API key của sàn là gì, cấp quyền thế nào cho an toàn?

API key của sàn là một cặp khóa (API key và secret key) mà sàn cấp để một phần mềm khác truy cập tài khoản của bạn, không cần mật khẩu hay mã xác thực hai lớp. API (giao diện lập trình ứng dụng) là “cửa” để máy nói chuyện với máy: bot giao dịch, bảng theo dõi danh mục, phần mềm tính thuế đều đi qua cửa này.

Ai cầm cặp khóa thì làm được đúng những gì khóa cho phép. Vì vậy câu hỏi quan trọng không phải “phần mềm này có uy tín không” mà là “khóa này có quyền gì, dùng được từ đâu, đến bao giờ”.

API key sàn là gì?

API key là chìa khóa phụ của tài khoản sàn, dành cho phần mềm chứ không dành cho người. Nó gồm hai phần, và hai phần có vai trò khác nhau:

• API key (khóa công khai): như tên đăng nhập, cho sàn biết yêu cầu đến từ khóa nào.
• Secret key (khóa bí mật, có sàn gọi là API secret): dùng để ký từng yêu cầu. Sàn kiểm chữ ký, đúng thì làm theo. Một số sàn thêm passphrase (cụm mật khẩu riêng của key) làm lớp thứ ba.

Phần mềm gửi lệnh “mua”, “hủy lệnh”, “xem số dư” kèm chữ ký tạo từ secret key. Sàn không hỏi lại mật khẩu, không gửi mã OTP (mã xác nhận dùng một lần), không bắt bấm xác nhận trên điện thoại. Đây là lý do API key tiện cho bot, và cũng là lý do lộ secret key nguy hiểm gần như lộ cả tài khoản.

Secret key thường chỉ hiện một lần lúc tạo. Mất thì tạo key mới, chứ không xem lại được.

Ba nhóm quyền: đọc, giao dịch, rút

Khi tạo key, bạn chọn quyền. Quyền thường chia ba nhóm, và mỗi nhóm mở ra một mức rủi ro khác nhau. Tên gọi và cách chia chi tiết tùy sàn.

Quyền	Dùng cho việc gì	Lộ key thì kẻ gian làm được gì
Chỉ đọc	Bảng theo dõi danh mục, phần mềm tổng hợp giao dịch để tính thuế	Xem số dư, lịch sử lệnh, có thể cả địa chỉ nạp
Giao dịch	Bot đặt lệnh theo quy tắc, công cụ đặt lệnh hàng loạt	Đặt và hủy lệnh bằng tiền của bạn, kể cả mua coin thanh khoản thấp giá bị đẩy
Rút	Phần mềm tự chuyển tài sản ra ví	Chuyển tài sản ra địa chỉ của chúng

Một số sàn tách thêm quyền chuyển giữa các tài khoản con, quyền giao dịch ký quỹ hay hợp đồng tương lai. Nguyên tắc chung: chỉ bật quyền mà phần mềm thật sự cần, gọi là nguyên tắc đặc quyền tối thiểu. OWASP (dự án phi lợi nhuận về bảo mật phần mềm) đưa nguyên tắc này vào hướng dẫn quản lý khóa bí mật.

Vì sao không cấp quyền rút cho bên thứ ba?

Bot giao dịch không cần rút tiền để làm việc của nó, nên một bên đòi quyền rút là đòi thứ thừa. Có quyền rút, kẻ cầm key chuyển tài sản đi trong vài giây, không cần mật khẩu hay mã xác thực.

Tắt quyền rút vẫn chưa đủ an toàn. Quyền giao dịch đủ để rút ruột tài khoản một cách gián tiếp, theo cách sau:

1. Kẻ gian mua sẵn một coin thanh khoản thấp (ít người mua bán, giá dễ bị đẩy) rồi treo lệnh bán giá cao.
2. Dùng API key của nạn nhân đặt lệnh mua coin đó, khớp với lệnh bán của chúng.
3. Tiền của nạn nhân chảy sang tài khoản kẻ gian. Nạn nhân còn lại một đống coin mà giá thật thấp hơn nhiều.

