Những kẻ lừa đảo gửi thư giả Ledger và Trezor để đánh cắp cụm từ seed

Các kẻ lừa đảo sử dụng thư gửi qua bưu điện giả mạo và mã QR để lừa người dùng Trezor và Ledger tiết lộ cụm từ seed của ví.

Các cuộc tấn công lừa đảo qua phishing trong lĩnh vực crypto không còn giới hạn ở email và quảng cáo giả mạo nữa. Các tội phạm hiện đang gửi thư vật lý đến người dùng ví phần cứng. Thư trông có vẻ chính thức và thúc giục hành động nhanh chóng, nhằm lừa người dùng tiết lộ cụm từ khôi phục và đánh cắp quỹ của họ.

Người dùng Trezor và Ledger được cảnh báo về thư phishing mã QR

Các đối tượng đe dọa đang gửi thư đến người dùng giả mạo Trezor và Ledger, hai nhà sản xuất ví phần cứng lớn. Thư yêu cầu người dùng phải hoàn thành “Kiểm tra xác thực” hoặc “Kiểm tra giao dịch” bắt buộc. Họ cảnh báo rằng nếu không thực hiện, có thể gặp vấn đề truy cập ví. Mỗi thư đều kèm theo mã QR dẫn đến các trang web lừa đảo.

Các báo cáo cho thấy thư trông rất chính thức, sử dụng logo và thương hiệu của công ty. Trong khi đó, cả hai công ty đã từng gặp các vụ rò rỉ dữ liệu trước đó, làm lộ thông tin liên hệ của khách hàng. Thông tin gửi thư bị đánh cắp có thể đã giúp mở rộng chiến dịch lừa đảo.

Chuyên gia an ninh mạng Dmitry Smilyanets đã chia sẻ một trong những thư giả mạo này trên một bài đăng trên X. Trong trường hợp đó, kẻ lừa đảo giả mạo Trezor và yêu cầu người dùng hoàn thành kiểm tra xác thực trước ngày 15 tháng 2 năm 2026. Không tuân thủ được cho là sẽ gây gián đoạn truy cập vào Trezor Suite.

Hơn nữa, thư còn yêu cầu người dùng quét mã QR bằng điện thoại và làm theo hướng dẫn trên một trang web. Thư còn gây áp lực bằng cách nói rằng cần hành động ngay, dù tính năng đã được kích hoạt sẵn. Mục đích của kẻ lừa đảo là khiến người dùng hành động nhanh mà không suy nghĩ kỹ.

Một thư tương tự cũng nhắm vào người dùng Ledger. Thư này tuyên bố sắp có “Kiểm tra giao dịch” bắt buộc. Với hạn chót là ngày 15 tháng 10 năm 2025, tin nhắn cảnh báo rằng bỏ qua sẽ gây ra vấn đề trong các giao dịch.

Quét mã QR dẫn đến các trang web giả mạo trông giống trang chính thức của Trezor hoặc Ledger. Trang liên quan đến Ledger sau đó đã ngừng hoạt động, trong khi trang giả của Trezor vẫn còn online nhưng bị Cloudflare phát hiện là lừa đảo.

Trang giả của Trezor hiển thị banner cảnh báo, yêu cầu người dùng hoàn thành xác thực trước ngày 15 tháng 2 năm 2026. Một ngoại lệ cho các mẫu Trezor Safe mới hơn mua sau ngày 30 tháng 11 năm 2025 đã được thêm vào trang. Thông báo này cho rằng các thiết bị đó đã được cấu hình sẵn.

Hơn nữa, trang cuối cùng yêu cầu người dùng nhập cụm từ khôi phục ví. Mẫu form cho phép nhập 12, 20 hoặc 24 từ. Để xác nhận quyền sở hữu, trang yêu cầu nhập cụm từ để kích hoạt xác thực. Trong thực tế, nhập vào sẽ giúp kẻ lừa đảo có toàn quyền truy cập vào ví.

An toàn cụm từ seed trong bối cảnh các vụ lừa đảo crypto offline gia tăng

Các hình thức phishing vật lý vẫn ít phổ biến hơn so với lừa đảo qua email. Tuy nhiên, các chiến dịch gửi thư qua bưu điện đã từng xuất hiện trước đây. Năm 2021, tội phạm đã gửi các thiết bị Ledger đã chỉnh sửa nhằm thu thập cụm từ khôi phục trong quá trình thiết lập. Một đợt lừa đảo qua bưu điện khác nhắm vào người dùng Ledger đã xuất hiện vào tháng 4.

Các nhà cung cấp ví phần cứng liên tục cảnh báo khách hàng không bao giờ chia sẻ cụm từ khôi phục. Không có cập nhật hoặc kiểm tra bảo mật hợp lệ nào yêu cầu nhập cụm từ seed trực tuyến. Các công ty không yêu cầu dữ liệu này qua thư, email hoặc điện thoại.

Trong khi đó, sự tinh vi ngày càng tăng của các chiêu trò lừa đảo cho thấy rủi ro liên tục đối với các nhà đầu tư crypto. Các chiến thuật offline có thể trông đáng tin hơn đối với một số người dùng vì thư in có thể cảm giác chính thức và cấp bách.

Vì vậy, người dùng nên xác minh các thông báo an ninh trực tiếp qua các trang web chính thức. Gõ thủ công địa chỉ web đã biết an toàn hơn so với việc quét mã QR lạ. Các thư nghi ngờ nên được báo cáo ngay lập tức cho nhà cung cấp ví và các cơ quan an ninh mạng.