Approval scam là gì? Vì sao nhiều người dính bẫy

Sự chuyển dịch từ Internet thông tin (Web2) sang Internet giá trị (Web3) đã tạo ra một cuộc cách mạng trong cách thức con người sở hữu và chuyển giao tài sản. Tuy nhiên, tính chất phi tập trung và không thể đảo ngược của công nghệ blockchain cũng biến nó trở thành mảnh đất màu mỡ cho các hình thức tội phạm mạng tinh vi. "Approval Scam" (lừa đảo phê duyệt) đã trở thành một trong những phương thức tấn công nguy hiểm nhất, nhắm trực tiếp vào cơ chế vận hành cốt lõi của hợp đồng thông minh. Khác với các cuộc tấn công truyền thống dựa trên việc chiếm đoạt khóa bí mật (private key), Approval Scam khai thác chính sự đồng thuận của người dùng thông qua các giao diện lập trình ứng dụng (API) chuẩn hóa của token, khiến quyền sở hữu tài sản trở nên mong manh chỉ sau một lần ký xác nhận.

Nền tảng kỹ thuật của cơ chế phê duyệt trong Blockchain

Để hiểu rõ bản chất của Approval Scam, cần phân tích các tiêu chuẩn token đang thống trị hệ sinh thái Ethereum và các chuỗi tương thích EVM (Ethereum Virtual Machine). Các tiêu chuẩn này quy định cách thức các loại tài sản kỹ thuật số tương tác với nhau và với các ứng dụng phi tập trung (dApps).

Tiêu chuẩn ERC-20 và hàm Approve

ERC-20 là tiêu chuẩn phổ biến nhất cho các token có thể thay thế (fungible tokens). Một trong sáu hàm bắt buộc của tiêu chuẩn này là approve(address spender, uint256 amount). Hàm này cho phép chủ sở hữu ví ủy quyền cho một địa chỉ khác (thường là một hợp đồng thông minh của dApp) quyền được rút một lượng token nhất định từ ví của họ.

Cơ chế này được gọi là "Allowance" (Hạn mức chi tiêu). Khi người dùng thực hiện một giao dịch trên các sàn giao dịch phi tập trung (DEX) như Uniswap, họ phải cấp quyền cho hợp đồng của Uniswap được phép lấy token từ ví của họ để thực hiện việc hoán đổi (swap). Điều này tạo ra sự tiện lợi tối đa nhưng cũng hình thành một lỗ hổng bảo mật: nếu hợp đồng được phê duyệt là độc hại, nó có thể rút tiền của người dùng vào bất cứ lúc nào mà không cần sự can thiệp thêm của chủ ví. Các hàm này thuộc chuẩn token ERC-20, ERC-721, ERC-1155 (xem token standard là gì).

Sự khác biệt giữa ERC-721 và ERC-1155 trong cơ chế phê duyệt

Trong khi ERC-20 xử lý các token có thể thay thế, ERC-721 và ERC-1155 lại quản lý các token không thể thay thế (NFT) và các loại token đa năng. Dưới đây là chi tiết về cơ chế phê duyệt của chúng:

• Tiêu chuẩn ERC-721 (NFT đơn lẻ): Sử dụng hàm phê duyệt đặc trưng là setApprovalForAll(operator, approved). Lệnh này ảnh hưởng đến toàn bộ NFT thuộc bộ sưu tập đó trong ví của người dùng.

• Tiêu chuẩn ERC-1155 (Hybrid FT & NFT): Cũng sử dụng hàm setApprovalForAll(operator, approved). Tuy nhiên, phạm vi ảnh hưởng rộng hơn, bao gồm tất cả các loại token (cả NFT và token thường) thuộc hợp đồng đó.

Đối với NFT, kẻ lừa đảo thường dụ nạn nhân ký hàm setApprovalForAll. Một khi đã ký, kẻ tấn công có quyền "quét sạch" toàn bộ các vật phẩm quý giá trong bộ sưu tập mà không cần phải phê duyệt từng cái một. Đây chính là cơ sở cho các vụ trộm NFT quy mô lớn trên các nền tảng như OpenSea.

Cơ chế biến thể: EIP-2612 Permit và Permit2

Sự phát triển của Web3 đã dẫn đến nhu cầu giảm chi phí gas và tối ưu hóa trải nghiệm người dùng, từ đó khai sinh ra các phương thức phê duyệt không cần giao dịch on-chain (gasless).

