Nhiều năm liền, luận điểm rất đơn giản: mua iPhone, và lượng crypto của bạn nằm sau một bức tường không ai có thể vượt qua. Rồi Kaspersky phát hiện một trojan ngay trong chính App Store của Apple, âm thầm quét thư viện ảnh để tìm cụm từ khôi phục Bitcoin (BTC) và Ether (ETH). Vậy rốt cuộc chiếc điện thoại nào giữ ví an toàn hơn – và câu trả lời nằm ở phần cứng hay ở chính người cầm máy?
- Cả hai nền tảng đều từng chứa malware đánh cắp tiền mã hóa, nhưng Android gánh phần lớn, trong khi iPhone đối mặt với các đợt tấn công hiếm hơn, đắt đỏ hơn và nhắm mục tiêu rõ hơn.
- Hệ sinh thái khép kín và nhịp cập nhật đồng loạt của Apple giúp đa số người dùng mặc định ở mức rủi ro thấp hơn, dù thiết kế mã mở khóa và quy định sideloading mới tạo ra những lỗ hổng đáng kể.
- Những rủi ro lớn nhất lại… chẳng quan tâm bạn dùng gì: chụp màn hình seed phrase, SIM swap, sao lưu đám mây và lừa đảo xã hội luôn vượt mặt mọi lớp bảo mật phần cứng.
Hai bản thiết kế ẩn dưới mặt kính
Cả iPhone lẫn điện thoại Android đều cất giữ các khóa nhạy cảm nhất trong phần cứng chuyên dụng, tách biệt khỏi bộ nhớ thông thường. Lựa chọn kiến trúc này là nền móng cho mọi lớp bảo vệ phía trên.
Apple mô tả Secure Enclave là “một hệ thống con bảo mật chuyên dụng, được tích hợp trong chip hệ thống (SoC) của Apple,” “cách ly với bộ xử lý chính để bổ sung một lớp bảo vệ.” Lời hứa là khóa riêng của bạn vẫn an toàn ngay cả khi hệ điều hành chính bị xâm nhập.
Android chia nhỏ cùng một nhiệm vụ thành hai tầng. Trusted Execution Environment (TEE) khoanh vùng một khu vực bảo mật trong chính bộ xử lý thông qua ARM TrustZone, trong khi StrongBox tiến xa hơn, đưa khóa vào một con chip vật lý độc lập – như Titan M2 của Google, được trang bị trên mọi dòng Pixel từ Pixel 6 trở đi.
Trên giấy tờ, hai cách tiếp cận khá tương đồng. Trong thực tế, chênh lệch nằm ở câu hỏi: ai thực sự được sở hữu phần cứng đó.
Nghiên cứu KeyDroid của nhóm Đại học Cambridge năm 2025 dẫn số liệu cho thấy đến năm 2023, 96% iPhone và 45% thiết bị Android “có một dạng SE nào đó” – tức là có secure element. Con số duy nhất này gánh phần lớn luận điểm: một smartphone Android giá rẻ đơn giản là có thể… không có linh kiện mà iPhone coi là tiêu chuẩn.
Và vẫn còn một “cú lật” nữa mà người dùng ví hiếm khi được nghe.
Bảo vệ phần cứng chỉ phát huy tác dụng khi chính ứng dụng chịu… gọi đến nó. Rất nhiều app di động vẫn lưu dữ liệu nhạy cảm trong vùng lưu trữ chỉ được bảo vệ bằng phần mềm, đồng nghĩa con chip bảo mật “ngồi chơi,” còn khóa lẽ ra phải được nó bảo vệ lại nằm ở vùng mềm yếu hơn. Ví bạn đang dùng có lưu khóa bằng phần cứng hay không là câu hỏi đáng để hỏi thẳng nhà phát triển.
Đọc thêm: Ví tự lưu ký thoát kế hoạch báo cáo 10.000 USD khi FinCEN rút lại hai đề xuất
Ứng dụng đến từ đâu – và vì sao điều đó sống còn
Khác biệt sắc nét nhất về bảo mật giữa hai nền tảng không nằm ở con chip. Nó nằm ở khâu phân phối.
