Microsoft cho biết một chiến dịch malware mới đang nhắm vào người dùng crypto trên Windows, với cách tấn công khá “cũ mà nguy hiểm”: lây qua USB, giả dạng file quen thuộc, sau đó âm thầm đánh cắp dữ liệu ví và thay địa chỉ nhận tiền khi người dùng thực hiện giao dịch.
Theo Microsoft Threat Intelligence, malware này đã hoạt động từ tháng 2/2026 và được hệ thống Microsoft Defender Antivirus nhận diện với tên Trojan:Win32/CryptoBandits. Điểm đáng chú ý là phần mềm độc hại không chỉ đánh cắp dữ liệu clipboard, mà còn có khả năng tự nhân bản sang USB khác để tiếp tục mở rộng phạm vi lây nhiễm.
Malware bắt đầu từ một file shortcut trên USB
Chuỗi tấn công bắt đầu khi người dùng cắm một USB đã bị nhiễm vào máy tính Windows. Bên trong USB có các file shortcut độc hại, thường mang đuôi “.lnk”. Với người dùng thông thường, các file này có thể trông giống tài liệu quen thuộc như Word, Excel hoặc PDF.
Khi người dùng nhấp vào shortcut, malware sẽ được kích hoạt và cài một worm vào máy tính. Worm là loại phần mềm độc hại có khả năng tự lan truyền, thay vì chỉ nằm yên trên một thiết bị.
Sau khi xâm nhập vào máy, malware thực hiện hai nhiệm vụ song song: duy trì phần mềm đánh cắp ví crypto trên hệ thống và chờ người dùng cắm thêm USB sạch vào máy để tiếp tục lây nhiễm.
Đây là điểm khiến chiến dịch nguy hiểm hơn nhiều so với các clipper malware thông thường. Nó không chỉ tấn công một nạn nhân, mà còn biến máy tính bị nhiễm thành “trạm phát tán” sang các USB khác.
Cách malware đánh cắp ví crypto
Thành phần nguy hiểm nhất của CryptoBandits là crypto clipper. Đây là loại malware chuyên theo dõi clipboard, tức vùng nhớ tạm được Windows dùng cho thao tác copy và paste.
Trong crypto, clipboard là điểm yếu rất phổ biến. Người dùng thường copy địa chỉ ví, seed phrase hoặc private key để đăng nhập, khôi phục ví hoặc gửi tài sản. Malware tận dụng đúng thói quen này.
Theo Microsoft, phần mềm độc hại kiểm tra clipboard liên tục. Nếu phát hiện người dùng copy seed phrase, private key hoặc dữ liệu liên quan đến ví Bitcoin, Ethereum, malware có thể thu thập dữ liệu đó và gửi về máy chủ của kẻ tấn công thông qua mạng Tor.
Không dừng lại ở đó, malware còn có thể chụp màn hình nhiều lần sau khi phát hiện hoạt động đáng ngờ. Điều này làm tăng rủi ro vì kẻ tấn công không chỉ có dữ liệu copy-paste, mà còn có thêm bối cảnh trực quan về thao tác của nạn nhân trên máy tính.
Rủi ro lớn nhất: thay địa chỉ ví trước khi người dùng dán
Với người dùng crypto, phần nguy hiểm nhất có thể không phải là việc malware âm thầm chạy trong máy, mà là khả năng thay địa chỉ ví ngay trước khi giao dịch được gửi đi.
Kịch bản rất đơn giản: người dùng copy địa chỉ ví nhận tiền, nhưng trước khi paste vào ví hoặc sàn giao dịch, malware đã thay địa chỉ đó bằng địa chỉ do hacker kiểm soát. Nếu người dùng không kiểm tra kỹ từng ký tự, giao dịch có thể được gửi nhầm sang ví của attacker.
Trong crypto, giao dịch on-chain gần như không thể đảo ngược. Một khi tài sản đã được gửi đến sai địa chỉ, khả năng lấy lại là cực thấp, trừ khi attacker tự nguyện hoàn trả hoặc bị lần ra trong một cuộc điều tra lớn.
Đây là lý do clipper malware luôn đặc biệt nguy hiểm với người dùng tài sản số. Nó không cần hack sàn, không cần phá blockchain, cũng không cần vượt qua smart contract. Nó chỉ cần lợi dụng một khoảnh khắc bất cẩn trong thao tác copy-paste.
