Những ý chính:
- Giữ private key ngoại tuyến (offline) là tiêu chuẩn bảo mật cơ bản đối với crypto – nhưng điều đó không thể bảo vệ bạn khỏi mọi rủi ro.
- Khi bạn ký một số giao dịch nhất định, bạn cho phép smart contract tương tác với toàn bộ tài sản trong tài khoản đó – điều này có nghĩa là nếu bạn mắc sai lầm, tất cả tài sản trong ví đều có thể gặp rủi ro.
- Sai lầm là điều có thể xảy ra, và chính bạn phải đảm bảo rằng thiệt hại được giảm thiểu nếu vô tình rơi vào bẫy lừa đảo.
- Cách duy nhất để giảm thiểu rủi ro là phân tách tài sản thành ba tài khoản với ba mục đích khác nhau: tài khoản đào, tài khoản bán (sell) và tài khoản lưu trữ (vault).
Phân tách tài sản crypto là một phần quan trọng trong chiến lược quản lý tài sản crypto của bạn. Dưới đây là cách nó hoạt động khi sử dụng thiết bị Ledger. Bạn chắc hẳn đã quen với nguyên tắc cơ bản – giữ private key ngoại tuyến là cách để bảo vệ crypto của mình!
Nhưng không phải mọi mối đe dọa đối với crypto đều đến từ việc bị hack. Trên thực tế, ngày càng nhiều trường hợp crypto bị đánh cắp bằng cách khai thác một lỗ hổng khác – chính bạn.
Phân tách tài sản: trách nhiệm của bạn
Giữ private key ngoại tuyến và tránh mọi rủi ro giống như ở trong nhà và khóa cửa lại. Chắc chắn bạn sẽ an toàn tuyệt đối, nhưng đồng thời bạn cũng bị tách khỏi mọi tương tác với thế giới bên ngoài. Mà sự tương tác mới chính là mục đích, đúng không?
Thực tế là đôi khi bạn cần mở cửa.
Web3 được xây dựng dựa trên smart contracts, và khi chúng ta khám phá dApps hay DeFi, điều chúng ta thực sự làm là cho phép smart contract của các nền tảng này tương tác với nội dung trong ví của mình, giống như mời họ vào nhà. Private key của bạn vẫn được giữ offline, nhưng bạn đang cho phép một nền tảng nhất định có một mức độ truy cập nào đó vào tài sản của mình.
Trong tình huống này, người gác cổng không còn là chiếc ví nữa, mà chính là người mở cửa – tức là bạn. Nghe có vẻ đơn giản – chỉ cần đừng để kẻ xấu vào nhà, đúng không? Nhưng, giống như nhiều điều trong cuộc sống, mọi thứ phức tạp hơn thế.
Lừa đảo crypto: cách tiếp cận “cô bé quàng khăn đỏ”
Trong Web3, bạn sẽ thường xuyên gặp giao dịch smart contract, thông báo và các cửa sổ pop-up. Chúng xuất hiện trong rất nhiều bối cảnh khác nhau: từ niêm yết tài sản trên các thị trường NFT, tương tác với bể thanh khoản trong DeFi, cho đến xác nhận quyền sở hữu ví khi đăng ký allow list.
Trải nghiệm người dùng Web3 (UX) vẫn còn khá mới lạ đối với nhiều người (hơn nữa lĩnh vực này gần như chưa được quản lý chặt chẽ). Điều này khiến bạn dễ bỏ qua những dấu hiệu cảnh báo của một smart contract độc hại. Một ví dụ điển hình xảy ra vào tháng 7 với vụ lừa đảo PreMint nổi tiếng: hàng nghìn người đã bị lừa mất NFT và crypto vì họ ký một giao dịch độc hại được ngụy trang rất tinh vi, khiến kẻ lừa đảo có quyền truy cập vào toàn bộ tài sản trong ví của họ.