Trong phần lớn vòng đời của mình, iOS chỉ cho cài phần mềm từ đúng một địa chỉ. Google Play cũng duyệt ứng dụng, nhưng Android luôn cho phép sideloading, tức là cài file APK tải từ bất cứ góc nào trên internet.
Google báo cáo phát hiện malware từ nguồn sideload trên mạng nhiều gấp hơn 50 lần so với từ ứng dụng phát hành qua Google Play. Tỷ lệ này lý giải vì sao tội phạm mạng ưu tiên Android: thuyết phục nạn nhân nhấn “cài đặt dù sao” rẻ hơn rất nhiều so với việc lách qua hai vòng kiểm duyệt.
Google Play Protect quét các ứng dụng đã cài trên hầu hết thiết bị được chứng nhận, và điều đó có ích. Nhưng nó vẫn chỉ là một trình quét – mà mọi trình quét đều chạy sau những mối đe dọa mà chúng truy lùng.
Rồi “hào lũy” của Apple cũng cạn bớt.
Để tuân thủ Đạo luật Thị trường Kỹ thuật số (DMA) của Liên minh châu Âu, Apple phát hành iOS 17.4 vào tháng 3/2024, lần đầu tiên cho phép sideloading và cửa hàng ứng dụng bên thứ ba tại EU. Trở lại năm 2021, Tim Cook từng cảnh báo thay đổi này sẽ “phá hủy bảo mật của iPhone.”
Apple hiện lập luận rằng động thái này khiến người dùng châu Âu đối diện nhiều app giả, luồng thanh toán lừa đảo mà hãng khó kiểm soát. Giới phê bình đáp lại rằng quy trình “notarization” vẫn được áp dụng và cảnh báo đó ngay từ đầu đã mang màu sắc thương mại. Dù nhìn từ phía nào, iOS cũng vừa từ bỏ một phần lợi thế cấu trúc mà họ xây dựng suốt 15 năm.
Đọc thêm: Vì sao Bitcoin mãi không vượt nổi 87.000 USD? Bên bán vừa chặn đứng lần thứ ba
Khoảng trống cập nhật
Ví chỉ an toàn tương ứng với độ an toàn của hệ điều hành bên dưới. Đây là nơi hai nền tảng rẽ hướng rõ rệt.
Apple tung cùng lúc một bản cập nhật cho hầu như mọi iPhone còn được hỗ trợ, và tỷ lệ cài đặt tăng rất nhanh. Với Android, bản vá phải đi đường vòng: qua nhà cung cấp chip, nhà sản xuất thiết bị, thậm chí cả nhà mạng trước khi đến tay người dùng.
Các nghiên cứu độc lập đo độ trễ trên hệ sinh thái Android, đưa con số trung bình vào khoảng 38 ngày, với một số hãng còn chậm hơn đáng kể. Thiết bị đời cũ, giá rẻ thường bị loại khỏi danh sách hỗ trợ hoàn toàn.
Độ trễ đó không phải chi tiết kỹ thuật nhỏ nhặt. Đó là khoảng cửa sổ mở mà kẻ tấn công chui qua.
Google đã tìm cách thu hẹp. Project Mainline cho phép cập nhật các thành phần hệ thống cốt lõi qua Google Play thay vì chờ bản firmware đầy đủ, giúp một phần bản vá đi vòng qua nút thắt nhà sản xuất. Cách làm này có ích, nhưng không vá được mọi thứ – và hoàn toàn bất lực trước những chiếc máy đã hết hạn hỗ trợ.
Nhóm Threat Intelligence của Google theo dõi 75 lỗ hổng zero-day bị khai thác ngoài thực địa trong năm 2024, giảm từ 98 của năm 2023, và ghi nhận chuỗi khai thác “gần như hoàn toàn (~90%)” nhắm vào thiết bị di động. Trong số zero-day trên di động, bảy tấn công Android và hai tấn công iOS, với ba lỗi Android nằm ở thành phần do bên thứ ba phát triển, không phải mã của chính Google.
