Trình quản lý mật khẩu và crypto: nên lưu gì và tuyệt đối không lưu gì
Dùng trình quản lý mật khẩu cho crypto: những gì an toàn để lưu, vì sao cụm từ khôi phục và khóa riêng tư phải giữ ngoại tuyến, và kẻ tấn công nhắm vào kho mật khẩu và tính năng tự động điền như thế nào.
Trình quản lý mật khẩu là nơi tốt để lưu mật khẩu sàn giao dịch và email, nhưng không phải nơi dành cho cụm từ khôi phục hay khóa riêng tư: những thứ đó phải giữ ngoại tuyến, vì bất kỳ ai có được chúng sẽ kiểm soát tài sản crypto của bạn mãi mãi. Dùng đúng cách, trình quản lý mật khẩu giúp tài khoản crypto của bạn an toàn hơn nhiều; dùng như một kho chứa mọi thứ, nó có thể trở thành điểm lỗi duy nhất.
Phần lớn vụ trộm crypto bắt đầu từ việc chiếm đoạt tài khoản hoặc đánh cắp bí mật, chứ không phải từ một blockchain bị phá vỡ. Hướng dẫn này giải thích cách kẻ tấn công nhắm vào kho mật khẩu và các bí mật bên trong, nên lưu gì và nên để ngoài những gì, và cần làm gì nếu có sự cố.
Nên lưu gì và tuyệt đối không lưu gì
| Thông tin | Lưu trong trình quản lý mật khẩu? | Cách tốt hơn |
|---|---|---|
| Mật khẩu sàn giao dịch | Có | Riêng biệt và tạo ngẫu nhiên cho mỗi tài khoản |
| Mật khẩu tài khoản email | Có | Cần bảo vệ mạnh nhất; nó có thể đặt lại mọi thứ khác |
| Mã chống phishing của sàn, mã PIN hỗ trợ | Có | Hữu ích để nhận ra email giả |
| Ghi chú về các ví bạn dùng và nơi cất bản sao lưu | Có, không kèm bí mật | Mô tả vị trí, không bao giờ ghi các từ |
| Mã dự phòng 2FA | Tốt nhất không để chung kho | In ra và cất riêng |
| Mã PIN ví cứng | Thường không cần | Hãy ghi nhớ; thiết bị giới hạn số lần thử |
| Cụm từ khôi phục / seed phrase | Không | Ngoại tuyến trên giấy hoặc kim loại, ở nơi an toàn |
| Khóa riêng tư hoặc tệp xuất ví | Không | Tránh xuất; nếu buộc phải xuất thì giữ ngoại tuyến |
| Cụm mật khẩu BIP39 (“từ thứ 25”) | Không, nhất là không để cùng cụm từ khôi phục | Một vị trí ngoại tuyến riêng |
Nguyên tắc chủ đạo: trình quản lý mật khẩu bảo vệ quyền truy cập vào các tài khoản vốn có những lớp bảo vệ khác (trì hoãn rút tiền, 2FA, đội hỗ trợ). Cụm từ khôi phục thì không có lớp bảo vệ nào. Hãy đọc cụm từ khôi phục là gì và hoạt động như thế nào để hiểu lý do.
Kẻ tấn công nhắm vào kho mật khẩu và bí mật như thế nào
Hiểu các con đường tấn công sẽ giải thích các quy tắc ở trên:
- 1Mã độc đánh cắp thông tin (infostealer). Một ứng dụng giả, phần mềm bẻ khóa hoặc tiện ích trình duyệt độc hại sao chép dữ liệu trình duyệt, mật khẩu đã lưu và tệp từ máy tính của bạn. Nếu kho đang mở khóa, hoặc cụm từ khôi phục nằm trong một ghi chú, nó có thể bị lấy trong vài giây.
