Giữ cho tiền mã hóa của bạn luôn #SAFU (mẹo hay từ CZ)
Như là một phần của cam kết giữ cho cộng đồng tiền mã hóa luôn an toàn và bảo mật hơn bao giờ hết, CEO Binance Changpang Zhao sẽ chia sẻ về hàng loạt những khía cạnh của công tác bảo mật tiền mã hóa trong bài blog này.
Bảo mật luôn luôn là một thứ hết sức quan trọng. Tuy điều đó là hiển nhiên, thế nhưng sự thiếu hụt trong nhận thức về bảo mật của đại đa số mọi người hiện nay thật sự đang ở mức báo động. Tương tự, thật đau lòng khi thấy các chuyên gia đều giả định rằng ai ai cũng am hiểu về các vấn đề bảo mật như nhau, để rồi thiết kế các hệ thống quá hiện đại nhưng lại rất khó sử dụng và dễ để mắc sai sót. Bảo mật là một lĩnh vực rất rộng, bản thân tôi cũng không phải là bác học biết tuốt mọi thứ, nhưng tôi đã từng chứng kiến nhiều vấn đề bảo mật mọi người từng gặp phải. Ở thời điểm giá tiền mã hóa có chiều hướng đi lên và hoạt động thị trường ngày càng sôi động, lĩnh vực tiền mã hóa một lần nữa đang ghi nhận sự tham gia của nhiều người dùng mới. Trong bài viết này, tôi sẽ cố gắng sử dụng những ngôn từ dễ hiểu nhất để giải thích về những khái niệm bảo mật có liên quan đến việc nắm giữ tiền mã hóa, bao gồm:
Một số khía cạnh cơ bản về bảo mật
Lí do và vì sao bạn nên, hoặc không nên, tự mình cất trữ coin
Lí do và vì sao bạn nên, hoặc không nên, cất trữ coin trên một sàn giao dịch tập quyền
Một số chủ đề có liên quan khác
Trước tiên, không có gì là 100% an toàn cả. Nếu hành tinh của chúng ta bị một thiên thạch va vào, tiền của bạn khả năng cao sẽ mất trắng, dù bạn có trữ nó bằng kiểu nào. Ừ thì bạn có thể lưu trữ nó ngoài vũ trụ, nhưng liệu là được trong bao lâu, hoặc nó sẽ còn đáng giá không khi Trái Đất chẳng còn nữa. Bạn đến lúc ấy có khi sẽ không thèm quan tâm nữa cơ. Luận điểm này là để chỉ ra câu hỏi mà bạn thực sự nên quan tâm, liệu như thế “đã đủ an toàn?”
Vậy nên hãy định nghĩa thế nào là “đủ an toàn”. Câu trả lời sẽ tùy vào mỗi người và mục đích của họ. Nếu bạn giữ $100 trong ví để tiêu xài hàng ngày, thì bạn sẽ không cần bảo mật ở mức độ nghiêm ngặt. Chỉ cần đưa chúng trong ví điện tử di động là đủ. Còn nếu bạn muốn cất trữ hàng triệu đô la hoặc tiền tiết kiệm của cả đời, thì lúc này bạn mới cần có những biện pháp an ninh cao hơn. Trong phần còn lại của bài viết này, chúng ta sẽ ngầm định số tiền bạn muốn lưu trữ là một con số đủ quan trọng đến cuộc đời bạn.
Để bảo vệ cho coin của mình, bạn sẽ cần làm 3 thứ sau:
Ngăn cho người khác không lấy cắp nó.
Ngăn cho bản thân mình không làm mất nó.
Luôn có cách để phó mặc số tiền cho những người thân trong trường hợp bạn bị bất lực.
Quá là đơn giản, phải không nào? Không đâu, để thực hiện đầy đủ ba yêu cầu trên buộc ta cần phải có cả kiến thức, công sức và sự cần mẫn mà đa phần mọi người đều không hay biết đến hoặc bỏ qua.
Được rồi, giờ thì hãy bắt đầu nào.
Vì sao bạn nên, hoặc không nên, tự mình cất trữ coin
Key của bạn thì mới là tiền của bạn. Có chắc chưa đấy?
Nhiều chuyên gia tiền mã hóa sẽ không ngần ngại khẳng định rằng mọi thứ chỉ an toàn một khi bạn tự mình nắm giữ coin, thế nhưng lại chẳng hề mảy may để mức độ kỹ thuật mà điều này đòi hỏi so với một người dùng bình thường. Liệu đây có phải là lời khuyên tốt nhất dành cho bạn? Hãy cùng phân tích nhé.
Đầu tiên, để tôi hỏi bạn cái này đã: bạn có biết private key của Bitcoin có hình thù ra sao không? Nếu không biết thì chắc chắn bạn nên tiếp tục đọc bài viết này đi.
Một private key của Bitcoin trông sẽ như thế này đây: KxBacM22hLi3o8W8nQFk6gpWZ6c3C2N9VAr1e3buYGpBVNZaft2p
Chính nó đấy. Chỉ là một chuỗi các ký tự ngẫu nhiên. Ai sở hữu nó thì sẽ có thể di chuyển lượng Bitcoin chứa trong địa chỉ đó, nếu có.
Bên cạnh đó, cũng có khái niệm “seed phrase”, là một chuỗi từ 12 đến 24 từ tiếng Anh có thứ tự nhất định. Chúng được dùng để tạo ra private key. Nhiều ví tiền mã hóa sử dụng seed. Trong bài viết này, chúng ta chủ yếu sẽ nói đến thuật ngữ “private key”, nhưng đa số các quy trình và khuyến nghị cũng có thể được áp dụng cho “seed”.