Đọc thêm: CFTC muốn đưa giao dịch crypto có đòn bẩy vào tầm giám sát, thị trường spot vẫn ngoài tầm với
Malware săn seed phrase hoạt động thế nào
Dạng malware hiệu quả nhất với tài sản số thường không đụng tay vào app ví. Nó nhắm thẳng vào… thư viện ảnh.
SparkCat của Kaspersky, được công bố tháng 2/2025, sử dụng nhận dạng ký tự quang học (OCR) để quét ảnh lưu trên máy và truy tìm cụm từ khôi phục. Các app nhiễm độc trên Google Play đã bị tải hơn 242.000 lượt, và đây là stealer trojan đầu tiên được ghi nhận trong Apple App Store. “Đàn em” SparkKitty sau đó xuất hiện trên cả hai chợ, ẩn mình trong một app iOS tên 币coin và một app Android tên SOEX.
Logic tấn công lạnh lùng mà hiệu quả: nhiều người chụp lại seed phrase cho tiện, biến một bản sao giấy thành một file kỹ thuật số có thể tìm kiếm.
Trên Android, mức độ phơi nhiễm sâu hơn vì một quyền truy cập: dịch vụ hỗ trợ tiếp cận (accessibility services). Vốn được thiết kế để người khuyết tật sử dụng, nó cho phép app đọc nội dung trên màn hình, ghi lại thao tác nhập và vẽ lớp cửa sổ phủ lên app khác. Giới viết malware coi đây là “chìa khóa tổng.”
Các kỹ thuật thường được xếp chồng:
- Tấn công overlay: vẽ màn hình đăng nhập giả đè lên app ví thật.
- Clipper chiếm clipboard, thay địa chỉ ví vừa copy bằng địa chỉ của kẻ tấn công.
- OCR quét thư viện ảnh để tìm chuỗi giống seed phrase.
- Lạm dụng accessibility để đọc phím bấm và nội dung hiển thị theo thời gian thực.
- Ảo hóa (virtualization) cho phép malware chạy app thật trong một “hộp cát” do nó kiểm soát.
Trend Micro ghi nhận CherryBlos năm 2023, kết hợp OCR, overlay ví giả và clipper để chiếm hướng rút tiền. ThreatFabric sau đó phanh phui Crocodilus – trojan hiển thị thông báo giục nạn nhân “sao lưu khóa ví trong phần cài đặt trong vòng 12 giờ,” rồi thu hoạch seed phrase thông qua lạm dụng accessibility.
Đến 2025, dòng trojan ngân hàng càng trở nên hung hãn.
Zimperium phân tích biến thể Godfather chạy app ngân hàng và ví crypto thật trong một lớp ảo hóa ẩn, chặn toàn bộ thao tác theo thời gian thực thay vì chỉ dựng màn hình đăng nhập giả. ThreatLabz của Zscaler phát hiện biến thể mới của Anatsa nhắm tới hơn 831 tổ chức tài chính toàn cầu, tăng từ 650, bổ sung các ngân hàng Đức, Hàn Quốc và nhiều nền tảng crypto vào danh sách.
Dòng malware clipper vẫn là chiêu rẻ tiền nhưng hiệu quả. Lukas Stefanko của ESET phát hiện một clipper đầu tiên trên Google Play hồi tháng 2/2019, giả dạng MetaMask, được đặt tên Android/Clipper.C, chuyên tráo địa chỉ Bitcoin và Ether đã copy bằng địa chỉ của kẻ tấn công.
Trên iOS, malware “thuần bản địa” vẫn hiếm hơn nhiều. Quy trình duyệt App Store và chính sách gần như cấm sideloading trước đây chặn phần lớn con đường mà Android để mở ngay từ thiết kế.
