Tin tức 
Thông tin Coin 
Về chúng tôi 
Theo CoinDesk đưa tin ngày 20 tháng 1 năm 2024 (giờ địa phương), khi nhà đầu tư nắm giữ **"Bitcoin(BTC)"** và các tài sản số trong thời gian dài, cách **"bảo quản tài sản"** đang trở thành yếu tố quyết định hiệu quả đầu tư. Chỉ cần giao khóa riêng tư cho bên thứ ba, nhà đầu tư lập tức đối mặt cùng lúc với rủi ro **"hacking"**, sự cố nội bộ và rủi ro pháp lý. Đồng sáng lập kiêm Giám đốc công nghệ của công ty giải pháp quản lý khóa **"Casa"**, Jameson Lopp (Jameson Lopp), nhấn mạnh: mối đe dọa lớn nhất với người dùng tiền mã hóa “thuần crypto” lại đến từ việc phụ thuộc vào **"bên thứ ba đáng tin cậy"** và không tự nắm giữ tài sản.
Lopp từng làm việc tại BitGo — doanh nghiệp cung cấp dịch vụ bảo mật **"đa chữ ký (multisig)"** — nơi ông tham gia phát triển hệ thống hiện đang bảo vệ khoảng 20% tổng giao dịch **"Bitcoin(BTC)"**. Ông cũng là người tạo ra công cụ **"Statoshi"** dùng để giám sát dấu hiệu tấn công mạng lưới Bitcoin. Thông điệp Lopp đưa ra rất rõ ràng: **"tự quản lý tài sản (self-custody)"** không còn là “lý tưởng xa vời” mà đã trở thành chiến lược sinh tồn thực tế trong thị trường hiện tại.
Theo Lopp, khi nói về rủi ro trong thị trường crypto, nhiều người thường nghĩ đến việc **"smart contract"** bị tấn công hay sự cố trên các cầu nối **"bridge"** chuyển tài sản giữa các blockchain. Tuy nhiên, ông cho rằng mối nguy lớn hơn lại xuất phát từ chính các **"bên thứ ba đáng tin cậy"** như sàn giao dịch tập trung, công ty lưu ký, hay các dịch vụ trung gian. Những dịch vụ này mang lại sự tiện lợi nhưng đồng thời cũng mở rộng diện tấn công cho hacker.
*bình luận: Điểm Lopp nhấn mạnh là rủi ro hệ thống không chỉ nằm ở mã nguồn mà còn nằm ở mô hình kinh doanh “tin cậy trung gian”, vốn đi ngược lại triết lý ban đầu của **"Bitcoin(BTC)"**.*
Áp lực chi phí trong ngành càng khiến tình hình trở nên mong manh hơn. Trong giai đoạn thị trường suy thoái, doanh thu sụt giảm, nhiều dự án có động cơ cắt giảm hạng mục kiểm toán, thu hẹp phạm vi rà soát bảo mật. Khi số lần và chất lượng kiểm toán **"smart contract"** suy giảm, nhà đầu tư buộc phải chấp nhận mức độ bất định cao hơn. Những dịch vụ trông có vẻ “trưởng thành” trên bề mặt vẫn có thể nứt vỡ bất cứ lúc nào nếu nội bộ cắt giảm ngân sách an ninh và kiểm soát rủi ro.
Một trọng tâm khác Lopp liên tục nhấn mạnh là **"quyền riêng tư (privacy)"**. Ông coi **"privacy"** là “vòng phòng thủ ngoài cùng” trong bảo mật crypto: tốt nhất là đừng trở thành mục tiêu ngay từ đầu, rồi mới đến các lớp phòng vệ kỹ thuật số. Khi dấu vết về tài sản, hoạt động ví và thông tin nơi ở của một cá nhân bị liên kết với nhau trên môi trường trực tuyến, kẻ tấn công dễ dàng xem người đó như “mục tiêu có thể quy đổi thành tiền”.
Trong kỷ nguyên số, **"privacy"** suy yếu về mặt cấu trúc. Lopp chỉ ra rằng chỉ cần một vài mảnh ghép dữ liệu như thông tin rò rỉ, địa chỉ, số điện thoại, email, kết hợp với bài đăng mạng xã hội, là đã đủ để nhận diện một cá nhân. Kẻ tấn công theo dõi “dấu vết số” và những tín hiệu thể hiện mức độ giàu có để khoanh vùng đối tượng.