- 2Phishing mật khẩu chính. Một trang đăng nhập giả hoặc email giả mạo “cảnh báo bảo mật kho” yêu cầu bạn đăng nhập vào trình quản lý mật khẩu.
- 3Rò rỉ từ nhà cung cấp. Một số công ty trình quản lý mật khẩu từng bị xâm nhập và dữ liệu kho đã mã hóa bị sao chép. Mã hóa chỉ bảo vệ bạn khi mật khẩu chính đủ mạnh để chống lại việc dò đoán.
- 4Chiếm quyền clipboard. Mã độc theo dõi clipboard và tráo địa chỉ ví bạn vừa sao chép bằng địa chỉ của kẻ tấn công, hoặc bắt lấy cụm từ khôi phục mà bạn sao chép.
- 5Tìm từ khóa trong kho. Khi đã vào được kho, kẻ tấn công tìm các từ như “seed”, “mnemonic”, “wallet” hoặc “private key”.
Một ví dụ giả định
Sau đây là một ví dụ tổng hợp mang tính minh họa, không phải vụ việc có thật. Hãy tưởng tượng Alex lưu mọi thứ trong một trình quản lý mật khẩu, kể cả một ghi chú có tiêu đề “MetaMask seed”. Alex cài một tiện ích “theo dõi giá crypto” miễn phí, hóa ra lại là mã độc. Nó bắt được mật khẩu chính khi Alex gõ và xuất toàn bộ kho. Kẻ tấn công tìm “seed”, nhập ví và rút sạch trong vòng một giờ. Tài khoản sàn của Alex chỉ thoát được vì lệnh rút tiền đòi hỏi khóa bảo mật phần cứng. Khác biệt giữa hai kết cục nằm ở nơi mỗi bí mật được cất giữ.
Dấu hiệu cảnh báo kho hoặc tài khoản của bạn đang bị nhắm tới
- Email yêu cầu bạn “xác minh” hoặc “đồng bộ lại” trình quản lý mật khẩu hay tài khoản sàn.
- Cảnh báo đăng nhập hoặc yêu cầu 2FA mà bạn không hề kích hoạt.
- Trình quản lý mật khẩu từ chối tự động điền trên một trang mà bạn nghĩ là sàn của mình.
- Tiện ích trình duyệt mới mà bạn không nhớ đã cài.
- Email đặt lại mật khẩu bất ngờ cho tài khoản email của bạn.
Cách thiết lập trình quản lý mật khẩu cho crypto một cách an toàn
- 1Chọn trình quản lý uy tín có mô hình bảo mật được công bố và mã hóa đầu cuối, chỉ tải từ trang chính thức hoặc kho ứng dụng.
- 2Tạo cụm mật khẩu chính mạnh gồm nhiều từ ngẫu nhiên mà bạn không dùng ở bất kỳ đâu khác, và ghi lại để khôi phục khẩn cấp, cất ở nơi an toàn.
- 3Bật xác thực hai yếu tố mạnh cho kho, tốt nhất là khóa bảo mật phần cứng hoặc ứng dụng xác thực thay vì SMS.
- 4Tạo mật khẩu riêng biệt cho mọi sàn, tài khoản email và dịch vụ crypto. Ưu tiên email, vì nó có thể đặt lại mọi thứ khác.
- 5Dùng tự động điền như một bước kiểm tra phishing. Nếu nó không đề nghị điền thông tin đăng nhập, hãy kiểm tra URL trước khi gõ bất cứ thứ gì.
- 6Để bí mật của ví ra ngoài. Giữ cụm từ khôi phục ngoại tuyến. Nếu muốn có lời nhắc trong kho, chỉ ghi nơi cất bản sao lưu, không ghi nội dung của nó.
- 7Tự động khóa kho sau một khoảng thời gian không hoạt động ngắn và khi thiết bị chuyển sang chế độ ngủ.
Để có một quy trình toàn diện hơn, hãy xem hướng dẫn xây dựng thói quen bảo mật crypto vững chắc và bảo mật tài khoản email cho người dùng crypto.