EIP-2612: Cách mạng chữ ký ngoại chuỗi

EIP-2612 giới thiệu hàm permit(), cho phép người dùng phê duyệt hạn mức chi tiêu bằng một chữ ký số ngoại chuỗi thay vì một giao dịch blockchain thực sự. Người dùng ký một thông điệp cấu trúc bao gồm địa chỉ chủ sở hữu, địa chỉ người chi tiêu, số lượng token, số nonce và thời hạn hiệu lực. Kẻ lừa đảo chỉ cần thu thập chữ ký này và tự mình gửi lên blockchain để kích hoạt quyền rút tiền. Điều này cực kỳ nguy hiểm vì người dùng thường lầm tưởng rằng họ chỉ đang "đăng nhập" hoặc "xác thực" vào một trang web.

Permit2: Trung tâm quản lý phê duyệt của Uniswap

Permit2 là một giao thức hợp nhất việc phê duyệt cho tất cả các loại token ERC-20. Người dùng chỉ cần phê duyệt một lần duy nhất cho hợp đồng Permit2. Mặc dù có tính năng tự động hết hạn, nhưng nó lại tạo ra một điểm tập trung rủi ro. Nếu kẻ lừa đảo chiếm được một thông điệp Permit2, chúng có thể rút bất kỳ token nào mà người dùng đã từng phê duyệt cho Permit2 trước đó.

Xem thêm: Smart Contract Audit là gì? Vì sao dự án Blockchain cần kiểm toán bảo mật

So sánh nhanh Approve, Permit và Permit2

• Approve (ERC-20): cấp quyền bằng giao dịch trên chuỗi, tốn phí gas; dễ theo dõi và thu hồi bằng công cụ revoke, nhưng nguy hiểm nếu cấp hạn mức vô hạn.

• Permit (EIP-2612): cấp quyền bằng chữ ký ngoài chuỗi, không tốn gas lúc ký. Vì không có giao dịch nào hiện ra cho tới khi kẻ gian dùng chữ ký, người dùng dễ ký mà không nhận ra mình vừa cấp quyền.

• Permit2: người dùng approve một lần cho hợp đồng Permit2, sau đó mỗi ứng dụng xin quyền bằng chữ ký có hạn mức và thời hạn. Tiện hơn, nhưng một chữ ký Permit2 độc hại có thể cho phép rút nhiều loại token đã approve cho Permit2 cùng lúc.

EIP-7702: khi ví thường ủy quyền cho một hợp đồng

Nâng cấp Pectra của Ethereum (kích hoạt tháng 5/2025) đưa vào EIP-7702, cho phép một ví thường (EOA) ký một bản ủy quyền để tài khoản của mình chạy mã của một hợp đồng thông minh. Tính năng này mở đường cho gộp giao dịch, trả phí gas hộ và các tính năng của ví thông minh. Mặt trái là bản ủy quyền mạnh hơn nhiều so với một lệnh approve: nếu ký ủy quyền cho hợp đồng độc hại, kẻ gian có thể thực hiện gần như mọi thao tác với tài sản trong ví, không chỉ với một loại token. Sau khi Pectra kích hoạt, các nhà phân tích on-chain đã ghi nhận nhiều bản ủy quyền trỏ tới hợp đồng "sweeper", loại hợp đồng tự động chuyển tiền ra khỏi những ví đã bị lộ khóa. Nguyên tắc an toàn: các ví lớn thường chỉ cho ủy quyền tới hợp đồng đã được ví kiểm duyệt; một trang web yêu cầu ký "authorization" hay "nâng cấp ví" lạ là dấu hiệu cần dừng lại.

Phân tích độ nguy hiểm của Approval Scam

Mất tiền không cần chìa khóa bí mật

Trong các vụ hack truyền thống, người dùng bị mất seed phrase hoặc private key. Với Approval Scam, ví của người dùng vẫn được bảo mật về mặt lý thuyết, nhưng tài sản vẫn bị tước đoạt một cách "hợp pháp" thông qua các lệnh phê duyệt đã được ký. Kẻ gian không cần can thiệp vào mã nguồn của ví; chúng chỉ cần sự đồng ý sai lầm của nạn nhân.

Tẩu tán âm thầm và chờ đợi thời cơ

Một lệnh phê duyệt thường có giá trị vô hạn (unlimited approval). Kẻ lừa đảo không nhất thiết phải rút tiền ngay. Chúng có thể đợi cho đến khi nạn nhân nạp thêm tiền vào ví hoặc đợi giá trị token tăng cao mới thực hiện lệnh chiếm đoạt. Sự "âm thầm" này khiến nạn nhân khó phát hiện cho đến khi tài sản đã hoàn toàn biến mất.

