Ví Trust Wallet, MetaMask, Coin98 bị hack mất tiền: Kẻ gian khai thác lỗ hổng nào, cách tự bảo vệ ví USDT

Bài này đặt cạnh nhau 7 vụ ví tiền mã hóa bị rút tiền đã được công bố từ 2022 đến 11/2026 — không phải toàn bộ các vụ từng xảy ra. Chỉ một vụ lỗi nằm ở chính phần mềm công ty phát hành và công ty đã bồi hoàn: bản tiện ích trình duyệt Trust Wallet 2.68 (24–26/12/2025, 2.520 địa chỉ). Vụ thứ hai cũng lỗi từ phía ứng dụng nhưng các nguồn bài này đọc không ghi nhận bồi hoàn: ví Slope (8/2022), bị phát hiện gửi cụm từ khôi phục về máy chủ dưới dạng văn bản đọc được. Atomic Wallet (6/2023, hơn 100 triệu USD theo Elliptic) đến nay chưa được xác nhận nguyên nhân, và nguồn cũng không ghi nhận bồi hoàn. Bốn vụ còn lại bắt đầu, hoặc bị nghi là bắt đầu, từ phía người dùng — cài bản APK không chính thức từ trang giả (BitKeep, 12/2022), email giả (nghi từ phía người dùng, nguyên nhân gốc chưa được xác nhận), trang web giả, điện thoại chưa vá lỗ hổng. Trong bốn vụ này, chỉ BitKeep — nay là Bitget Wallet — công bố đã bồi hoàn đủ cho người bị mất. Với Coin98 Wallet, bài này không tìm thấy báo cáo công khai nào về việc ví bị hack làm mất tiền người dùng; rủi ro thật nằm ở kẻ giả danh hỗ trợ sau khi ví ngừng phục vụ người Việt.

Bài này mô tả loại lỗ hổng và hậu quả ở mức cơ chế để bạn nhận ra rủi ro — không mô tả cách thực hiện tấn công.

Những vụ đã được công bố: lỗi nằm ở đâu, ai chịu?

Nguồn: Trust Wallet (30/12/2025, cập nhật 17/7/2026); The Block (27/12/2025); The Block (26/12/2022); Cointelegraph (26/12/2022, dẫn OKLink); Cointelegraph (10/8/2023); CryptoSlate (03/01/2026); Macworld (09/10/2026); crypto.news (05/11/2026); The Block (04/8/2022); Decrypt (22/6/2023).

Hai con số của vụ Trust Wallet không khớp nhau (8,5 triệu và 7 triệu USD) vì đến từ hai thời điểm và hai nguồn khác nhau; Trust Wallet cũng ghi con số có thể còn thay đổi. Bài này không chọn một con số.

Trust Wallet 2.68: khi chính bản cập nhật là kẻ trộm

Theo Trust Wallet, vụ này bắt nguồn từ đợt tấn công chuỗi cung ứng phần mềm “Sha1-Hulud” tháng 11/2025, làm lộ thông tin bí mật GitHub của lập trình viên công ty. Kẻ tấn công lấy được mã nguồn tiện ích và khóa API của Chrome Web Store, rồi tự đăng bản 2.68 có mã độc, bỏ qua quy trình kiểm duyệt nội bộ. Công ty rút về bản sạch, phát hành lại thành bản 2.69.

Điểm người đọc trang này cần nắm là phạm vi. Theo thông báo của Trust Wallet, người dùng ứng dụng Trust Wallet trên điện thoại không bị ảnh hưởng; chỉ những người dùng tiện ích trình duyệt bản 2.68 và đã mở, đăng nhập trong khoảng 24–26/12/2025. Công ty nhận hơn 5.000 yêu cầu bồi hoàn, nhiều yêu cầu trùng hoặc giả, nên xét từng trường hợp. The Block ghi Trust Wallet cảnh báo người dùng tránh các biểu mẫu “bồi hoàn” giả mạo — tức là sau vụ hack, kẻ lừa đảo lại kiếm thêm một vòng từ chính nạn nhân.

Ai trả tiền? Theo The Block, Binance — công ty mua Trust Wallet năm 2018 — có nhà sáng lập Changpeng Zhao xác nhận “TrustWallet will cover”. Ở vụ này, lỗi thuộc về công ty và công ty chọn chịu. Nhưng đó là quyết định của từng công ty, không phải quy tắc: Trust Wallet tự mô tả việc bồi hoàn là “tự nguyện”, còn với Slope và Atomic Wallet ở bảng trên, các nguồn bài này đọc không ghi nhận khoản bồi hoàn nào.

Ba thứ kẻ gian cần để rút sạch một ví không lưu ký

Trust Wallet, MetaMask, Bitget Wallet, Coin98 Wallet đều là ví không lưu ký: công ty không giữ tài sản hộ bạn, và cũng không có nút “hoàn tác” một giao dịch trên blockchain. Vì vậy, các vụ được công bố quy về ba điểm yếu.

Với cửa 01 và 02, bạn là người duy nhất mở được khóa — và trong các vụ bài này đọc, không có công ty nào đứng ra bồi hoàn. Vụ Slope cho thấy cửa 01 cũng có thể mở từ phía công ty: cụm từ khôi phục bị lộ vì chính ứng dụng gửi nó đi. Đó là lý do kẻ gian đầu tư vào email giả, trang giả, tài khoản “hỗ trợ” giả nhiều hơn vào việc bẻ khóa ví: lừa một người bấm ký rẻ hơn rất nhiều so với tấn công một công ty.

