Định nghĩa ngắn gọn
Đánh cắp khóa riêng là việc kẻ tấn công lấy được khóa riêng hoặc cụm từ khôi phục của một ví crypto thông qua lừa đảo, phần mềm độc hại, rò rỉ dữ liệu, kỹ thuật xã hội hoặc sao lưu không an toàn. Khi có thông tin này, kẻ tấn công có thể ký giao dịch thay mặt ví đó và chuyển tài sản đi.
Trên đa số blockchain công khai, ai kiểm soát khóa riêng thì người đó có thể tạo giao dịch hợp lệ từ địa chỉ tương ứng. Vì vậy, việc mất khóa riêng thường nghiêm trọng hơn nhiều so với lộ mật khẩu giao dịch. Cần lưu ý rằng giao dịch blockchain sau khi được xác nhận thường khó đảo ngược; khả năng thu hồi tài sản phụ thuộc vào nơi tài sản được chuyển đến, mức độ hợp tác của sàn giao dịch, quy trình thực thi pháp luật và tình huống on-chain cụ thể. Không nên mặc định rằng tài sản chắc chắn có thể được khôi phục.
Khóa riêng kiểm soát tài sản crypto như thế nào
Ví crypto thường có hai nhóm thông tin quan trọng:
| Khái niệm | Vai trò | Có nên công khai không |
|---|---|---|
Khóa công khai / địa chỉ | Dùng để nhận tài sản, tương tự địa chỉ nhận tiền | Địa chỉ thường có thể công khai |
Khóa riêng / cụm từ khôi phục | Dùng để ký giao dịch, chứng minh bạn có quyền sử dụng tài sản | Tuyệt đối không công khai |
Khi người dùng thực hiện chuyển tiền, ví sẽ dùng khóa riêng để tạo chữ ký số cho giao dịch. Các nút mạng chỉ chấp nhận giao dịch sau khi xác minh chữ ký hợp lệ. Nếu kẻ tấn công có khóa riêng hoặc cụm từ khôi phục, họ có thể nhập ví trên thiết bị của mình và chuyển tài sản sang địa chỉ khác.
Cụm từ khôi phục thường gồm 12, 18 hoặc 24 từ tiếng Anh và về bản chất có thể dùng để khôi phục hoặc tạo khóa riêng. Với người dùng phổ thông, lộ cụm từ khôi phục thường tương đương với lộ khóa riêng.
Các tình huống thường gặp
| Tình huống | Biểu hiện điển hình | Điểm rủi ro |
|---|---|---|
Website lừa đảo | Giả mạo ví, sàn giao dịch hoặc trang nhận airdrop, yêu cầu nhập cụm từ khôi phục | Người dùng tự gửi thông tin khóa riêng |
Phần mềm độc hại | Trojan, chiếm quyền clipboard, ứng dụng ví giả | Đánh cắp tệp cục bộ hoặc ghi lại nội dung nhập |
Sao lưu không an toàn | Chụp màn hình cụm từ khôi phục, lưu trên cloud, gửi vào email của chính mình | Tài khoản cloud hoặc thiết bị bị xâm nhập dẫn đến rò rỉ |
Kỹ thuật xã hội | Giả danh hỗ trợ khách hàng, quản trị viên hoặc đội ngũ dự án | Lợi dụng lòng tin để dụ người dùng tiết lộ cụm từ khôi phục |
Mất kiểm soát thiết bị | Điện thoại, máy tính bị người khác tiếp cận lâu dài hoặc cài phần mềm điều khiển từ xa | Kẻ tấn công có thể xem ví hoặc nội dung sao lưu |
Ví dụ đơn giản
Giả sử một nhà giao dịch mới thấy liên kết “nhận airdrop”. Trang này thông báo cần “xác minh quyền sở hữu ví” và yêu cầu nhập 12 từ khôi phục. Sau khi người dùng nhập, kẻ tấn công lập tức nhập ví đó trên một thiết bị khác và tạo giao dịch chuyển tiền. Ngay cả khi người dùng sau đó gỡ ứng dụng ví, kẻ tấn công đã nắm cụm từ khôi phục và vẫn có thể tiếp tục kiểm soát địa chỉ đó.
Trong ví dụ này, vấn đề thực sự không phải là biến động giá thị trường mà là quyền kiểm soát ví đã bị chuyển sang người khác. Cách xử lý thường bao gồm: ngừng sử dụng địa chỉ đó ngay lập tức, chuyển tài sản chưa bị rút sang ví mới, lưu giữ bằng chứng, liên hệ nền tảng liên quan hoặc cơ quan thực thi pháp luật.
Liên quan đến ví lưu ký và ví không lưu ký
Hình thức rủi ro đánh cắp khóa riêng phụ thuộc vào loại ví:
| Loại ví | Ai kiểm soát khóa riêng | Rủi ro chính của người dùng |
|---|---|---|
Ví không lưu ký | Người dùng tự kiểm soát khóa riêng hoặc cụm từ khôi phục | Lộ cụm từ khôi phục, mất bản sao lưu, ký giao dịch độc hại |
Ví lưu ký | Sàn giao dịch hoặc nhà cung cấp dịch vụ lưu ký quản lý khóa riêng | Tài khoản nền tảng bị chiếm đoạt, sự cố bảo mật của nền tảng, quyền rút tiền bị lạm dụng |
Khi dùng dịch vụ lưu ký, người dùng thường không trực tiếp tiếp xúc với khóa riêng, nhưng vẫn cần bảo vệ mật khẩu đăng nhập, xác thực hai yếu tố, email và cài đặt địa chỉ rút tiền. Khi dùng ví không lưu ký, người dùng có quyền kiểm soát trực tiếp hơn, đồng thời phải chịu trách nhiệm tự bảo quản cao hơn.
