Ví tiền mã hóa bị rút sạch trên Mac như thế nào, và cách ngăn chặn.

1Nơi mã độc đánh cắp tìm cụm từ khôi phục của bạn

Mã độc đánh cắp trên Mac nhắm thẳng vào ví. Atomic (AMOS) nhắm vào khoảng 50 tiện ích ví trên trình duyệt và các ví máy tính như Electrum và Exodus, cùng chuỗi khóa và các tệp trên Màn hình nền và trong Tài liệu (BleepingComputer, 2023). MacSync, lây lan qua các lệnh Terminal được dán vào trong năm 2025 và 2026, lấy cụm từ khôi phục ví tiền mã hóa cùng với chuỗi khóa (The Hacker News, 16/3/2026).

Vì vậy, một cụm từ khôi phục được gõ vào Ghi chú, lưu thành tệp .txt, giữ dưới dạng ảnh chụp màn hình hay tự gửi cho mình qua email chỉ cách một lần tìm kiếm đối với bất kỳ mã độc đánh cắp nào chạy trên Mac, dù chỉ trong một phút.

2Tìm các cụm từ bạn để lại trên Mac

Các lệnh này liệt kê những tệp trên Mac có chứa các từ mà người ta hay viết cạnh cụm từ khôi phục. Chúng chỉ tìm kiếm; không mở hay gửi bất cứ thứ gì:

mdfind -onlyin ~ "recovery phrase"

mdfind -onlyin ~ mnemonic

mdfind -onlyin ~ "seed phrase"

Hãy xem cả Ảnh chụp màn hình: trong ứng dụng Ảnh, tìm "recovery phrase", "seed" hoặc "wallet" (hoặc "cụm từ khôi phục", "ví"); Ảnh tìm được cả chữ bên trong hình. Xóa những gì bạn tìm thấy sau khi đã chép cụm từ ra giấy, rồi dọn sạch Thùng rác và album Đã xóa gần đây.

3Tráo địa chỉ trong clipboard

Clipper theo dõi clipboard của bạn. Khi bạn sao chép thứ gì trông giống địa chỉ tiền mã hóa, nó tráo vào địa chỉ cùng loại của kẻ tấn công, nên thứ bạn dán không phải thứ bạn đã sao chép.

Thói quen để ngăn chặn: sau khi dán, so sánh toàn bộ địa chỉ, không chỉ vài ký tự đầu và cuối, với địa chỉ bạn định dùng. Trên ví cứng, hãy so sánh trên màn hình thiết bị trước khi xác nhận.

4Đầu độc địa chỉ: địa chỉ giả trong lịch sử của bạn

Kẻ tấn công gửi những khoản rất nhỏ từ các địa chỉ có phần đầu và phần cuối giống địa chỉ bạn từng dùng, để một địa chỉ giả nằm ngay trong lịch sử của bạn. Chỉ cần sao chép từ lịch sử một lần là tiền sẽ đến tay họ.

Cách này hiệu quả: hai người đã mất hơn 62 triệu USD theo cách này trong tháng 12/2025 và tháng 1/2026, một người khoảng 50 triệu USD và một người 12,2 triệu USD, người thứ hai sau khi sao chép địa chỉ từ lịch sử giao dịch (Cointelegraph về số liệu của Scam Sniffer, 9/2/2026).

Điều này cũng xảy ra với MLX: ngay sau khi MLX chuyển tiền sang các ví lạnh mới vào ngày 2/11/2026, các địa chỉ giả bắt đầu gửi lượng bụi (dust) đến chúng trên Solana và BNB Chain.

• Đừng bao giờ sao chép địa chỉ từ lịch sử giao dịch.
• Lưu các địa chỉ bạn hay gửi đến vào danh bạ và chọn từ đó.
• Bỏ qua các khoản rất nhỏ đến từ địa chỉ bạn không biết. Đừng gửi trả lại.
• Gửi thử một khoản nhỏ trước đến mọi địa chỉ mới, và kiểm tra xem đã đến chưa.

