Trò lừa thường gặp trong crypto: cái bẫy dân chứng khoán hay dính

Có một người bạn, lăn lộn cổ phiếu hơn chục năm, tự tin nghe lời kẻ lừa là biết tỏng. Vậy mà qua crypto chưa được mấy tháng, trong một nhóm "thầy phím hàng", anh ấy đổ một khoản không nhỏ vào một "nền tảng" trông lãi đều đặn, cuối cùng cả gốc lẫn lãi không còn một xu. Sau đó anh nói với tôi một câu tôi nhớ mãi: "Tôi chặn được kẻ lừa trong chứng khoán, nhưng chặn không được trong crypto — vì nó đổi cái vỏ, tôi không nhận ra."

Vấn đề nằm chính ở đó. Cốt lõi của trò lừa thật ra xưa nay đông tây đều na ná nhau, nhưng crypto khoác cho chúng thuật ngữ mới, vật mang mới, khiến hệ thống báo động quen thuộc của bạn mất tác dụng. Bài này không dọa bạn, chỉ thành thật mổ xẻ vài kiểu phổ biến nhất để lần sau gặp bạn nhận ra.

Vì sao dân chứng khoán lại dễ bị lừa hơn

Nghe ngược trực giác, nhưng dân chứng khoán trong crypto đúng là có vài "tử huyệt" riêng:

• Tự tin "tôi hiểu đầu tư": chính vì có kinh nghiệm cổ phiếu, dễ nghĩ "chiêu này lừa không nổi tôi", ngược lại buông lỏng cảnh giác, bị cái vỏ mới làm hoa mắt.
• Trơ lỳ trước "lợi nhuận cao": trong chứng khoán, lãi vài chục phần trăm một năm đã thơm; crypto động tí là tuyên bố x2, dân chứng khoán đôi khi bị thứ "siêu lợi nhuận được hợp lý hóa" này hút vào — thật ra càng hứa lợi nhuận cao càng phải cảnh giác.
• Không quen điểm rủi ro của công cụ mới: cấp quyền ví, private key, chuyển tiền on-chain là những thứ chứng khoán không có, vùng mù kiến thức chính là nơi kẻ lừa ra tay.
• Quen "có người bảo lãnh": dân chứng khoán mặc định có chuyện thì đòi lại được, nhưng nhiều tình huống trong crypto chuyển đi là không truy được, cái lệch nhận thức về tính "không thể đảo ngược" này khiến người ta lơ là phòng bị.

Nhìn rõ mấy tử huyệt này, bạn sẽ hiểu vì sao "tôi là dân lão luyện" lại chính là tâm thế nguy hiểm nhất.

Lừa tình lừa tiền: độc nhất

Đây là loại nguy hại lớn nhất, cũng nham hiểm nhất, vì nó lừa không chỉ tiền mà cả tình cảm và lòng tin. Kịch bản điển hình thế này:

Kẻ lừa trước hết qua mạng xã hội, app hẹn hò, thậm chí "lỡ tay kết bạn nhầm" để bắt liên lạc với bạn, dành thời gian dài trò chuyện, xây dựng tình cảm hay lòng tin (giai đoạn này gọi là "nuôi"). Rồi từ từ dẫn câu chuyện sang đầu tư, tuyên bố mình có tin nội bộ, có kênh "chắc lời", hoặc dắt bạn vào một "nền tảng đầu tư" trông rất chuyên nghiệp.

Chiêu độc then chốt nằm ở phía sau: nền tảng này thường do chính kẻ lừa dựng, hoàn toàn nằm trong tầm kiểm soát, là một sàn giả. Ban đầu bạn đặt ít tiền, nó thật sự cho bạn "lời" và rút được, xóa sạch nghi ngờ của bạn; đợi bạn tin, đổ thêm vào, nền tảng bắt đầu đủ lý do không cho rút — phải nộp thuế, phải nộp tiền giải băng, hệ thống bảo trì... cho đến khi bạn đổ hết tiền, nền tảng biến mất, người cũng chặn (giai đoạn này gọi là "thịt").

Một "nền tảng" cho bạn rút khoản nhỏ thành công không có nghĩa nó là thật; đó chỉ là một phần của miếng mồi. Một nơi cần bạn nộp tiền liên tục mới "giải băng" được vốn, thì vốn đó từ đầu đã không tồn tại.