Cách phòng tránh chính
- Không cung cấp cụm từ khôi phục hoặc khóa riêng cho bất kỳ website, nhân viên hỗ trợ hay quản trị viên cộng đồng nào. Việc bảo trì ví, nhận airdrop hoặc xác minh tài khoản hợp lệ thường không nên yêu cầu người dùng nhập toàn bộ cụm từ khôi phục.
- Sao lưu cụm từ khôi phục ngoại tuyến, chẳng hạn viết ra giấy hoặc lưu trên vật liệu bền, rồi cất ở nơi an toàn; tránh lưu bằng ảnh chụp màn hình, ổ đĩa cloud, ứng dụng chat hoặc email.
- Kiểm tra website chính thức và nguồn ứng dụng, tải ví qua kênh chính thức, cảnh giác với quảng cáo tìm kiếm, tên miền giả mạo và ứng dụng giả.
- Vẫn cần thận trọng khi dùng ví phần cứng. Ví phần cứng có thể giảm khả năng khóa riêng bị lộ trên thiết bị kết nối Internet, nhưng nếu người dùng nhập cụm từ khôi phục vào trang lừa đảo, ví phần cứng cũng không thể bảo vệ cụm từ đó.
- Kiểm tra địa chỉ và nội dung giao dịch trước khi chuyển, đặc biệt là ủy quyền hợp đồng, ủy quyền không giới hạn và các yêu cầu ký lạ.
- Tách biệt mục đích sử dụng ví, ví dụ tách ví dùng để tương tác hằng ngày khỏi ví lưu trữ tài sản dài hạn, nhằm giảm rủi ro từ một điểm lộ duy nhất.
- Nếu nghi ngờ khóa riêng đã bị lộ, hãy chuyển tài sản sang ví mới càng sớm càng tốt. Chỉ đổi mật khẩu ứng dụng ví thường không thể ngăn kẻ tấn công đã có cụm từ khôi phục.
Khác biệt giữa đánh cắp khóa riêng và các rủi ro khác
| Rủi ro | Có nhất thiết liên quan đến lộ khóa riêng không | Giải thích |
|---|---|---|
Đánh cắp khóa riêng | Có | Kẻ tấn công có khóa riêng hoặc cụm từ khôi phục, có thể trực tiếp ký giao dịch chuyển tiền |
Lạm dụng ủy quyền | Không nhất thiết | Người dùng có thể đã ký ủy quyền cho hợp đồng độc hại, cho phép kẻ tấn công chuyển một số token nhất định thông qua hợp đồng |
Tài khoản sàn bị chiếm đoạt | Không nhất thiết | Kẻ tấn công có thể đăng nhập tài khoản để rút tiền, thay vì có khóa riêng on-chain |
Mất khóa riêng | Không | Người dùng không thể truy cập khóa riêng, tài sản có thể không sử dụng được, nhưng không có nghĩa là đã bị người khác đánh cắp |
Ranh giới người mới cần ghi nhớ
Bảo mật khóa riêng không phải là vấn đề lợi nhuận đầu tư, mà là vấn đề quyền kiểm soát tài sản. Ngay cả khi giá của một tài sản không giảm, chỉ cần khóa riêng bị đánh cắp, tài sản trong ví vẫn có thể bị chuyển đi. Ngược lại, bảo quản tốt khóa riêng không có nghĩa là giao dịch chắc chắn có lãi; điều đó chỉ giúp bảo vệ quyền kiểm soát ví về mặt kỹ thuật.
Nếu liên quan đến số tiền lớn, nền tảng xuyên biên giới hoặc giao dịch đáng ngờ, nên lưu lại bằng chứng như hash giao dịch, địa chỉ ví, lịch sử chat và ảnh chụp website, đồng thời cân nhắc tìm hỗ trợ từ chuyên gia bảo mật, bộ phận hỗ trợ của sàn giao dịch hoặc kênh thực thi pháp luật tại địa phương.
Thuật ngữ liên quan
- Khóa riêng: Dữ liệu bí mật dùng để ký giao dịch, là thông tin cốt lõi để kiểm soát ví crypto.
- Cụm từ khôi phục: Một nhóm từ dùng để khôi phục ví, thường có thể tạo ra khóa riêng.
- Khóa công khai / địa chỉ ví: Định danh công khai dùng để nhận tài sản.
- Ví phần cứng: Dạng ví lưu khóa riêng trong một thiết bị chuyên dụng.
- Tấn công lừa đảo: Việc dùng website, email hoặc tin nhắn giả mạo để dụ người dùng tiết lộ thông tin nhạy cảm.
- Ủy quyền hợp đồng: Thiết lập quyền on-chain cho phép hợp đồng thông minh sử dụng một số token nhất định của người dùng.
