App giả Ledger Live trên App Store đã đánh cắp 9,5 triệu USD chỉ trong một tuần

Một chiến dịch lừa đảo mạo danh Ledger Live được phát hiện đã liên quan đến hơn 9,5 triệu USD bị rửa qua sàn KuCoin, theo dữ liệu on-chain do ZachXBT công bố.

Tóm tắt chính

• Khoảng 9,5 triệu USD liên quan đến một ứng dụng Ledger giả mạo đã được truy vết trên blockchain, theo ZachXBT.
• Dòng tiền được ghi nhận đi qua hơn 150 địa chỉ nạp trên KuCoin trong vòng một tuần.
• Chưa có xác nhận chính thức từ Apple hoặc Ledger về tổng thiệt hại.
• Thủ đoạn chính là lừa người dùng nhập seed phrase thông qua ứng dụng giả mạo.
• Việc thu hồi tài sản trong các vụ phishing crypto gần như không khả thi.

Dòng tiền 9,5 triệu USD được truy vết qua KuCoin

Trong một bài đăng trên X (Twitter), ZachXBT cho biết một tác nhân lừa đảo đã sử dụng ứng dụng giả mạo Ledger Live để chiếm đoạt tài sản, sau đó rửa hơn 9,5 triệu USD thông qua hơn 150 địa chỉ nạp trên KuCoin chỉ trong vòng một tuần.

Dữ liệu này dựa trên phân tích blockchain công khai, cho thấy quy mô dòng tiền lớn bất thường so với các vụ phishing thông thường.

C) Want to explain to the community why Kucoin allowed a threat actor to launder $9.5M+ tied to a fake Ledger app via 150+ Kucoin deposit addresses over the past week?

A few days before that another threat actor laundered $3.5M+ from the Bitcoin Depot incident via 25+ Kucoin… pic.twitter.com/vo7jb1rdwu

— ZachXBT (@zachxbt) April 14, 2026

Cách ứng dụng giả mạo đánh cắp seed phrase

Thủ đoạn trong vụ việc không mới, nhưng vẫn rất hiệu quả. Ứng dụng giả mạo Ledger Live được thiết kế giống bản thật, sau đó yêu cầu người dùng nhập seed phrase (cụm từ khôi phục) trong quá trình “thiết lập ví”.

Ngay khi người dùng nhập thông tin này:

• Kẻ tấn công có toàn quyền truy cập ví
• Tài sản có thể bị chuyển đi ngay lập tức

Đừng bỏ lỡ những kiến thức quan trọng trong hướng dẫn cách thiết lập và bảo vệ tài sản số an toàn để tránh rơi vào bẫy của các ứng dụng giả mạo.

Vì sao người dùng vẫn bị lừa dù tải từ App Store?

Trong bối cảnh sự phát triển mạnh mẽ của kỷ nguyên internet thế hệ mới, điểm nguy hiểm không nằm ở kỹ thuật, mà ở niềm tin vào các nền tảng phân phối ứng dụng.

Người dùng thường mặc định rằng:

• Ứng dụng trên App Store đã được kiểm duyệt
• Kết quả tìm kiếm là đáng tin cậy

Chính điều này khiến các app giả mạo có thể:

• Đánh lừa người dùng ngay từ bước đầu
• Vượt qua kiểm tra cơ bản bằng mắt thường

Đây không phải lần đầu xuất hiện. Trước đó, nhiều chiến dịch tương tự đã từng xảy ra trên cả App Store và Microsoft Store.

Tiền sau khi bị lừa được chuyển đi đâu?

Theo phân tích của ZachXBT, dòng tiền sau khi bị đánh cắp:

• Được chia nhỏ qua nhiều ví trung gian
• Nạp vào các sàn giao dịch như KuCoin
• Sau đó tiếp tục luân chuyển để làm khó việc truy vết

Việc thu hồi tài sản trong các trường hợp này gần như không khả thi, trừ khi có sự can thiệp từ cơ quan thực thi pháp luật và sự hợp tác từ các sàn giao dịch.

Cảnh báo quan trọng cho người dùng

Người dùng crypto nên ghi nhớ 3 nguyên tắc cơ bản:

• Không nhập seed phrase vào app, website hoặc form bất kỳ
• Chỉ tải Ledger Live từ website chính thức: https://www.ledger.com/ledger-live
• Kiểm tra kỹ nhà phát triển trước khi tải app từ App Store

Nguồn tham khảo

• Coindesk – A fake Ledger app on the Apple App Store drained $9.5 million in crypto
• Crypto.news – Fake Ledger App on Apple Store Stole $9.5 Million in One Week

Bài viết này nhằm mục đích cung cấp thông tin và nâng cao nhận thức bảo mật cho người dùng tiền mã hóa. Các dữ liệu được trích dẫn từ phân tích on-chain của ZachXBT và có thể chưa được xác nhận đầy đủ bởi các bên liên quan. Người đọc không nên xem đây là lời khuyên tài chính và cần tự chịu trách nhiệm khi đưa ra quyết định liên quan đến tài sản của mình.

Câu hỏi thường gặp (FAQ)