Bảo mật tài khoản thẻ crypto: seed phrase và 2FA trong thực tế

Tài khoản dùng seed phrase hoạt động thế nào

Tài khoản truyền thống ghép tên người dùng với mật khẩu. USDT Crypto Card thay vào đó dùng một mã duy nhất được tạo tự động, có định dạng xxxx-xxxx-xxxx-xxxx, được tạo khi bạn đăng ký. Không có tên người dùng để đoán và không có mật khẩu do bạn tự đặt, nên nó không thể bị dùng lại từ một vụ rò rỉ của trang khác.

Đổi lại là trách nhiệm. Seed được hiển thị cho bạn khi đăng ký, và bất kỳ ai có được nó đều có thể thử đăng nhập. Đó là lý do các lớp bảo vệ dưới đây quan trọng:

1. Seed, thứ bạn giữ bí mật.
2. Email đã xác nhận, bắt buộc trước lần nạp tiền hoặc phát hành thẻ đầu tiên. Nó nhận cảnh báo bảo mật và giúp bạn vào lại tài khoản nếu mất seed.
3. 2FA tùy chọn, mã theo thời gian từ ứng dụng xác thực, cùng các mã dự phòng dùng một lần.

Cất giữ seed phrase an toàn

Nên

• Ghi ra giấy và cất ở nơi kín đáo, tránh hư hỏng, như ngăn kéo có khóa hoặc két sắt.
• Cân nhắc một bản sao thứ hai ở một nơi an toàn khác, để một vụ cháy hay lũ lụt không cuốn mất cả hai.
• Dùng trình quản lý mật khẩu uy tín nếu bạn thích lưu dạng số. Một trình quản lý tốt mã hóa kho dữ liệu và được bảo vệ bằng mật khẩu chính mạnh cùng 2FA riêng.
• Kiểm tra xem bạn đọc lại được không. Chữ viết tay khó đọc là nguyên nhân phổ biến khiến người dùng tự khóa mình ra ngoài.

Không nên

• Đừng chụp màn hình. Thư viện ảnh đồng bộ lên đám mây và là mục tiêu phổ biến.
• Đừng gửi email cho chính mình hay lưu trong ứng dụng ghi chú không mã hóa.
• Đừng dán vào khung chat, kể cả với người tự xưng là nhân viên hỗ trợ. Bộ phận hỗ trợ không bao giờ cần seed của bạn.
• Đừng nhập nó ở bất cứ đâu ngoài trang đăng nhập của đúng website bạn đã đăng ký. Hãy kiểm tra thanh địa chỉ.

Xem lại seed sau này

Nếu cần xem lại seed, bạn có thể hiển thị nó trong phần cài đặt bảo mật của bảng điều khiển. Seed chỉ hiện trong thời gian ngắn rồi màn hình tự đóng, và bảng điều khiển ghi lại lần cuối seed được xem. Nếu bạn thấy một lần xem seed mà mình không nhận ra, hãy coi như tài khoản đã bị lộ.

Thiết lập xác thực hai lớp

2FA thêm một yếu tố thứ hai: thứ bạn có (điện thoại với ứng dụng xác thực) bên cạnh thứ bạn biết (seed). Khi bật 2FA, chỉ riêng seed bị đánh cắp sẽ không giúp ai vào được tài khoản của bạn.

Chọn ứng dụng xác thực

Bất kỳ ứng dụng nào hỗ trợ mật khẩu dùng một lần theo thời gian tiêu chuẩn đều dùng được, ví dụ Google Authenticator, Authy, 2FAS hoặc trình xác thực tích hợp sẵn trong nhiều trình quản lý mật khẩu. Nên chọn ứng dụng có thể sao lưu hoặc đồng bộ mã an toàn, để khi đổi điện thoại bạn không bị khóa ngoài.

Bật 2FA

1. Mở phần bảo mật trong bảng điều khiển và chọn bật 2FA.
2. Quét mã QR bằng ứng dụng xác thực, hoặc nhập khóa thiết lập thủ công.
3. Nhập mã 6 chữ số mà ứng dụng hiển thị để xác nhận.
4. Lưu mã dự phòng khi chúng xuất hiện. Chúng chỉ hiển thị một lần.

Mã làm mới mỗi 30 giây. Nếu một mã bị từ chối, hãy chờ mã tiếp theo; đồng hồ điện thoại lệch nhiều so với giờ thực cũng có thể gây từ chối, nên hãy bật chế độ tự động cập nhật giờ.

Giữ mã dự phòng an toàn

Mã dự phòng là cách bạn đăng nhập nếu mất điện thoại. Mỗi mã chỉ dùng được một lần. Hãy cất chúng giống như seed, nhưng không trên cùng điện thoại với ứng dụng xác thực; nếu không, mất điện thoại là mất cả hai. Khi sắp hết, hãy tạo bộ mã mới từ bảng điều khiển; làm vậy sẽ vô hiệu hóa các mã cũ.

