KuCoin Learn
Đăng nhậpĐăng ký

Tấn công đồng thời qua tin nhắn lừa đảo và hoảng loạn rút tiền: Khi tin nhắn lừa đảo kết hợp tấn công tài khoản của bạn

Mới bắt đầuCập nhật lần cuối July 2, 2026
Bảo mật Tài khoản Tiền điện tử
Verification Code Bombing & Withdrawal Panic: When Scam SMS Join Forces to Attack Your Account
Bạn đã bao giờ nhận được nhiều tin nhắn "mã xác minh" từ một "sàn giao dịch" trong thời gian ngắn, tuyên bố rằng bạn đang thay đổi số điện thoại hoặc các cài đặt bảo mật khác — trong khi bạn chưa bao giờ khởi tạo bất kỳ hành động nào như vậy? Điều này khó có thể là lỗi hệ thống đơn thuần. Trong nhiều trường hợp, đây có thể là một phần của kế hoạch lừa đảo có tổ chức, đa giai đoạn nhằm tạo ra sự hoảng loạn và thúc đẩy người dùng thực hiện các hành động không an toàn.
 
Bài viết này sử dụng các trường hợp thực tế liên quan đến người dùng KuCoin để phân tích cách kẻ lừa đảo sử dụng “tấn công mã xác minh” để tạo ra sự hoảng loạn, sau đó thực hiện các vụ lừa đảo thứ cấp thông qua “hỗ trợ khách hàng giả” hoặc “đường link hủy rút tiền giả”, cuối cùng đánh cắp tài khoản và tài sản của bạn.

📱 Nghiên cứu tình huống: Một vụ lừa đảo chuỗi SMS được thực hiện cẩn thận

Trường hợp sau tích hợp các báo cáo từ nhiều người dùng KuCoin. Kẻ lừa đảo sử dụng một chuỗi tin nhắn dường như độc lập để dần dần lừa nạn nhân vào bẫy.
 
  • Nhiều người dùng báo cáo nhận được loạt tin nhắn SMS mã xác minh dày đặc, tuyên bố là từ KuCoin, liên quan đến các hành động nhạy cảm như "thay đổi số điện thoại", nhưng không có người dùng nào đã khởi tạo bất kỳ yêu cầu nào như vậy.
 
 
  • Tạo ra sự hoảng loạn khi rút tiền: Tạo sự khẩn cấp xung quanh việc "ai đó đang rút tiền của bạn", ép người dùng nhấp vào liên kết "Hủy".
 

🎭 Tìm hiểu sâu về vụ lừa đảo: Một vở kịch ba hồi từ hoảng loạn đến trở thành nạn nhân

Loại lừa đảo này không phải là một tin nhắn SMS lừa đảo đơn lẻ, mà là một chiến thuật chiến tranh tâm lý liên kết với nhau.
 
Giai đoạn lừa đảo Phương pháp & Cơ chế Phản ứng phổ biến của nạn nhân
Giai đoạn một: Mã xác minh bị tấn công tạo ra sự lo lắng Kẻ lừa đảo sử dụng các script tự động để gửi một lượng lớn tin nhắn SMS xác minh "thay đổi cài đặt bảo mật" đến số điện thoại của bạn. Những tin nhắn này có định dạng rất thuyết phục, được thiết kế để khiến bạn hoảng loạn với suy nghĩ rằng "đã có ai đó xâm phạm tài khoản của tôi." Người dùng trở nên lo lắng sau khi nhận nhiều tin nhắn mã xác minh, lo ngại tài khoản của họ đang bị xâm nhập.
Giai đoạn hai: Cảnh báo rút tiền giả tạo tạo ra sự khẩn cấp Trong lúc bạn đang hoảng loạn, một tin nhắn SMS khác về việc “rút tiền đang được thực hiện” đến một cách tiện lợi. Kẻ lừa đảo khai thác nỗi sợ mất tiền của bạn, hướng bạn nhấp vào liên kết “Hủy” trong tin nhắn. Người dùng, tuyệt vọng muốn dừng việc "rút tiền," nhấp vào liên kết trong tin nhắn SMS hoặc gọi ngay vào số điện thoại được cung cấp.
Giai đoạn ba: Trang web lừa đảo đánh cắp thông tin đăng nhập và tài sản Sau khi nhấp vào liên kết, người dùng sẽ được chuyển hướng đến một trang web lừa đảo có giao diện gần như giống hệt trang đăng nhập chính thức của KuCoin. Sau khi nhập tên người dùng, mật khẩu và thậm chí cả mã xác thực 2 yếu tố, tài khoản của họ bị xâm phạm. Những người gọi đến số điện thoại lừa đảo sẽ bị lừa để tiết lộ mã xác minh hoặc thông tin bảo mật. Sau khi nhập tất cả thông tin bảo mật trên trang đăng nhập giả, kẻ lừa đảo ngay lập tức sử dụng thông tin đó để đăng nhập vào tài khoản thật và chuyển tài sản ra ngoài.

