Ví crypto bị hack, bị rút sạch: làm gì ngay

Khi ví crypto bị hack, việc đầu tiên là chuyển ngay tài sản còn lại sang một ví mới có cụm từ khôi phục mới, tạo trên thiết bị hoặc trình duyệt sạch. Sau đó mới tìm nguyên nhân, thu hồi các quyền đã cấp cho hợp đồng lạ, giữ bằng chứng và trình báo cơ quan công an. Phần tài sản đã bị rút thì không ai đảo ngược được giao dịch; khả năng thu hồi, nếu có, đi qua cơ quan điều tra và không có bảo đảm.

Bài này viết cho người đang gặp sự cố, theo thứ tự thời gian: 30 phút đầu, xác định nguyên nhân, xử lý theo nguyên nhân, trình báo, và tránh bị lừa lần hai. Áp dụng cho ví tự quản như MetaMask, Trust Wallet, ví phần cứng; mục riêng ở cuối dành cho tài khoản trên sàn và ví Pi.

Trong 30 phút đầu cần làm gì?

Ưu tiên cứu phần còn lại, rồi mới tìm hiểu chuyện gì đã xảy ra. Thứ tự theo hướng dẫn của MetaMask, bổ sung cho người dùng ở Việt Nam:

1. Kiểm giao dịch lạ trên trình khám phá khối (etherscan.io, bscscan.com, tronscan.org…): thời gian, địa chỉ nhận, tài sản, số lượng, ứng dụng liên quan. Chụp màn hình.
2. Mở một môi trường sạch: trình duyệt khác, hồ sơ trình duyệt khác hoặc thiết bị khác. Nếu nghi máy tính nhiễm mã độc, dùng điện thoại khác hẳn.
3. Tạo ví mới với cụm từ khôi phục mới. Nếu ví bị hack tạo bằng tài khoản Google hoặc Apple, MetaMask khuyến cáo không kết nối chính tài khoản đó với ví mới.
4. Chép cụm từ mới ra giấy, không lưu trên máy.
5. Chuyển tài sản còn lại từ ví cũ sang ví mới, giá trị lớn trước. Nếu nghi kẻ gian chạy chương trình tự động rút (khoản phí bạn nạp vào bị rút ngay lập tức), MetaMask khuyến cáo không nạp thêm ETH hay token để trả phí.
6. Ngưng dùng ví cũ và mọi tài khoản sinh từ cụm từ khôi phục cũ.
7. Đổi mật khẩu email, tài khoản Google, Apple, iCloud, bật xác thực hai lớp bằng ứng dụng xác thực.

MetaMask nói rõ họ “không thể kiểm soát quyền truy cập tài khoản người dùng, cũng không thể can thiệp và cứu tài khoản hay tài sản thay bạn”, và “giao dịch không thể đảo ngược”. Ai tự xưng nhân viên MetaMask đề nghị “cứu ví” là kẻ gian.

Ví bị hack theo cách nào?

Nhìn cách tài sản bị rút là đoán được nguyên nhân, và nguyên nhân quyết định cách xử lý. Bốn nhóm chính:

Nguyên nhân	Dấu hiệu trên trình khám phá khối	Xử lý
Lộ cụm từ khôi phục hoặc khóa riêng tư	Mọi tài sản, trên nhiều mạng, bị chuyển đi bằng lệnh transfer ký từ chính địa chỉ của bạn; khoản mới nạp vào bị rút ngay	Bỏ hẳn ví cũ; chuyển phần còn lại sang ví mới
Ký cấp quyền (approve, chữ ký permit) cho trang lừa đảo	Chỉ một hoặc vài token bị rút, giao dịch rút do địa chỉ lạ thực hiện (transferFrom); coin gốc (ETH, BNB) còn nguyên	Thu hồi quyền ngay; ví có thể dùng tiếp nếu cụm từ không lộ
Mã độc trên máy (phần mềm bẻ khóa, tiện ích trình duyệt giả, mã độc đổi địa chỉ khi dán)	Bạn chủ động gửi nhưng tới địa chỉ lạ; hoặc ví bị rút sau khi cài phần mềm lạ	Làm sạch hoặc cài lại máy trước khi tạo ví mới trên máy đó
Thiết bị ví phần cứng bị can thiệp từ khâu bán	Ví bị rút dù bạn chưa từng gõ cụm từ ở đâu	Ngưng dùng thiết bị; giữ nguyên thiết bị làm bằng chứng (xem mục trình báo)

Vì sao cấp quyền lại nguy hiểm: theo chuẩn ERC20 (EIP-20), chức năng approve cho phép một địa chỉ khác “rút từ tài khoản của bạn nhiều lần, tới mức” bạn đã cho phép. Revoke.cash giải thích: đã cấp quyền thì hợp đồng đó “có thể tiêu token của bạn bất kỳ lúc nào”, và nếu hợp đồng độc hại hoặc bị tấn công, token có thể bị lấy. Nhiều trang lừa đảo xin quyền không giới hạn, đợi vài ngày rồi mới rút.

