Cộng đồng Dogecoin vừa phát đi cảnh báo về rủi ro bảo mật khi lưu trữ tiền mã hóa, nhấn mạnh rằng việc tạo ví trên máy tính đã ngắt kết nối Internet không đồng nghĩa an toàn tuyệt đối. Nếu phần cứng hoặc hệ điều hành của thiết bị đã bị nhiễm mã độc, seed phrase vẫn có thể bị đánh cắp.

Theo U.Today ngày 6/8 (giờ địa phương), Mishaboar, một thành viên có đóng góp cho cộng đồng Dogecoin, đã đưa ra loạt khuyến nghị bảo mật sau sự cố liên quan đến Coldcard. Ông đồng thời chỉ ra những giới hạn của ví phần cứng và các phương thức tạo ví ngoại tuyến.

Mishaboar cho biết ví tiền mã hóa không trực tiếp “cất giữ” tài sản, mà dùng để lưu khóa riêng giúp chủ sở hữu truy cập tài sản trên blockchain. Vì vậy, nếu thiết bị dùng để tạo khóa riêng đã bị can thiệp hoặc nhiễm mã độc, tài sản số của người dùng cũng có thể bị đe dọa.

Theo ông, một sai lầm phổ biến là cho rằng chỉ cần ngắt Internet trên máy tính thông thường rồi tạo seed phrase thì ví sẽ an toàn. Trên thực tế, nếu phần cứng và hệ điều hành không đủ tin cậy, cách làm này vẫn tiềm ẩn rủi ro lớn.

Mishaboar giải thích rằng khi hệ điều hành đã nhiễm mã độc, việc cắt kết nối mạng không giải quyết được vấn đề cốt lõi. Mã độc có thể ghi lại seed phrase ngay tại thời điểm tạo ví, lưu trên thiết bị và chờ đến khi máy kết nối lại Internet để gửi dữ liệu cho kẻ tấn công. Nói cách khác, ngắt mạng chỉ làm chậm thời điểm rò rỉ thông tin, chứ không ngăn được hành vi đánh cắp dữ liệu.

Ông cũng lưu ý việc để tài sản trên sàn giao dịch không phải giải pháp thay thế triệt để. Theo Mishaboar, nguyên tắc “Not your keys, not your coins” vẫn còn nguyên giá trị. Các sàn giao dịch vẫn có thể đối mặt với nguy cơ bị tấn công hoặc phá sản, vì vậy chuyển tài sản lên sàn để né rủi ro của ví cá nhân không phải cách xử lý tận gốc.

Với người dùng phổ thông, Mishaboar đưa ra một số khuyến nghị cơ bản. Thứ nhất, không nên dồn toàn bộ tài sản vào một ví duy nhất, mà nên phân bổ sang nhiều thiết bị và nhiều ví từ các thương hiệu đáng tin cậy.

Thứ hai, người dùng có thể tăng thêm một lớp bảo mật bằng cách thiết lập passphrase bổ sung cho seed phrase, còn được gọi là “từ thứ 25”. Seed phrase và passphrase nên được sao lưu riêng biệt trong môi trường ngoại tuyến và cất giữ ở nơi an toàn.

Mishaboar cũng đề cập đến phương pháp tạo số ngẫu nhiên thủ công mà không phụ thuộc vào thiết bị điện tử. Nếu lo ngại xúc xắc có độ lệch, người dùng có thể tung cùng một viên hai lần: nếu kết quả lần đầu lớn hơn lần hai thì ghi “1”, nếu lần hai lớn hơn lần đầu thì ghi “0”, còn nếu hai lần bằng nhau thì bỏ kết quả và làm lại. Cách này giúp tạo ra các bit ngẫu nhiên ít bị sai lệch hơn.

Dù vậy, ông nhấn mạnh phương pháp thủ công cũng không phải giải pháp toàn diện. Khi người dùng nhập dãy giá trị đã tạo vào một máy tính thông thường để phục vụ lưu trữ dài hạn, thông tin vẫn có thể bị lộ nếu thiết bị đang chứa mã độc.

Kết lại, Mishaboar cho rằng không có loại ví phần cứng nào, cũng không có phương thức tạo ví ngoại tuyến nào, có thể bảo đảm an toàn tuyệt đối nếu đứng riêng lẻ. Để lưu trữ tiền mã hóa an toàn, người dùng cần kiểm soát toàn bộ quy trình, từ môi trường tạo khóa, thiết bị lưu trữ đến cách sao lưu. Việc tin rằng chỉ cần ngắt Internet là đủ an toàn có thể khiến nguy cơ mất tài sản tăng cao.