Bạn trả 10.000 × 0,10 = 1.000 USDT. Nếu giá về lại 0,02, số X bạn cầm còn 10.000 × 0,02 = 200 USDT, tức mất 800 USDT dù không lệnh rút nào được đặt; kẻ gian bỏ 200 USDT gom coin, thu về 1.000 USDT, lãi đúng 800 USDT đó. Sổ lệnh mỏng nên bán lại 10.000 X một lúc có thể còn được giá thấp hơn 0,02.

Vụ 2022 bên dưới khớp kịch bản này theo nhận định của chính nền tảng bị lộ key. Vụ 2018 là biến thể bơm giá: key của nạn nhân bị dùng để mua dồn một coin ít người biết, đẩy giá lên, trong khi 31 tài khoản gửi sẵn coin đó bán ra. Trong cả hai, kẻ gian không cần quyền rút.

Cài API key an toàn: các bước chung

Tạo key là việc làm một lần, nhưng cách cài quyết định thiệt hại tối đa nếu key bị lộ. Các bước dưới mô tả chung, tên mục và cách bố trí khác nhau giữa các sàn. Phần bảo mật tài khoản nói chung ở bài bảo mật ví và tài khoản sàn.

1. Một key cho một việc. Bot một key, bảng theo dõi một key khác. Đặt tên dễ nhận ra (tên phần mềm, ngày tạo) để sau này biết xóa cái nào.
2. Chọn quyền tối thiểu. Bảng theo dõi chỉ cần quyền đọc. Bot cần quyền giao dịch, không cần quyền rút.
3. Gắn danh sách IP (IP whitelist). Xem mục riêng bên dưới.
4. Đặt hạn dùng nếu sàn cho phép. Key hết hạn tự vô hiệu, không phụ thuộc vào trí nhớ của bạn.
5. Lưu secret key đúng chỗ. Không chụp màn hình, không dán vào ghi chú điện thoại đồng bộ đám mây, không gửi qua tin nhắn.
6. Bật xác thực hai lớp (2FA, bước nhập mã thứ hai khi đăng nhập) cho tài khoản sàn. Kẻ chiếm được tài khoản có thể tự tạo key mới, như vụ năm 2018 bên dưới. Cách bật ở bài xác thực hai lớp 2FA.
7. Kiểm danh sách key định kỳ. Key nào không nhận ra, key nào của phần mềm đã thôi dùng: xóa.

IP whitelist là gì?

IP whitelist là danh sách địa chỉ IP (địa chỉ mạng của máy chủ hay máy tính) được phép dùng key; yêu cầu từ địa chỉ khác bị sàn từ chối. Key bị lộ mà kẻ gian gửi lệnh từ máy của chúng thì không dùng được.

Giới hạn của cách này: nếu bot chạy trên máy chủ của nhà cung cấp, bạn chỉ điền được IP họ đưa. Máy chủ đó bị xâm nhập thì danh sách IP không cứu được. Nó cũng khác với danh sách địa chỉ rút tin cậy (whitelist địa chỉ rút), vốn khóa nơi tài sản được rút tới.

Hạn dùng và xoay vòng key

Key càng sống lâu, càng nhiều cơ hội bị lộ mà bạn không biết. Hướng dẫn quản lý khóa bí mật của OWASP khuyên xoay vòng định kỳ “so that any stolen credentials will only work for a short time” (để khóa bị đánh cắp chỉ dùng được trong thời gian ngắn), đặt hạn dùng khi có thể, và thu hồi ngay khóa không còn cần hoặc có thể đã lộ.

Xoay vòng với API key sàn nghĩa là: tạo key mới, điền vào phần mềm, chạy thử, rồi xóa key cũ. Đừng giữ cả hai “cho chắc”.

Lưu secret key ở đâu?

Secret key nên nằm ở một chỗ có khóa riêng, chẳng hạn trình quản lý mật khẩu, không nằm rải rác trong ảnh và tin nhắn. Người tự viết bot thì không ghi thẳng key vào mã nguồn.