Quay trở lại với chủ đề chính, để tự mình bảo quản an toàn cho tiền mã hóa, bạn cần phải:
Ngăn không cho người khác lấy được private key của mình, chống lại hacker, giữ cho máy tính không bị dính virus, đề phòng lộ thông tin trên Internet, v.v.
Ngăn không cho mình để mất private key, luôn sao lưu để tránh bị mất dữ liệu trong trường hợp hư hỏng hoặc mất cắp thiết bị, và phải bảo mật cho các bản sao lưu ấy.
Luôn có phương án truyền lại private key cho người thân trong những trường hợp nguy cấp như là qua đời. Tuy đây không phải là một viễn cảnh ai cũng mong muốn, nhưng để đảm bảo bổn phận với những người thân thương, chúng ta phải sẵn sàng cho rủi ro này.
Tiếp theo đây hãy cùng đi sâu vào từng trường hợp.
1. Ngăn không cho người khác có được private key của bạn
Đây là cái hiển nhiên nhất. Chúng ta ai cũng từng nghe về hacker, virus, phần mềm Trojan, v.v. Bạn tất nhiên sẽ không muốn chúng xuất hiện trên những thiết bị mình dùng để lưu trữ coin.
Để đảm bảo an toàn và mức độ an tâm tối đa, thì thiết bị của bạn không nên có kết nối với Internet và bạn cũng không nên tải bất kỳ thứ gì vào thiết bị đó. Vậy thì làm sao bạn có thể sử dụng thiết bị đó để gửi và nhận tiền mã hóa một cách an toàn?
Hãy cùng liệt kê các thiết bị khác nhau mà bạn có thể sử dụng.
Khả dĩ nhất là một chiếc máy vi tính, đơn giản là vì độ linh hoạt của nó. Nếu bạn chọn lưu trữ coin trên máy vi tính, thì đừng bao giờ kết nối nó với Internet hay bất kỳ mạng lưới nào. Chỉ cần bạn kết nối máy tính đến một mạng lưới nào thôi thì có khả năng hacker sẽ tìm được đường vào thiết bị của bạn thông qua các lỗ hổng có trên hệ điều hành hoặc phần mềm bạn đang sử dụng. Các phần mềm không bao giờ là không có cửa hậu cả.
Vậy làm sao để cài đặt phần mềm lên một chiếc máy vi tính mà không bao giờ được kết nối Internet? Hãy sử dụng đĩa CD hoặc USB, bảo đảm chúng không chứa virus nhé. Sử dụng ít nhất 3 phần mềm chống virus để quét sạch sành sanh nó. Tải phần mềm (hệ điều hành hoặc ví tiền) bạn muốn cài đặt vào USB, đợi 72 tiếng, xem thử phần mềm bạn muốn sử dụng hoặc trang web bạn tải về có gặp lỗ hổng bảo mật nào không. Đã có nhiều trường hợp kể cả website chính thức cũng bị xâm nhập và phần mềm tải về bị cài lén Trojan. Bạn chỉ nên tải phần mềm từ các trang web chính thức. Bên cạnh đó, bạn cũng nên sử dụng các phần mềm mã nguồn mở, để giảm nguy cơ xuất hiện cửa hậu. Dù bản thân bạn không phải là một lập trình viên, nhưng các phần mềm mã nguồn mở sẽ được các lập trình viên khác dò xét, giảm nguy cơ để sót cửa hậu. Tóm lại, bạn nên chọn một phiên bản ổn định của Linux (thay vì Windows hay Mac) để làm hệ điều hành, và chỉ sử dụng những phần mềm mã nguồn mở.
Một khi đã cài đặt mọi thứ xong xuôi, sử dụng một USB không dính virus để ký offline giao dịch của bạn. Việc này sẽ khác nhau tùy vào từng ví và không thuộc chủ đề của bài viết. Bên cạnh bitcoin, nhiều đồng coin khác cũng không có ví cho phép ký giao dịch offline.
Bạn cũng cần đảm bảo an toàn vật lý cho thiết bị của bạn. Nếu để ai đó đánh cắp máy tính, họ có thể truy cập được vào đó một cách thủ công. Do vậy, hãy mã hóa ổ đĩa của bạn nhiều nhất có thể, để khi có ai tiếp cận được ổ đĩa, họ cũng không tài nào đọc được đó. Mỗi hệ điều hành khác nhau thì sẽ có các công cụ mã hóa khác nhau. Tuy nhiên, mã hóa ổ đĩa lại không thuộc chủ đề của bài viết này, nhưng trên mạng có rất nhiều lựa chọn để bạn cân nhắc.
Nếu bạn có thể làm tốt những điều trên, thì chỉ cần đọc đến đây là đủ. Song nếu những chúng vượt quá khả năng của bạn, thì hãy xem thêm những lựa chọn ở dưới.
Bạn có thể dùng điện thoại di động. Ngày nay, một chiếc điện thoại non-rooted/jailbreak được đánh giá là bảo mật hơn nhiều lần so với máy tính, nhờ thiết kế sandbox của hệ điều hành trên điện thoại. Vì có quá nhiều phiên bản Android, thế nên tôi thường khuyến nghị sử dụng một chiếc iPhone. Bạn chỉ nên sử dụng chiếc điện thoại này để làm ví, chứ đừng kết hợp với hoạt động thường ngày. Bạn cũng nên thiết lập máy về trạng thái ban đầu bằng cách “xóa tất cả nội dung và cài đặt”. Kế đến chỉ cài duy nhất ứng dụng ví tiền mã hóa, và không thêm gì nữa hết. Bạn cũng nên để điện thoại ở chế độ máy bay ở mọi lúc, trừ thời điểm sử dụng ví để chuyển tiền. Không bao giờ kết nối WiFi cho điện thoại. Chỉ kết nối Internet khi bạn cần dùng điện thoại để ký giao dịch hay cập nhật phần mềm. Điều này là bình thường nếu số tiền bạn giữ trong ví không quá lớn.
