Muốn giữ được tiền mã hóa, trước hết hãy vượt qua những cửa ải này. Nên lưu lại.
1）Phần cứng
- Chỉ mua trên trang web chính thức hoặc tại cửa hàng được ủy quyền; đừng nhờ người mua hộ hay mua qua những kênh không rõ nguồn gốc
- Mở hộp ra thấy thẻ seed đã được ghi sẵn từ trước thì đó là lừa đảo; vứt bỏ toàn bộ bộ sản phẩm, đừng sử dụng
- Khi nhận hàng, hãy gửi đến điểm nhận hàng nếu có thể; đừng ghi địa chỉ nhà
- Chỉ cập nhật firmware trong ứng dụng chính thức
2）Cụm từ khôi phục
- Nếu có thể, hãy khắc lên thép; đừng chỉ ghi trên giấy. Đừng chụp ảnh, lưu trên đám mây hay cất trong ứng dụng ghi chú
- Chỉ nhập cụm từ khôi phục trong quy trình khôi phục chính thức của ví phần cứng; tuyệt đối tránh các trang web và ví phần mềm
- Đừng tự ý chia nhỏ seed; vừa không an toàn vừa dễ làm lộ. Nếu thật sự cần chia, hãy dùng Shamir được hỗ trợ chính thức hoặc dùng đa chữ ký
- Viết xong bản sao lưu thì hãy tự kiểm tra: dùng chức năng xác minh tích hợp, hoặc xóa thiết bị rồi khôi phục lại theo quy trình chính thức. Chưa kiểm tra thì coi như chưa sao lưu
- Tạo hai bản, cất ở hai nơi. Nếu nhà cháy và mất bản sao lưu thì cũng coi như mất tài sản
3）Cách chia tài khoản
- Để khoản tiền lớn trong ví lạnh chưa từng kết nối với DApp
- Dùng một ví nóng riêng cho nhu cầu hằng ngày; dùng ví nhỏ riêng để thử dự án mới, xong rồi thì bỏ ví đó
- Khi số tiền nắm giữ lớn hơn, hãy thêm passphrase: dùng cùng một bộ seed, không nhập passphrase thì chỉ thấy một phần nhỏ tài sản; nhập passphrase mới thấy khoản lớn thực sự
- Cũng phải sao lưu passphrase, và đừng để cùng chỗ với cụm từ khôi phục. Mất passphrase thì cũng không thể lấy lại tiền mã hóa
- Nếu số tiền đủ lớn, hãy dùng đa chữ ký; đừng đặt toàn bộ tài sản vào một điểm duy nhất
4）Ký giao dịch (nhiều người gặp rắc rối nhất ở đây)
- Khi kiểm tra giao dịch, hãy lấy nội dung hiển thị trên màn hình ví phần cứng làm chuẩn; đừng chỉ nhìn trang web trên máy tính. Vụ Bybit khi đó là giao diện trang web bị sửa đổi, gây thiệt hại khoảng 1,5 tỷ đô la
- Không hiểu thì đừng ký
- Những yêu cầu cấp quyền "không mất gas" vẫn có thể chuyển tiền mã hóa của bạn đi
- Một yêu cầu cấp quyền EIP-7702 độc hại có thể trao quyền kiểm soát toàn bộ tài khoản cho kẻ khác
- Trên Solana, ký nhầm một giao dịch cũng có thể làm thay đổi quyền đối với tài khoản token của bạn; trước khi ký, hãy dùng công cụ mô phỏng để xem rõ giao dịch sẽ thực hiện những gì
- Mỗi tháng hãy rà soát lại các quyền đã cấp và thu hồi những quyền không còn dùng
5）Chuyển tiền
- Đừng sao chép địa chỉ từ lịch sử giao dịch; kẻ lừa đảo có thể chèn vào địa chỉ giả trông rất giống địa chỉ thật
- Kiểm tra toàn bộ địa chỉ trên thiết bị, đừng chỉ nhìn vài ký tự đầu và cuối
