Blockstream cảnh báo chiến dịch email giả mạo nhắm vào người dùng ví cứng Jade, mạo danh cập nhật firmware qua liên kết độc hại. Công ty xác nhận không bao giờ gửi tệp firmware qua email và chưa ghi nhận rò rỉ dữ liệu.
Phishing lợi dụng thông điệp trông có vẻ hợp lệ để đánh cắp tiền điện tử và dữ liệu nhạy cảm. Người dùng cần nâng cao cảnh giác, xác minh nguồn và áp dụng thực hành an toàn trực tuyến để bảo vệ tài sản.
- Blockstream xác nhận có email lừa đảo giả mạo cập nhật firmware Jade và khẳng định không gửi firmware qua email.
- Thiệt hại do phishing tăng mạnh: hơn 12.000.000 USD trong tháng 8 và 3,1 tỷ USD nửa đầu 2025, theo Scam Sniffer và Hacken.
- Cách phòng tránh: kiểm tra URL, dùng bookmark, không nhấp liên kết lạ, dùng VPN, và chỉ cập nhật từ kênh chính thức.
Blockstream đã cảnh báo điều gì về chiến dịch giả mạo?
Blockstream cho biết có email lừa đảo yêu cầu người dùng tải firmware ví cứng Jade qua liên kết độc hại, đồng thời xác nhận họ không bao giờ gửi firmware qua email và chưa có dữ liệu bị xâm phạm.
Thông báo chính thức được đăng trên kênh X của Blockstream, nêu rõ nội dung email giả mạo hướng nạn nhân tới “phiên bản firmware mới nhất” qua một liên kết gắn mã độc. Xem nguồn: Blockstream trên X.
Người dùng Jade cần bỏ qua email yêu cầu tải firmware, không nhấp liên kết và chỉ thực hiện cập nhật qua kênh chính thức. Bất cứ tệp đính kèm hoặc đường dẫn từ người gửi lạ đều phải coi là rủi ro cao.
Phishing nhắm vào ví cứng hoạt động như thế nào?
Kẻ xấu mạo danh thương hiệu uy tín, gửi email hỗ trợ hoặc cảnh báo bảo mật, dụ người dùng nhấp vào liên kết cập nhật, từ đó cài mã độc hoặc đánh cắp seed phrase, khóa riêng tư hay thông tin đăng nhập.
Trong trường hợp này, kỹ thuật mồi nhử dựa vào “cập nhật firmware khẩn” để tạo cảm giác cấp bách, làm người dùng mất cảnh giác. Liên kết giả có thể chuyển hướng đến trang giống hệt giao diện chính hãng, khai thác lỗi chính tả tên miền hoặc quảng cáo trả phí trên công cụ tìm kiếm.
Hệ quả có thể là mất quyền kiểm soát ví, rò rỉ dữ liệu và thất thoát tài sản vĩnh viễn do giao dịch on-chain không thể đảo ngược.
Thiệt hại do phishing trong lĩnh vực tiền điện tử đang tăng mạnh
Theo dịch vụ chống lừa đảo Scam Sniffer, người dùng đã mất hơn 12.000.000 USD chỉ trong tháng 8, với hơn 15.000 nạn nhân, tăng 67% so với tháng 7. Nguồn: Scam Sniffer trên X.
Báo cáo H1 2025 của hãng an ninh blockchain Hacken ghi nhận tổng thiệt hại do lừa đảo và tấn công vượt 3,1 tỷ USD trong 6 tháng đầu năm 2025, cao hơn đáng kể so với 2024. Nguồn: Hacken, H1 2025 Security Report.
Các chiến dịch lừa đảo ngày càng tinh vi: mạo danh thương hiệu, domain “na ná”, malvertising, và social engineering đa kênh. Người dùng cần quy trình xác minh nhiều bước trước khi thao tác với ví hoặc ký giao dịch.
Dấu hiệu nhận biết email và liên kết độc hại là gì?
Email giả mạo thường khẩn cấp, đe dọa khóa tài khoản hoặc yêu cầu cập nhật ngay, kèm liên kết tải firmware hay đăng nhập lại tài khoản.
Hãy soát kỹ tên miền: lỗi chính tả nhẹ, thay “o” bằng “0”, thêm hoặc bớt dấu chấm, sử dụng TLD lạ. Kiểm tra chứng chỉ HTTPS không đủ, vì kẻ xấu cũng có thể dùng HTTPS.
Các dấu hiệu khác: sai lỗi chính tả, cách xưng hô chung chung, tệp đính kèm bất thường, hoặc địa chỉ người gửi không khớp domain chính thức. Đừng nhấp nếu có bất kỳ nghi ngờ nào.
Tại sao cập nhật firmware qua email là rủi ro cao?
Vì email là kênh dễ bị mạo danh, kẻ xấu có thể đính kèm tệp chứa mã độc hoặc điều hướng tới trang giả mạo để đánh cắp seed phrase.
