Checklist bảo mật crypto theo số tiền bạn giữ

Độ khó: Người mới

Tiền mã hóa không có ngân hàng để gọi khi bị mất: giao dịch không đảo ngược, ai nắm khoá riêng thì nắm tài sản, nên bảo mật là việc của chính người giữ. Trang này là checklist tổng chia theo năm nhóm, mỗi nhóm dẫn tới bài chi tiết. Nội dung chỉ nhằm giải thích kiến thức, không phải khuyến nghị đầu tư.

Điểm chính

Phần lớn thiệt hại đến từ khoá bị lộ hoặc người dùng bị lừa tự ký, không phải từ việc phá mật mã
Làm trước bốn việc: 2FA mạnh, seed phrase ngoại tuyến, ví lạnh cho phần lớn tài sản, kiểm tra kỹ trước khi ký
Bảo vệ nhiều lớp quan trọng hơn một biện pháp hoàn hảo
Chuyên đề gồm năm nhóm: tài khoản, lừa đảo, tự lưu ký, hợp đồng thông minh, mật mã và mạng

Bốn nguyên tắc nền

Mọi bài trong chuyên đề đều xoay quanh bốn ý:

Ai giữ khoá thì giữ tiền. Tài sản trên sàn do sàn giữ khoá, tài sản trong ví tự quản do bạn giữ. Mỗi cách có rủi ro riêng.
Seed phrase là chìa khoá cuối. Không chụp, không gõ vào máy, không gửi cho ai.
Xác minh trước khi ký. Địa chỉ, số tiền, hợp đồng bạn cấp quyền đều phải đọc lại.
Giới hạn thiệt hại. Chia tài sản, đặt hạn mức, dùng nhiều lớp để một sai sót không mất tất cả.

Checklist mười việc nên làm trước

Việc	Bài chi tiết
Bật 2FA bằng ứng dụng hoặc khoá bảo mật, bỏ SMS khi có thể	2FA cho tài khoản crypto
Mật khẩu riêng cho mỗi sàn, email riêng có 2FA	bảo mật tài khoản sàn
Bật danh sách địa chỉ rút và đặt hạn mức	bảo mật tài khoản sàn
Chép seed phrase ra giấy hoặc kim loại, cất ngoại tuyến	seed phrase là gì
Chia tài sản giữa ví nóng và ví lạnh	ví nóng và ví lạnh
Dùng ví cứng cho phần tài sản giữ lâu	ví cứng là gì
Gõ địa chỉ hoặc dùng dấu trang, không bấm link lạ	phishing là gì
Gửi thử số nhỏ trước khi chuyển số lớn	address poisoning
Không dùng mạng công cộng cho việc tài chính	WiFi công cộng
Giữ máy sạch, không chạy tệp lạ	keylogger là gì

Nhóm một: bảo vệ tài khoản

Tài khoản sàn và email là cửa dễ bị tấn công nhất. Khoá bảo mật chống được trang giả vì chỉ hoạt động với đúng tên miền.

Nghiên cứu của Google công bố năm 2019 ghi nhận mã SMS chặn 76% tấn công nhắm mục tiêu, thông báo trên thiết bị chặn 90%, và không người dùng nào chỉ dùng khoá bảo mật bị lừa đảo nhắm mục tiêu thành công.

Bài liên quan:

2FA cho tài khoản crypto
Bảo mật tài khoản sàn, gồm API key, whitelist và hạn mức
Cookie là gì, về cách phiên đăng nhập bị đánh cắp
WiFi công cộng không an toàn
Keylogger là gì
Dấu vân tay thiết bị
KYC là gì và AML, về vì sao sàn cần xác minh

Ví dụ: cuối tháng 12/2022 khoảng 100.000 API key của người dùng một dịch vụ bot giao dịch bị công bố. Theo Decrypt, ZachXBT xác minh 44 nạn nhân mất 14,8 triệu USD. Bài học là cấp quyền tối thiểu cho key và không cấp quyền rút tiền.

Nhóm hai: nhận biết lừa đảo

Phần lớn vụ mất tiền bắt đầu bằng việc người dùng bị dẫn dụ tự làm theo. Lừa đảo hoạt động qua email, tin nhắn, mạng xã hội, điện thoại và cả ví. Bài chi tiết:

Quy tắc chung: không ai chính danh hỏi seed phrase hoặc mã 2FA, và thứ gì hứa lợi nhuận chắc chắn đều đáng ngờ.

Nhóm ba: tự lưu ký

So sánh giữ tiền trên sàn và ví tự quản: sàn giữ khoá, ví tự quản thì bạn giữ khoá và chịu toàn bộ trách nhiệm — Ai giữ khoá thì người đó chịu trách nhiệm bảo vệ nó.