Tính không thể đảo ngược và khó truy vết

Mọi giao dịch blockchain khi đã xác nhận đều không thể hoàn tác. Khi nạn nhân nhận ra mình đã cấp quyền cho một hợp đồng độc hại, tài sản thường đã được chuyển qua các bộ trộn tiền (mixers) hoặc cầu nối xuyên chuỗi (cross-chain bridges) để xóa dấu vết.

Tại sao nhiều người dùng dính bẫy: Tâm lý học và kỹ thuật thao túng

Ngụy trang tinh vi qua Phishing và Airdrop

Kẻ lừa đảo thường dẫn dụ nạn nhân đến các trang web giả mạo có giao diện giống hệt các nền tảng uy tín. Nút "Claim Airdrop" thực chất là lệnh yêu cầu Approve hoặc Permit cho ví của kẻ tấn công.

Hiệu ứng FOMO và sự thúc bách giả tạo

Tâm lý sợ bỏ lỡ cơ hội (FOMO) khiến người dùng bỏ qua các bước kiểm tra an toàn. Kẻ lừa đảo tạo ra các thông báo khẩn cấp như "Chỉ còn 5 phút để nhận thưởng" để thúc ép nạn nhân bấm "Xác nhận" trên ví mà không đọc kỹ nội dung.

Sự hạn chế của giao diện ví điện tử

Nhiều ví điện tử thường hiển thị yêu cầu phê duyệt dưới dạng chuỗi ký tự khó hiểu, khiến người dùng (đặc biệt là người mới) coi việc ký xác nhận là một thủ tục kỹ thuật thông thường giống như việc chấp nhận các điều khoản sử dụng web truyền thống.

Thực trạng lừa đảo tài sản số tại Việt Nam

Việt Nam hiện là một trong những thị trường tài sản mã hóa lớn nhất khu vực châu Á - Thái Bình Dương, xếp thứ 3 sau Ấn Độ và Hàn Quốc với giá trị giao dịch ước đạt 220-230 tỷ USD trong giai đoạn 2024-2025. Tuy nhiên, đi kèm với đó là rủi ro lừa đảo rất lớn. Chỉ tính riêng năm 2024, tổng thiệt hại do lừa đảo trực tuyến tại Việt Nam ước tính lên tới 18.900 tỷ đồng.

Các vụ án điển hình và phương thức hoạt động

Một vụ án chấn động được triệt xóa vào cuối tháng 11/2025 tại Đà Nẵng liên quan đến dự án "ma" TOSI. Đường dây này đã chiếm đoạt khoảng 90 tỷ đồng của hơn 8.000 bị hại trên toàn quốc. Dưới đây là các đặc điểm nhận diện:

• Mô hình đa cấp biến tướng: Trả thưởng cao bất thường từ 3% đến 22%/tháng để lôi kéo người mới tham gia.

• Mạo danh quốc tế: Gắn mác công nghệ Nhật Bản hoặc chuẩn bị niêm yết trên các sàn lớn như Binance để tạo niềm tin giả.

• Can thiệp kỹ thuật tinh vi: Lập trình chức năng gắn mã ví điện tử cá nhân vào hệ thống, khiến tiền của nhà đầu tư chuyển thẳng vào túi kẻ lừa đảo thay vì ví chung của dự án.

• Xóa dấu vết chuyên nghiệp: Khi lượng người mới giảm, chúng đóng website với lý do "bảo trì" hoặc "hacker tấn công" rồi lập dự án mới để tiếp tục vòng lặp.

Khung pháp lý mới năm 2026

Từ ngày 01/01/2026, Luật Công nghiệp công nghệ số chính thức có hiệu lực, lần đầu tiên đưa tài sản số vào phạm vi điều chỉnh của pháp luật Việt Nam. Theo các thông tin công bố, từ ngày 20/01/2026, Việt Nam bắt đầu tiếp nhận hồ sơ cấp phép cho các tổ chức thị trường giao dịch tài sản mã hóa theo Nghị quyết số 05/2025/NQ-CP. Các doanh nghiệp muốn tham gia phải đáp ứng:

• Vốn điều lệ tối thiểu 10.000 tỷ đồng góp bằng đồng Việt Nam.

• Tối thiểu 65% vốn điều lệ do các tổ chức góp vốn, trong đó có sự tham gia của các ngân hàng thương mại hoặc công ty chứng khoán.