5Kiểm tra ví trong năm phút

1. Tìm trên Mac các cụm từ được ghi lại (các lệnh ở trên) và ảnh chụp màn hình của bạn.
2. Mở trang tiện ích mở rộng của trình duyệt. Chỉ giữ lại các ví bạn tự cài từ đường liên kết chính thức của nhà sản xuất ví; gỡ mọi thứ bạn không nhận ra.
3. Kiểm tra macOS đã được cập nhật: Cài đặt hệ thống → Cài đặt chung → Cập nhật phần mềm.
4. Trên các chuỗi EVM, rà soát các quyền phê duyệt token cũ bạn không còn cần và thu hồi chúng, ví dụ bằng Revoke.cash.
5. Nếu bạn từng dán lệnh từ trang web vào Terminal, hãy làm thêm bước kiểm tra Mac.

6Nếu ví của bạn bị rút sạch

1. Chuyển phần còn lại sang một ví mới tạo trên thiết bị sạch, với cụm từ khôi phục mới. Đừng bao giờ dùng lại cụm từ cũ.
2. Đổi mật khẩu email và tài khoản sàn giao dịch từ thiết bị sạch đó, và bật xác thực hai yếu tố.
3. Nếu tiền đã đi đến địa chỉ nạp của một sàn giao dịch, hãy báo ngay cho sàn đó kèm mã giao dịch.
4. Giao dịch trên blockchain không thể đảo ngược. Bất kỳ ai đề nghị lấy lại tiền mã hóa cho bạn với một khoản phí đều đang lừa đảo lần thứ hai.

7Câu hỏi

Ví của tôi bị rút sạch. Tôi phải làm gì?

Chuyển phần còn lại sang ví mới tạo trên một thiết bị sạch, với cụm từ khôi phục mới, và đổi mật khẩu email và sàn giao dịch từ thiết bị đó. Nếu tiền đã đến một sàn giao dịch, hãy báo mã giao dịch cho sàn đó. Sau đó kiểm tra cụm từ bị lộ bằng cách nào trước khi dùng lại Mac cho tiền mã hóa.

Đầu độc địa chỉ (address poisoning) là gì?

Kẻ tấn công gửi những khoản rất nhỏ từ các địa chỉ trông giống địa chỉ bạn từng dùng, để một địa chỉ giả xuất hiện trong lịch sử của bạn. Nếu bạn sao chép từ lịch sử, bạn sẽ gửi cho họ. Điều này xảy ra trên mọi chuỗi, kể cả Ethereum, BNB Chain, Tron và Solana. Thay vào đó, hãy chọn địa chỉ từ danh bạ đã lưu.

Tôi nên cất seed phrase ở đâu?

Trên giấy hoặc kim loại, ngoại tuyến, ở hai nơi riêng biệt. Đừng bao giờ để trong Ghi chú, tệp văn bản, ảnh chụp màn hình, ảnh, email hay ổ đĩa đám mây. Với số tiền lớn hơn, hãy dùng ví cứng để khóa không bao giờ chạm vào máy tính.

Lưu cụm từ khôi phục trong trình quản lý mật khẩu có an toàn không?

Như vậy tốt hơn nhiều so với ghi chú hay ảnh chụp màn hình, nhưng nó vẫn nằm trên máy tính: mã độc đánh cắp chạy dưới tài khoản của bạn đôi khi có thể truy cập được. Với những gì bạn không thể để mất, hãy giữ cụm từ ngoại tuyến.

Tiền mã hóa bị đánh cắp có lấy lại được không?

Thường là không: giao dịch trên blockchain là cuối cùng. Nếu tiền đã đến một sàn giao dịch, sàn đó có thể đóng băng nếu bạn báo sớm. Hãy phớt lờ bất kỳ ai đề nghị lấy lại tiền với một khoản phí.