Một số ví điện thoại sẽ hỗ trợ chức năng ký giao dịch offline (bằng cách quét mã QR) để bạn có thể giữ cho điện thoại mình luôn luôn tách biệt với thế giới bên ngoài, từ lúc cài đặt ứng dụng ví xong và trước khi tạo private key. Bằng cách này, bạn luôn đảm bảo private key sẽ ở trên một thiết bị không bao giờ có kết nối Internet. Điều này sẽ giúp phòng ngừa nguy cơ ứng dụng ví có cửa hậu để chuyển dữ liệu về cho nhà phát triển, thứ mà từng xảy ra nhiều lần trong quá khứ, kể cả ở những ứng dụng có uy tín. Đổi lại, bạn sẽ không thể cập nhật ứng dụng ví và hệ điều hành. Cách để cập nhật là sử dụng một chiếc điện thoại khác, cài phiên bản mới hơn của ứng dụng lên đó, đưa nó vào chế độ máy bay, tạo địa chỉ mới, lưu nó lại (xem ở dưới) và chuyển tiền từ điện thoại cũ sang đây. Không thân thiện với người dùng lắm nhỉ. Chưa hết, những ví này thường chỉ hỗ trợ một số lượng coin/blockchain có giới hạn.
Bạn tất nhiên cũng cần bảo đảm an toàn vật lý cho điện thoại. Dù cho ổ cứng của iPhone có được mã hóa hoàn toàn đi nữa, song đã xuất hiện nhiều báo cáo cho biết có thể mở khóa được iPhone một cách thủ công, bằng cách phá được mã pin.
Ví cứng
Bạn còn có thể chọn dùng ví cứng. Đây là những thiết bị được thiết kế để giữ cho private key luôn ở trên chúng, không lưu lại trên máy tính. Việc ký giao dịch cũng diễn ra trên ví cứng. Nhưng không có gì là bất khả xâm phạm cả. Ví cứng cũng có thể mang virus trong phần cứng, phần mềm. v.v. Trên thị trường hiện có khá nhiều loại ví cứng. Khuyến nghị là nên tin dùng những thương hiệu lâu đời và có uy tín vì họ đã được kiểm nghiệm nhiều lần hơn. Mặc dù vậy, cũng có nhiều báo cáo cho biết là hacker đã có thể lấy được private key từ ví cứng một cách thủ công nếu có thể tiếp cận với nó. Chính vì thế bạn nên cất giữ ví cứng ở một nơi an toàn. Bên cạnh đó, ví cứng cũng cần kết nối với một phần mềm chuyên dụng trên máy tính hoặc điện thoại để có thể sử dụng, buộc bạn phải đảm bảo máy tính không bị dính virus. Có những con virus âm thầm thay đổi địa chỉ nhận sang địa chỉ của hacker vào những phút cuối, vậy nên ta cũng cần kiểm tra lại kỹ địa chỉ nhận. Dù ví cứng có nhiều biện pháp để ngăn những mánh khóe cơ bản nhằm chiếm đoạt private key của người dùng, thế nhưng tôi vẫn khuyên là nên dùng nó kết hợp với một chiếc máy tính sạch như đề cập ở trên, và bật tường lửa ở mức tối đa. Nhìn chung, ví cứng là một lựa chọn khá tốt để bạn có thể tự mình bảo quản coin. Phần rối rắm và cũng là điểm yếu lớn nhất của ví cứng là ở chỗ làm sao để sao lưu dự phòng, và sẽ được đề cập ở sau.
Có nhiều loại ví tiền mã hóa và thiết bị khác nhau. Tôi sẽ không tài nào liệt kê hết chúng trong bài viết này, nhưng trên đây là các dạng phổ biến và tiêu chuẩn nhất. Giờ thì chúng ta đã thảo luận xong về cách giảm (chứ chưa loại bỏ) khả năng ai đó sẽ tiếp cận được đến key của bạn, nghĩa là đã đi được ⅓ chặng đường lí giải về cách thức để tự mình trữ coin.
2. Ngăn không cho mình để mất private key
Bạn có thể để mất hoặc làm hư hại thiết bị mình sử dụng để lưu trữ coin. Vậy nên bạn cần:
Tạo bản sao lưu
Ở đây cũng có nhiều phương pháp khác nhau. Mỗi cái sẽ có ưu và nhược khác nhau. Về cơ bản, bạn sẽ cần có nhiều bản sao lưu, ở những vị trí địa lý khác nhau, và sao cho những người khác không thể xem (mã hóa).
Bạn có thể ghi lại nó trên một mảnh giấy. Một số ví sử dụng seed sẽ khuyến nghị điều này, bởi chẳng mất công gì để ghi lại 12-24 ký tự tiếng Anh. Với private key, bạn có thể mắc lỗi với những từ viết hoa hoặc nhầm lẫn chữ viết tay của mình (giữa O và 0), và sẽ rất rà lại đúng chỗ sai. Thế nhưng lưu trữ trên giấy cũng có những bất cập của nó. Nó có thể bị
Thất lạc - giữa những mảnh giấy khác
Hư hại - bởi lửa hoặc nước
Dễ bị người khác đọc - không có mã hóa
Nhiều người còn thuê cả két ngân hàng để lưu mấy cái key trên giấy. Riêng tôi thì không khuyên dùng phương án này vì những lí do nêu trên.
