Tổng quan về sự cố bảo mật ví Plugin: Đối mặt với phần mềm giả mạo và các cuộc tấn công lừa đảo, lỗ hổng trực tiếp từ phía chính thức rất ít.

BlockBeats News, ngày 26 tháng 12. Sáng nay, Trust Wallet đã chính thức phát hành một thông báo xác nhận về lỗ hổng bảo mật trong phiên bản tiện ích mở rộng trình duyệt Trust Wallet 2.68. Theo theo dõi của nhà điều tra on-chain ZachXBT, hàng trăm người dùng Trust Wallet đã bị đánh cắp tài sản, với tổng thiệt hại ít nhất 6 triệu đô la. Một số tiện ích mở rộng trình duyệt phổ biến đã gặp phải các sự cố bảo mật sau:

Tiện ích mở rộng trình duyệt Trust Wallet trước đó đã bị phát hiện có lỗ hổng WebAssembly vào tháng 11 năm 2022, chỉ ảnh hưởng đến các địa chỉ ví mới được tạo từ ngày 14 đến ngày 23 tháng 11 năm 2022. Điều này đã dẫn đến việc bị đánh cắp khoảng 170.000 đô la. Trust Wallet đã phát hiện ra vấn đề thông qua chương trình săn lỗi, vá lỗ hổng và bồi thường đầy đủ cho người dùng bị ảnh hưởng.

MetaMask đã gặp phải lỗ hổng "Demonic" vào năm 2022, ảnh hưởng đến các phiên bản cũ trước 10.11.3, nơi khóa riêng tư có thể bị lộ trong bộ nhớ của trình duyệt. Tuy nhiên, không có trường hợp mất tài sản quy mô lớn nào được ghi nhận. Sau đó, từ năm 2023 đến 2025, tiện ích mở rộng ví chính thức MetaMask hoạt động an toàn, nhưng thường xuyên bị ảnh hưởng bởi các chương trình tiện ích giả mạo. Một báo cáo của Chainalysis cho thấy số lượng sự kiện trộm cắp bất thường của người dùng MetaMask tăng mạnh vào năm 2025, chủ yếu do phần mềm độc hại giả mạo và lừa đảo phishing, chứ không phải do vấn đề bảo mật của chính ví plugin. Hiện tại, MetaMask phát hành báo cáo bảo mật hàng tháng về vấn đề này. Tuy nhiên, với vai trò là ví plugin Ethereum phổ biến, nó vẫn là mục tiêu chính của các đối tượng làm giả.

Phantom (tiện ích mở rộng ví chính của Solana) cũng từng đối mặt với lỗ hổng "Demonic" vào năm 2022 nhưng không ghi nhận trường hợp mất tài sản lớn nào. Đầu năm 2025, một tranh cãi bảo mật liên quan đến tiện ích mở rộng ví Phantom đã nổ ra khi một người dùng bị mất 500.000 đô la do khóa riêng tư được lưu trữ trong bộ nhớ mà không được Phantom mã hóa, dẫn đến bị hacker tấn công. Một vụ kiện tập thể đã được đệ trình tại Tòa án Quận phía Nam New York. Nhóm Phantom kiên quyết phủ nhận mọi cáo buộc, cho rằng vụ kiện là "vô căn cứ" và nhấn mạnh rằng Phantom là ví không lưu ký, người dùng tự chịu trách nhiệm về an toàn tài sản.

Rabby Wallet (tiện ích mở rộng thân thiện với DeFi) đã bị hack vào năm 2022 do lỗ hổng Rabby Swap, khiến hacker đánh cắp khoảng 200.000 đô la tài sản crypto. Lỗ hổng này không xuất phát từ chính plugin mà từ tính năng Swap tích hợp sẵn.

Cách phổ biến nhất khiến ví tiện ích mở rộng trình duyệt bị xâm phạm là do tải xuống ứng dụng giả mạo. Năm 2025, đã có nhiều sự cố như vậy bùng phát trên cửa hàng Firefox, ảnh hưởng đến nhiều ví plugin crypto phổ biến như MetaMask, Phantom, Trust Wallet, v.v. Ngược lại, các lỗ hổng trực tiếp từ phía chính thức của plugin lại khá hiếm. Người dùng được khuyến cáo chỉ nên tải xuống từ Chrome Web Store chính thức để đảm bảo an toàn tài sản.