KYC và 2FA: xác minh danh tính, khoá tài khoản sàn

KYC (Know Your Customer, hiểu rõ khách hàng) là quy trình sàn thu thập giấy tờ để xác minh danh tính bạn.

2FA (two-factor authentication, xác thực hai yếu tố) là việc đăng nhập phải qua hai lớp: thứ bạn biết (mật khẩu) và thứ bạn có (mã sinh trên điện thoại hoặc một thiết bị). Một cái là yêu cầu của pháp luật đối với sàn, cái kia là việc bạn tự làm để khoá cửa.

Vì sao sàn đòi KYC

Sàn nằm giữa tiền pháp định và crypto, nên chịu các quy định phòng chống rửa tiền và tài trợ khủng bố. Họ phải biết khách là ai, từ đâu nạp tiền. Vì vậy hầu hết sàn tập trung yêu cầu ảnh giấy tờ tuỳ thân, ảnh chân dung hoặc video xác thực khuôn mặt, đôi khi cả địa chỉ cư trú.

KYC thường chia cấp độ. Cấp thấp cho nạp rút hạn mức nhỏ, cấp cao mở hạn mức lớn hơn. Hạn mức và yêu cầu giấy tờ khác nhau theo từng sàn và từng quốc gia, nên bạn đọc điều khoản của chính sàn bạn dùng.

KYC: dữ liệu của bạn nằm ở đâu

Khi nộp giấy tờ, bạn trao cho một công ty bản sao căn cước và khuôn mặt. Nếu sàn bị lộ dữ liệu, kẻ xấu có thể dùng chúng để mở tài khoản giả hoặc lừa chính bạn. Vài nguyên tắc nên giữ:

• Chỉ nộp KYC trên đúng trang và ứng dụng chính thức của sàn. Gõ địa chỉ trực tiếp, không bấm link trong tin nhắn.
• Không gửi ảnh giấy tờ qua chat hay email cho người tự xưng là "nhân viên hỗ trợ". Sàn thật không làm vậy.
• Cân nhắc dùng một địa chỉ email riêng cho tài khoản sàn.

KYC không phải thứ để né. Nó cũng là điều kiện để bạn lấy lại tài khoản khi mất quyền truy cập, vì sàn có hồ sơ để đối chiếu.

2FA: ba lớp từ yếu đến mạnh

• SMS. Sàn gửi mã về số điện thoại. Dễ dùng, nhưng yếu nhất. Kẻ gian có thể làm SIM swap, tức thuyết phục nhà mạng chuyển số của bạn sang SIM của chúng, rồi nhận mã. Mã SMS còn có thể bị lộ qua tin nhắn giả mạo.
• Ứng dụng xác thực. Ứng dụng trên điện thoại sinh mã 6 số đổi mỗi 30 giây (chuẩn TOTP), tính cục bộ và không đi qua nhà mạng. Mạnh hơn SMS nhiều. Điểm cần nhớ là sao lưu: khi đổi hoặc mất điện thoại, bạn cần mã khôi phục sàn đưa lúc cài đặt. Hãy ghi nó ra và cất ở nơi an toàn, không chụp ảnh để trong điện thoại.
• Khoá bảo mật vật lý. Một thiết bị nhỏ cắm hoặc chạm vào máy khi đăng nhập (chuẩn FIDO2). Nó chỉ trả lời đúng trang web thật, nên trang giả mạo gần như không lấy được xác thực của bạn. Đây là lớp mạnh nhất cho tài khoản lớn. Nên có hai khoá, một dự phòng.

Các lớp bảo vệ nên bật thêm

• Danh sách địa chỉ rút cho phép (whitelist): chỉ rút được tới địa chỉ bạn đã đăng ký, thường có thời gian chờ khi thêm địa chỉ mới.
• Mã chống giả mạo (anti-phishing code): sàn gắn mã bạn tự đặt vào mọi email thật. Email không có mã là email nghi ngờ.
• Thông báo đăng nhập và rút tiền qua email hoặc ứng dụng.
• Mật khẩu riêng, dài, do trình quản lý mật khẩu sinh. Không dùng lại mật khẩu của email.
• Bảo vệ chính hộp thư email, vì ai kiểm soát email thường có thể đặt lại mật khẩu sàn.

Ví dụ số: vì sao đáng bỏ công

Ngày 23/10/2026, giá BTCUSD đóng cửa ở 81.189 USD (nguồn dữ liệu giá HODL.VN). Một tài khoản chứa 0,5 BTC khi đó có giá trị khoảng 40.595 USD. Chỉ cần một lần bấm vào email giả và nhập mã, kẻ gian có thể rút hết trong vài phút, và giao dịch blockchain không đảo ngược được.

Bỏ 15 phút để cài ứng dụng xác thực, bật whitelist và đặt mã chống giả mạo rẻ hơn nhiều so với con số đó. Đây là phép tính giá trị minh hoạ, không phải gợi ý nắm giữ số lượng nào.

Lỗi hay gặp

• Dùng SMS làm lớp 2FA duy nhất cho tài khoản lớn.
• Cài ứng dụng xác thực nhưng không lưu mã khôi phục, mất điện thoại là mất tài khoản.
• Bấm vào link "xác minh khẩn" trong email hoặc tin nhắn. Hãy vào thẳng trang chính thức.
• Đưa mã 2FA cho người lạ. Không ai hợp pháp cần mã đó từ bạn.
• Dùng chung một ảnh chụp giấy tờ cho mọi nơi, không đánh dấu mục đích.

Tự kiểm tra

Bài tiếp theo

Tài khoản đã khoá chắc thì tới việc đưa tiền vào và ra: Nạp và rút tiền crypto: từ VND tới coin và ngược lại. Về chọn sàn, xem lại Chọn sàn giao dịch crypto.

Bài này chỉ nhằm mục đích giáo dục, không phải khuyến nghị mua bán hay dùng sàn nào. Tiền mã hoá có thể mất toàn bộ vốn, chỉ dùng số tiền bạn chấp nhận mất. Quy định về xác minh danh tính khác nhau theo sàn và theo quốc gia, cần kiểm tra điều khoản hiện hành.