Đừng chụp ảnh của tờ giấy, hoặc chụp màn hình, sau đó đồng bộ với đám mây và nghĩ như vậy là đã sao lưu an toàn. Nếu hacker có thể truy cập vào tài khoản email hoặc máy tính, chúng có thể dễ dàng tìm thấy nó. Bên cạnh đó, nhà cung cấp dịch vụ đám mây có thể sẽ sao lưu nó ở nhiều nơi, và nhân viên của họ sẽ có thể xem các hình ảnh đó.
Có các thẻ bài kim loại được thiết kế để sao lưu seed. Chúng được quảng cáo là không thể bị phá hủy, giải quyết được bất cập bị cháy hay là bị ướt. Nhưng chúng vẫn bất lực trước việc ngăn không cho người khác đọc. Một lần nữa, có người lưu trữ chúng trong két ngân hàng, cùng với vàng hay các kim loại quý khác. Tôi nghĩ phương pháp này khá là dễ cho những ai thích kim loại. Còn với bạn thì bạn nên hiểu rõ những giới hạn và rủi ro trước khi chọn dùng nó.
Phương pháp được tôi khuyến nghị nên dùng nhất là USB, nhưng nó cần một mức độ am hiểu kỹ thuật nhất định. Có các loại USB chống được va đập/nước/lửa/từ trường. Bạn có thể lưu trữ private key đã được mã hóa ở trên đó và sao lưu sang nhiều bản khác nữa, giữ nó ở nhiều nơi khác nhau (gia đình và bạn bè). Điều này sẽ đáp ứng tất cả các yêu cầu ở phần đầu mục, gồm là lưu trữ được ở nhiều nơi, khó bị hư hại và không dễ để người khác đọc được. Yếu tố then chốt ở đây là mức độ mã hóa. Để làm được điều này, có rất nhiều công cụ trên thị trường, và chúng liên tục được phát triển theo thời gian. VeraCrypt là một công cụ dành cho người mới bắt đầu, cung cấp mức độ mã hóa có thể chấp nhận được. Ứng dụng tiền nhiệm của VeraCrypt là TrueCrypt thì từng một thời rất phổ biến, nhưng sau đó lại bị phát hiện có một số lỗ hổng bảo mật và bị ngừng phát triển. Vì vậy, lời khuyên là bạn tự nghiên cứu và chọn ra phương thức mã hóa tốt nhất và hợp thời nhất cho bản thân. Chưa hết, bạn cũng nên thường xuyên xoay vòng private key (tạo mới và chuyển tiền từ cũ sang mới).
3. Chăm sóc những người thân thương
Chúng ta không thể sống vĩnh viễn. Vậy nên cần chuẩn bị sẵn phương án kế thừa. Thực ra thì rất dễ để bạn truyền lại tài sản tiền mã hóa cho người thân, hạn chế sự can dự của bên thứ ba.
Tương tự, có nhiều cách khác nhau để làm điều này.
Nếu bạn sử dụng những phương pháp bảo mật thấp như là ví giấy hay thẻ bài kim loại, chỉ cần đưa nó lại cho người thân. Hạn chế tất nhiên sẽ là thiếu cách để bảo vệ cho bản lưu đó, nhất là khi người thân của bạn còn trẻ hay không am hiểu công nghệ. Nếu họ không làm tốt công tác bảo mật, hacker có thể dễ dàng chiếm đoạt tiền từ đó. Họ cũng có thể tự ý lấy tiền mà không cho bạn hay biết.
Tôi không khuyến khích chia sẻ key với người khác, bất kể quan hệ, vì lí do rằng nếu mất tiền thì sẽ không thể biết được ai đã lấy cắp hoặc ai bị lỗ hổng bảo mật. Mọi thứ sẽ rối tung hết cả lên.
Bạn có thể đưa ví giấy hoặc thẻ bài kim loại vào một két ngân hàng hoặc phó thác cho luật sư. Nhưng như đã nói, càng có nhiều người có được bản sao của key thì càng có thêm rủi ro tiền không cánh mà bay.
If you use the USB stick approach mentioned above, there are ways to pass on your wealth more safely. But again, it requires a bit more setup.
Có một dịch vụ online gọi là Deadman’s switch (Công tắc tử thần). Lâu lâu nó sẽ gửi email cho bạn (ví dụ mỗi một tháng). Bạn phải nhấn vào link hoặc đăng nhập để phản hồi. Nếu bạn không phản hồi sau một quãng thời gian nhất định, họ sẽ cho rằng bạn “đã chết” và gửi những email mà đã được bạn đề cập sẵn cho người nhận. Tôi không có ý quảng cáo cho những dịch vụ này, bạn nên tự google nó và trải nghiệm. Thật ra, bản thân Google cũng là một Deadman’s switch. Sâu bên trong cài đặt của Google là một lựa chọn cho phép người khác truy cập vào tài khoản của bạn nếu bạn không truy cập nó trong vòng 3 tháng. Cá nhân tôi thì tôi chưa thử nó và sẽ không cam kết gì cho nó.
Nếu bạn đang nghĩ, “Tuyệt, mình vừa bỏ private key trong email gửi đến mấy đứa con,” thì hãy đọc lại bài viết này từ đầu.