- Trước khi chuyển khoản lớn, hãy chuyển thử một khoản nhỏ
6）Máy tính
- Tốt nhất nên có một máy tính chỉ dùng cho hoạt động liên quan đến tiền mã hóa; giữ trình duyệt sạch sẽ, càng ít tiện ích mở rộng càng tốt
- Chỉ tải ví từ trang web chính thức; có rất nhiều ứng dụng giả trong cửa hàng ứng dụng và kết quả tìm kiếm
- Đừng tùy tiện mở hay chạy phần mềm họp trực tuyến, gói cài đặt trò chơi hoặc tệp lạ do người không quen gửi
- Đừng chia sẻ màn hình, đừng cài phần mềm điều khiển từ xa; nếu "nhân viên hỗ trợ" bảo bạn cài AnyDesk thì gần như chắc chắn là lừa đảo
- Tự lưu trang web thường dùng vào dấu trang; tuyệt đối đừng nhấp vào quảng cáo trong kết quả tìm kiếm
- Airdrop hay NFT tự dưng xuất hiện thì trước tiên hãy coi đó là bẫy
7）Sàn giao dịch
- Dùng mật khẩu mạnh và riêng biệt cho từng trang, quản lý bằng trình quản lý mật khẩu
- Dùng ứng dụng xác thực hoặc Passkey để xác minh hai bước, đừng dùng SMS
- Lưu mã dự phòng ngoại tuyến; đừng để trong email hay trên đám mây
- Cài mã PIN của nhà mạng cho SIM; vẫn có người giả mạo số điện thoại của bạn để chiếm quyền nhận mã xác minh
- Dùng một email riêng cho tiền mã hóa, đừng để người khác dễ dàng liên kết email đó với bạn
- Bật danh sách trắng địa chỉ rút tiền
- Đừng để tiền mã hóa chưa có ý định giao dịch lâu dài trên sàn; khi để trên sàn, bạn không nắm quyền rút tiền
8）An toàn cá nhân và quyền riêng tư
- Đừng khoe số tiền đang nắm giữ hay cách bố trí tài sản; các vụ cướp tại nhà đang gia tăng
- Nhân viên hỗ trợ sẽ không bao giờ chủ động nhắn tin riêng cho bạn trước
- Coi như không thấy email lừa đảo; chỉ tin các kênh chính thức
- Hãy nghĩ trước về việc thừa kế: nếu bạn mất và chìa khóa cũng mất, tiền mã hóa cũng sẽ mất
9）Lượng tử (hiện vẫn còn xa, nhưng nên biết)
- Hiện nay chưa phải là mối đe dọa thực tế; ai dùng lời dọa "lượng tử sắp đến" để chào bán sản phẩm thì phần lớn chỉ đang bán hàng
- BTC: Đừng dùng đi dùng lại một địa chỉ; một khi đã chuyển tiền từ địa chỉ đó, khóa công khai sẽ bị lộ
- BTC: Cố gắng để tiền nắm giữ dài hạn trong địa chỉ "chưa từng chuyển tiền ra"; một số loại địa chỉ như Taproot (bc1p) và một số loại địa chỉ cũ hơn đã công khai khóa công khai ngay từ đầu
- BTC: BIP-360 đang phát triển địa chỉ chống lượng tử nhưng chưa ra mắt; cũng đã có đề xuất đóng băng số tiền chưa được chuyển sang địa chỉ mới
- ETH / ERC20: Gửi giao dịch hay ký thông điệp đều có thể làm lộ khóa công khai; hãy để khoản tiền lớn trong ví sạch
- SOL: Bản thân địa chỉ chính là khóa công khai, nên bị lộ ngay từ đầu; đã có các giải pháp thử nghiệm nhưng ví thông thường chưa dùng được
Phần cứng hiếm khi thực sự bị hack; phần lớn là do người dùng tự mắc bẫy.