Đối với người dùng lựa chọn **"tự quản lý tài sản (self-custody)"**, loại tấn công có xác suất cao nhất lại là **"phishing"** (lừa đảo giả mạo). Các kênh giao tiếp như email, ứng dụng nhắn tin, mạng xã hội đều yếu về xác thực danh tính, dễ bị mạo danh. Lopp cho biết ông có nguyên tắc “không tin bất kỳ tin nhắn đến nào nếu có dấu hiệu khả nghi”, đặc biệt là khi trong nội dung có chứa liên kết. Chỉ một cú bấm nhầm link cũng có thể là điểm khởi đầu của sự cố nghiêm trọng.
Ngày càng nhiều nhóm lừa đảo sao chép giao diện, thương hiệu của các ví, sàn hay dịch vụ lớn, rồi dụ người dùng cấp **"quyền truy cập (permission)"** cho hợp đồng độc hại. Khi người dùng nhấn nút chấp thuận, quyền chuyển token bị trao cho kẻ xấu, và chỉ đến lúc tài sản bị rút sạch khỏi ví, họ mới nhận ra vấn đề. Lopp nhận định: những kẻ lừa đảo tận dụng uy tín thương hiệu để khiến người dùng chủ quan, từ đó chiếm đoạt tài sản thông qua chính quyền hạn mà nạn nhân đã tự cấp. Vì vậy, ưu tiên hàng đầu của bảo mật số phải là xây dựng thói quen **"không mắc bẫy phishing"**, chứ không chỉ gom thêm các lớp công cụ kỹ thuật.
Ngay cả khi dùng **"ví lạnh"** hay thiết bị chuyên dụng, mối nguy vẫn chưa chấm dứt. Tin tặc có thể tấn công máy tính hoặc thiết bị liên quan đến khóa riêng tư bằng **"malware"** (phần mềm độc hại). Lopp cho rằng người dùng nên đơn giản hóa tối đa môi trường xử lý khóa, hạn chế tính năng không cần thiết để thu hẹp bề mặt tấn công. Càng nhiều “tùy chọn tiện lợi”, càng khó kiểm soát lỗ hổng.
Ông cũng chỉ ra rằng **"tự quản lý tài sản (self-custody)"** không chỉ là bài toán kỹ thuật mà còn là bài kiểm tra về trạng thái tinh thần của con người. Ghi chép và bảo quản **"seed phrase"** (cụm từ khôi phục), kiểm tra địa chỉ nhận tiền, rà soát phạm vi cấp quyền… đều đòi hỏi sự tập trung. Khi mệt mỏi hay bị cảm xúc chi phối, nhà đầu tư rất dễ phạm sai lầm chí mạng. Do đó, Lopp khuyến nghị không bao giờ được vội vàng khi thực hiện giao dịch on-chain, bởi một cú nhấp chuột trong trạng thái vội vã có thể đánh đổi bằng khoản lỗ lớn.
Ngoài không gian số, lớp rủi ro khác ít được chú ý hơn là **"tấn công vật lý"**. Các vụ việc dạng “tấn công bằng cờ-lê” (wrench attack) — đột nhập nhà riêng, bạo lực ép giao khóa, hay bắt cóc tống tiền — đang có xu hướng tăng. Theo Lopp, một số vụ tấn công nhắm vào người làm việc trong ngành crypto đã kèm theo cả hành vi bắt cóc để đòi chuộc. Ở những khu vực có nhiều giao dịch OTC (giao dịch trực tiếp, ngoài sàn) với giá trị lớn, nguy cơ này càng cao.
Điểm quan trọng, theo Lopp, là **"tấn công vật lý"** không chỉ xảy ra với người **"tự quản lý tài sản (self-custody)"**. Ngay cả khi tài sản được gửi tại bên lưu ký, chỉ cần cá nhân bị “định danh” là người giàu crypto, họ vẫn có thể trở thành mục tiêu. Vì thế, nguyên tắc cốt lõi là loại bỏ **"điểm lỗi đơn lẻ (single point of failure)"**: hệ thống phải được thiết kế sao cho việc khống chế một người hoặc một địa điểm không thể khiến toàn bộ tài sản bị chuyển đi ngay lập tức.