Bạn có thể đang nghĩ, tôi có thể bỏ mật khẩu mình đã mã hóa vào trong email, để sau này người thân sẽ mở khóa chúng. Phương án này cũng được, nhưng không tối ưu. Bạn đừng nên bao giờ để mật khẩu hoặc sao lưu xuất hiện trên Internet. Nó sẽ làm suy yếu nghiêm trọng độ bảo mật của quỹ tiền/sao lưu của bạn.
Bạn có thể đang nghĩ, mình nên xáo trộn/mã hóa các email chứa mật khẩu mở khóa USB bằng một mật khẩu khác mà mình có thể đưa cho người thân, thì bạn đang tư duy đúng hướng rồi đó. Thật ra thì bạn sẽ không cần đến mật khẩu thứ hai. Có một công cụ mã hóa email xuất hiện đã lâu rồi có tên PGP (hay là GPG) mà bạn nên sử dụng. PGP sử dụng cơ chế mã hóa bất tương xứng (tương tự như Bitcoin). Tôi sẽ không đề cập cụ thể hướng dẫn sử dụng PGP, trên mạng có rất nhiều rồi. Nói tóm lại, bạn nên nhờ người thân tạo private key PGP riêng, rồi mã hóa email deadman’s switch bằng public key để chỉ mình họ có thể đọc nội dung bên trong. Cách làm này khá an toàn, nhưng yêu cầu người thân của bạn phải giữ an toàn cho private key PGP. Và tất nhiên, họ phải biết cách dùng email PGP, thứ mà có thể hơi kỹ thuật/khó nhằn một chút.
Nếu bạn có thể làm theo những lời khuyên tính đến lúc này, thì bạn đã đạt đến mức độ am hiểu cơ bản (chứ không phải nâng cao) về tự mình lưu trữ tiền mã hóa. Còn những chủ đề khác chúng ta có thể nói đến mà có thể giải quyết những bất cập trên, như là multi-sig, ngưỡng chữ ký, v.v, nhưng chúng thuộc về một bài hướng dẫn chuyên sâu hơn. Trong phần tiếp theo, chúng ta sẽ nói về:
Sử dụng Sàn giao dịch
Khi chúng ta đề cập đến sàn giao dịch trong bài viết này, chúng tôi muốn nhắc đến các sàn tập quyền mà đang nắm giữ tiền mã hóa của bạn.
Sau khi đọc xong phần trước, bạn có thể tự nhẩm “Rối rắm thật. Thôi cứ giữ coin trên sàn giao dịch cho rồi”. Nhưng mà dùng sàn giao dịch thì cũng không tránh hết tất cả rủi ro được đâu. Dù sàn có chịu trách nhiệm bảo vệ cho tiền và hệ thống an toàn, bạn vẫn phải tuân theo những nguyên tắc dưới đây để bảo vệ tài khoản của mình.
Chỉ tin dùng các sàn giao dịch có uy tín
Vâng, ai cũng nghĩ là tôi sẽ nói như vậy rồi, bởi Binance là một trong những sàn giao dịch lớn nhất thế giới. Điều gì xảy ra cũng có lí do của nó cả. Nhưng không phải nền tảng nào cũng giống nhau.
Sàn lớn thường sẽ đầu tư rất nhiều tiền vào cơ sở hạ tầng cho bảo mật. Bản thân Binance cũng đã đổ hàng trăm triệu đô la vào bảo mật. Điều đó cũng dễ hiểu thôi, xét đến quy mô hoạt động của chúng tôi. Bản mật tác động đến rất nhiều khía cạnh, từ thiết bị, mạng lưới, quy trình, nhân lực, giám sát rủi ro, big data, AI, đào tạo, nghiên cứu, thử nghiệm, chọn đối tác thứ ba và cả quan hệ với các cơ quan hành pháp toàn cầu. Các sàn nhỏ đơn giản là không có nguồn lực và công cụ tài chính để làm điều này. Tôi có thể sẽ bị phản đối rất nhiều khi nói điều này, nhưng đây chính là lí do vì sao tôi hay cho rằng giữ coin trên một sàn tiền mã hóa lớn có uy tín an toàn hơn nhiều so với tự mình làm vậy.
Tiếp đến không thể không nhắc đến rủi ro từ chính sàn. Nhiều sàn nhỏ/mới ngay từ đầu đã được lập nên chỉ với mục đích lừa đảo. Chúng dụ người dùng nạp tiền rồi sau đó cao chạy xa bay. Cũng chính vì lí do này, hãy tránh xa các sàn giao dịch “không vì lợi nhuận” hoặc không tính phí giao dịch, thường xuyên có mức hoàn trả lớn hay các chương trình khuyến mãi quá hấp dẫn để có thể tin. Nếu mục tiêu của chúng không là vì lợi nhuận doanh nghiệp, thì chắc chắn sẽ là túi tiền của bạn. Xây dựng bảo mật vững chắc là một thứ gì đó rất tốn kém và cần dòng vốn từ một mô hình kinh doanh ổn định. Đừng bỏ qua công tác bảo mật khi nhắc đến tiền quỹ của bạn. Các sàn lớn với doanh thu khủng thì ít có lí do để lừa người dùng hơn. Khi bạn đã có một doanh nghiệp đã sinh lời và được định giá hàng tỉ đô, thì tại sao lại ném đi tất cả chỉ vì vài triệu đô và kể từ đó chỉ biết trốn chui trốn lủi?
Các sàn giao dịch lớn cũng thường được thử thách về bảo mật hơn. Đây cũng là rủi ro. Hacker thường thích ngắm đến các sàn lớn. Tuy nhiên, cũng có những kẻ chọn các sàn nhỏ vì an ninh của chúng dễ bị qua mặt hơn. Sàn giao dịch lớn cũng thường có từ 5-10 công ty bảo mật bên ngoài xoay tua đánh giá khả năng xâm nhập và kiểm tra bảo mật.