• Hệ thống công nghệ và quy trình quản trị rủi ro phải được kiểm định chặt chẽ.

Báo cáo thị trường Drainer toàn cầu 2024-2025

Tội phạm mạng ngày càng chuyên nghiệp hóa thông qua mô hình "Wallet Drainer-as-a-Service". Trong năm 2025, mặc dù thiệt hại từ hình thức thoái ví có xu hướng giảm về giá trị tuyệt đối, nhưng các vụ lừa đảo mạo danh lại ghi nhận mức tăng trưởng kỷ lục 1400%. Tổng số tiền bị chiếm đoạt thông qua các vụ lừa đảo tiền mã hóa toàn cầu năm 2025 ước tính đạt từ 14 đến 17 tỷ USD.

Các tổ chức như Inferno Drainer vẫn duy trì sự thống trị với khoảng 40-45% thị phần các vụ tấn công, sử dụng các kịch bản tinh vi để giả mạo các giao thức phổ biến như Seaport và WalletConnect.

On-chain Analysis: Quy trình truy vết tài sản

Phân tích dữ liệu on-chain là vũ khí quan trọng để đối đầu với tội phạm. Quy trình điều tra thường bao gồm 5 bước:

1. Thiết lập điểm neo: Xác định địa chỉ ví nạn nhân và hash giao dịch phê duyệt độc hại.

2. Truy vết dòng chảy: Theo dõi tiền qua các ví trung gian (Peel Chain) hoặc các cầu nối xuyên chuỗi.

3. Định danh và Gắn nhãn: Sử dụng các công cụ như MistTrack để nhận diện ví thuộc về các sàn giao dịch tập trung (CEX).

4. Đánh giá rủi ro: Phân tích hành vi của kẻ tấn công để tìm ra các điểm chạm danh tính thực.

5. Tài liệu hóa và Phối hợp: Lập báo cáo gửi cơ quan chức năng và các sàn giao dịch để yêu cầu đóng băng tài sản.

Chiến lược phòng tránh và Bảo mật đa lớp

Trong không gian Web3, "phòng bệnh" luôn hiệu quả hơn "chữa bệnh". Các biện pháp nên áp dụng (kiểm tra mọi đường link trước khi kết nối ví bằng công cụ kiểm tra link lừa đảo):

Kiểm tra và Thu hồi quyền phê duyệt (Revoke)

Định kỳ dùng công cụ revoke (như Revoke.cash hoặc mục Token Approvals trên explorer) để xem hợp đồng nào đang có quyền tiêu token của bạn và hủy quyền không cần thiết; hướng dẫn từng bước xem revoke approval là gì. Lưu ý revoke không bảo vệ được 100% (xem vì sao revoke approval không giúp an toàn 100%). Nên dùng ví có mô phỏng giao dịch và cảnh báo phê duyệt nguy hiểm (ví dụ Rabby).

Quy tắc "Zero Trust"

• URL chính xác: Tuyệt đối không bấm vào link từ quảng cáo tìm kiếm. Luôn kiểm tra kỹ tên miền.

• Đọc kỹ lệnh ký: Khi ví hiện lên các từ khóa "Permit", "Approve", hoặc "Set Approval For All", hãy dừng lại để kiểm soát rủi ro.

• Giới hạn hạn mức: Khi phê duyệt cho các dApp uy tín, chỉ cấp quyền cho đúng số lượng token cần giao dịch thay vì chọn "Vô hạn".

Case Study Điển hình về Approval Scam và Lừa đảo Web3

Dưới đây là các vụ việc tiêu biểu nhằm giúp người dùng nhận diện các kịch bản lừa đảo thực tế:

1. Vụ án TOSI (Đà Nẵng, 2025): Các đối tượng lập dự án "ma", thuê lập trình viên tạo đồng TOSI trên Binance Smart Chain. Thủ đoạn tinh vi nhất là lập trình chức năng gắn mã ví cá nhân vào hệ thống giao dịch của người dùng, khiến tiền đầu tư chuyển thẳng vào túi kẻ gian. Thiệt hại ghi nhận khoảng 90 tỷ đồng của hơn 8.000 nạn nhân.