Rò rỉ kiểu này phổ biến hơn nhiều người nghĩ. Theo báo cáo của GitGuardian (công ty quét rò rỉ khóa bí mật, công bố 11/3/2025), năm 2024 có 23,8 triệu khóa bí mật mới bị lộ trên các kho mã công khai ở GitHub. Báo cáo còn ghi 70% khóa bị lộ năm 2022 vẫn còn hiệu lực lúc công bố, tức đến lúc đó vẫn chưa bị thu hồi.

Thu hồi API key khi nào và thế nào?

Thu hồi ngay khi: thôi dùng phần mềm, phần mềm báo sự cố, thấy lệnh lạ, mất điện thoại, hoặc nghi đã nhập thông tin vào trang giả. Cách làm:

1. Đăng nhập sàn bằng ứng dụng chính thức hoặc tên miền bạn đã lưu từ trước, không bấm đường dẫn trong tin nhắn.
2. Vào mục quản lý API, xóa key nghi lộ. Không rõ key nào thì xóa hết, tạo lại sau.
3. Đổi mật khẩu, kiểm cài đặt xác thực hai lớp, email và số điện thoại gắn tài khoản. Lý do và cách làm ở bài bảo mật email, số điện thoại gắn tài khoản sàn.
4. Xem lịch sử lệnh và lịch sử rút, chụp lại lệnh lạ kèm thời gian. Báo bộ phận hỗ trợ của sàn qua kênh trên trang chính thức.
5. Đã mất tài sản thì trình báo cơ quan công an, mang theo ảnh chụp, mã lệnh, mã giao dịch.

Xóa tài khoản trên bot hay gỡ ứng dụng không làm key hết hiệu lực, vì key nằm ở sàn. Nếu mất máy có cài app sàn, thứ tự xử lý cả ví lẫn tài khoản ở bài mất điện thoại có cài ví và app sàn.

Các vụ lộ API key đã ghi nhận

Hai vụ có tài liệu rõ đều cho thấy cùng một điều: kẻ gian không cần quyền rút, chỉ cần quyền giao dịch.

Thời điểm	Chuyện gì xảy ra	Nguồn
7/3/2018	Nhóm tin tặc lấy thông tin đăng nhập người dùng Binance qua trang giả có tên miền nhái từ tháng 1, tự tạo API key giao dịch, rồi trong hai phút (14:58–14:59 UTC) dùng các key đó mua dồn Viacoin (một đồng tiền mã hóa ít người biết), đẩy giá lên. Hệ thống quản lý rủi ro của sàn dừng mọi lệnh rút ngay sau đó; 31 tài khoản gửi sẵn Viacoin bị khóa	Trend Micro (9/3/2018)
10–12/2022	Kẻ gian dùng API key của người dùng 3Commas (nền tảng bot) đặt lệnh trái phép trên nhiều sàn. Ngày 28/12/2022, 3Commas biết qua bài đăng trên Pastebin của một người tự nhận là tin tặc, cùng lúc với cộng đồng người dùng; công ty xác nhận API key, secret và passphrase của một phần người dùng đã bị bên thứ ba công bố	3Commas (10/12/2022 và 29/12/2022)

Vụ 2018: các nguồn lệch nhau về chuyện đảo ngược lệnh. Wccftech (9/3/2018) viết sàn đã đảo ngược giao dịch của 31 tài khoản và tịch thu số Viacoin gửi sẵn.

Trend Micro dẫn tuyên bố của sàn: các lệnh mua của nạn nhân không khớp với tài khoản nào của nhóm tin tặc, nên sàn “not in a position to reverse those trades” (không thể đảo ngược các lệnh đó); một số nạn nhân vẫn chịu lỗ, còn nhóm tin tặc bị khóa 31 tài khoản. Gốc của vụ là phishing (lừa đảo bằng trang mạo danh), không phải lỗi API. Cách nhận ra trang giả ở bài phishing là gì.