Điểm nhận diện: phàm cái gì "kết tình cảm trước rồi dắt đi đầu tư", về cơ bản có thể tuyên án tử ngay; phàm nền tảng bảo bạn nộp tiền vào tài khoản hay địa chỉ lạ, lại không phải sàn chính thống do chính bạn kiểm soát, thì cảnh giác cao độ; phàm "càng nạp càng rút được, đổ thêm vào lại rút không ra" thì đúng nhịp lừa tình lừa tiền điển hình. Giao dịch thật sự, tiền của bạn phải nằm trong tài khoản của chính bạn, rút được bất cứ lúc nào, chứ không phải trong đường link nào đó "thầy" đưa.

Vì sao bộ lừa này sát thương đặc biệt với dân chứng khoán? Vì nó nhắm chính xác vào sự tự tin "tôi hiểu đầu tư" của bạn. Lời lẽ phím hàng của kẻ lừa đầy K-line, vùng hỗ trợ, quản lý vị thế — toàn từ ngữ bạn quen, nói chuyện rất vào, khiến bạn lầm tưởng gặp được "cao thủ cùng nghề". Mà càng kiểu phím hàng "nghe rất chuyên nghiệp" này càng phải cảnh giác — có bản lĩnh lời ổn định thật thì người ta lặng lẽ làm giàu là được, cớ gì cầm tay chỉ việc cho một người lạ? Kiến thức chuyên môn của bạn ở đây không phải lá chắn, ngược lại thành cái móc để kẻ lừa lấy lòng tin của bạn. Nhìn thấu lớp này, bạn sẽ không còn vì "đối phương rất sành" mà buông lỏng cảnh giác.

Sàn giả và app giả

Loại này chuyên hại người vừa vào, còn chưa phân biệt được nền tảng chính thống. Kẻ lừa dựng một website giả gần như y hệt sàn chính thống, hoặc một app giao dịch giả (có thể lan qua kênh không chính thức, link gửi trong nhóm). Bạn đăng ký, nạp tiền, giao dịch trên đó, trông mọi thứ bình thường, thực ra tiền của bạn chui thẳng vào túi kẻ lừa, hoặc "coin" bạn mua căn bản không tồn tại.

Cái nguy là độ giống cực cao — giao diện, logo, thậm chí tổng đài đều nhái ra dáng ra vẻ, người mới rất khó nhìn thủng một mắt. Cốt lõi phòng tránh chỉ một điều:

• Chỉ tải và truy cập từ kênh chính thức: nhận đúng tên miền chính thức (tự tay gõ vào hoặc lưu bookmark, đừng bấm link người khác gửi), app tải từ kho ứng dụng chính thức hoặc kênh chính thống mà website chính thức hướng dẫn. Bất kỳ "link tải gửi trong nhóm", "gói cài tổng đài nhắn riêng cho bạn" đều phải coi là đáng ngờ.
• Soi từng ký tự của địa chỉ web: trang lừa đảo hay dùng tên miền na ná (ví dụ đổi chữ o thành số 0, hoặc thêm một dấu gạch nối), không nhìn kỹ căn bản không phát hiện ra.
• Thao tác lớn thì thử khoản nhỏ kiểm tra nền tảng trước: nếu chưa chắc về một nền tảng, thử khoản nhỏ xem rút được bình thường không, nhưng chắc ăn hơn là ngay từ đầu chỉ dùng nền tảng chủ lưu có tiếng, tuân thủ quy định cao, quy mô lớn.

Đây cũng là lý do chúng tôi luôn khuyên người mới khởi đầu từ nền tảng lớn tuân thủ quy định, có tiếng — không phải đứng ra quảng cáo cho họ, mà để giảm xác suất bạn đâm phải nền tảng giả. Phân biệt sàn chính thống thế nào, quy trình mở tài khoản ra sao, xem tài khoản công ty chứng khoán và tài khoản sàn: 6 điểm khác nhau.

Lừa airdrop và cấp quyền độc hại

Loại này là trò lừa riêng của crypto, chứng khoán hoàn toàn không có, chuyên lợi dụng việc người mới không hiểu cơ chế "cấp quyền ví". Dạng hay gặp:

Ví của bạn bỗng nhận được một "coin airdrop từ trên trời rơi xuống", hoặc bạn thấy hoạt động hấp dẫn kiểu "nhận airdrop miễn phí", "nhận thưởng". Khi bạn đi "nhận" hay "kích hoạt", website sẽ yêu cầu ví của bạn làm một thao tác "cấp quyền" hoặc ký. Vấn đề nằm chính ở đây — cái quyền này có thể đang xin bạn giao quyền chuyển tài sản trong ví cho đối phương. Một khi bạn ngơ ngác ký, cấp quyền, kẻ lừa có thể chuyển coin trong ví bạn đi.