USB vẫn là điểm yếu bị xem nhẹ
Nhiều người nghĩ USB malware là câu chuyện của thời cũ, nhưng chiến dịch này cho thấy thiết bị lưu trữ rời vẫn là một kênh tấn công hiệu quả, đặc biệt trong môi trường văn phòng, tiệm in, máy tính dùng chung hoặc các nhóm thường xuyên trao đổi tài liệu offline.
Sau khi máy tính bị nhiễm, worm sẽ quét các USB mới được cắm vào, tìm các file thông thường như tài liệu Word, bảng Excel hoặc PDF, rồi thay thế chúng bằng shortcut độc hại có cùng tên. Người dùng sau đó có thể mang USB đó sang một máy khác, nhấp vào file quen thuộc và vô tình tiếp tục chuỗi lây nhiễm.
Vấn đề nằm ở chỗ file độc hại không cần phải có tên lạ. Nó có thể mang tên giống một tài liệu thật, khiến nạn nhân dễ chủ quan hơn.
Microsoft khuyến nghị gì?
Microsoft khuyến nghị người dùng và doanh nghiệp tăng kiểm soát với thiết bị lưu trữ rời. Một số biện pháp đáng chú ý gồm tắt AutoRun cho USB, hạn chế chạy file shortcut từ thiết bị rời, kiểm soát các công cụ script như wscript.exe và cscript.exe, cũng như theo dõi các dấu hiệu kết nối bất thường liên quan đến Tor proxy.
Với người dùng phổ thông, các bước thực tế hơn gồm:
- Không mở file shortcut “.lnk” trong USB lạ hoặc USB dùng chung.
- Không copy seed phrase hoặc private key trên máy tính Windows không chắc chắn an toàn.
- Luôn kiểm tra lại địa chỉ ví sau khi paste, đặc biệt là vài ký tự đầu và cuối.
- Ưu tiên dùng ví cứng để xác nhận địa chỉ nhận/gửi trên màn hình thiết bị.
- Quét toàn bộ máy và USB nếu phát hiện file tài liệu biến thành shortcut.
- Không dùng cùng một máy vừa cắm USB lạ vừa thao tác ví crypto.
Đối với doanh nghiệp, rủi ro còn lớn hơn vì một USB nhiễm malware có thể lan qua nhiều máy nội bộ. Nếu trong công ty có nhân sự quản lý ví, treasury, OTC desk hoặc tài khoản sàn, việc kiểm soát USB và clipboard cần được xem như một phần của quy trình bảo mật tài sản số.
Vì sao vụ này đáng chú ý với thị trường crypto?
Crypto thường nói nhiều về hack bridge, lỗi smart contract hoặc exploit DeFi. Nhưng trường hợp này nhắc lại một thực tế đơn giản: nhiều vụ mất tiền không bắt đầu từ blockchain, mà bắt đầu từ thiết bị của người dùng.
Một ví non-custodial có thể rất an toàn về mặt thiết kế, nhưng nếu seed phrase bị copy trên máy nhiễm malware, toàn bộ mô hình tự lưu ký trở nên vô nghĩa. Một giao dịch on-chain có thể minh bạch, nhưng nếu địa chỉ nhận đã bị thay trước khi ký, blockchain chỉ ghi nhận chính xác một sai lầm không thể đảo ngược.
Đây là bài học quan trọng cho cả người mới lẫn trader lâu năm. Bảo mật crypto không chỉ là chọn ví tốt hay sàn lớn, mà còn là kiểm soát môi trường thao tác: máy tính, USB, trình duyệt, clipboard và thói quen xác nhận giao dịch.
Vì sao clipper malware nguy hiểm hơn phishing thông thường?
Phishing thường cần một bước “dụ” người dùng: bấm vào link giả, đăng nhập vào website giả, ký nhầm giao dịch hoặc tự nhập seed phrase vào một giao diện độc hại. Nói cách khác, nạn nhân thường phải rời khỏi môi trường quen thuộc và bị kéo sang một cái bẫy.
Clipper malware thì khác. Nó không cần người dùng truy cập website lạ, cũng không cần hiện ra cảnh báo hay yêu cầu kết nối ví. Nó nằm im trong máy, chờ người dùng thực hiện đúng thao tác bình thường nhất: copy và paste.
Đây mới là điểm nguy hiểm.
Người dùng có thể đang mở ví thật, gửi tiền thật, đến một địa chỉ thật. Nhưng ngay khoảnh khắc địa chỉ được dán vào ô nhận tiền, malware đã âm thầm thay nó bằng địa chỉ của hacker. Mọi thứ trên giao diện vẫn có vẻ hợp lý, giao dịch vẫn được ký bởi chính người dùng, blockchain vẫn xác nhận như bình thường. Chỉ có tiền là đi sai nơi.