Binance còn đi xa hơn nhiều sàn khác trong vấn đề bảo mật. Chúng tôi đầu tư rất nhiều vào big data và AI để chống hacker và lừa đảo. Chúng tôi còn giúp nhiều người dùng không bị mất tiền khi SIM của họ bị kẻ xấu chiếm đoạt. Một số người dùng sử dụng cùng lúc nhiều sàn giao dịch cho biết rằng khi tài khoản email của họ bị hack, tiền trên các sàn khác đều bị cuỗm đi mất, riêng chỉ có mình Binance là còn nguyên vì AI của chúng tôi đã chặn nỗ lực rút tiền của hacker. Các sàn nhỏ hơn thì không tài nào làm được như vậy cả, đơn giản vì họ không có big data.
Bảo vệ tài khoản của bạn
Khi sử dụng sàn giao dịch, điều quan trọng là phải bảo vệ tài khoản của bạn. Hãy bắt đầu với những biện pháp cơ bản sau.
1. Bảo vệ máy tính của bạn.
Một lần nữa, máy tính của bạn thường là mắt xích yếu nhất trong vấn đề bảo mật. Nếu có thể, hãy dành ra riêng một máy tính chỉ để truy cập vào tài khoản sàn. Hãy cài đặt phần mềm chống virus (vâng, hãy đầu tư thật nhiều vào phần mềm chống virus), và hạn chế đến tối thiểu các phần mềm rác. Dựng tường lửa lên ở mức tối đa.
Chơi game, lướt web, tải tệp, v.v. trên một máy tính khác. Song, vẫn duy trì các biện pháp chống virus và tường lửa ở mức tối đa. Hacker sẽ dễ dàng có thể xâm nhập vào cả một mạng lưới nếu như chỉ một chiếc máy tính trong đó bị lây nhiễm.
Hạn chế tải xuống file
Kể cả khi bạn không sử dụng ví trên máy tính, tôi khuyên không nên tải bất kỳ file nào về máy tính hay điện thoại. Nếu người ta cần gửi tài liệu thì hãy yêu cầu họ sử dụng Google Doc. Nếu họ gửi PDF, thì hãy lập một thư mục trên Google Drive và mở nó trên đó, chứ đừng tải về máy. Nếu họ gửi một video hài hước thì nhắn họ hãy gửi link của video đó trên một nền tảng online. Tuy khá là phiền phức nhưng bảo mật không phải là một thứ có thể xem nhẹ, và khả năng bạn bị mất tiền cũng vậy. Hãy xem mọi thứ trên đám mây. Không được tải bất kỳ file gì về.
Bên cạnh đó, hãy tắt “tự động lưu hình ảnh và video” trên ứng dụng nhắn tin của bạn. Phần lớn chúng đều mặc định tải ảnh gif và video, không hề tốt để bảo mật.
Liên tục cập nhật phần mềm
Tôi biết cập nhật hệ điều hành là một thứ rất khó chịu, nhưng chúng sẽ giúp vá các lỗ hổng mới được phát hiện gần đây. Bọn hacker cũng thường theo dõi những cập nhật này và lợi dụng nó để xâm nhập vào những máy tính lười cập nhật. Điều tương tự cũng xảy ra với phần mềm ví hay ứng dụng di động. Do vậy, luôn luôn đảm bảo sử dụng phiên bản mới nhất.
2. Bảo mật tài khoản email của bạn
Tôi khuyên nên dùng Gmail hoặc Protonmail. Hai nhà cung cấp dịch vụ email này có mức bảo mật cao hơn các nền tảng khác. Chúng tôi đã ghi nhận nhiều lỗ hổng bảo mật hơn trên các nền tảng email khác.
Tôi cũng khuyên bạn sử dụng một tài khoản email riêng cho mỗi sàn giao dịch, và khiến chúng khó đoán hơn. Làm vậy là để nếu một sàn bị hack, tài khoản của bạn trên các sàn khác sẽ không bị ảnh hưởng. Nó cũng sẽ giúp giảm số lượng email lừa đảo hay phishing bạn có thể nhận.
Hãy bật 2FA cho email của bạn. Tôi khuyên nên dùng Yubikey cho tài khoản email. Nó là một biện pháp đề phòng chống lại nhiều loại hack, gồm cả phishing. Xem thêm về 2FA ở dưới.
Nếu bạn đang sinh sống ở một quốc gia có tình trạng hack SIM, thì đừng sử dụng số điện thoại làm phương án khôi phục tài khoản email. Chúng tôi đã từng thấy nhiều nạn nhân hack SIM mất tài khoản email và mật khẩu cũng vì đó. Nói chung, tôi không khuyên mọi người kết nối số điện thoại đến tài khoản email nữa. Hãy tách biệt chúng ra.