Tự giữ khoá loại bỏ rủi ro sàn nhưng chuyển toàn bộ trách nhiệm sang bạn. Khi dùng ví nóng hoặc trên sàn, tài sản lớn nằm trên hệ thống có mạng. Coincheck là ví dụ: ngày 26/01/2018 sàn này mất NEM trị giá 58 tỷ yen, và theo CNBC số NEM nằm trong ví nóng.

Bài chi tiết:

Cần lưu ý rằng ví lạnh không phải lá chắn tuyệt đối. Ngày 21/02/2025 FBI xác nhận khoảng 1,5 tỷ USD bị đánh cắp khỏi Bybit, tài sản nằm trong ví đa chữ ký ngoại tuyến. Khoá an toàn vẫn không cứu được người ký khi giao diện hiển thị sai.

Nhóm bốn: hợp đồng thông minh

Khi dùng DeFi, NFT hay cầu nối chuỗi, bạn tin vào mã nguồn của hợp đồng. Lỗi trong mã có thể làm mất tiền dù bạn không sai gì. Kiểm toán giúp giảm rủi ro nhưng không loại bỏ.

Nhóm năm: mật mã, mạng và riêng tư

Nhóm này giúp hiểu lớp nền cho các biện pháp ở trên: vì sao chữ ký số an toàn và những kiểu tấn công vào mạng blockchain.

Tấn công mạng: eclipse, replay, DoS và DDoS, Sybil
Mật mã: PGP, mã hoá đầu cuối, mã hoá đồng hình hoàn toàn
Riêng tư giao dịch: giao dịch bí mật, coin mixing và CoinJoin

Khi máy hoặc mạng là điểm yếu

Nhiều người lo về mật mã mà bỏ qua thiết bị của mình. Ngày 21/05/2025 Microsoft công bố mã độc Lumma Stealer, thứ lấy mật khẩu, thẻ và ví crypto, nhiễm hơn 394.000 máy Windows trong giai đoạn 16/03 đến 16/05/2025. Cảnh sát Úc cũng truy tố một người bị cáo buộc dựng WiFi giả ở sân bay và trên chuyến bay để lấy thông tin đăng nhập.

Hai ví dụ này cho thấy bảo mật bắt đầu từ thiết bị và mạng bạn dùng hằng ngày. Hãy giữ một máy hoặc hồ sơ trình duyệt sạch cho tài chính.

Thứ tự ưu tiên theo số tiền

Sơ đồ ba giai đoạn bảo vệ theo số tiền: 2FA và danh sách địa chỉ rút, ví tự quản kèm seed, rồi ví cứng và đa chữ ký — Số tiền càng lớn thì càng thêm lớp bảo vệ, theo ba giai đoạn.

Ví dụ minh hoạ, không phải khuyến nghị: bạn có tài sản quy ra 5.000 USD và chỉ giao dịch một phần nhỏ.

Giai đoạn một, trong tuần đầu: bật 2FA bằng ứng dụng cho sàn và email, bật danh sách địa chỉ rút
Giai đoạn hai: chuyển phần giữ lâu ra ví tự quản, chép seed ngoại tuyến
Giai đoạn ba, khi số tiền lớn hơn: mua ví cứng, cân nhắc ví đa chữ ký, dùng khoá bảo mật

Số tiền càng lớn, càng nên thêm lớp bảo vệ, vì chi phí lớp thêm là cố định còn thiệt hại tăng theo số tiền.

Học tiếp trong khoá Crypto

Các bài học liên quan trong Khoá học Crypto của HODL.VN:

Câu hỏi thường gặp

Nên bắt đầu bảo mật từ đâu?

Bắt đầu từ email và tài khoản sàn: mật khẩu riêng, 2FA mạnh, danh sách địa chỉ rút. Sau đó chép seed phrase ngoại tuyến nếu bạn dùng ví tự quản.

Giữ tiền trên sàn hay ví riêng an toàn hơn?

Mỗi cách có rủi ro khác nhau. Trên sàn bạn tin hệ thống của sàn và bảo vệ tài khoản. Ví riêng thì bạn chịu trách nhiệm giữ khoá. Xem ví nóng và ví lạnh.

Bị lừa mất tiền có đòi lại được không?

Giao dịch blockchain không đảo ngược, nên rất khó. Vì vậy phòng ngừa quan trọng hơn xử lý sau. Nếu nghi bị chiếm tài khoản, hãy khoá tài khoản và đổi mật khẩu ngay.

Có cần mua ví cứng không?

Nếu giữ số tiền đủ lớn để mất sẽ đau, ví cứng là khoản đầu tư nhỏ cho một lớp bảo vệ lớn. Với số tiền rất nhỏ, ví tự quản kèm seed ngoại tuyến có thể đủ.

Các bài trong chuyên đề nên đọc theo thứ tự nào?

Đọc theo thứ tự trên trang này: tài khoản, lừa đảo, tự lưu ký. Hai nhóm sau dành cho ai dùng DeFi hoặc muốn hiểu sâu về mật mã.