🔍 Các kỹ thuật nhận diện chính: Cách phát hiện tin nhắn lừa đảo chỉ trong nháy mắt

Học cách phân biệt giữa tin nhắn SMS chính thức và tin nhắn lừa đảo là lớp phòng vệ đầu tiên của bạn.
 
Checkpoint Đặc điểm chính thức (thật) Đặc điểm của lừa đảo (giả mạo)
Số người gửi Thông thường từ một mã ngắn chính thức cố định (ví dụ: 88888), hiếm khi thay đổi. Có thể đến từ số điện thoại di động thông thường hoặc mã ngắn không khớp với các thông báo chính thức.
Mã vùng (Liên kết) Luôn sử dụng miền chính thức, chẳng hạn như www.kucoin.com. Sử dụng các miền biến thể rất tương tự, chẳng hạn như kucoin.so, kucoin-support.com, support-kucoin.com, kucoin-security.com.
Nội dung tin nhắn Chỉ cung cấp mã xác minh; không yêu cầu người dùng nhấp vào liên kết để thực hiện hành động (ví dụ: “hủy rút tiền”), không cung cấp số điện thoại để gọi lại. Chứa các lời kêu gọi hành động khẩn cấp ("Nếu bạn không hủy ngay, số tiền của bạn sẽ được chuyển đi") và cung cấp liên kết hoặc số điện thoại.
Khối lượng mã xác minh Chỉ gửi một tin nhắn SMS mã xác minh khi bạn chủ động khởi động hành động. Gửi một chuỗi mã xác thực dày đặc trong thời gian ngắn, ngay cả khi người dùng không thực hiện bất kỳ hành động nào.
⚠️ Ghi chú đặc biệt: Tin nhắn SMS thông báo rút tiền thật từ KuCoin chỉ thông báo rằng việc rút tiền đã được “khởi tạo” và sẽ không cung cấp liên kết “nhấp để hủy”. Mọi hành động “hủy rút tiền” phải được thực hiện trên trang web hoặc ứng dụng chính thức.

🛡️ Chiến lược phòng thủ cốt lõi: Bình tĩnh là vũ khí tốt nhất của bạn chống lại các trò lừa đảo gây hoảng loạn

Điều mà những kẻ lừa đảo sợ nhất là một người dùng có thể giữ bình tĩnh và xác minh một cách hợp lý.

Chiến lược thứ nhất: Thiết lập quy tắc “Không bao giờ nhấp vào liên kết SMS”

  • Quy tắc then chốt: Đừng bao giờ nhấp vào bất kỳ liên kết nào được cung cấp trong tin nhắn SMS, bất kể chúng có vẻ khẩn cấp hay thuyết phục đến đâu.
  • Thực hành đúng: Nếu bạn có bất kỳ lo ngại nào, hãy nhập thủ công URL chính thức (ví dụ: www.kucoin.com) vào trình duyệt của bạn hoặc mở ứng dụng chính thức để xác minh. Đừng bao giờ dựa vào các liên kết trong tin nhắn SMS.

Chiến lược Hai: Mã xác minh là “Chỉ nhập, không bao giờ chia sẻ, không bao giờ thực hiện thông qua liên kết”

  • Quy tắc then chốt: Mã xác minh chỉ dùng để xác minh khi bạn chủ động khởi tạo hành động trên nền tảng chính thức, không dùng để “hủy” hoặc “dừng” bất kỳ sự kiện nào.
  • Thực hành đúng:
    • Nếu bạn nhận mã xác minh mà không thực hiện bất kỳ hành động nào, đừng nhập hoặc chia sẻ nó ở bất kỳ đâu. Điều này có thể cho thấy ai đó đang cố gắng kích hoạt hành động đăng nhập, đặt lại mật khẩu, thay đổi cài đặt bảo mật hoặc các hành động nhạy cảm khác.
    • Đừng bao giờ chia sẻ mã xác minh của bạn với bất kỳ ai, kể cả những người tuyên bố là hỗ trợ khách hàng.
    • Đừng bao giờ nhập mã xác minh của bạn trên bất kỳ trang web hoặc ứng dụng nào không chính thức.

Chiến lược thứ ba: Kích hoạt tất cả các tính năng bảo mật nâng cao

  • Mã chống lừa đảo: Kích hoạt tính năng “mã chống lừa đảo” của KuCoin. Mỗi email chính thức sau đó sẽ chứa mã duy nhất của bạn, giúp bạn phân biệt các thông báo chính hãng với thông báo giả mạo.
  • Danh sách trắng địa chỉ rút tiền: Sau khi kích hoạt, các giao dịch rút tiền chỉ có thể được gửi đến các địa chỉ đã được thiết lập trước, điều này có thể giảm đáng kể nguy cơ gửi tiền đến các địa chỉ không rõ ràng ngay cả khi tài khoản của bạn bị xâm phạm.
  • Khóa bảo mật phần cứng hoặc Google Authenticator: Kích hoạt xác thực 2 yếu tố để tránh phụ thuộc vào mã xác minh qua SMS (do rủi ro SIM swap).