3. Bảo vệ mật khẩu của bạn
Sử dụng một mật khẩu đủ mạnh và khác nhau cho từng trang. Đừng mất công ghi nhớ mật khẩu làm gì, mà hãy sử dụng một công cụ quản lý mật khẩu. Đối với nhiều người, LastPass hay 1Password là phương án được họ tin dùng. Cả hai đều được tích hợp vào trình duyệt, điện thoại, v.v. Cả hai đều tuyên bố là chỉ lưu trữ mật khẩu trên thiết bị, và có thể đồng bộ giữa nhiều thiết bị khác nhau bằng các mật khẩu được mã hóa. Nếu bạn muốn an toàn hơn nữa thì hãy dùng KeePass hay một trong những phiên bản mà tương tích với hệ điều hành của bạn. KeePass chỉ lưu trữ thông tin cục bộ, nó không đồng bộ giữa các thiết bị với nhau và ít hỗ trợ điện thoại. Mã nguồn của nó cũng được mở, giúp bạn ít phải lo hơn về cửa hậu, v.v. Hãy tự nghiên cứu và chọn ra công cụ phù hợp với bản thân. Nhưng đừng có “tiết kiệm thời gian” bằng cách dùng một mật khẩu đơn giản, hoặc chỉ một mật khẩu ở mọi nơi. Hãy dùng một mật khẩu mạnh nếu không muốn lượng thời gian mà bạn tiết kiệm được sẽ đổi lại việc bạn bị mất hết tiền.
Với tất cả những công cụ trên, nhưng chỉ cần máy tính của bạn nhiễm virus, thế là toang. Vậy nên hãy đảm bảo đang sử dụng một phần mềm chống virus tốt.
4. Bật xác minh 2FA
Chúng tôi cực kỳ khuyến nghị bạn kích hoạt 2FA (xác thực hai yếu tố) trên tài khoản Binance ngay sau khi đăng ký, hoặc ngay bây giờ nếu bạn vẫn chưa làm vậy. Mã 2FA chỉ tồn tại trên điện thoại của bạn, vậy nên nó vẫn có thể bảo vệ bạn trong trường hợp để lộ email và mật khẩu.
Tuy nhiên, 2FA không phải là bức tường ngăn cản được mọi thứ. Bạn có thể đang có một con virus trên máy tính mà đánh cắp email và mật khẩu, và từ việc ghi nhớ thứ tự gõ phím của bạn, nó sẽ lấy luôn cả mã 2FA khi bạn nhập nó. Bạn cũng có thể đang tương tác với một trang phishing, và nhập email, mật khẩu và mã 2FA lên trang giả mạo này, trong khi hacker dùng chúng để đăng nhập vào tài khoản Binance thật của bạn. Có quá nhiều thứ ở đây mà chúng tôi không thể nhắc đến hết. Bạn phải luôn giữ cho máy tính của mình sạch virus, và đề phòng các trang phishing (xem thêm ở dưới).
5. Cài đặt U2F
U2F là một thiết bị phần cứng tạo ra đoạn mã độc nhất theo thời gian và chỉ tương thích với một số tên miền nhất định. Yubikey chính là thiết bị phù hợp nhất cho việc này. (Dù nhiều ví cứng khác cũng có thể là U2F, song chúng ít thân thiện với người dùng, yêu cầu phải tải và cài đặt ứng dụng riêng, và khó thao tác.)
U2F có ba ưu điểm lớn. Một, chúng là các thiết bị phần cứng nên gần như không thể lấy cắp được thông tin chứa trong đó. Hai, chúng chỉ tương thích với một số tên miền nhất định, bảo vệ bạn ngay cả khi lỡ truy cập vào một trang phishing. Và cuối cùng, chúng rất dễ sử dụng.
Vì những lí do trên, tôi cực kỳ khuyến nghị bạn kết nối một Yubikey đến tài khoản Binance. Nó mang lại những phương pháp bảo vệ tốt nhất ngăn không cho hacker đánh cắp tiền của bạn.
Bạn cũng nên liên kết Yubikey với Gmail, LastPass hay những tài khoản nào khác được hỗ trợ để có thể bảo vệ chúng luôn.
6. Ngừng sử dụng xác minh SMS
Có một thời gian phương thức xác minh bằng SMS được khuyến khích sử dụng, thế nhưng tình hình đã thay đổi. Vì sự gia tăng tần suất những vụ việc hack SIM gần đây, chúng tôi giờ đã chuyển sang khuyến nghị dừng sử dụng xác minh bằng SMS và chuyển sang các biện pháp 2FA hoặc U2F mô tả ở trên.
7. Cài đặt danh sách địa chỉ ưu tiên rút tiền.
Chúng tôi cực kỳ khuyến nghị bạn sử dụng tính năng Danh sách ưu tiên (Whitelist) khi rút tiền trên Binance. Nó cho phép bạn nhanh chóng rút tiền về các địa chỉ đã được phê duyệt và khiến hacker kịp có thời gian tạo địa chỉ mới để xoay dòng giao dịch.
8. Bảo mật cho API
Nhiều người dùng sử dụng API để giao dịch và rút tiền. Binance hiện đang cung cấp nhiều phiên bản API khác nhau, mới nhất có cả mã hóa bất đối xứng, nghĩa là chúng tôi chỉ cần bạn cung cấp public key. Theo cách này, bạn sẽ tạo private key trong môi trường của riêng bạn, và chỉ cần đưa public key cho chúng tôi. Chúng tôi sẽ dùng public key này để xác nhận lệnh của bạn, không bao giờ nắm giữ private key. Nhưng bạn sẽ là người giữ cho private key an toàn.
Bạn không nhất thiết phải sao lưu key API giống như cách trữ coin. Nếu mất key API thì đơn giản tạo lại cái mới. Bạn phải đảm bảo không ai sao chép được key API của bạn.
9. Hoàn tất KYC cấp độ 2
Một trong những cách tốt nhất để giữ cho tài khoản sàn giao dịch an toàn là hoàn tất xác minh KYC cấp độ 2. Bằng cách này, chúng tôi sẽ biết nhân dạng của bạn ra sao. Chúng tôi sẽ sử dụng các hình thức xác minh tự động bằng video khi hệ thống quản trị rủi ro bằng big data của chúng tôi phát hiện điều bất thường trong tài khoản.