Tại Mỹ, Anh và Canada, lừa đảo kiểu cửa 02 (gọi là “approval phishing”) đủ lớn để cơ quan Mật vụ Mỹ, Cơ quan Tội phạm Quốc gia Anh và cảnh sát Ontario mở chiến dịch chung Operation Atlantic từ ngày 16/3/2026 (The Block, 16/3/2026).

iPhone cũ và USDT: điểm yếu của chính nhóm người dùng này

Nhiều người giữ USDT ở Việt Nam dùng iPhone cũ hoặc máy cũ đã qua tay. Theo Macworld (09/10/2026), DarkSword tấn công qua trình duyệt, nhắm các ứng dụng ví như Trust Wallet, MetaMask, Bitpie, imToken, Exodus, Phantom; mọi lỗ hổng nó dùng đã được vá từ iOS 26.3, còn máy chạy iOS 26 bản cũ, iOS 18 hoặc cũ hơn có thể vẫn bị ảnh hưởng.

Ngày 05/11/2026, crypto.news ghi nhận các bài đăng tố một khai thác trên iPhone iOS 18.5 làm mất khoảng 1,1 triệu USD của người dùng Trust Wallet. Cáo buộc này chưa được xác nhận: bài báo nói ảnh chụp đi kèm không chứng minh được các giao dịch USDT liên quan đến lỗ hổng iPhone, và Trust Wallet chưa có tuyên bố chính thức về con số này. Cùng bài, nhà sáng lập OneKey khuyên người dùng iPhone đời cũ (từ iPhone 4S đến iPhone 11 và iPhone SE thế hệ 2) nếu đã để lộ cụm từ khôi phục thì tạo cụm mới và chuyển tài sản sang ví mới, vì một số điểm yếu không vá được bằng cập nhật thông thường.

Coin98 thì sao?

Bài này không tìm thấy báo cáo công khai nào về việc Coin98 Wallet bị hack làm mất tiền người dùng. Điều đã được công bố là Coin98 Wallet ngừng phục vụ người dùng Việt Nam từ ngày 12/9/2025 (Báo Pháp luật Việt Nam, 13/9/2025), và các kênh tiếng Việt chính thức ngừng cập nhật. Khoảng trống đó là thứ kẻ gian khai thác: tài khoản tự xưng “hỗ trợ Coin98”, “chuyển ví cho người Việt” xin cụm từ khôi phục. Diễn biến và cách xử lý nếu bạn còn tài sản trong ví này có ở bài Coin98 rút khỏi Việt Nam vì Nghị quyết 05/2025.

Nếu bạn đang hỏi rộng hơn — Coin98, Trust Wallet, Bitget có phải lừa đảo không — bài ví tiền số có lừa đảo không tách riêng rủi ro lưu ký thật với tin đồn.

Tiền đã đi rồi thì sao?

Lấy lại được bao nhiêu thì các vụ đã công bố cho thấy con số rất nhỏ: ở vụ Atomic Wallet, trên hơn 100 triệu USD bị lấy, Elliptic ghi nhận khoảng 1 triệu USD bị chặn lại tại các sàn (Decrypt, 22/6/2023). Tether — đơn vị phát hành USDT — có thể đóng băng ví theo yêu cầu cơ quan chức năng, nhưng việc đó không xảy ra chỉ vì bạn báo mất; cơ chế này được giải thích ở bài vì sao đường dây rửa tiền chọn USDT mạng TRC20. Dù vậy, mã giao dịch, địa chỉ ví nhận và ảnh chụp trang giả là hồ sơ bạn cần có khi trình báo cơ quan công an.

Và một vòng lừa thứ hai luôn chờ sẵn: Trust Wallet tuyên bố công ty “không bao giờ yêu cầu khóa riêng, cụm từ khôi phục hoặc mật khẩu” của bạn. Bất kỳ “dịch vụ lấy lại tiền”, “biểu mẫu bồi hoàn” nào xin những thứ này đều là lừa đảo.

Giữ ví USDT: những việc làm được ngay

Nguồn tham khảo

1. Trust Wallet: “Trust Wallet Browser Extension v2.68 Incident: Community Update”, 30/12/2025 (cập nhật 17/7/2026), trustwallet.com
2. The Block: “Trust Wallet launches compensation process for $7 million browser extension hack victims”, 27/12/2025, theblock.co
3. The Block: “BitKeep crypto wallets hacked after thieves create unofficial Android app”, 26/12/2022, theblock.co
4. Cointelegraph: “BitKeep exploiter used phishing sites to lure in users: Report”, 26/12/2022, cointelegraph.com
5. Cointelegraph: “Cross-chain wallet BitKeep changes name to Bitget Wallet after acquisition”, 10/8/2023, cointelegraph.com
6. CryptoSlate: “Hundreds of MetaMask wallets drained: What to check before you ‘update’”, 03/01/2026, cryptoslate.com
7. Macworld: “DarkSword and Coruna iOS exploits continue to attack crypto wallets”, 09/10/2026, macworld.com
8. crypto.news: “CZ warns Trust Wallet users of fake website as $1.1M exploit emerges”, 05/11/2026, crypto.news
9. The Block: “Slope wallet provider saved user seed phrases in plain text, Solana security researchers find”, 04/8/2022, theblock.co
10. Decrypt: “Atomic Wallet claims less than 0.1% of users affected by $100M hack”, 22/6/2023, decrypt.co
11. The Block: “US Secret Service, UK and Canada launch Operation Atlantic targeting crypto approval phishing scams”, 16/3/2026, theblock.co