1）Phần cứng
- Chỉ mua trên trang web chính thức hoặc tại cửa hàng được ủy quyền; đừng nhờ người mua hộ hay mua qua những kênh không rõ nguồn gốc
- Mở hộp ra thấy thẻ seed đã được ghi sẵn từ trước thì đó là lừa đảo; vứt bỏ toàn bộ bộ sản phẩm, đừng sử dụng
- Khi nhận hàng, hãy gửi đến điểm nhận hàng nếu có thể; đừng ghi địa chỉ nhà
- Chỉ cập nhật firmware trong ứng dụng chính thức
2）Cụm từ khôi phục
- Nếu có thể, hãy khắc lên thép; đừng chỉ ghi trên giấy. Đừng chụp ảnh, lưu trên đám mây hay cất trong ứng dụng ghi chú
- Chỉ nhập cụm từ khôi phục trong quy trình khôi phục chính thức của ví phần cứng; tuyệt đối tránh các trang web và ví phần mềm
- Đừng tự ý chia nhỏ seed; vừa không an toàn vừa dễ làm lộ. Nếu thật sự cần chia, hãy dùng Shamir được hỗ trợ chính thức hoặc dùng đa chữ ký
- Viết xong bản sao lưu thì hãy tự kiểm tra: dùng chức năng xác minh tích hợp, hoặc xóa thiết bị rồi khôi phục lại theo quy trình chính thức. Chưa kiểm tra thì coi như chưa sao lưu
- Tạo hai bản, cất ở hai nơi. Nếu nhà cháy và mất bản sao lưu thì cũng coi như mất tài sản
3）Cách chia tài khoản
- Để khoản tiền lớn trong ví lạnh chưa từng kết nối với DApp
- Dùng một ví nóng riêng cho nhu cầu hằng ngày; dùng ví nhỏ riêng để thử dự án mới, xong rồi thì bỏ ví đó
- Khi số tiền nắm giữ lớn hơn, hãy thêm passphrase: dùng cùng một bộ seed, không nhập passphrase thì chỉ thấy một phần nhỏ tài sản; nhập passphrase mới thấy khoản lớn thực sự
- Cũng phải sao lưu passphrase, và đừng để cùng chỗ với cụm từ khôi phục. Mất passphrase thì cũng không thể lấy lại tiền mã hóa
- Nếu số tiền đủ lớn, hãy dùng đa chữ ký; đừng đặt toàn bộ tài sản vào một điểm duy nhất
4）Ký giao dịch (nhiều người gặp rắc rối nhất ở đây)
- Khi kiểm tra giao dịch, hãy lấy nội dung hiển thị trên màn hình ví phần cứng làm chuẩn; đừng chỉ nhìn trang web trên máy tính. Vụ Bybit khi đó là giao diện trang web bị sửa đổi, gây thiệt hại khoảng 1,5 tỷ đô la
- Không hiểu thì đừng ký
- Những yêu cầu cấp quyền "không mất gas" vẫn có thể chuyển tiền mã hóa của bạn đi
- Một yêu cầu cấp quyền EIP-7702 độc hại có thể trao quyền kiểm soát toàn bộ tài khoản cho kẻ khác
- Trên Solana, ký nhầm một giao dịch cũng có thể làm thay đổi quyền đối với tài khoản token của bạn; trước khi ký, hãy dùng công cụ mô phỏng để xem rõ giao dịch sẽ thực hiện những gì
- Mỗi tháng hãy rà soát lại các quyền đã cấp và thu hồi những quyền không còn dùng
5）Chuyển tiền
- Đừng sao chép địa chỉ từ lịch sử giao dịch; kẻ lừa đảo có thể chèn vào địa chỉ giả trông rất giống địa chỉ thật
- Kiểm tra toàn bộ địa chỉ trên thiết bị, đừng chỉ nhìn vài ký tự đầu và cuối