Blockstream đã khẳng định họ không phân phối firmware qua email. Bất kỳ email yêu cầu tải firmware từ liên kết đều nên coi là lừa đảo, đặc biệt khi đi kèm yêu cầu nhập khóa riêng tư hoặc seed phrase.
Quy tắc chuẩn là cập nhật từ ứng dụng/chương trình chính hãng hoặc trang chính thức đã xác minh, không thao tác từ liên kết trong email.
Thực hành an toàn khuyến nghị khi sử dụng ví cứng
Áp dụng các bước dưới đây giúp giảm rủi ro trước chiến dịch phishing đa kênh.
– Kiểm tra URL thủ công, gõ địa chỉ hoặc dùng bookmark đã lưu. Tránh tìm kiếm và nhấp quảng cáo.
– Không bao giờ nhập seed phrase/khóa riêng tư trên trang web. Seed chỉ dùng trên thiết bị ví khi khởi tạo/khôi phục.
– Sử dụng VPN đáng tin cậy để che IP, kết hợp tường lửa và phần mềm bảo mật cập nhật.
– Bật 2FA ứng dụng (không dùng SMS), quản lý mật khẩu bằng trình quản lý uy tín, cập nhật hệ điều hành và trình duyệt thường xuyên. Tham khảo khuyến nghị chung từ CISA về phishing và bảo mật người dùng: CISA.
Bảng so sánh: Cập nhật firmware an toàn vs email giả mạo
So sánh nhanh giúp nhận diện kịch bản rủi ro.
| Tiêu chí | Cập nhật an toàn | Email giả mạo |
|---|---|---|
| Nguồn tải | Ứng dụng/chương trình chính hãng hoặc trang chính thức đã xác minh | Liên kết trong email/tệp đính kèm không rõ nguồn |
| Quy trình | Hướng dẫn rõ ràng trong tài liệu chính thức, không yêu cầu seed phrase | Yêu cầu gấp, có thể đòi nhập seed phrase, mật khẩu |
| Kênh thông báo | Kênh chính thức (trang web, ứng dụng, kênh mạng social đã xác minh) | Email đơn lẻ, người gửi lạ, nội dung hối thúc |
| Dấu hiệu rủi ro | Tên miền chuẩn, chữ ký số/ứng dụng đã biết | Tên miền “na ná”, lỗi chính tả, nội dung đe dọa |
Nên làm gì nếu đã nhấp vào liên kết đáng ngờ?
Ngắt kết nối mạng, không cấp thêm quyền hoặc nhập thông tin. Quét thiết bị bằng phần mềm bảo mật cập nhật.
Thay đổi mật khẩu liên quan, thu hồi Token phiên đăng nhập nếu có. Nếu nghi ngờ lộ khóa/seed, di chuyển tài sản sang ví mới tạo trên thiết bị sạch.
Giám sát tài khoản và ví trên blockchain, bật cảnh báo giao dịch. Báo cáo sự cố trên kênh chính thức của nhà cung cấp và lưu trữ bằng chứng (email, tiêu đề thư, URL).
Làm thế nào để xác minh thông tin chính thức từ Blockstream?
Đối chiếu thông tin tại kênh chính thức như tài khoản X của Blockstream: thông báo cảnh báo phishing.
Không tin vào tệp đính kèm email. Nếu nhận thông điệp bất thường, hãy truy cập trực tiếp trang chính thức đã lưu bookmark thay vì nhấp liên kết.
Khi còn nghi ngờ, tạm dừng thao tác với ví và tìm xác nhận từ nhiều kênh chính thức, ưu tiên hướng dẫn công khai của nhà cung cấp.
Những câu hỏi thường gặp
Email yêu cầu cập nhật firmware Jade có phải chính hãng?
Không. Blockstream xác nhận họ không gửi firmware qua email. Bỏ qua, không nhấp liên kết, truy cập kênh chính thức để kiểm tra thông tin.
Tôi nên kiểm tra URL thế nào để tránh domain giả?
Gõ tay địa chỉ hoặc dùng bookmark. Soát từng ký tự, nhất là thay thế “o/0”, thêm bớt dấu chấm. Tránh truy cập từ quảng cáo tìm kiếm.
Đã lỡ nhấp liên kết, tôi cần làm gì ngay?
Ngắt mạng, quét thiết bị, đổi mật khẩu, kiểm tra cấp quyền. Nếu nghi rò rỉ seed/khóa, chuyển tài sản sang ví mới và theo dõi giao dịch.
VPN có giúp chống phishing không?
VPN giúp che IP và mã hóa kết nối nhưng không ngăn được trang giả mạo. Vẫn cần kiểm tra URL, nguồn tải và không nhập seed phrase.
Vì sao nên cập nhật từ kênh chính thức thay vì email?
Kênh chính thức có cơ chế xác minh và hướng dẫn chuẩn. Email dễ bị giả mạo, có thể chứa liên kết/tệp độc hại đánh cắp thông tin.
