Ví Phantom có an toàn không?

"An toàn" gồm hai phần: phần mềm ví có bảo vệ được khóa của bạn không, và bạn có tránh được các chiêu lừa đảo nhắm vào người dùng ví không. Phantom làm khá tốt phần thứ nhất. Phần thứ hai mới là nơi gần như mọi thiệt hại xảy ra. Trang này đề cập cả hai, kèm dữ kiện có ghi ngày. Ghostlight Guide là trang độc lập và không được Phantom trả tiền.

Phantom bảo vệ tiền của bạn như thế nào

Khóa nằm trong tay bạn

Phantom là ví tự lưu ký. Cụm từ khôi phục và khóa riêng tư được tạo trên thiết bị của bạn và được bảo vệ bằng mật khẩu của bạn. Phantom không giữ tiền của bạn và không thể chuyển nó. Mặt trái là không ai có thể đảo ngược giao dịch bạn đã ký hay khôi phục cụm từ bạn làm mất.

Xem trước giao dịch và cảnh báo

Trước khi bạn ký, Phantom mô phỏng giao dịch và hiển thị thay đổi số dư dự kiến. Ví cũng đối chiếu trang web với danh sách chặn các tên miền độc hại. Tài liệu cho nhà phát triển của Phantom liệt kê các cảnh báo như This dApp could be malicious. Do not proceed unless you are certain it is safe. (Dapp này có thể độc hại. Đừng tiếp tục trừ khi bạn chắc chắn nó an toàn.) và This domain is new or has not been reviewed yet. Proceed with caution. (Tên miền này mới hoặc chưa được xem xét. Hãy thận trọng.) Nếu bạn thấy cảnh báo đầu tiên, hãy dừng lại. Xem giải thích cảnh báo dapp độc hại của Phantom.

Tháng 11/2024, Phantom mua lại Blowfish, công ty đứng sau tính năng xem trước giao dịch của ví. Phantom cho biết Blowfish đã ngăn chặn 2,8 triệu vụ lừa đảo và quét 1,3 tỷ giao dịch (blog Phantom). Hãy coi đây là lưới an toàn, không phải sự đảm bảo: trang drainer mới xuất hiện hằng ngày, và bản xem trước không thể bảo vệ bạn nếu bạn trao cụm từ khôi phục cho kẻ khác.

Hỗ trợ ví phần cứng

Bạn có thể kết nối Ledger với tiện ích hoặc ứng dụng di động Phantom. Khi đó giao dịch cần xác nhận vật lý trên thiết bị, nên phần mềm độc hại trên máy tính không thể tự chuyển tiền. Xem Phantom với Ledger.

Lọc thư rác

Phantom ẩn nhiều token và NFT rác, cho phép bạn báo cáo và đốt NFT không mong muốn. Airdrop lừa đảo là cách phổ biến để dụ người dùng vào trang drainer, vì vậy đừng bao giờ truy cập liên kết in trên token hoặc NFT mà bạn không mong đợi.

Kiểm toán, bug bounty và mã nguồn mở

Ứng dụng ví Phantom không phải mã nguồn mở, nên bạn không thể tự kiểm tra mã. Thay vào đó, Phantom dựa vào đánh giá từ bên ngoài. Least Authority công bố báo cáo kiểm toán cuối cùng về mã di động và tiện ích của Phantom vào tháng 6/2024. Phantom chạy chương trình bug bounty công khai trên Cantina, hoạt động từ ngày 1/7/2026, với phần thưởng tới 100.000 đô la cho các lỗi nghiêm trọng (Cantina, 2026). Danh sách chặn tên miền độc hại của ví được công khai trên GitHub.

Tháng 1/2025, một nhà nghiên cứu bảo mật công khai chỉ trích Phantom về một báo cáo lỗ hổng chưa được công bố. Phantom xin lỗi vì phản hồi chậm và cho biết sự cố không gây rủi ro cho tiền của người dùng; không có chi tiết kỹ thuật nào được công bố (CryptoSlate, 2025).

Hồ sơ bảo mật

Danh sách đầy đủ, gồm cả các sự cố gián đoạn khác, có tại lịch sử bảo mật Phantom. Sự cố gián đoạn có thể khiến bạn không giao dịch được một thời gian, điều quan trọng nếu bạn giao dịch thường xuyên, nhưng không giống với việc tiền bị đánh cắp. Vụ đặt lại ứng dụng iOS tháng 11/2024 cho thấy vì sao bản sao lưu cụm từ khôi phục viết tay quan trọng ngay cả khi không có gì bị đánh cắp.