Vụ 2022 diễn ra qua nhiều tuần. Thông báo ngày 10/12/2022 của 3Commas khi đó cho rằng kẻ gian có thể đã gom key từ lâu rồi chờ lúc nhiều cặp giao dịch “illiquid” (thanh khoản thấp) và dễ thao túng để ra tay, khớp với kịch bản mua coin thanh khoản thấp ở trên. Lúc đó công ty nghiêng về giả thuyết phishing.

Đến thông báo ngày 29/12/2022, 3Commas thừa nhận các thông báo trước “suggested that the attacks most likely resulted from phishing”, nay xác nhận dữ liệu API bị công bố, và đã đề nghị các sàn mà nền tảng hỗ trợ thu hồi mọi key kết nối với 3Commas. Công ty khuyên mọi người dùng tạo lại key.

Bài học thực tế từ vụ này: key gắn IP của máy chủ bot vẫn bị dùng nếu chính máy chủ hay kho lưu key của bên cung cấp bị lộ. Thứ duy nhất bạn kiểm soát hoàn toàn là quyền của key và việc xóa key kịp thời.

Bot, copy trade và người bán bot đòi API key

Mỗi lần dán API key vào một dịch vụ, bạn trao cho người vận hành dịch vụ đó quyền làm đúng những gì key cho phép. Bot (phần mềm tự đặt lệnh theo quy tắc) và copy trade (tự động sao chép lệnh của người khác) đều cần key có quyền giao dịch.

Các dấu hiệu nên dừng lại:

• Đòi key có quyền rút, hoặc đòi tắt danh sách IP “cho bot chạy ổn định”.
• Người lạ trong nhóm Telegram, Zalo “cài bot giúp”, xin ảnh chụp màn hình trang tạo key.
• Hứa lãi cố định theo ngày, cam kết không lỗ, gọi là bot AI “không bao giờ thua”.
• Bán bot qua tin nhắn riêng, gửi tệp cài đặt hoặc tiện ích trình duyệt ngoài kho chính thức.

Ngày 25/1/2024, CFTC (cơ quan quản lý thị trường hàng hóa phái sinh Mỹ) ra cảnh báo rằng kẻ lừa đảo tung tin AI giúp bot, thuật toán tín hiệu tạo lợi nhuận khổng lồ; lời hứa lợi nhuận cao hoặc được bảo đảm là dấu hiệu lừa đảo. Cảnh báo cũng nhắc “AI technology cannot predict the future” (công nghệ AI không đoán được tương lai).

Ở Việt Nam, nhiều vụ “bot trade” thậm chí không có bot nào, chỉ là mô hình lấy tiền người sau trả người trước. Vụ “3COMMAS” giả ở Khánh Hòa và cách bot, copy trade vận hành có ở bài copy trade, bot trade coin. VietnamBit không giới thiệu bot hay dịch vụ bên thứ ba nào.

Sàn được cấp phép ở Việt Nam có mở API không?

Chưa công bố. Tính đến 31/10/2026, chưa sàn nào được cấp phép. Chúng tôi chưa thấy hồ sơ nào trong số các tổ chức xin phép công bố tài liệu API, các nhóm quyền hay tính năng gắn IP cho khách hàng.

Khi có sàn được cấp phép và sàn công bố tài liệu API, các nguyên tắc ở trên vẫn áp dụng nguyên vẹn: quyền tối thiểu, gắn IP, đặt hạn, xóa khi không dùng.

Về pháp lý, Nghị quyết 05/2025/NQ-CP chỉ cho tổ chức được Bộ Tài chính cấp phép cung cấp dịch vụ tài sản mã hóa (Điều 4 khoản 4). Một phần mềm bot đặt lệnh trên tài khoản của bạn không làm thay đổi việc lệnh đó được đặt ở sàn nào. Sau 6 tháng kể từ giấy phép đầu tiên, nhà đầu tư trong nước giao dịch ngoài tổ chức được cấp phép có thể bị xử lý (Nghị quyết 05 Điều 7 khoản 2).