Về giải pháp thực tiễn, Lopp đề xuất chiến lược **"3 ví"** để “chia nhỏ” rủi ro. Thay vì dồn toàn bộ tài sản vào một địa chỉ, nhà đầu tư nên phân bổ thành nhiều ví với mục đích và hạn mức khác nhau, nhằm thu hẹp thiệt hại nếu xảy ra sự cố.
Cấu trúc phổ biến là một **"ví nóng (hot wallet)"** chỉ chứa số dư đủ dùng cho chi tiêu nhỏ và thử nghiệm; phần lớn tài sản dài hạn được giữ trong **"ví lạnh (cold wallet)"** tách biệt khỏi Internet. Có thể bổ sung thêm một ví “trung gian” hoặc sử dụng mô hình **"đa chữ ký (multisig)"** để hạn chế tình huống chỉ một lần dính **"phishing"**, một thiết bị hỏng hay một sai sót cá nhân đã khiến toàn bộ danh mục lao đao.
Lopp cũng cho rằng việc tiếp xúc với **"Bitcoin(BTC)"** chỉ thông qua **"ETF"** làm suy yếu ý nghĩa thực sự của tài sản số. Theo ông, mục tiêu của **"tự quản lý tài sản (self-custody)"** không chỉ là “đặt cược vào giá”, mà còn là giành lấy **"chủ quyền tài chính (financial sovereignty)"** — điều mà sản phẩm tài chính trung gian khó có thể cung cấp trọn vẹn.
Về bộ công cụ nâng chuẩn bảo mật cá nhân, Lopp khuyến nghị thói quen truy cập trực tiếp trang web bằng cách tự gõ địa chỉ hơn là bấm vào liên kết, sử dụng trình quản lý mật khẩu, đồng thời bổ sung **"khóa bảo mật vật lý"** như YubiKey. Ông cảnh báo nên tránh phụ thuộc vào xác thực hai yếu tố qua SMS vì kênh này dễ bị chiếm quyền. Trong bối cảnh email thường là “chìa khóa thượng tầng” của đời sống số, việc củng cố an ninh cho tài khoản thư điện tử phải được ưu tiên hàng đầu.
Ở mức nâng cao, người dùng có thể tách riêng thiết bị dùng để tạo giao dịch và thiết bị dùng để ký giao dịch. Mô hình “máy ký chuyên dụng” giúp giảm đáng kể khả năng bị đánh cắp khóa nếu máy tính kết nối Internet bị nhiễm mã độc.
Lopp nhìn nhận **"tự quản lý tài sản (self-custody)"** vẫn là “end game” lý tưởng của thị trường crypto, nhưng thừa nhận con người có xu hướng chọn lối đi tiện lợi. Điều đó khiến việc phổ cập **"self-custody"** trở nên khó khăn. Bài toán đặt ra cho ngành là kết hợp được hai yếu tố: tăng cường bảo mật mà vẫn đơn giản hóa trải nghiệm sử dụng. Nếu người dùng vì bất tiện mà “trả lại quyền kiểm soát” cho **"bên thứ ba đáng tin cậy"**, lời hứa về **"chủ quyền tài chính"** của crypto sẽ phai nhạt.
Trong bối cảnh thị trường phát triển, nhà đầu tư ngày càng phải quan tâm không chỉ đến giá **"Bitcoin(BTC)"** hay các tài sản số khác, mà còn đến cách **"bảo quản tài sản"**, **"quyền riêng tư (privacy)"** cùng mức độ an toàn số và an toàn vật lý. Khi **"tự quản lý tài sản (self-custody)"** lan rộng, các hình thức **"phishing"**, tấn công xã hội và đe dọa trực tiếp cũng trở nên rõ nét hơn. Nhiều chuyên gia cho rằng đã đến lúc người dùng crypto cần chủ động nâng cấp một tầng bảo mật mới cho toàn bộ hệ thống của mình, thay vì chỉ dừng lại ở việc tin tưởng vào **"bên thứ ba đáng tin cậy"**.
Bình luận 0