Chiến lược thứ tư: Quy trình tiêu chuẩn khi gặp tình huống khả nghi

  1. Giữ bình tĩnh, đừng hành động vội vàng: Kẻ lừa đảo lợi dụng sự hoảng loạn của bạn. Sự bình tĩnh là lợi thế lớn nhất của bạn.
  2. Xác minh qua các kênh chính thức: Mở ứng dụng chính thức của KuCoin hoặc nhập thủ công URL chính thức để kiểm tra trạng thái tài khoản và các thông báo mới nhất của bạn.
  3. Kiểm tra tên miền: Nếu bạn đã nhấp vào liên kết, hãy kiểm tra thanh địa chỉ trình duyệt ngay lập tức để xác minh đó là tên miền chính thức.
  4. Đổi mật khẩu và hủy các quyền truy cập: Nếu bạn nghi ngờ thông tin đã bị xâm phạm, hãy ngay lập tức đổi mật khẩu, hủy các quyền truy cập API và liên hệ với bộ phận hỗ trợ khách hàng chính thức.

🚨 Nếu bạn đã nhấp vào liên kết hoặc tiết lộ thông tin

Tình huống Các bước phản ứng khẩn cấp
Đã nhấp vào liên kết độc hại nhưng không nhập bất kỳ thông tin nào 1. Đóng trang web ngay lập tức và không thực hiện bất kỳ hành động nào.
2. Xóa bộ nhớ đệm và cookie của trình duyệt.
3. Thay đổi mật khẩu tài khoản KuCoin của bạn và hủy tất cả các quyền truy cập API.
4. Kích hoạt xác thực 2 yếu tố (nếu chưa được kích hoạt).
Đã nhập tên người dùng/mật khẩu hoặc mã xác minh trên trang lừa đảo 1. Đăng nhập ngay vào trang web chính thức của KuCoin (nhập thủ công URL) và thay đổi mật khẩu của bạn.
2. Ngay lập tức thu hồi tất cả các quyền truy cập API.
3. Kiểm tra và đóng băng danh sách trắng địa chỉ rút tiền để đảm bảo không có địa chỉ nào không rõ được thêm vào.
4. Liên hệ với bộ phận hỗ trợ khách hàng chính thức của KuCoin để báo cáo khả năng tài khoản bị xâm phạm.
5. Chuyển tài sản vào ví an toàn hoặc kích hoạt tính năng đóng băng tài khoản (nếu nền tảng cung cấp tính năng này).
Tài sản đã được chuyển ra ngoài 1. Giữ lại toàn bộ bằng chứng: Chụp màn hình tin nhắn lừa đảo, mã giao dịch (TxID) và địa chỉ của kẻ lừa đảo.
2. Báo cáo ngay cho cảnh sát: Mang tất cả bằng chứng đến cơ quan thực thi pháp luật địa phương của bạn.
3. Liên hệ với KuCoin chính thức: Báo cáo cho đội ngũ bảo mật với thông tin liên quan để hỗ trợ điều tra.

💎 Kết luận: Hoảng loạn là chất xúc tác cho các vụ lừa đảo; Bình tĩnh là lá chắn của an toàn

Sự thành công của loại lừa đảo qua SMS này chưa bao giờ nằm ở trình độ kỹ thuật của kẻ lừa đảo — mà nằm ở khả năng thao túng chính xác cảm xúc của bạn. Khi một luồng tin nhắn SMS mã xác minh và cảnh báo rút tiền ập đến cùng lúc, bất kỳ ai cũng có thể cảm thấy hoảng loạn.
 
Hãy ghi nhớ nguyên tắc cốt lõi này:
 
Một cuộc khủng hoảng thực sự sẽ không bao giờ yêu cầu bạn giải quyết nó thông qua liên kết SMS. Một nền tảng thực sự sẽ không bao giờ sử dụng sự hoảng loạn để thúc đẩy hành động của bạn.
Trước khi nhấp vào bất kỳ liên kết nào, hãy hít một hơi thật sâu và tự hỏi bản thân ba câu hỏi:
  1. Tôi có phải là người đã thực hiện hành động này không?
  2. Tập tin này có phải là miền chính thức không?
  3. Nếu điều này là thật, thì nó sẽ hiển thị gì trên ứng dụng/trang web chính thức?
Hãy hình thành thói quen “xác minh trước, hành động sau,” và bạn sẽ dễ dàng nhận ra chiêu lừa đảo gây hoảng loạn này.

Disclaimer: The information on this page may come from third parties and does not necessarily reflect KuCoin’s views. It is provided for general reference only and should not be interpreted as financial or investment advice.

Virtual asset investments may involve risk. Please carefully assess the product risks and your own risk tolerance. For more information, please refer to our Terms of Use and Risk Disclosure.