Ngày càng nhiều người dùng Web3 lựa chọn giữ private key offline, vì vậy các vụ lừa đảo như vậy càng trở nên phổ biến. Những kẻ lừa đảo buộc phải tìm những cách sáng tạo hơn để khiến bạn mở cửa ví của mình. Chính vì vậy, việc tổ chức tài sản crypto theo cách giúp giảm thiểu thiệt hại là cực kỳ quan trọng, trong trường hợp bạn không may trở thành nạn nhân của một vụ lừa đảo.
Vậy trong thực tế điều này sẽ trông như thế nào?
Ví dụ phân tách tài sản crypto
Larry, một người đam mê Web3 có kinh nghiệm, đang sử dụng ví cứng vì anh biết rằng giữ private key offline là phương pháp tốt nhất. Hôm nay, Larry đang đăng ký tham gia một đợt mint sắp tới, tương tác với trang web đăng ký để có cơ hội lọt vào allow list của dự án yêu thích.
Điều Larry không biết là một kẻ lừa đảo đã hack trang web đăng ký đào, tạo ra một pop-up trông giống như một phần bình thường của quy trình đăng ký. Nó có vẻ hoàn toàn hợp lệ, vì vậy Larry ký xác nhận vào pop-up đó.
Đó là một sai lầm lớn trên thực tế, hành động này cho phép kẻ lừa đảo truy cập toàn bộ nội dung trong ví của Larry, và không có cách nào để đảo ngược giao dịch đó. Đây là một sai lầm vô tình mà bất kỳ ai cũng có thể mắc phải. Nhưng trong thế giới Web3, tất cả chúng ta cần phải dự đoán trước những tình huống như vậy.
Kết thúc của câu chuyện này phụ thuộc hoàn toàn vào cách Larry tổ chức tài sản của mình khi thiết lập ví ban đầu. Sai lầm này có thể dẫn đến thiệt hại cực lớn, hoặc chỉ là một tổn thất nhỏ và có kiểm soát.
Vậy trong ví của Larry có gì?
Thật không may cho Larry, anh đã lưu trữ tất cả NFT của mình trong cùng một ví mà anh dùng để ký giao dịch này. Giống như nhiều Web3 degen, sai lầm nhỏ này khiến anh phải trả giá đắt, vì toàn bộ NFT giờ đây có thể bị kẻ lừa đảo chuyển khỏi ví, dù sao thì Larry chính là người đã mở cửa.
Nhưng điều này không nhất thiết phải xảy ra. Trong kịch bản lý tưởng, tổn thất từ sai lầm như vậy sẽ ở mức tối thiểu. Bằng cách phân tách tài sản crypto, bạn có thể bảo vệ bản thân và bộ sưu tập của mình khỏi loại sai lầm này.
Cách phân tách tài sản crypto
Để phân tách tài sản crypto một cách an toàn nhất, bạn nên sử dụng ba tài khoản riêng biệt cho ba mục đích khác nhau: tài khoản đào, tài khoản bán và tài khoản lưu trữ. Hệ thống này có nghĩa là ngay cả khi bạn vô tình ký một giao dịch độc hại bằng tài khoản đào, thì tài khoản bán và lưu trữ cùng toàn bộ tài sản trong đó vẫn được bảo vệ. Vì mỗi tài khoản có vai trò khác nhau, bạn cần phân biệt rõ từng tài khoản. May mắn là bạn có thể tạo cả ba tài khoản trên thiết bị Ledger và đặt tên rõ ràng cho từng tài khoản trong ứng dụng Ledger Wallet. Hãy cùng xem vai trò của từng loại tài khoản.
Tài khoản đào
Địa chỉ của tài khoản đào không nên chứa quá nhiều giá trị tài sản. Một nguyên tắc đơn giản là dưới 0.1 ETH.
Như vậy, nếu bạn cần tương tác với các trang web không đáng tin cậy hoặc smart contract chưa được kiểm toán, và có điều gì đó xảy ra sai lầm, bạn sẽ không mất quá nhiều tài sản.
