Cảnh báo khẩn: Lừa đảo NFT 'Xaman' giả mạo đang đánh cắp toàn bộ tài sản từ ví XRP

Một chiến dịch lừa đảo có tổ chức đang nhắm mục tiêu đến các nhà đầu tư XRP bằng cách gửi các NFT (token không thể thay thế) giả mạo không mời trực tiếp vào ví XRP Ledger (XRPL). Kẻ lừa đảo gắn các "Ưu đãi mua" (Buy Offers) độc hại ẩn bên trong các NFT này. Khi người dùng vô tình ký hoặc chấp nhận ưu đãi đó, toàn bộ XRP và các tài sản kỹ thuật số khác trong ví sẽ ngay lập tức bị rút sạch . Những vụ lừa đảo này hoàn toàn dựa vào kỹ thuật xã hội và sai sót của con người, chứ không phải khai thác lỗ hổng của giao thức .

Chiêu trò lừa đảo hoạt động như thế nào?

Các tên NFT giả mạo thường thấy

Kẻ lừa đảo gửi các NFT giả mạo mang nhãn hiệu là các "thẻ Xaman" (Xaman passes) và "ưu đãi beta" (beta-pass offers) để bắt chước hệ sinh thái ví Xaman chính thống, một loại ví phổ biến trên XRPL . Một số NFT còn kèm theo những thông báo xác minh gây hiểu lầm như "Xác minh: Thông báo XRPL an toàn" (Verification: Safe XRPL verify message) . Một biến thể khác sử dụng memo (ghi chú) giả mạo trong các yêu cầu thanh toán, hứa hẹn phần thưởng hàng tháng để lừa người dùng ký vào một giao dịch độc hại .

Giao dịch độc hại mà nạn nhân bị lừa ký

1. Một NFT không mời được gửi vào ví của nạn nhân, thường có tiêu đề hoặc mô tả gợi ý về một giải thưởng, quà tặng hoặc bước "xác minh" tài khoản .
2. NFT này chứa một Ưu đãi mua (Buy Offer) ẩn. Khi người dùng ký hoặc chấp nhận ưu đãi này — nhầm tưởng đó là yêu cầu nhận thưởng hoặc xác minh — giao dịch sẽ cho phép kẻ lừa đảo rút toàn bộ XRP và các tài sản khác khỏi ví .
3. Một biến thể khác liên quan đến các yêu cầu thanh toán giả mạo được ngụy trang thành thông báo "xác minh XRPL an toàn". Nạn nhân nào chấp thuận yêu cầu này sẽ mất tiền ngay lập tức .

Các tổn thất tài chính được ghi nhận

• Tháng 6/2026: Một nạn nhân đã mất 14.646 XRP (tương đương khoảng 16.800 USD) sau khi chấp thuận một yêu cầu thanh toán giả mạo được ngụy trang thành lời nhắc xác minh ví .
• Tháng 5/2026: Một nhà đầu tư khác đã mất 6.000 XRP sau khi chấp nhận một ưu đãi mua NFT giả mạo .
• Ông David Schwartz, Giám đốc Công nghệ (CTO) của Ripple, đã nhấn mạnh rằng vì XRP không có tổ chức phát hành tập trung nên các token bị đánh cắp không thể bị đóng băng, thu hồi hoặc khôi phục — các khoản lỗ là vĩnh viễn .

Bối cảnh rộng hơn: "Sự leo thang khủng khiếp" trong các vụ lừa đảo XRP

Chiến dịch lừa đảo NFT này chỉ là một phần trong làn sóng tội phạm lớn hơn nhiều nhắm vào cộng đồng XRP.

Cảnh báo từ David Schwartz (14/5/2026)

CTO của Ripple, David Schwartz, đã đăng một cảnh báo khẩn cấp trên nền tảng X (Twitter), nói rằng đã có "sự leo thang khủng khiếp gần đây trong các vụ lừa đảo airdrop và tặng quà nhắm vào người dùng XRPL." Ông cảnh báo rằng hầu như tất cả các chương trình khuyến mãi như vậy trên mạng xã hội đều là lừa đảo, và bất kỳ ai mạo danh ông trên Instagram, Telegram hoặc bất kỳ nơi nào khác đều là kẻ lừa đảo .

Cảnh báo từ XRP Ledger Foundation

Quỹ XRP Ledger (XRPL Foundation) cũng đưa ra cảnh báo tương tự, xác nhận rằng các vụ lừa đảo nhắm vào cộng đồng XRP "đã gia tăng mạnh" và kêu gọi người dùng tránh xa các chương trình airdrop, tặng quà và các ưu đãi hỗ trợ khách hàng giả mạo trên nền tảng X .

Các chiến thuật lừa đảo khác trong cùng làn sóng

• Các chiến dịch bot hàng loạt mạo danh XRPL Foundation và ví Xaman để quảng bá các đợt airdrop giả mạo mang tên "RLUSD Season 1" .
• Các video deepfake AI mạo danh các giám đốc điều hành Ripple để quảng bá các chương trình tặng quà giả .
• Các trang web lừa đảo (phishing) bắt chước giao diện ví XRPL chính thống, yêu cầu người dùng kết nối ví hoặc phê duyệt các giao dịch gian lận .
• Các ứng dụng Xaman giả mạo cho máy tính để bàn và hơn 20 tài khoản mạng xã hội giả mạo được tạo ra mỗi ngày .

Các biện pháp bảo vệ được khuyến nghị

Dựa trên các cảnh báo từ David Schwartz, Wietse Wind (người sáng lập Xaman) và XRPL Foundation:

• Tuyệt đối không ký hoặc chấp nhận các ưu đãi NFT không mời. Ngay lập tức hủy bỏ mọi ưu đãi không rõ nguồn gốc trong ví của bạn .
• Phớt lờ tất cả các chương trình khuyến mãi airdrop, tặng quà và "phần thưởng" trên mạng xã hội — gần như chắc chắn chúng là lừa đảo .
• Không kết nối ví của bạn với các trang web không quen thuộc tuyên bố cung cấp XRP hoặc phần thưởng NFT miễn phí .
• Không bao giờ chia sẻ cụm từ hạt giống (seed phrase) hoặc khóa cá nhân (private keys) của ví với bất kỳ ai .
• Xác minh mọi thông tin liên lạc: Ripple và XRPL Foundation không bao giờ yêu cầu người dùng gửi XRP hoặc chia sẻ thông tin chi tiết về ví .
• Sử dụng các công cụ ví như Bithomp và Xaman để xem xét và hủy các ưu đãi đang chờ xử lý — nhưng hãy nhận thức rằng một khi tài sản đã bị đánh cắp, việc khôi phục là gần như không thể .
• Cảnh giác với các tài khoản mạo danh trên X, Instagram và Telegram. Chính David Schwartz cũng cảnh báo rằng bất kỳ ai tự xưng là ông trên các nền tảng này đều là kẻ lừa đảo .