2FA bảo vệ những gì

Khi bật 2FA, bạn sẽ nhập mã khi đăng nhập, và các thao tác nhạy cảm cũng có thể yêu cầu mã mới. Tắt 2FA hoặc tạo mã dự phòng mới đòi hỏi mã từ ứng dụng xác thực, không phải mã dự phòng. Điều đó ngăn người tìm được một mã dự phòng âm thầm vô hiệu hóa lớp bảo vệ của bạn.

Email là đường khôi phục

Bạn cần email đã xác nhận trước khi có thể nạp tiền hoặc phát hành và nạp thẻ. Ngoài yêu cầu đó, email còn là lưới an toàn của bạn:

• Khôi phục. Nếu mất seed, bạn có thể yêu cầu một liên kết đăng nhập dùng một lần gửi đến email đã xác nhận từ trang khôi phục.
• Cảnh báo. Bạn nhận biên nhận nạp tiền và cảnh báo về các lần đăng nhập mới.
• 2FA vẫn áp dụng. Nếu đã bật 2FA, đăng nhập qua liên kết khôi phục vẫn yêu cầu mã xác thực.

Hãy bảo vệ hộp thư đó tương xứng: dùng mật khẩu mạnh, không trùng lặp và bật 2FA cho chính tài khoản email.

Nhận diện phishing và lừa đảo

Hầu hết các vụ chiếm đoạt tài khoản bắt đầu từ việc ai đó bị lừa giao thông tin đăng nhập. Hãy cảnh giác với:

• Website giả mạo. Kiểm tra tên miền trước khi nhập seed. Đánh dấu trang đăng nhập thật và luôn dùng dấu trang đó.
• "Hỗ trợ" đòi seed hoặc mã 2FA. Hỗ trợ thật được xử lý qua ticket trong bảng điều khiển và không bao giờ cần những thứ đó.
• Sự hối thúc. Tin nhắn nói tài khoản của bạn sẽ bị đóng nếu không hành động ngay là chiêu gây áp lực kinh điển.
• Địa chỉ nạp giả. Chỉ dùng địa chỉ nạp hiển thị trong bảng điều khiển của chính bạn, và kiểm tra lại sau khi dán.

Theo dõi tài khoản

Bảo mật không chỉ là thiết lập; nó còn là nhận ra khi có điều gì bất thường.

• Kiểm tra lịch sử đăng nhập. Bảng điều khiển liệt kê các lần đăng nhập gần đây kèm thời gian, địa chỉ IP và quốc gia.
• Đọc email bảo mật. Một cảnh báo đăng nhập mới mà bạn không nhận ra cần được xử lý ngay.
• Đóng băng thẻ không dùng. Thẻ bị đóng băng không thể bị trừ tiền, và bạn có thể mở đóng băng bất cứ lúc nào.
• Chỉ giữ trên mỗi thẻ số tiền cần thiết. Số dư thẻ tách biệt với số dư tài khoản, nên số thẻ bị lộ chỉ làm lộ tiền của thẻ đó.

Nếu bạn nghĩ tài khoản đã bị xâm nhập

1. Đăng nhập và xem lại lịch sử đăng nhập cùng các giao dịch gần đây.
2. Đóng băng thẻ từ bảng điều khiển.
3. Bật 2FA nếu chưa bật, hoặc tạo mã dự phòng mới nếu nghĩ chúng đã bị người khác thấy.
4. Mở ticket hỗ trợ từ bảng điều khiển, giải thích những gì bạn nhận thấy.

Câu hỏi thường gặp

Seed phrase trên tài khoản thẻ crypto là gì?

Đó là mã được tạo tự động, có định dạng xxxx-xxxx-xxxx-xxxx, mà bạn dùng để đăng nhập. Nó thay thế tên người dùng và mật khẩu, nên ai có nó cũng có thể thử đăng nhập.

2FA có bắt buộc không?

Không, 2FA là tùy chọn nhưng nên dùng. Ngược lại, email đã xác nhận là bắt buộc trước khi bạn nạp tiền hoặc phát hành và nạp thẻ.

Điều gì xảy ra nếu tôi mất điện thoại có ứng dụng xác thực?

Đăng nhập bằng một trong các mã dự phòng, sau đó thiết lập lại 2FA trên điện thoại mới và tạo bộ mã dự phòng mới.

Nếu tôi mất seed thì sao?

Yêu cầu một liên kết đăng nhập dùng một lần gửi đến email đã xác nhận từ trang khôi phục. Nếu đã bật 2FA, bạn vẫn cần mã xác thực hoặc mã dự phòng.

Bộ phận hỗ trợ có bao giờ hỏi seed của tôi không?

Không. Hỗ trợ làm việc qua ticket trong bảng điều khiển và không bao giờ cần seed hay mã 2FA của bạn. Bất kỳ ai đòi những thứ đó đều không phải hỗ trợ thật.