Bảo mật ví và khóa riêng tư: những nguyên tắc không thương lượng

Private Key khác Seed Phrase như thế nào

Trong hệ thống ngân hàng truyền thống, nếu quên mật khẩu bạn thường có thể liên hệ ngân hàng để khôi phục quyền truy cập. Trong ví tự lưu ký, cơ chế hoàn toàn khác.

Private key là dữ liệu mật mã cho phép tạo chữ ký giao dịch. Người kiểm soát private key có khả năng kiểm soát tài sản gắn với địa chỉ đó. Nếu private key bị lộ, người khác có thể tạo chữ ký hợp lệ và chuyển tài sản.

Seed phrase là cụm từ khôi phục mà nhiều ví sử dụng để tái tạo hệ thống khóa. Có thể hiểu đơn giản: seed phrase sinh khóa, khóa sinh địa chỉ ví. Vì vậy nếu seed phrase bị lộ, rủi ro thường không chỉ nằm ở một địa chỉ duy nhất.

Nguyên tắc 1 đến 3 — Không gửi, không chụp, không lưu cloud

Không gửi seed phrase cho bất kỳ ai: nhân viên hỗ trợ, admin nhóm chat, người tự xưng kỹ thuật viên, website yêu cầu xác minh ví, bot hay nhóm đầu tư. Một dịch vụ hợp pháp không cần seed phrase để hỗ trợ bạn.

Không chụp màn hình seed phrase. Ảnh chụp có thể tự động đồng bộ lên Google Photos, iCloud, OneDrive hoặc hệ thống backup thiết bị, khiến cụm từ tưởng như chỉ nằm trên điện thoại thực tế tồn tại ở nhiều nơi khác.

Không lưu seed phrase trong email, Google Drive, Notion, Telegram Saved Messages, cloud note hay file text không mã hóa. Nếu tài khoản cloud bị chiếm quyền, seed phrase cũng có thể bị lộ.

Nguyên tắc 4 và 5 — Ví không phải giao diện, hardware wallet không miễn nhiễm rủi ro

Ứng dụng ví chỉ là giao diện giúp bạn sử dụng khóa. Tài sản không nằm trong app mà được ghi nhận trên blockchain. Nếu có seed phrase chuẩn, bạn thường có thể khôi phục tài khoản bằng phần mềm tương thích khác. Ví là công cụ truy cập, khóa mới là quyền kiểm soát.

Hardware wallet giúp giữ khóa riêng khỏi môi trường internet và giảm một số bề mặt tấn công, nhưng vẫn không bảo vệ bạn nếu nhập seed phrase vào website giả, ký giao dịch độc hại, xác nhận sai địa chỉ, bị social engineering hoặc mua thiết bị đã bị can thiệp.

Nguyên tắc 6 và 7 — Đọc trước khi ký, approval cũng là rủi ro

Một chữ ký blockchain có thể chuyển token, phê duyệt token, cấp quyền cho hợp đồng thông minh, xác nhận giao dịch hoặc ủy quyền tài sản. Không nên coi nút Sign như nút Continue.

Trước khi ký, hãy kiểm tra theo thứ tự: website, network, contract, permission, amount. Nhiều giao thức tài chính phi tập trung yêu cầu cấp quyền sử dụng token, và một approval quá rộng có thể tiếp tục tồn tại sau khi giao dịch đã kết thúc.

• Định kỳ xem lại hợp đồng nào đang có quyền với token của bạn.
• Kiểm tra hạn mức được cấp và thu hồi quyền không còn cần thiết.
• Không ký giao dịch mà bạn không hiểu rõ mục đích.

Nguyên tắc 8 và 9 — Tách ví theo mục đích, kiểm tra địa chỉ và mạng

Một cấu trúc đơn giản gồm ví lưu trữ dài hạn ít tương tác với ứng dụng, ví giao dịch giữ số vốn phù hợp nhu cầu, và ví thử nghiệm dùng để kết nối dự án mới. Việc tách ví giúp giới hạn thiệt hại nếu một ví tương tác gặp vấn đề.

Trước khi chuyển tài sản, cần kiểm tra đúng blockchain, đúng token, đúng địa chỉ nhận, memo hoặc tag nếu hệ thống yêu cầu, và cân nhắc gửi thử số lượng nhỏ. Blockchain thường không có cơ chế hoàn tác như giao dịch ngân hàng.

Checklist bảo mật ví

Danh sách dưới đây là mức tối thiểu, không phải tuỳ chọn. Bỏ qua một mục là mở một đường cho rủi ro mất toàn bộ tài sản.

• Không chia sẻ seed phrase với bất kỳ ai.
• Không lưu seed phrase trên cloud hoặc dạng ảnh.
• Không nhập seed phrase vào website lạ.
• Kiểm tra tên miền và dùng bookmark cho website thường xuyên sử dụng.
• Kiểm tra địa chỉ nhận và gửi thử số nhỏ khi cần.
• Không ký giao dịch không hiểu rõ.
• Rà soát token approvals định kỳ.
• Tách ví lưu trữ khỏi ví thử nghiệm.
• Giữ bản sao khôi phục ở nơi an toàn, tách khỏi thiết bị.