Cái đáng sợ của loại này là, nó không cần lừa private key của bạn, chỉ cần lừa bạn "bấm xác nhận một cái". Rất nhiều người bị rút sạch ví chính là vì kết nối một trang lừa đảo, ký một lệnh cấp quyền không hiểu. Điểm phòng tránh:

• Coin airdrop không rõ nguồn gốc, đừng động vào, đừng cấp quyền: thấy ví bỗng dư ra coin lạ, cách an toàn nhất là coi như nó không tồn tại, tuyệt đối không tương tác với nó.
• Không kết nối trang lạ, không ký lệnh cấp quyền không hiểu: mỗi lần ví bật yêu cầu ký/cấp quyền, đều phải nhìn rõ nó định làm gì. Không hiểu thì từ chối.
• Tách ví khỏi tài sản lớn: ví dùng tương tác với đủ loại ứng dụng hằng ngày thì đừng để tài sản lớn; tiền lớn ôm dài hạn thì dùng ví riêng, không vào bừa các trang, thậm chí ví lạnh để cất. Lối nghĩ này nói rất kỹ ở ví crypto là gì.
• Khắc chết nguyên tắc sắt: bất kỳ "airdrop", "tổng đài", "hoạt động" nào hỏi xin cụm từ khôi phục/private key của bạn, một trăm phần trăm là lừa, không ngoại lệ.

Bơm xả: công thức quen thuộc

Loại này dân chứng khoán nên đồng cảm nhất — nó chính là bản crypto của "làm giá", "bơm xả" (tiếng Anh gọi pump and dump). Thủ pháp giống y vài kiểu thổi cổ phiếu đề tài:

Một nhóm người (hoặc một tay to, một "nhóm hô lệnh") trước hết âm thầm gom một coin nhỏ thanh khoản kém ở vùng thấp, rồi qua mạng xã hội, nhóm hô lệnh, KOL ra sức tạo sóng, dựng bầu không khí "coin này sắp bay", hút nhà đầu tư nhỏ lẻ chạy theo. Sau khi giá bị kéo lên nhanh, nhóm vào hàng sớm nhất nhân lúc nhỏ lẻ đỡ hàng mà xả mạnh chốt lời, giá lập tức sụp, nhỏ lẻ chạy theo bị kẹp chặt trên đỉnh núi.

Bơm xả trong crypto còn lộng hành hơn cổ phiếu, vì: ràng buộc giám sát yếu, coin nhỏ thanh khoản kém càng dễ thao túng, hô lệnh qua mạng xã hội lan nhanh, lại không có biên độ trần sàn chặn lại (xem không có biên độ trần sàn), giá có thể bị kéo vừa nhanh vừa mạnh. Điểm nhận diện:

• Cảnh giác mọi lời hô "tin nội bộ", "dắt bạn lên tàu", "sắp kéo": thật sự có tin nội bộ chắc lời, cớ gì báo bạn miễn phí? Khả năng cao bạn được tìm tới để đỡ hàng.
• Nghi ngờ cao độ những coin nhỏ bỗng tăng vọt, tạo sóng rợp trời: nhất là loại cơ bản rỗng tuếch, on-chain không ai dùng, thuần hô lên (cách xem cơ bản ở phân tích cơ bản của crypto nhìn vào đâu).
• Dùng trực giác về cổ phiếu đề tài của bạn: kịch bản "tin đồn rợp trời, tăng vọt cùng khối lượng, rồi tan tành" trong chứng khoán, ở crypto y hệt, mang sự cảnh giác qua đây.

Ở đây còn một biến thể riêng của crypto, gọi là "honeypot" (hũ mật) — code của nó bị động tay chân: bạn mua vào được, nhưng căn bản bán không ra, hoặc chỉ chủ dự án bán được. Tức là tiền của bạn vào được không ra được, biểu đồ giá trông vẫn đang tăng, thực ra bạn đã bị khóa cứng. Cái hố này người mới căn bản không nhìn ra, nên lại quay về nguyên tắc cũ: đừng động vào coin nhỏ không rõ nguồn gốc, không ai dùng, thuần dựa hô lệnh, cái bạn tiết kiệm không chỉ là tiền mà còn cả một bụng tức.