Với phishing, người dùng đôi khi còn có cơ hội nhận ra dấu hiệu bất thường: domain sai, giao diện lạ, yêu cầu ký quá nhiều quyền, hoặc ví cảnh báo giao dịch rủi ro. Nhưng với clipper malware, cuộc tấn công diễn ra ngay trong luồng thao tác quen thuộc. Chính sự “bình thường” đó khiến nó khó bị phát hiện hơn.
Trong crypto, đây là rủi ro cực lớn vì giao dịch on-chain gần như không thể đảo ngược. Ngân hàng truyền thống còn có thể khóa tài khoản, tra soát hoặc hoàn tiền trong một số trường hợp. Còn với Bitcoin, Ethereum hay stablecoin on-chain, một khi giao dịch đã được xác nhận, sai lầm gần như trở thành vĩnh viễn.
Clipper malware vì vậy không tấn công vào blockchain. Nó tấn công vào khoảng trống giữa mắt người dùng, clipboard và thói quen thao tác hằng ngày. Đây là kiểu tấn công không cần quá ồn ào, nhưng có thể gây thiệt hại rất nhanh chỉ bằng một lần paste thiếu kiểm tra.
Vì sao hacker thích tấn công clipboard?
Clipboard là một trong những điểm yếu bị xem nhẹ nhất trên máy tính. Đây là vùng nhớ tạm dùng cho thao tác copy-paste, thứ gần như ai cũng dùng mỗi ngày nhưng rất ít người để ý nó có thể bị phần mềm khác theo dõi hoặc thay đổi.
Với crypto, clipboard lại càng hấp dẫn với hacker vì người dùng thường xuyên phải xử lý những chuỗi ký tự dài: địa chỉ ví, private key, seed phrase, transaction hash, API key hoặc mã xác thực. Phần lớn các dữ liệu này không thân thiện với mắt người. Chúng quá dài để ghi nhớ, quá giống nhau để kiểm tra nhanh và quá quan trọng để sai dù chỉ một ký tự.
Địa chỉ ví được thiết kế để máy đọc, nhưng người dùng lại phải xác minh bằng mắt thường. Đây chính là khoảng trống mà clipper malware khai thác.
Một người có thể kiểm tra kỹ website mình truy cập, dùng ví lạnh, bật 2FA và tránh bấm link lạ. Nhưng nếu vẫn copy-paste địa chỉ ví trên một thiết bị đã nhiễm malware, toàn bộ lớp bảo mật phía sau có thể bị phá vỡ chỉ trong vài giây.
Hacker thích clipboard vì nó nằm ở đúng điểm giao nhau giữa ý định của người dùng và hành động cuối cùng. Khi người dùng copy một địa chỉ ví, họ tin rằng thứ được paste ra vẫn là thứ mình đã copy. Malware chỉ cần phá vỡ niềm tin nhỏ đó là đủ.
Đây cũng là lý do các cuộc tấn công clipboard thường khó tạo cảm giác nguy hiểm ngay lập tức. Không có pop-up đáng ngờ, không có trang web giả, không có email lừa đảo rõ ràng. Người dùng chỉ thấy một giao dịch bình thường, cho đến khi phát hiện tài sản đã được gửi đến một địa chỉ hoàn toàn khác.
Với những khoản nhỏ, nhiều người còn chủ quan bỏ qua bước kiểm tra. Với những khoản lớn, chỉ cần một lần mất tập trung là đủ. Vì vậy, trong môi trường crypto, clipboard không nên được xem là công cụ tiện lợi tuyệt đối. Nó là một bề mặt tấn công thực sự, đặc biệt với những ai thường xuyên giao dịch, quản lý ví nóng hoặc xử lý tài sản trên máy tính cá nhân.
Kết luận
Chiến dịch CryptoBandits cho thấy hacker vẫn đang tận dụng những điểm yếu rất đời thường để tấn công tài sản số. Không cần kỹ thuật quá phức tạp, chỉ một file shortcut trên USB và một lần copy-paste thiếu kiểm tra cũng có thể khiến người dùng mất tiền.
Với người dùng crypto, nguyên tắc an toàn nên rất rõ ràng: không nhập seed phrase trên máy không tin cậy, không mở file lạ từ USB, luôn kiểm tra địa chỉ ví sau khi paste và dùng ví cứng khi quản lý số tiền lớn.
Trong thị trường nơi giao dịch không thể hoàn tác, bảo mật không nằm ở bước cuối cùng. Nó bắt đầu từ chính thiết bị bạn đang dùng.