Thu hồi quyền đã cấp cho hợp đồng như thế nào?

Vào công cụ kiểm tra quyền, kết nối ví, xem danh sách hợp đồng đang có quyền tiêu token của bạn, rồi thu hồi các quyền lạ. Hai công cụ phổ biến:

• Etherscan Token Approval Checker (etherscan.io/tokenapprovalchecker): cho Ethereum. Etherscan mô tả việc thu hồi “sẽ ngăn các hợp đồng hoặc địa chỉ tiêu tài sản của bạn”. Trình khám phá khối của BNB Smart Chain và một số mạng EVM khác có công cụ tương tự.
• Revoke.cash (revoke.cash): hỗ trợ nhiều mạng EVM.

Lưu ý khi dùng:

1. Gõ tay tên miền. Trang giả mạo công cụ thu hồi quyền cũng tồn tại.
2. Mỗi lần thu hồi là một giao dịch, cần coin gốc để trả phí.
3. Thu hồi quyền chỉ có ích khi cụm từ khôi phục chưa lộ. Nếu kẻ gian đã có cụm từ, họ không cần quyền nào cả; khi đó nạp phí vào ví cũ để thu hồi chỉ là nạp thêm tiền cho họ.
4. Thu hồi quyền không lấy lại được token đã bị rút; nó chỉ chặn lần rút tiếp theo.

Ví MetaMask, Trust Wallet bị hack có gì khác nhau?

Không khác về nguyên tắc: cả hai là ví tự quản, nhà phát triển không giữ khóa của bạn, nên không ai trong số họ khóa được tài sản hay đảo ngược giao dịch. Khác nhau chủ yếu ở bề mặt tấn công:

• MetaMask trên trình duyệt hay bị nhắm qua tiện ích giả trên cửa hàng tiện ích, trang giả chạy quảng cáo tìm kiếm, và ký giao dịch trên trang ứng dụng giả. VnExpress (27/11/2021) ghi nhận người dùng Hà Nội mất tài sản sau khi bấm vào trang giả đứng đầu kết quả quảng cáo; một trang giả mạo MetaMask khác phát tệp .apk, không phải cách MetaMask phát hành.
• Ví trên điện thoại như Trust Wallet hay bị nhắm qua ứng dụng giả cài ngoài kho ứng dụng, tin nhắn “hỗ trợ” mời “đồng bộ ví”, và ảnh chụp cụm từ khôi phục bị đồng bộ lên đám mây.

Tìm hiểu từng ví: MetaMask là gì, Trust Wallet là gì.

Bị hack ví Pi thì phải làm sao?

Nguyên tắc như mọi ví tự quản: ví Pi được mở bằng một cụm mật khẩu (passphrase), ai có cụm này là chuyển được Pi. Các tình huống hay gặp là trang giả mạo đòi nhập passphrase để “mở khóa Pi”, “đổi Pi sang tiền”, “xác minh ví”. Không nhập passphrase vào bất kỳ trang nào ngoài ứng dụng chính thức.

Nếu đã bị chuyển Pi đi: giữ bằng chứng (ảnh màn hình trang giả, tin nhắn, địa chỉ ví nhận), trình báo công an, và không trả tiền cho người hứa “lấy lại Pi”. Bối cảnh pháp lý và rủi ro của Pi ở Việt Nam: xem hồ sơ Pi Network.

Tài khoản trên sàn bị chiếm thì khác gì ví cá nhân?

Tài khoản trên sàn do sàn giữ khóa, nên sàn có thể khóa tài khoản, chặn rút; việc đầu tiên là liên hệ sàn qua kênh chính thức để đóng băng tài khoản. Sau đó đổi mật khẩu email đăng ký, đổi mật khẩu sàn, thiết lập lại xác thực hai lớp, kiểm danh sách thiết bị đăng nhập và danh sách địa chỉ rút đã lưu.

Ở Việt Nam, sàn được cấp phép phải “giải quyết và bồi thường thiệt hại theo quy định pháp luật trong trường hợp nhà đầu tư bị mất tiền, tài sản mã hóa do hệ thống bảo mật mất an toàn, bị xâm nhập, bị lừa đảo” (Nghị quyết 05/2025/NQ-CP Điều 15 khoản 2 điểm m). Tính đến 26/10/2026 chưa sàn nào được cấp phép. Sàn nước ngoài không chịu nghĩa vụ này theo pháp luật Việt Nam; việc xử lý theo điều khoản riêng của họ. Vietnambit không hướng dẫn thao tác trên sàn nước ngoài.