Những điểm mù của iPhone
Tất cả những điều trên không biến iPhone thành pháo đài bất khả xâm phạm. Nó chỉ thất bại theo một kiểu khác.
(Bài viết gốc dừng tại đây, phần phân tích tiếp theo về các chiến dịch lừa đảo lợi dụng TestFlight, mã mở khóa và iCloud chưa được cung cấp đầy đủ nội dung.) các chương trình beta và hồ sơ provisioning doanh nghiệp để phân phối lậu ứng dụng tiền số giả, hoàn toàn né được quy trình duyệt trên App Store.
Mánh provisioning thực chất là chiêu lừa đảo tâm lý khoác áo kỹ thuật. Nạn nhân bị thuyết phục cài và tin tưởng chứng chỉ nhà phát triển, vô tình trao cho kẻ tấn công quyền truy cập rất sâu vào thiết bị.
Nhưng đòn đánh “thô sơ” nhất mới là thứ khiến giới nghiên cứu bảo mật lạnh gáy.
Phóng viên Joanna Stern của Wall Street Journal ghi nhận những nhóm trộm chỉ cần đứng từ xa nhìn lén người dùng gõ mã mở khóa iPhone trong quán bar hay nơi công cộng, rồi chớp thời cơ giật điện thoại. Chỉ với một mã sáu chữ số, chúng có thể đặt lại Apple ID, khóa chủ máy vĩnh viễn và vét sạch các ứng dụng tài chính. Một kẻ trộm đã bị kết án, Aaron Johnson, khai đã cuỗm hàng trăm chiếc iPhone, với lệnh bắt dẫn chiếu tổng thiệt hại khoảng 300.000 USD.
Apple đáp trả trong iOS 17.3 bằng tính năng Stolen Device Protection. Khi bật lên, mọi thao tác nhạy cảm ở địa điểm lạ buộc phải xác thực bằng Face ID hoặc Touch ID, không cho dùng passcode thay thế, và thêm độ trễ bảo mật với những thay đổi nguy hiểm nhất. Cơ chế này hiệu quả, nhưng mặc định lại tắt, và đa số người dùng không bao giờ mò đến công tắc kích hoạt.
Phishing là điểm yếu mềm còn lại, và các con số lại đi ngược với hình ảnh “an toàn” của iPhone. Dữ liệu của Lookout quý III/2024 cho thấy thiết bị iOS là mục tiêu trong 18,4% các chiến dịch phishing trên di động, so với 11,4% ở Android; 19% thiết bị iOS trong khối doanh nghiệp bị phơi nhiễm ít nhất một lần tấn công phishing mỗi quý.
Xem thêm: Điều Gì Đang “Bẻ Gãy” iPhone 18 Pro Max Trên Mạng AT&T? Apple Vẫn Chưa Lên Tiếng
Khi Tiền Mua Được Đường Vào
Trên một nấc cao hơn là lớp tấn công bỏ qua hoàn toàn cửa hàng ứng dụng và nhịp vá lỗi. Nó nhắm vào từng cá nhân cụ thể, và chi phí triển khai là tiền tươi thóc thật.
Apple cảnh báo các mục tiêu qua Threat Notification, hệ thống hãng đã dùng từ 2021 để gửi thông điệp đến người dùng tại hơn 150 quốc gia mỗi khi phát hiện hoạt động phần mềm gián điệp đánh thuê. Apple nêu đích danh Pegasus của NSO Group như “khuôn mẫu” điển hình, và hướng người nhận sang chế độ Lockdown Mode.
Lockdown Mode cắt bỏ hàng loạt tính năng vốn là điểm tựa quen thuộc của các chuỗi khai thác: một số định dạng tệp đính kèm, một phần công nghệ web và cả kết nối có dây với thiết bị đang khóa. Apple tuyên bố đến nay họ chưa ghi nhận vụ tấn công spyware đánh thuê nào thành công trên thiết bị đang chạy chế độ này.