Tài khoản này rất phù hợp để đào NFT mới hoặc thử nghiệm các nền tảng mới. Tuy nhiên, bạn không nên lưu trữ bất kỳ tài sản có giá trị nào tại địa chỉ này, vì một smart contract độc hại có thể rút toàn bộ tiền trong ví.
Một số người thường xuyên giao dịch trên các nền tảng ít đáng tin cậy thậm chí còn sử dụng nhiều địa chỉ đào, thường được gọi là “ví dùng một lần (burner wallets)”. Với phương pháp này, họ chỉ mint từ một smart contract cho mỗi địa chỉ, sau đó ngay lập tức chuyển tài sản sang tài khoản lưu trữ để tăng cường bảo mật.
Ví bán
Đây là tài khoản bạn dùng để mua và bán tài sản crypto trên các nền tảng và smart contract đáng tin cậy. Ví dụ, bạn có thể thiết lập approval cho các thị trường NFT yêu thích hoặc các sàn giao dịch phi tập trung bằng tài khoản này. Tuy nhiên, bạn không nên lưu trữ phần lớn bộ sưu tập của mình tại đây. Thay vào đó, bạn chỉ chuyển những tài sản thực sự cần thiết vào ví này khi cần giao dịch. Điều này giúp giảm rủi ro tiếp xúc với các lỗi thị trường hoặc lừa đảo, đồng thời tránh phải cấp quyền giao dịch cho những tài sản mà bạn muốn giữ an toàn.
Ví lưu trữ
Cuối cùng là tài khoản lưu trữ. Đây là tài khoản crypto không bao giờ nên ký bất kỳ giao dịch nào hoặc cấp bất kỳ quyền truy cập nào. Điều này giúp tài khoản hoàn toàn tách biệt khỏi các mối đe dọa bên ngoài, trở thành pháo đài bảo vệ tài sản kỹ thuật số của bạn. Tài khoản lưu trữ cũng thường được gọi là ví lạnh, nhưng ví lạnh không hoàn toàn giống ví cứng. Để hiểu rõ hơn, bạn có thể đọc bài viết về ví lạnh và ví cứng. Tóm lại, ví cứng khi mới mua là ví lạnh, nhưng nếu bạn cho phép nó tương tác với smart contract thì nó không còn hoàn toàn “lạnh” nữa.
Những chữ ký duy nhất mà tài khoản lưu trữ nên thực hiện là “gasless signatures”. Bạn có thể hiểu những chữ ký này giống như xác minh danh tính, chứ không phải cấp quyền truy cập tài sản.
Thu hồi quyền truy cập
Bất kể bạn đang sử dụng tài khoản nào, điều quan trọng là phải theo dõi các quyền truy cập của mình.
Điều này có nghĩa là bạn cần biết chính xác những quyền truy cập nào đang hoạt động trên chuỗi (on-chain) và ngoài chuỗi (off-chain) tại bất kỳ thời điểm nào. Đồng thời, bạn nên thu hồi những quyền không cần thiết để tránh rủi ro bất ngờ trong tương lai.
Các dịch vụ như Revoke.cash cho phép người dùng kiểm tra tất cả các smart contract đang được bạn cấp quyền chi tiêu tài sản, và thu hồi quyền truy cập của những contract không còn cần thiết. Công cụ này có thể sử dụng trên nhiều nền tảng DeFi trong hệ sinh thái Ethereum.
Giảm thiểu sai lầm, hạn chế tổn thất
Lừa đảo là một phần không thể tránh khỏi, đặc biệt trong một môi trường mới như Web3. Nhưng việc mắc sai lầm không có nghĩa là bạn phải đánh đổi toàn bộ bộ sưu tập của mình.
Sở hữu thiết bị Ledger có nghĩa là bạn là người kiểm soát. Mỗi thiết bị Ledger có thể bảo vệ nhiều tài khoản khác nhau, vì vậy chỉ cần một chút suy nghĩ trước và hiểu rõ cách các vụ lừa đảo hoạt động, bạn hoàn toàn có thể bảo vệ tài sản của mình và tự quyết định trải nghiệm Web3 của mình.