Cần làm gì nếu kho mật khẩu bị xâm phạm
- 1Mặc định rằng mọi bí mật bên trong đã bị lộ. Nếu có cụm từ khôi phục được lưu ở đó, hãy chuyển tiền ngay sang ví mới với cụm từ khôi phục mới; làm theo những việc cần làm ngay nếu ví của bạn bị xâm phạm.
- 2Đổi mật khẩu email trước, sau đó đến mật khẩu các sàn, từ một thiết bị sạch.
- 3Đặt lại xác thực hai yếu tố và thu hồi các phiên đăng nhập cũng như khóa API lạ trên các sàn.
- 4Kiểm tra danh sách trắng địa chỉ rút tiền để tìm những địa chỉ bạn không hề thêm.
- 5Quét hoặc cài đặt lại thiết bị bị ảnh hưởng trước khi dùng lại.
- 6Báo cáo trang phishing và địa chỉ lừa đảo cho dịch vụ liên quan và qua biểu mẫu báo cáo lừa đảo của chúng tôi.
Kết luận
Trình quản lý mật khẩu là một trong những công cụ bảo mật tốt nhất mà người dùng crypto có thể có, miễn là nó chứa đúng những thứ cần chứa. Hãy dùng nó cho mật khẩu tài khoản riêng biệt và như một bước kiểm tra phishing thông qua tự động điền, bảo vệ nó bằng cụm mật khẩu mạnh và xác thực hai yếu tố dựa trên phần cứng, đồng thời giữ cụm từ khôi phục và khóa riêng tư ngoại tuyến, nơi mã độc và các vụ rò rỉ không thể chạm tới.
Câu hỏi thường gặp
Tôi có nên lưu cụm từ khôi phục trong trình quản lý mật khẩu không?
Việc này thường được khuyên là không nên. Cụm từ khôi phục cho quyền kiểm soát toàn bộ và không thể đảo ngược đối với một ví, trong khi trình quản lý mật khẩu là mục tiêu trực tuyến, được đồng bộ và chỉ được bảo vệ bằng một mật khẩu chính. Nếu kho, thiết bị hoặc mật khẩu chính bị xâm phạm, tiền của bạn có thể bị đánh cắp. Hãy giữ cụm từ khôi phục ngoại tuyến, trên giấy hoặc kim loại, ở những nơi an toàn.
Thông tin crypto nào an toàn để lưu trong trình quản lý mật khẩu?
Có thể lưu mật khẩu riêng biệt cho sàn giao dịch và tài khoản email, tên người dùng, ghi chú về việc bạn dùng ví nào và bản sao lưu được cất ở đâu (không kèm bí mật), cùng mã PIN hỗ trợ. Mã dự phòng của xác thực hai yếu tố nên được cất ở nơi khác để một vụ rò rỉ không làm lộ mọi thứ.
Trình quản lý mật khẩu có bảo vệ tôi khỏi lừa đảo phishing không?
Nó có thể giúp. Tính năng tự động điền chỉ điền thông tin đăng nhập trên đúng tên miền đã lưu, vì vậy nếu trình quản lý không đề nghị điền trên một trang trông giống sàn của bạn, đó là dấu hiệu cảnh báo tên miền là giả. Nó không bảo vệ bạn nếu bạn tự sao chép và dán mật khẩu.
Tôi nên làm gì nếu trình quản lý mật khẩu bị xâm phạm?
Đổi mật khẩu chính, sau đó đổi trước tiên mật khẩu email và tài khoản sàn, bắt đầu từ email. Đặt lại xác thực hai yếu tố khi có thể, xem lại lịch sử đăng nhập và danh sách trắng địa chỉ rút tiền, và nếu trong kho có bí mật của ví, hãy chuyển tiền ngay sang ví mới với cụm từ khôi phục mới.