Tuyên bố đó đặc biệt đáng chú ý, bởi những ví crypto “nặng đô” chính là đối tượng mà dòng spyware này săn lùng.
Android hiện cũng có đối trọng. Google tích hợp Advanced Protection vào Android 16 như một công tắc duy nhất: tắt hoàn toàn sideloading, chặn kết nối 2G và Wi-Fi không an toàn, buộc máy tự khởi động lại sau 3 ngày liên tục bị khóa, đồng thời bật tối đa các cơ chế bảo vệ bộ nhớ. Electronic Frontier Foundation đã so Advanced Protection trực tiếp với Lockdown Mode của Apple.
Cả hai tính năng cùng thừa nhận một sự thật khó nuốt: nếu có đủ tiền và đủ quyết tâm, kẻ tấn công sớm muộn cũng chọc thủng được một chiếc smartphone phổ thông; phòng tuyến thực chất duy nhất là thu hẹp tối đa bề mặt tấn công mà chúng có thể chạm tới.
Xem thêm: OpenAI Agents Lén Cài Sửa Đổi Chưa Duyệt Lên Các Wiki Của Wikimedia, Quỹ Cho Biết
Những Đòn Đánh Không Cần Biết Bạn Dùng Máy Gì
Không ít cú mất trắng crypto kinh hoàng hoàn toàn không liên quan đến iOS hay Android. Chúng khai thác đúng “lớp” nằm giữa màn hình và chiếc ghế.
SIM swap là ví dụ rõ nhất. Trung tâm Khiếu nại Tội phạm Internet của FBI ghi nhận 1.611 tố cáo SIM swap trong năm 2021 với thiệt hại hơn 68 triệu USD, tăng vọt so với 12 triệu USD giai đoạn 2018–2020 cộng lại. Kẻ tấn công lừa nhà mạng chuyển số điện thoại của bạn sang SIM chúng kiểm soát, chặn mã SMS và quét sạch các tài khoản gắn với số đó.
Đòn này hoạt động y hệt trên cả hai nền tảng. Bạn dùng máy nào không còn quan trọng khi mắt xích yếu lại nằm ở tổng đài chăm sóc khách hàng.
Sao lưu đám mây mở ra một dạng rủi ro âm thầm khác. Lưu seed phrase trong iCloud hay Google Drive đồng nghĩa biến khóa khôi phục thành một tệp tin theo tài khoản của bạn đi khắp nơi – và bất kỳ ai chiếm được tài khoản đó đều với tay tới.
Tiện ích trình duyệt, QR code độc hại, “nhân viên hỗ trợ kỹ thuật” giả mạo, hay các giao dịch “phishing xin phê duyệt” đều vận hành giống nhau bất kể hệ điều hành. Cũng như chiêu cổ điển nhất: thuyết phục nạn nhân đọc to seed phrase qua điện thoại cho một người xa lạ.
Dữ liệu thị trường cho thấy nơi thiệt hại đang dồn về. Chainalysis ước tính hơn 2,17 tỷ USD bị đánh cắp khỏi các dịch vụ crypto chỉ riêng nửa đầu 2025, đã vượt cả năm 2024. Các ví cá nhân bị xâm nhập chiếm 23,35% tổng lượng tài sản bị đánh cắp từ đầu năm đến nay, trong bối cảnh sàn giao dịch siết bảo mật và nhà đầu tư nhỏ lẻ trở thành “miếng mồi mềm”.
Xem thêm: Evernorth Chuẩn Bị Đưa 473 Triệu XRP Lên Nasdaq, Nhà Đầu Tư Cổ Phiếu Có Ủng Hộ Cú Đặt Cược Kho Bạc?
Gia Cố Bất Kỳ Chiếc Máy Nào
Điểm tích cực là: một vài thói quen kỷ luật có giá trị hơn nhiều so với lựa chọn nền tảng. Hãy bắt đầu từ những việc mà kẻ tấn công luôn trông chờ bạn bỏ qua.