2. Tấn công Chuỗi cung ứng Ledger Connect Kit (12/2023): Kẻ tấn công chiếm quyền tài khoản NPM của một nhân viên Ledger, chèn mã độc vào thư viện Connect Kit phiên bản 1.1.5 đến 1.1.7. Khi người dùng kết nối ví với bất kỳ dApp nào sử dụng thư viện này, tiền sẽ bị rút về ví của hacker (liên quan đến Angel Drainer). Thiệt hại khoảng 600.000 USD trong vài giờ.

3. Lỗ hổng Tiện ích mở rộng Trust Wallet trên Chrome (12/2025): Một vụ hack nhắm vào bản cập nhật phiên bản 2.68 trên trình duyệt Chrome khiến khoảng 7 triệu USD bị đánh cắp. Sự cố được cho là bắt nguồn từ việc rò rỉ khóa API của Chrome Web Store, cho phép kẻ gian đẩy phiên bản độc hại lên cửa hàng ứng dụng.

4. Monkey Drainer - NFT Phishing quy mô lớn (2022-2023): Nhóm này đã sử dụng gần 2.000 tên miền giả mạo các dự án NFT nổi tiếng để lừa người dùng ký các lệnh signTypedData độc hại. Tổng thiệt hại ước tính 13 triệu USD với hơn 7.000 NFT bị đánh cắp, bao gồm cả các tài sản giá trị cao như CryptoPunks và Otherside.

5. Đại án Matrix Chain (MTC) (Việt Nam, 2025): Đường dây lừa đảo xuyên quốc gia lôi kéo người tham gia đầu tư tiền ảo MTC với lời hứa lợi nhuận siêu khủng. Chuyên án kéo dài 200 ngày của Công an tỉnh Đồng Nai đã triệt phá mạng lưới này, ghi nhận số tiền huy động bất chính lên tới gần 10.000 tỷ đồng.

6. Inferno Drainer và Bẫy Discord (01/2025): Kẻ tấn công giả mạo robot hỗ trợ (Collab.Land bot) trong các máy chủ Discord lớn. Khi người dùng click vào "Let's go" để xác minh danh tính, họ bị chuyển hướng đến trang web phishing yêu cầu ký lệnh Approval vô hạn, dẫn đến việc mất sạch tài sản trong ví.   Công cụ rút sạch ví kiểu này xem wallet drainer là gì.

7. Siêu lừa đảo Paynet Coin (PAYN) / FMCPAY (2025): Nhóm đối tượng lập sàn FMCPAY, tạo đồng PAYN và quảng bá có thể dùng đặt vé máy bay, khách sạn tại Mỹ. Thực chất đây là mô hình đa cấp kim tự tháp chiếm đoạt hàng tỷ USD. Thậm chí sau khi sàn sập, chúng còn lừa nạn nhân đóng thêm tiền để "thuê luật sư Mỹ" đòi lại tiền.

8. Vụ trộm 50 triệu USD qua Address Poisoning (2025): Đây là vụ thiệt hại đơn lẻ lớn nhất năm 2025. Kẻ xấu tạo các địa chỉ ví có ký tự đầu và cuối giống hệt ví thường dùng của nạn nhân, sau đó gửi các giao dịch giá trị 0 USD để "đầu độc" lịch sử ví. Nạn nhân do chủ quan đã copy nhầm địa chỉ này cho giao dịch thực tế trị giá 50 triệu USD.

9. Aurory NFT "Drainware" (2021): Một trong những ví dụ sớm nhất về mã độc vét ví. Kẻ tấn công tạo tên miền DNS gần giống dự án Aurory thật. Khi người dùng nhấn nút "Mint NFT", họ thực chất đã ký lệnh cho phép hợp đồng độc hại rút toàn bộ tài sản. Vụ việc khiến 1,5 triệu USD và 70 NFT bốc hơi chỉ trong tích tắc.

10. Lừa đảo "Bài kiểm tra năng lực GitHub" (2025): Tin tặc đóng vai nhà tuyển dụng, yêu cầu lập trình viên tải dự án từ GitHub về làm bài test. Các dự án này chứa mã độc tự động nhận diện hệ điều hành để tải payload, chiếm quyền kiểm soát máy tính và đánh cắp thông tin phê duyệt ví ngay khi người dùng đăng nhập.

Câu hỏi thường gặp (FAQ)

Dưới đây là 10 câu hỏi phổ biến về Approval Scam:

1. Lệnh "Approve" khác gì so với lệnh "Permit"? Approve là một giao dịch on-chain, yêu cầu bạn phải trả phí gas để cấp quyền tiêu tiền cho một hợp đồng. Trong khi đó, Permit (EIP-2612) là một chữ ký số ngoại chuỗi (off-chain), không tốn gas nhưng lại cho phép kẻ lừa đảo kích hoạt lệnh tiêu tiền sau đó một cách âm thầm.