Người dùng Phantom thực sự mất tiền như thế nào

1. Bản tải giả. Bản sao của tiện ích hoặc ứng dụng, thường được tìm thấy qua quảng cáo tìm kiếm hoặc trang "tải chính thức" trên các trang lưu trữ miễn phí, đánh cắp cụm từ khôi phục ngay khi bạn nhập.
2. Hỗ trợ giả. Không có đường dây điện thoại Phantom, và Phantom cho biết bộ phận hỗ trợ sẽ không bao giờ liên hệ với bạn trước. Số điện thoại và cửa sổ chat giả yêu cầu bạn "xác minh" hoặc "đồng bộ" ví bằng cụm từ khôi phục. Xem lừa đảo số điện thoại hỗ trợ Phantom.
3. Trang drainer. Airdrop, mint và nhận token giả yêu cầu bạn ký một giao dịch gửi toàn bộ tài sản cho kẻ tấn công.
4. Cửa sổ bật lên giả. Trang web giả mạo cửa sổ Phantom ngay trong tab trình duyệt và đòi cụm từ khôi phục.
5. Đầu độc địa chỉ. Giao dịch rất nhỏ hoặc tin nhắn chat từ địa chỉ nhái khiến bạn sao chép nhầm địa chỉ.
6. Cụm từ bị lộ. Ảnh chụp, ghi chú trên đám mây, trình quản lý mật khẩu bị xâm nhập, hoặc cụm từ chia sẻ với ai đó đang "giúp đỡ".

Tất cả được giải thích kèm ví dụ trong lừa đảo Phantom giả mạo.

Những nguyên tắc ngăn phần lớn thiệt hại

• Phantom không bao giờ hỏi cụm từ khôi phục của bạn. Không phải để cập nhật, xác minh, đồng bộ, mở khóa hay nhận bất cứ thứ gì. Nơi duy nhất để nhập nó là ứng dụng Phantom thật khi khôi phục ví.
• Chỉ tải Phantom từ nguồn chính thức. Gõ phantom.com hoặc dùng dấu trang. Kiểm tra ID tiện ích hoặc trang ứng dụng bằng công cụ kiểm tra bản tải của chúng tôi.
• Giữ cụm từ ngoại tuyến. Trên giấy hoặc kim loại, không bao giờ chụp màn hình, gửi email hay lưu ghi chú trên đám mây.
• Dùng hai ví. Một ví "nóng" chứa ít tiền cho ứng dụng và mint mới, và một ví riêng, tốt nhất là trên Ledger, cho khoản tiết kiệm mà bạn không bao giờ kết nối với trang lạ.
• Đọc trước khi ký. Nếu Phantom hiện cảnh báo, không thể mô phỏng giao dịch, hoặc bản xem trước cho thấy số tiền rời đi nhiều hơn bạn nghĩ, hãy từ chối. Công cụ giải thích chữ ký của chúng tôi giúp bạn với tin nhắn đăng nhập và phê duyệt EVM.
• Kiểm tra toàn bộ địa chỉ. Sao chép từ người nhận hoặc sổ địa chỉ, không phải từ danh sách hoạt động hay đoạn chat. Công cụ kiểm tra địa chỉ của chúng tôi so sánh hai địa chỉ.
• Cập nhật Phantom chỉ qua Chrome Web Store, App Store hoặc Google Play. Cửa sổ bật lên đòi cụm từ để "cập nhật" là giả.

Cách phân biệt cửa sổ Phantom thật và giả

Scam Sniffer, một công ty bảo mật, đề xuất các cách kiểm tra sau vào tháng 2/2025 (Cointelegraph, 2025):

• Cửa sổ bật lên thật của tiện ích là một cửa sổ riêng có địa chỉ bắt đầu bằng chrome-extension://. Cửa sổ giả được vẽ bên trong trang web.
• Cửa sổ thật có thể di chuyển, thu nhỏ và đổi kích thước như mọi cửa sổ khác. Cửa sổ giả bị kẹt trong tab trình duyệt.
• Trang lừa đảo thường chặn nhấp chuột phải; cửa sổ Phantom thật thì không.

Phantom có an toàn hơn sàn giao dịch không?

Đó là một loại rủi ro khác. Trên sàn, công ty có thể bị hack, đóng băng tài khoản hoặc phá sản, nhưng cũng có thể đặt lại mật khẩu và đôi khi đảo ngược sai sót. Với Phantom, không có công ty nào đứng giữa bạn và tiền của bạn: không bị đóng băng, nhưng cũng không thể hoàn tác. Nhiều người giữ số dư giao dịch trên sàn và tài sản dài hạn trong ví tự lưu ký kèm ví phần cứng.

Lưu ý về tên gọi

Fantom (nay là Sonic) là một dự án tiền mã hóa riêng biệt. Các bài đánh giá an toàn về "Fantom wallet" không nói về Phantom, và Phantom không hỗ trợ nó.

Nếu sự cố đã xảy ra

Nếu bạn đã nhập cụm từ khôi phục vào một trang hoặc ứng dụng, hoặc đã ký thứ gì đó bạn không hiểu, hãy hành động ngay: làm theo phải làm gì nếu ví Phantom bị rút sạch. Đừng liên hệ với bất kỳ ai đề nghị lấy lại tiền có thu phí; họ cũng là kẻ lừa đảo.

Câu hỏi thường gặp