Giả mạo tổng đài và bên chính thức

Loại cuối là giả mạo danh tính. Kẻ lừa giả làm tổng đài sàn, bên chính thức của ví, thậm chí nhân viên của một dự án, qua tin nhắn riêng, điện thoại, tin trong nhóm tìm tới bạn, kịch bản hay gặp:

• "Tài khoản của bạn có bất thường/có rủi ro bảo mật, cần xác minh", rồi dụ bạn cung cấp mật khẩu, mã xác minh, thậm chí cụm từ khôi phục.
• "Giúp bạn xử lý vấn đề rút tiền/giải băng tài khoản", dẫn bạn chuyển tiền hay cấp quyền.
• Sau khi bạn công khai cầu cứu (ví dụ hỏi một câu trên mạng xã hội), "tổng đài" chủ động nhắn riêng tới "giúp giải quyết".

Nhớ một nguyên tắc sắt: tổng đài của nền tảng chính thống tuyệt đối không chủ động nhắn riêng đòi mật khẩu, mã xác minh, private key hay cụm từ khôi phục của bạn, cũng không bảo bạn chuyển tiền sang một "tài khoản an toàn" nào đó. Thật sự có vấn đề, bạn phải tự liên hệ tổng đài qua kênh chính thức (website chính thức, trong app chính thức), chứ không tin bất kỳ "tổng đài" nào chủ động tìm tới. Điều này cùng một lẽ với tuyên truyền chống lừa của ngân hàng "bên chính thức không đòi mật khẩu của bạn", dân chứng khoán nên không lạ, chỉ cần mang trọn vẹn sự cảnh giác đó sang crypto.

Một bộ quy tắc cứng để chống lừa

Gói cả bài thành vài quy tắc cứng bạn có thể thực hiện ngay, dán vào lòng:

• Cụm từ khôi phục/private key, ai hỏi vì lý do gì cũng không đưa. Đây là vạch đáy trong các vạch đáy, không ngoại lệ.
• Hứa "chắc lời", "bảo toàn vốn lãi cao", "tin nội bộ phím hàng" thì đều là lừa. Đầu tư không có chuyện chắc lời, dân chứng khoán rõ hơn ai hết.
• Món lợi chủ động tìm tới (người kết bạn, airdrop tặng, tổng đài tìm bạn), nghi trước đã.
• Chỉ dùng kênh chính thức, chỉ dùng nền tảng lớn tuân thủ quy định, soi địa chỉ web và app đi soi lại.
• Không kết nối trang lạ, không ký lệnh cấp quyền ví không hiểu.
• Tài sản lớn tự lưu ký + cất tách nhau, đừng dồn hết một chỗ (xem bài về ví).
• Chậm chính là nhanh. Bất cứ ai giục bạn "nộp tiền ngay, thao tác ngay, lỡ là hết" đều đang tạo bốc đồng để bạn không kịp suy nghĩ — càng gấp càng phải dừng.

Còn một điều muốn dặn riêng: lỡ thật sự bị lừa, đừng vì xấu hổ hay tâm lý cầu may mà ỉm đi không xử lý. Trước tiên dừng ngay mọi thao tác nộp thêm tiền (nhiều người càng lún sâu trong ảo tưởng "nạp thêm chút nữa là rút được vốn"), giữ lại toàn bộ tin nhắn, chứng từ chuyển khoản, thông tin đối phương, rồi tùy tình hình nơi bạn ở mà trình báo, cầu cứu cảnh sát địa phương hay cơ quan liên quan. Bị lừa không phải vì bạn ngốc, kịch bản của kẻ lừa được thiết kế chuyên nghiệp để đánh vào điểm yếu con người; cắt lỗ kịp thời, giữ lại bằng chứng mới là điều nên làm nhất sau khi bị lừa.

Crypto đúng là lắm hố, nhưng đại đa số trò lừa đều không thoát khỏi mấy kiểu chiêu trên. Tinh thần hoài nghi bạn luyện được nhờ chơi chứng khoán là tài sản đáng giá nhất ở đây — đừng vì đổi thị trường mà vứt nó đi. Dựng nền móng cho chắc, đặt tâm thế cho đúng, rồi quay lại nhìn khác biệt luật chơi của cả thị trường, bạn sẽ tỉnh táo hơn nhiều: 12 khác biệt then chốt giữa chứng khoán và crypto và cẩm nang đầy đủ cho dân chứng khoán sang crypto đều đáng đọc.

Đọc thêm

• Binance Academy · chuyên mục bảo mật — bài hướng dẫn nhận diện các trò lừa và bảo mật tài khoản.
• Investopedia: Pump and Dump — tiếng Anh, giải thích quyền uy về bơm xả.
• Trang bảo mật ethereum.org — khuyến nghị chính thức về ví và chống lừa đảo.
• CoinGecko — tham khảo để đối chiếu coin thật giả, vốn hóa và đường link.