2. Nếu tôi không đưa Seed Phrase (mật khẩu ví), kẻ xấu có thể rút tiền của tôi không? Có. Thông qua Approval Scam, kẻ xấu không cần Seed Phrase của bạn. Chúng chỉ cần bạn ký một lệnh Approve hoặc Permit độc hại là đủ quyền truy cập và rút tài sản từ ví của bạn.

3. Làm thế nào để tôi biết mình đã từng phê duyệt cho dự án lừa đảo nào chưa? Bạn hãy sử dụng các công cụ rà soát như Revoke.cash, Etherscan Approval Checker hoặc BSCScan Revoke. Các công cụ này sẽ liệt kê toàn bộ các địa chỉ đang có quyền tiêu token trong ví của bạn.

4. "Unlimited Approval" (Phê duyệt vô hạn) nguy hiểm như thế nào? Khi bạn chọn "vô hạn", dApp đó có quyền rút toàn bộ số dư của loại token đó mãi mãi cho đến khi bạn thực hiện lệnh hủy (Revoke). Nếu dApp bị hack hoặc là dự án lừa đảo, ví của bạn sẽ bị vét sạch bất kỳ lúc nào.

5. Giao thức Permit2 của Uniswap có giúp ví an toàn hơn không? Permit2 giúp tăng tính tiện lợi và có tính năng tự động hết hạn phê duyệt. Tuy nhiên, nó cũng tạo ra rủi ro tập trung: một chữ ký Permit2 sai lầm có thể cho phép kẻ xấu rút đồng thời nhiều loại token mà bạn đã phê duyệt trước đó.

6. Tôi lỡ ký vào một yêu cầu lạ, tôi nên làm gì ngay lập tức? Bạn phải ngay lập tức dùng công cụ revoke để hủy quyền phê duyệt đó (xem revoke approval là gì). Nếu có thể, hãy chuyển ngay số tiền còn lại sang một ví mới hoàn toàn để đảm bảo an toàn.

7. Tại sao ví Rabby được khuyên dùng để phòng tránh Approval Scam? Khác với Metamask, Rabby Wallet tích hợp sẵn tính năng quét bảo mật và hiển thị cảnh báo rõ ràng khi bạn chuẩn bị ký một lệnh phê duyệt độc hại hoặc lệnh phê duyệt vô hạn.

8. Lừa đảo tiền ảo tại Việt Nam có bị xử lý hình sự không? Có. Hành vi lừa đảo chiếm đoạt tài sản, kể cả thông qua tiền ảo, tài sản mã hóa, đã bị xử lý theo Điều 174 Bộ luật Hình sự từ trước; Luật Công nghiệp Công nghệ số số 71/2025/QH15 bổ sung định nghĩa tài sản số, giúp xác định rõ hơn đối tượng bị chiếm đoạt.

9. Quy tắc "Stop - Check - Protect" là gì? Đây là quy tắc vàng: Dừng lại (không vội vã ký lệnh), Kiểm tra (xác minh URL, kiểm tra nội dung lệnh ký), và Bảo vệ (liên hệ ngân hàng hoặc sàn giao dịch để đóng băng tài sản nếu thấy bất thường).

10. Tôi có thể đòi lại tiền sau khi bị dính Approval Scam không? Rất khó vì blockchain không thể hoàn tác. Tuy nhiên, bạn nên báo cáo cho các sàn giao dịch tập trung (CEX) và cơ quan chức năng để họ có thể truy vết on-chain bằng các công cụ như MistTrack và đóng băng tiền nếu nó được chuyển lên sàn.

Approval Scam là minh chứng cho việc kỹ thuật lừa đảo luôn tiến hóa song hành cùng công nghệ. Với việc Việt Nam chính thức đưa tài sản số vào khuôn khổ thí điểm từ năm 2026, người dùng sẽ có thêm sự bảo vệ từ pháp luật. Tuy nhiên, kiến thức cá nhân và sự cẩn trọng vẫn là lớp phòng thủ quan trọng nhất. Các nguyên nhân khác khiến ví bị hack xem ví crypto bị hack do đâu; kiểu lừa đầu độc địa chỉ xem address poisoning là gì. Doanh nghiệp cần phát triển dApp với luồng cấp quyền an toàn cho người dùng có thể tham khảo dịch vụ phát triển blockchain.