Trình báo công an như thế nào, cần mang theo gì?

Đến trực tiếp cơ quan công an nơi cư trú hoặc nơi gần nhất, hoặc gửi đơn theo đường bưu chính, kèm toàn bộ bằng chứng. Bộ Công an hướng dẫn người dân “trực tiếp đến các cơ quan Công an để trình báo hoặc gửi đơn, thư theo đường bưu chính” (Báo Lào Cai dẫn VTV, 17/4/2024).

Bằng chứng nên chuẩn bị:

Loại	Chi tiết
Giao dịch	Mã giao dịch (TxID, hash) của từng lần bị rút, tên mạng, thời gian
Địa chỉ	Địa chỉ ví của bạn, địa chỉ ví nhận tài sản bị rút
Đường dẫn	Trang web, ứng dụng, tiện ích đã dùng hoặc đã ký trước khi bị rút
Liên lạc	Tin nhắn, email, tên tài khoản Telegram, Zalo, Facebook đã liên lạc với bạn; không xóa dù bị chặn
Thiết bị	Giữ nguyên thiết bị nghi bị can thiệp (ví phần cứng, máy tính)
Chứng từ	Chứng từ mua tài sản, nạp rút, nếu có

Với ví phần cứng nghi bị can thiệp, Ledger khuyến cáo người mất tài sản “phối hợp với cơ quan thực thi pháp luật trước khi mở thiết bị” (The Block, 13/10/2026), để không làm hỏng dấu vết.

Vì sao nên trình báo sớm dù không có bảo đảm: tài sản bị rút thường đi qua nhiều ví rồi tới nơi đổi ra tiền. Một số token như USDT có cơ chế để đơn vị phát hành đóng băng số dư ở một địa chỉ (The Block, 22/1/2022, về cơ chế của Tether trên Ethereum và Tron). Thông tin càng sớm, cơ quan điều tra càng có thêm thời gian truy vết.

Làm sao tránh bị lừa lần hai?

Không trả tiền, không đưa cụm từ khôi phục cho bất kỳ ai hứa “lấy lại tiền”. Cục An ninh mạng và phòng, chống tội phạm sử dụng công nghệ cao (Bộ Công an) khuyến cáo nạn nhân “tuyệt đối không nghe theo, không liên hệ với các website, fanpage” quảng cáo dịch vụ hỗ trợ lấy lại tiền, và “không chuyển tiền cho các đối tượng trên để được hướng dẫn, hoàn thiện hồ sơ”; các cơ quan “không phối hợp, ủy quyền cho bất cứ đơn vị nào” nhận hồ sơ thay.

Dấu hiệu thường gặp: tự xưng hacker mũ trắng, luật sư, công an, nhân viên ví; nhắn riêng ngay sau khi bạn kể chuyện trong nhóm; đòi phí trước; đòi cụm từ khôi phục “để quét tài sản”. Danh sách đầy đủ ở chuyển nhầm mạng USDT và nhận biết sàn tài sản mã hóa giả mạo.

Làm sao để không bị hack lần nữa?

Phần lớn vụ mất tài sản ở ví cá nhân bắt nguồn từ hành vi của người dùng, nên thay đổi thói quen chặn được phần lớn rủi ro. Theo Chainalysis (18/12/2025), năm 2025 có khoảng 158.000 vụ trộm từ ví cá nhân, ít nhất 80.000 nạn nhân, tổng thiệt hại 713 triệu USD, chiếm 20% tổng giá trị tài sản mã hóa bị đánh cắp trong năm.

Checklist sau sự cố:

• Ví mới có cụm từ mới, chép tay, chưa từng nằm trên thiết bị có mạng.
• Không cài phần mềm bẻ khóa, tiện ích lạ trên máy dùng ví.
• Tải ví từ nguồn chính thức, gõ tay tên miền, không bấm quảng cáo tìm kiếm.
• Đọc kỹ nội dung trước khi ký; từ chối yêu cầu cấp quyền không giới hạn nếu không hiểu.
• Định kỳ kiểm và thu hồi quyền cũ không dùng tới.
• Tách ví: một ví nóng số nhỏ để kết nối ứng dụng, giữ phần lớn ở ví không kết nối ứng dụng lạ (ví lạnh mua đúng kênh: xem ví lạnh là gì).
• Không bao giờ gõ cụm từ khôi phục ngoài ứng dụng ví: xem cụm từ khôi phục là gì.