Tuyệt đối không chụp ảnh hay chụp màn hình seed phrase. Chỉ một nguyên tắc này là đủ vô hiệu cả họ malware OCR, từ SparkCat đến CherryBlos.
Với người dùng iPhone, danh sách cần làm khá ngắn:
- Bật Stolen Device Protection trong phần cài đặt Face ID.
- Dùng passcode dạng chữ–số dài thay vì mã sáu số.
- Kích hoạt Advanced Data Protection để iCloud được mã hóa đầu cuối.
- Xem mọi yêu cầu cài đặt cấu hình (configuration profile) là nguy hiểm mặc định.
Với người dùng Android, kỷ luật cần chặt hơn:
- Chỉ cài ứng dụng từ Google Play, từ chối mọi file APK sideload.
- Bất kỳ ứng dụng nào đòi quyền accessibility đều phải xem là tín hiệu cảnh báo đỏ.
- Bật Advanced Protection nếu đang dùng Android 16.
- Ưu tiên Pixel hoặc flagship có secure element “xịn” thay vì máy giá rẻ không có phần cứng bảo mật.
Ở cả hai phe, hãy dời xác thực ra khỏi SMS. Dùng app tạo mã OTP hoặc khóa bảo mật phần cứng sẽ loại nhà mạng ra khỏi chuỗi xác thực, gần như chặn đứng cửa tấn công SIM swap.
Những người cực kỳ coi trọng bảo mật còn đi xa hơn. GrapheneOS, bản Android hardened chỉ chạy trên dòng Pixel, bổ sung bộ cấp phát bộ nhớ cứng rắn hơn, sandbox mạnh hơn và vá lỗi cực nhanh; Edward Snowden từng nói ông đang dùng nó. Một số nhà đầu tư crypto giữ riêng một chiếc Pixel chạy GrapheneOS sạch sẽ chỉ để làm thiết bị ký giao dịch offline.
Dù dùng máy gì, đừng để số dư lớn nằm trên điện thoại. Ví cứng kết nối qua USB hoặc Bluetooth giữ khóa riêng tư tách hẳn khỏi thiết bị có internet – và lớp tách biệt đó quan trọng hơn nhiều so với bất kỳ so sánh iOS–Android nào trong bài này.
Phán Quyết Cuối Cùng
Vậy nền tảng nào “thắng”? Với nhà đầu tư crypto phổ thông, iPhone đời mới hoặc một chiếc Pixel flagship hiện vẫn là lựa chọn mặc định chắc chân hơn – lý do xuất phát từ cấu trúc hệ thống chứ không phải “phe phái”.
Cả hai đều tích hợp secure element tiêu chuẩn, được cập nhật nhanh và vận hành hệ sinh thái ứng dụng có kiểm duyệt. iOS vẫn nhỉnh hơn về mặt phơi nhiễm malware, bởi Android gánh phần lớn khối lượng mã độc di động và sideloading tiếp tục là con đường lây nhiễm chủ đạo.
Nhưng một nền tảng an toàn không đồng nghĩa với một thiết lập an toàn.
Chủ iPhone dùng passcode yếu, chụp màn hình seed phrase và phụ thuộc vào SMS vẫn rủi ro hơn một người dùng GrapheneOS cẩn trọng. Ở chiều ngược lại, một chiếc Android giá rẻ không secure element, không còn hỗ trợ cập nhật là lựa chọn tệ nhất có thể. Bất kỳ ai giữ lượng tài sản đáng kể nên mặc định rằng cả hai nền tảng đều có thể bị xuyên thủng, rồi bổ sung Lockdown Mode hoặc Advanced Protection bên cạnh một ví cứng.
Nền tảng đặt ra “mặt sàn” an toàn của bạn. Thói quen mới quyết định được “trần nhà” bạn có thể vươn tới.
Đọc tiếp: DeepSeek Được Đồn Sắp Gọi Vốn 12 Tỷ USD, Tencent Và CATL Nằm Trong Nhóm Rót Tiền