Điều này cũng quan trọng trong trường hợp “bạn bị bất lực”. Binance có thể giúp người thân và gia đình truy cập vào tài khoản của người mới qua đời, sau khi đã xác minh đầy đủ thông tin.
10. Bảo vệ vật lý cho điện thoại và thiết bị của bạn
Một lần nữa, bạn nên bảo đảm an toàn cho điện thoại của mình. Bạn khả năng cao là có ứng dụng email, app Binance và mã 2FA ở trên đó. Đừng root hay jailbreak điện thoại của bạn vì nó sẽ làm giảm đáng kể độ bảo mật. Bạn cũng nên giữ cho điện thoại an toàn về mặt vật lý và cài khóa màn hình. Áp dụng thứ tương tự cho các thiết bị khác. Đừng để chúng rơi vào tay nhầm người.
11. Cẩn thận các thủ đoạn tấn công Phishing
Hãy đề phòng các âm mưu tấn công phishing. Chúng thường được ẩn giấu trong email, tin nhắn văn bản hay mạng xã hội, hoặc các trang web giải danh Binance. Chúng sẽ yêu cầu bạn phải nhập thông tin cá nhân, thứ mà sau đó sẽ được hacker sử dụng để truy cập vào tài khoản Binance thật.
Để chống phishing thì tất cả những gì ta cần có là tính cần mẫn. Đừng nhấn vào những đường dẫn có trên email hoặc các trang mạng xã hội. Chỉ truy cập Binance bằng cách gõ trực tiếp URL hoặc sử dụng dấu trang. Đừng chia sẻ email của bạn cho những người khác. Đừng dùng một email cho nhiều trang. Hãy cẩn thận khi người lạ (đặc biệt là những kẻ có tên CZ hay tương tự) bất ngờ liên lạc với bạn trên Telegram hoặc Instagram, v.v.
Nhìn chung, nếu bạn tuân theo những quy tắc trên, thì tài khoản Binance của bạn sẽ tương đối an toàn.
Vậy, lựa chọn nào tốt hơn
Tôi thường khuyên mọi người sử dụng song song cả sàn giao dịch tập trung và ví tiền của riêng họ. Nếu bạn không phải là người am hiểu về công nghệ, thì tôi khuyên nên giữ phần lớn tiền trên Binance và sử dụng ví tiêu xài là TrustWallet. Còn nếu bạn có kiến thức về kỹ thuật rồi thì hãy tự đong đếm tỉ lệ cho phù hợp với bản thân.
Các sàn giao dịch tập quyền thỉnh thoảng sẽ bảo trì, và nếu khi đó bạn phải thực hiện giao dịch, thì sẽ hữu dụng nếu có thêm một ví tiền độc lập.
Một số chủ đề khác
Có rất nhiều mánh khóe lừa đảo ở ngoài kia.
Người ta tạo các tài khoản giả mạo người nổi tiếng trong ngành tiền mã hóa trên mạng xã hội, như là @cz_binance_, và dụ bạn gửi tiền cho chúng. Chỉ cần nhớ một quy tắc, đừng gửi tiền cho người khác trừ khi họ chủ động tìm đến bạn trước. Luôn sử dụng hai kênh khác nhau để đảm bảo bạn đang gửi tiền cho đúng người.
Nếu CZ bất ngờ xuất hiện và bằng một cách nào đó, thông qua một câu chuyện nào đó, yêu cầu bạn chuyển coin cho, hãy vui lòng báo cáo tài khoản đó ngay lập tức.
Nếu bạn bè của bạn bất ngờ gửi tin nhắn nhờ bạn chuyển tiền mã hóa cho họ vì có tình huống khẩn cấp, hãy gọi cho họ để xác nhận, hoặc gửi video để xác nhận. Cứ nghiễm nhiên cho rằng tài khoản của họ đã bị hack, hoặc có ai đó đã lấy cắp điện thoại của họ.
Lũ lừa đảo trên YouTube đang ngày càng khôn hơn khi chỉnh sửa rồi đăng tải các video CZ thông báo airdrop, v.v. Nhắc lại lần nữa, hãy report chúng khi bạn gặp phải.
Lừa đảo trên mạng xã hội
Đừng sập bẫy giveaway, yêu cầu bạn gửi coin đến một địa chỉ nào đó trước để được nhận về nhiều coin hơn. Bạn sẽ chẳng nhận lại gì đâu.
Nhớ một quy tắc đơn giản: hãy luôn cẩn trọng khi gửi tiền mã hóa.
Không bao giờ nhấn vào các đường dẫn có trong email
KHÔNG BAO GIỜ được nhấn vào đường dẫn có trong email rồi nhập tên đăng nhập và mật khẩu vào trang đó. Nó là một cái bẫy đó. Tương tự, đừng bao giờ nhấn vào một đường link trên mạng xã hội, và tiến hành đăng nhập trên đó.
Hãy mặc định cho đó là các trang phishing. Không được sử dụng chúng.
Luôn luôn gõ URL của các sàn giao dịch bạn hay truy cập một cách thủ công. Nhớ cách viết Binance.com, hoặc dùng dấu trang của trình duyệt.
Tổng kết
Nếu bạn đã đọc hết bài viết này thì tôi xin cảm ơn bạn. Tôi hy vọng bài viết sẽ giúp bạn hiểu hơn về khía cạnh bảo mật, từ đó để bạn bảo vệ tiền của mình tốt hơn. Nếu bạn làm theo những khuyến nghị trong đây, bạn sẽ có thể giữ cho tài sản của mình an toàn, dù là tự mình hay là trên Binance.