- Trước khi chuyển khoản lớn, hãy chuyển thử một khoản nhỏ
6）Máy tính
- Tốt nhất nên có một máy tính chỉ dùng cho hoạt động liên quan đến tiền mã hóa; giữ trình duyệt sạch sẽ, càng ít tiện ích mở rộng càng tốt
- Chỉ tải ví từ trang web chính thức; có rất nhiều ứng dụng giả trong cửa hàng ứng dụng và kết quả tìm kiếm
- Đừng tùy tiện mở hay chạy phần mềm họp trực tuyến, gói cài đặt trò chơi hoặc tệp lạ do người không quen gửi
- Đừng chia sẻ màn hình, đừng cài phần mềm điều khiển từ xa; nếu "nhân viên hỗ trợ" bảo bạn cài AnyDesk thì gần như chắc chắn là lừa đảo
- Tự lưu trang web thường dùng vào dấu trang; tuyệt đối đừng nhấp vào quảng cáo trong kết quả tìm kiếm
- Airdrop hay NFT tự dưng xuất hiện thì trước tiên hãy coi đó là bẫy
7）Sàn giao dịch
- Dùng mật khẩu mạnh và riêng biệt cho từng trang, quản lý bằng trình quản lý mật khẩu
- Dùng ứng dụng xác thực hoặc Passkey để xác minh hai bước, đừng dùng SMS
- Lưu mã dự phòng ngoại tuyến; đừng để trong email hay trên đám mây
- Cài mã PIN của nhà mạng cho SIM; vẫn có người giả mạo số điện thoại của bạn để chiếm quyền nhận mã xác minh
- Dùng một email riêng cho tiền mã hóa, đừng để người khác dễ dàng liên kết email đó với bạn
- Bật danh sách trắng địa chỉ rút tiền
- Đừng để tiền mã hóa chưa có ý định giao dịch lâu dài trên sàn; khi để trên sàn, bạn không nắm quyền rút tiền
8）An toàn cá nhân và quyền riêng tư
- Đừng khoe số tiền đang nắm giữ hay cách bố trí tài sản; các vụ cướp tại nhà đang gia tăng
- Nhân viên hỗ trợ sẽ không bao giờ chủ động nhắn tin riêng cho bạn trước
- Coi như không thấy email lừa đảo; chỉ tin các kênh chính thức
- Hãy nghĩ trước về việc thừa kế: nếu bạn mất và chìa khóa cũng mất, tiền mã hóa cũng sẽ mất
9）Lượng tử (hiện vẫn còn xa, nhưng nên biết)
- Hiện nay chưa phải là mối đe dọa thực tế; ai dùng lời dọa "lượng tử sắp đến" để chào bán sản phẩm thì phần lớn chỉ đang bán hàng
- BTC: Đừng dùng đi dùng lại một địa chỉ; một khi đã chuyển tiền từ địa chỉ đó, khóa công khai sẽ bị lộ
- BTC: Cố gắng để tiền nắm giữ dài hạn trong địa chỉ "chưa từng chuyển tiền ra"; một số loại địa chỉ như Taproot (bc1p) và một số loại địa chỉ cũ hơn đã công khai khóa công khai ngay từ đầu
- BTC: BIP-360 đang phát triển địa chỉ chống lượng tử nhưng chưa ra mắt; cũng đã có đề xuất đóng băng số tiền chưa được chuyển sang địa chỉ mới
- ETH / ERC20: Gửi giao dịch hay ký thông điệp đều có thể làm lộ khóa công khai; hãy để khoản tiền lớn trong ví sạch
- SOL: Bản thân địa chỉ chính là khóa công khai, nên bị lộ ngay từ đầu; đã có các giải pháp thử nghiệm nhưng ví thông thường chưa dùng được
Phần cứng hiếm khi thực sự bị hack; phần lớn là do người dùng tự mắc bẫy.