từ mã độc cũng không nhỏ. Phần mềm độc hại, tiện ích mở rộng trình duyệt hoặc ứng dụng di động giả có thể ghi lại thao tác bàn phím, đánh cắp dữ liệu ví hoặc thay thế địa chỉ ví đã sao chép. Năm 2025, một vụ tấn công mã độc liên quan đến Zoom đã khiến hơn 300 triệu USD bị thất thoát.

Các chiêu lừa kiểu “trúng thưởng” cũng liên tục tái diễn. Kẻ gian dụ nạn nhân gửi tiền mã hóa tới một địa chỉ nhất định với lời hứa sẽ hoàn trả số tiền lớn hơn. Tháng 2/2025, ngay sau khi token thuộc hệ sinh thái Shiba Inu ra mắt, một website airdrop NFT SOU giả đã xuất hiện và rút tài sản của những người dùng kết nối ví.

Dù thủ đoạn ngày càng tinh vi, nhiều dấu hiệu cảnh báo vẫn khá rõ. Những cam kết như “bảo đảm lợi nhuận”, “đầu tư không rủi ro”, gây sức ép phải ra quyết định ngay, hoặc dự án thiếu minh bạch về đội ngũ, lộ trình và thông tin kỹ thuật đều là tín hiệu đáng nghi. Đặc biệt, mọi yêu cầu cung cấp seed phrase đều cần được xem là cảnh báo đỏ, bởi doanh nghiệp, nhà cung cấp ví hay bộ phận hỗ trợ hợp pháp sẽ không bao giờ yêu cầu thông tin này.

Khả năng thu hồi tài sản sau lừa đảo là có, nhưng tỷ lệ thành công vẫn thấp do giao dịch blockchain gần như không thể đảo ngược sau khi được xác nhận. Dù vậy, khi cơ quan điều tra phối hợp chặt hơn với các công ty phân tích on-chain, một số vụ lớn vẫn có thể được xử lý. Bộ Tư pháp Mỹ cho biết trong năm 2025, với sự hỗ trợ của FBI và Mật vụ Mỹ, cơ quan này đã thu hồi 225 triệu USD bị đánh cắp từ hơn 400 công dân Mỹ.

Trong bối cảnh đó, tốc độ phản ứng là yếu tố then chốt. Nạn nhân cần nhanh chóng lưu lại địa chỉ ví, mã giao dịch, ảnh chụp màn hình, lịch sử trò chuyện và địa chỉ website liên quan để cung cấp cho cơ quan điều tra, sàn giao dịch và các nền tảng bảo mật. Việc báo cáo website lừa đảo và các tài khoản mạng xã hội liên quan cũng giúp ngăn chặn hạ tầng gian lận lan rộng.

Các công cụ bảo mật, dù cần thiết, không thể ngăn chặn toàn bộ rủi ro. Ví phần cứng vẫn là lớp bảo vệ hiệu quả, nhưng nếu người dùng phê duyệt giao dịch độc hại hoặc để lộ seed phrase, thiệt hại vẫn rất khó tránh.

Chuỗi vụ việc gần đây cho thấy lừa đảo tiền mã hóa không chỉ nâng cấp về mặt kỹ thuật mà còn mở rộng mạnh sang các hình thức thao túng tâm lý. Khi giới hạn của công cụ bảo mật ngày càng rõ hơn, việc kiểm soát quyền truy cập ví và xây dựng cơ chế báo cáo nhanh vẫn là giải pháp cốt lõi để giảm thiểu thiệt hại.